Un avocat peut-il utiliser ChatGPT ? Secret pro & RGPD

Oui, les avocats peuvent utiliser une IA comme ChatGPT — mais pas n'importe quelle version. Le secret professionnel et le RGPD posent des limites claires. Saisir des données identifiantes d'un client dans un outil grand public peut violer le secret. Un compte professionnel avec contrat, plus des données pseudonymisées, réduit fortement le risque. Cet article explique l'essentiel.

Les avocats peuvent-ils utiliser l'IA ?

L'IA fait déjà partie du quotidien des cabinets : recherche, brouillons, résumés. Sur le principe, c'est permis. La question n'est pas de savoir si, mais comment.

• Les versions grand public gratuites conviennent rarement aux vraies données clients.
• Les comptes professionnels avec contrat offrent plus de contrôle.
• L'avocat reste responsable, pas l'éditeur.
• Déontologie et protection des données s'appliquent ensemble.
• Une règle interne claire sur l'IA est indispensable.

Ce qu'exige le secret professionnel

Le secret professionnel de l'avocat est protégé par l'article 226-13 du Code pénal et par la déontologie, notamment le Règlement Intérieur National (RIN). Révéler une information protégée à un tiers peut constituer une violation du secret.

• Le secret couvre tout ce que le client vous confie.
• L'article 226-13 du Code pénal sanctionne sa violation.
• Le RIN en fait un principe essentiel de la profession.
• Un outil d'IA grand public peut être un tiers.
• Saisir de vraies données peut déjà être une révélation.

Compte privé ou contrat professionnel ?

Vous ne pouvez associer un prestataire que s'il est contractuellement tenu au secret. Pour une IA, cela suppose un contrat de sous-traitance (art. 28 du RGPD) avec un compte professionnel, pas un compte privé. Selon la documentation Enterprise Privacy d'OpenAI, les données professionnelles ne servent pas par défaut à entraîner ses modèles — vérifiez-le toutefois dans la documentation à jour.

• Les comptes privés n'offrent en général pas de contrat de sous-traitance.
• Les offres Business et Enterprise permettent un contrat au titre de l'art. 28.
• Le contrat doit régler instructions, effacement et sous-traitants ultérieurs.
• Vérifiez si vos saisies servent à l'entraînement.
• Sans contrat, le lien de confidentialité manque.

Le levier le plus simple : aucune donnée identifiante

Le levier le plus sûr et le plus simple est la minimisation des données (art. 5 du RGPD). Ce que l'IA ne voit jamais, elle ne peut pas le révéler. Remplacez noms, adresses et numéros de dossier par des jetons avant l'envoi.

• N'utilisez pas de vrais noms dans le prompt.
• Retirez adresses, dates de naissance et numéros de dossier.
• Décrivez le dossier de façon abstraite, pas détaillée.
• Pseudonymisez les données avant l'envoi.
• Ne restaurez les vraies valeurs qu'en local.

Checklist avant le premier prompt

Avant de saisir un vrai dossier dans une IA, passez ces points en revue. L'ordre aide à éviter les erreurs.

1. 1Vérifiez le type de compte et l'éditeur.
2. 2Signez un contrat de sous-traitance (art. 28).
3. 3Contrôlez les règles d'entraînement et d'effacement.
4. 4Pseudonymisez les données identifiantes.
5. 5Documentez votre décision en interne.

C'est là qu'intervient ONYRI Sanitize. L'outil détecte les données sensibles dans le texte et les remplace par des jetons réversibles, avant que le texte n'atteigne l'IA. La table de correspondance reste dans votre navigateur et n'est jamais envoyée à un serveur. Après la réponse, les vraies valeurs sont restaurées. Important et honnête : il s'agit de pseudonymisation, pas d'anonymisation. Les données pseudonymisées restent des données personnelles (considérant 26 du RGPD). ONYRI réduit l'exposition, mais ne remplace ni un contrat de sous-traitance ni une base légale.

La règle de base est simple : moins l'IA voit de données identifiantes, plus le risque est faible. Réglez le contrat, choisissez le bon compte et minimisez ce que vous saisissez. Le secret professionnel reste ainsi protégé.