IA et secret professionnel dans un cabinet : ce qui est permis, ce qui ne l'est pas

Que couvre le secret professionnel d'un cabinet face à l'IA ?

Le secret professionnel d'un expert-comptable couvre les informations à caractère secret dont il a connaissance dans l'exercice de sa mission, qu'elles concernent une personne ou une entreprise, sous réserve des exceptions prévues par la loi. Il découle de l'article 21 de l'ordonnance du 19 septembre 1945, et sa violation est punie par l'article 226-13 du Code pénal d'un an d'emprisonnement et de 15 000 euros d'amende.

Ce périmètre dépasse celui du RGPD. Le RGPD encadre le traitement des données personnelles : sa base légale, sa finalité, sa durée et sa sécurité. Le secret professionnel interdit de révéler à un tiers ce que le client a confié, y compris un bilan, une marge ou un projet de cession qui ne contient aucun nom de personne.

Les autres professions réglementées, comme les avocats, les notaires ou les commissaires de justice, relèvent chacune de leurs propres textes. Le raisonnement qui suit peut éclairer leur réflexion, à condition de le confronter à leur règle déontologique, parfois plus stricte.

Peut-on mettre des données clients dans un abonnement entreprise d'IA ?

Un abonnement entreprise rend l'usage possible pour certaines données, sous conditions, et il ne règle pas à lui seul la question du secret. Les deux discours entendus en cabinet décrivent chacun une moitié du problème.

Celui qui dit oui s'appuie sur des garanties réelles. Les offres entreprise excluent en général l'entraînement des modèles sur vos données, proposent un accord de traitement des données et parfois un hébergement en Europe. La profession utilise d'ailleurs depuis longtemps des logiciels hébergés chez des prestataires, et le recours à un prestataire tenu à la confidentialité, dont les accès sont encadrés, n'est généralement pas regardé en soi comme une violation du secret.

Celui qui dit non pointe un risque tout aussi réel. Un dossier client identifiable envoyé à un fournisseur devient une information confiée à un tiers. Si ce fournisseur relève du droit américain, le Cloud Act permet aux autorités américaines, dans le cadre d'une procédure judiciaire, d'exiger la communication des données qu'il détient, même stockées en Europe. Notre page sur la localisation des données et le Cloud Act détaille ce mécanisme.

Le débat se tranche avec 4 questions, posées usage par usage :

• Quelle information part réellement, et permet-elle de reconnaître le client ?
• Quel contrat lie le cabinet au fournisseur, avec quelles clauses de confidentialité ?
• Sous quel droit le fournisseur opère-t-il, et qui peut accéder aux données ?
• Quelles mesures techniques protègent l'envoi, et qui garde la trace des échanges ?

Ce qui est permis, ce qui ne l'est pas

Les usages de l'IA en cabinet se rangent en 4 familles, du plus simple au plus encadré.

• Question générale sans donnée client

  Expliquer un texte, reformuler une note publique ou préparer un plan de formation ne touche pas au secret. Ces usages sont permis sur un outil validé par le cabinet.

• Dossier client identifiable dans une IA grand public

  Coller un grand livre, une liasse ou un contrat nominatif dans un compte personnel ou gratuit revient à confier le dossier à un tiers sans contrat ni garantie. Cet usage est à proscrire.

• Données clients dans un abonnement entreprise

  L'usage devient défendable après analyse. Il suppose un contrat de sous-traitance conforme à l'article 28 du RGPD, une analyse d'impact quand le risque est élevé, une vérification du droit applicable au fournisseur et, de préférence, une pseudonymisation préalable.

• Traitement sur une infrastructure que le cabinet contrôle

  Un modèle open source qui tourne sur le serveur du cabinet, sans appel à un service externe, garde les dossiers sur l'infrastructure du cabinet. C'est le cadre le plus simple pour les dossiers sensibles. Le RGPD continue de s'appliquer, avec sa base légale, sa durée de conservation et ses mesures de sécurité.

Le choix entre un serveur interne et un hébergement dédié en France est détaillé dans notre comparatif IA on-premise ou cloud dédié.

Pourquoi une charte IA ne suffit-elle pas ?

Une charte IA ne suffit pas parce qu'elle dépend de la mémoire de chaque collaborateur au moment précis où il colle un texte dans un outil. Signée à l'embauche parmi 10 autres documents, elle est rarement relue, et rien ne vérifie en pratique qu'elle est suivie.

La charte reste utile. Les instances de la profession recommandent d'en adopter une, et c'est là que le cabinet écrit ses règles : les outils autorisés, les données qui ne sortent pas, les usages qui demandent un accord. Notre principe tient en une formule : pas de convention sans automatisation. Une règle qu'aucun système n'applique finit contournée, sans mauvaise intention de quiconque, simplement parce que la pression du dossier passe avant le document signé.

« On a une charte IA, ça suffit. »

Qu'est-ce qu'une passerelle IA, et que tranche-t-elle ?

Une passerelle IA est le point d'entrée unique par lequel passent toutes les requêtes d'IA du cabinet, qu'elles viennent d'un navigateur ou d'un logiciel. Elle applique les règles de la charte à chaque demande, au lieu de laisser chacun décider seul.

