Quelle alternative à ChatGPT pour un cabinet d'expertise comptable qui ne veut pas exposer les comptes de ses clients ?
Trois scènes qu'on voit en cabinet en 2025. Un collaborateur charge un FEC dans ChatGPT pour identifier une anomalie de cycle. Un chef de mission demande à Claude de commenter un grand livre avant revue d'associé. Un associé interroge Perplexity sur un point fiscal en y collant un extrait de liasse réelle. La question pour vous, associé gérant : est-ce que cela engage le cabinet, et jusqu'où ?
En bref : l'alternative tient en deux pièces, un contrat conforme à l'article 28 du RGPD et une isolation technique. Chez VoltageGPU, les modèles tournent dans des enclaves Intel TDX chez notre fournisseur d'inférence, où la mémoire du traitement est chiffrée par le processeur ; notre API relaie la requête en TLS et la voit en clair en mémoire le temps du relais. Pour des données que personne d'autre que vous ne doit voir : la VM confidentielle, où vous générez vous-même l'attestation.
Le risque réel se joue sur trois niveaux
Saisine de la Chambre régionale
Code de déontologie de la profession comptable. Sanctions possibles : avertissement, blâme, suspension temporaire, radiation prononcée par la Chambre régionale de discipline.
Sanction CNIL
Jusqu'à 4 % du chiffre d'affaires annuel. Le Garante italien a sanctionné OpenAI à hauteur de 15 millions d'euros le 20 décembre 2024 (provvedimento n° 10085455).
Action du client
Responsabilité contractuelle et délictuelle si le préjudice est démontré. La couverture d'assurance professionnelle peut être contestée si la faute est qualifiée de manquement délibéré.
Le secret professionnel de l'expert-comptable n'est pas une simple obligation contractuelle vis-à-vis du client. C'est une obligation déontologique sanctionnée disciplinairement, indépendamment de l'existence ou non d'un préjudice concret. Le simple fait d'avoir transmis à un tiers, y compris un fournisseur de service IA, un élément couvert par le secret peut suffire à fonder une sanction.
Ce que dit l'Ordre des experts-comptables
Le code de déontologie de la profession impose le secret professionnel. Confier un dossier à un système d'IA ne transfère pas cette obligation au fournisseur : l'expert-comptable reste responsable des données qu'il lui soumet, quel que soit le contrat signé.
En pratique, trois points sont à vérifier avant tout usage professionnel : où sont hébergées les données traitées, qui peut techniquement y accéder, et si les requêtes sont réutilisées pour entraîner le modèle. Sur ces trois points, les versions standard des outils grand public (ChatGPT, Claude, Perplexity) ne donnent pas de garantie suffisante au regard du secret professionnel comptable.
Ce que dit la CNIL
La CNIL consacre une rubrique de son site à l'intelligence artificielle. Le principe de départ : l'usage d'un outil d'IA sur des données personnelles relève du RGPD, et le responsable du traitement (le cabinet) doit pouvoir justifier d'une base légale, d'une analyse d'impact lorsque le traitement est susceptible d'engendrer un risque élevé, et d'un contrat de sous-traitance conforme à l'article 28 du RGPD.
Le RGPD demande aussi des mesures techniques adaptées au risque (article 32) : le contrat ne les remplace pas. Pour un FEC ou un grand livre, qui contiennent par construction des données personnelles identifiantes, la question de savoir qui peut techniquement lire les données est centrale.
Ce qui est interdit, ce qui est permis
- Coller un FEC, un grand livre ou une balance dans ChatGPT, Claude ou Perplexity grand public
- Soumettre une liasse fiscale ou un bilan client réel pour analyse
- Identifier nommément un client ou un fournisseur dans une requête
- Coller des libellés d'écritures réelles, même partiels
- Faire reformuler une note adressée à un client en y intégrant le contexte du dossier
- Recherche doctrinale ou fiscale sans référence aux faits du dossier
- Travail sur des jeux de données fictifs ou totalement anonymisés
- Rédaction de courriers types, de notes internes, de contenu marketing
- Assistance à la rédaction de documents internes (RH, organisation cabinet)
- Synthèse de textes officiels accessibles publiquement (BOFiP, doctrine administrative)
La réponse de VoltageGPU pour les cabinets comptables
Pour répondre à la fois à l'exigence ordinale et à l'exigence RGPD, il faut une infrastructure d'IA qui combine quatre garanties. Aucune des quatre n'est suffisante seule. Les quatre ensemble transforment l'usage de l'IA en mesure organisationnelle et technique appropriée au sens de l'article 32 du RGPD.
- 1Société française, base client dans l'UESociété française (VOLTAGE EI, SIREN 943 808 824), responsable de traitement français, base client hébergée dans l’UE. Le calcul est opéré par des sous-traitants américains dans des enclaves Intel TDX, où la mémoire du traitement est chiffrée par le processeur : le transfert est documenté.