Concrètement, elle prend 4 décisions à chaque requête :

• Classification de la demande selon sa sensibilité, par profil ou selon le contenu de la conversation.
• Données personnelles : elle aide à repérer un nom, un numéro ou un identifiant avant l'envoi, bloque la requête et explique la règle à l'utilisateur au moment même, sans prétendre à une détection exhaustive.
• Coûts : chaque appel est mesuré, ce qui donne la consommation réelle par équipe et par usage.
• Routage vers un modèle local pour les dossiers sous secret, ou vers un modèle externe pour les questions générales.

La passerelle garde aussi la trace des échanges, ce qui permet de montrer, en cas de question d'un client ou de contrôle, quelle règle a été appliquée. Comme tout dispositif qui enregistre l'activité des collaborateurs, elle suppose une information préalable des salariés, la consultation du CSE quand le cabinet en a un, et une durée de conservation des journaux limitée et documentée. Notre page IA souveraine pour l'entreprise décrit son déploiement en première phase, avant tout serveur interne. Ce dispositif rend applicable au quotidien l'analyse de conformité RGPD du cabinet, qu'il faut mener par ailleurs.

Comment mesurer l'usage réel de l'IA dans le cabinet ?

L'usage réel de l'IA se mesure avec les journaux du réseau du cabinet, agrégés par service d'IA, plutôt qu'avec un questionnaire. Dans beaucoup de cabinets, des collaborateurs utilisent déjà des IA publiques, souvent sur leur téléphone personnel, et cet usage reste invisible pour la direction.

Cette mesure se fait dans les règles. Les salariés sont informés au préalable de tout dispositif qui collecte des informations les concernant (article L1222-4 du Code du travail). Dans un cabinet d'au moins 50 salariés, le comité social et économique est en outre informé et consulté avant la décision de mettre en œuvre un moyen de contrôle de l'activité (article L2312-38). Des statistiques agrégées par service, sans suivi individuel, répondent à la question posée, qui est de connaître l'ampleur du phénomène.

Les journaux ne voient que ce qui passe par le réseau du cabinet. Un téléphone en données mobiles leur échappe. C'est la raison pour laquelle la mesure s'accompagne d'une offre : un outil validé, aussi pratique que l'IA publique, que les collaborateurs ont intérêt à utiliser.

Comment traiter un historique de dossiers sensibles avec l'IA ?

Un historique de dossiers sensibles se traite par l'une des 2 voies suivantes, qui limitent toutes deux ce qui sort du cabinet.

Première voie : IA externe après pseudonymisation sur les machines du cabinet. Les noms, numéros et identifiants sont remplacés par des codes avant tout envoi, et la table de correspondance ne quitte jamais le cabinet. Pour le cabinet, qui garde la table, les données pseudonymisées restent des données personnelles au sens du RGPD, et certains chiffres d'entreprise peuvent suffire à reconnaître un client. Le paramétrage de la pseudonymisation se vérifie donc sur un échantillon avant de lancer le volume.

Seconde voie : des GPU loués au nom du cabinet le temps du traitement. Le cabinet loue des serveurs de calcul chez un hébergeur qui relève du seul droit européen, sous son propre contrat, y installe un modèle open source, traite l'historique, puis fait supprimer l'instance et en garde la preuve. Les données ne transitent par aucun fournisseur de modèle, et la dépense s'arrête avec le traitement.

Dans les 2 cas, 3 garde-fous s'appliquent :

• un contrat de sous-traitance conforme à l'article 28 du RGPD avec chaque prestataire qui touche aux données, assorti d'une clause de confidentialité ;
• une analyse d'impact relative à la protection des données (article 35), menée avant le traitement ;
• le respect du secret professionnel, avec un accès limité aux personnes habilitées et une suppression des données vérifiée en fin de mission.

La CNIL réserve le terme d'anonymisation aux traitements qui rendent l'identification impossible, de manière irréversible. Le mot « anonymisé » ne s'emploie donc pas pour un dossier simplement pseudonymisé.

Que change l'AI Act pour un cabinet ?

L'AI Act laisse les cabinets utiliser l'IA générative pour rédiger, résumer ou rechercher. Depuis le 2 février 2025, son article 4 leur demande de prendre des mesures pour favoriser la maîtrise de l'IA chez les collaborateurs qui utilisent ces systèmes. Le règlement (UE) 2026/1744 a précisé en juillet 2026 qu'il s'agit d'une obligation de moyens.

Certains usages relèvent d'un régime plus lourd. Le tri de candidatures lors d'un recrutement, par exemple, figure parmi les systèmes à haut risque de l'annexe III. Le secret professionnel et le RGPD restent les deux textes qui pèsent le plus sur l'usage quotidien d'un cabinet. Notre parcours de formation et implémentation IA traite cette obligation de maîtrise.

Faut-il foncer ou attendre ?

Les cabinets qui foncent prennent de l'avance, avec un niveau de risque que d'autres refusent de prendre. Ceux qui attendent laissent l'usage se faire sans eux, sur des téléphones personnels, ce qui expose le cabinet à un risque élevé sans aucun bénéfice organisé.

Une troisième voie existe. Le cabinet avance vite sur les usages qui ne touchent pas au secret, mesure l'usage réel, installe une passerelle qui applique ses règles, puis ouvre les dossiers sensibles une fois l'infrastructure en place. Notre page IA souveraine pour experts-comptables décrit ce déploiement sur le serveur du cabinet, et un audit 360° en pose la première étape.