- 2Contrat conforme à l'article 28 du RGPDDPA, registre des sous-traitants, engagements de confidentialité, droits d'audit. Disponible sur demande avant tout démarrage, versable au dossier de contrôle qualité de l'Ordre.
- 3Garantie technique d'isolation au niveau du processeurLes modèles tournent dans des enclaves Intel TDX chez notre fournisseur d'inférence : la mémoire du traitement est chiffrée par le processeur. Notre API relaie la requête en TLS ; elle la voit en clair en mémoire le temps du relais.
- 4Rapport d'attestation cryptographique vérifiablePour des données que personne d'autre que vous ne doit voir : la VM confidentielle. Vous y générez vous-même l'attestation, que vous vérifiez contre les clés publiques du fabricant du processeur. C'est une preuve, pas une promesse contractuelle.
Voyez la réponse d'un vrai modèle
Choisissez un document d'exemple (dossier médical, NDA ou rapport financier, tous fictifs) : un modèle exécuté dans une enclave Intel TDX, chez notre fournisseur d'inférence, l'analyse et vous renvoie sa réponse. La requête passe par notre API.
Essayer la démo gratuitement, sans compte, sans carte bancaireVos fichiers passent par notre API : elle relaie la requête en TLS et la voit en clair en mémoire le temps du relais.
Cinq questions qui reviennent
Notre cabinet n'utilise l'IA qu'en interne, sans données clients. Sommes-nous concernés ?
Si vous pouvez prouver que les outils utilisés ne reçoivent jamais d'élément issu d'un dossier client, ni FEC, ni libellé fournisseur, ni nom, ni montant identifiable, l'exposition est faible. Le sujet devient celui d'une charte interne, d'un contrôle d'accès aux outils et d'une formation des collaborateurs. La difficulté pratique : la frontière est facile à franchir sans s'en rendre compte (un nom de client glissé dans un prompt « pour le contexte »). C'est pourquoi une infrastructure unique, utilisable y compris quand un collaborateur travaille sur un dossier réel, est plus simple à tenir qu'une règle d'usage.
Quelles sont les sanctions concrètes déjà prononcées ?
Côté autorité de protection des données, le précédent connu et public est la sanction de 15 millions d'euros prononcée le 20 décembre 2024 par le régulateur italien contre OpenAI (Garante per la protezione dei dati personali, provvedimento n° 10085455). Côté disciplinaire en France, la jurisprudence des Chambres régionales sur l'IA est encore en construction, mais le secret professionnel est sanctionné de longue date pour des transmissions à des tiers, l'IA grand public est juridiquement un tiers. L'absence de précédent public ne signifie pas l'absence de risque : elle signifie que les premiers cabinets sanctionnés serviront de référence.
Pourquoi un DPA OpenAI Enterprise ou Anthropic Enterprise n'est-il pas suffisant ?
Un DPA est un engagement contractuel. Il vous protège si le fournisseur viole le contrat. Il ne vous protège pas si l'architecture technique du fournisseur lui laisse, par construction, un accès aux contenus traités, pour ses équipes de sécurité, ses outils anti-abus, ses obligations légales américaines, ou simplement ses opérations. Le RGPD demande des mesures techniques adaptées au risque (article 32), pas seulement une signature. C'est la combinaison contrat + architecture qui tient.
Nous sommes 5 collaborateurs. Le sujet est-il vraiment dimensionné pour nous ?
Le risque est inversement proportionnel à la taille. Un cabinet de 5 personnes a moins de marge de tolérance face à une sanction CNIL ou à la perte d'un client important suite à un incident. Un grand cabinet a des juristes internes, une assurance plus large, une capacité d'absorption. Un petit cabinet a son associé gérant en première ligne.
Comment justifier l'usage d'une IA auprès du contrôle qualité de l'Ordre ?
Trois éléments tiennent face à un contrôleur : (1) un registre interne des outils d'IA utilisés, par qui et pour quels types de tâches ; (2) le contrat de sous-traitance article 28 signé avec le fournisseur, avec liste des sous-traitants ultérieurs ; (3) une preuve technique que le fournisseur n'a pas accès aux contenus traités. Les deux premiers éléments sont du droit, le troisième est de l'architecture. Sur l'API d'inférence, nous ne fournissons pas cette preuve : notre relais voit la requête en clair en mémoire le temps de la transmettre. Pour des données que personne d'autre que vous ne doit voir, la VM confidentielle : vous y générez vous-même l'attestation, versable au dossier de contrôle.
- Code de déontologie de la profession comptable, secret professionnel de l'expert-comptable
- CNIL, rubrique « Intelligence artificielle » de cnil.fr
- Garante per la protezione dei dati personali, provvedimento du 20 décembre 2024 (n° 10085455), OpenAI, 15 M€
- Règlement (UE) 2016/679 (RGPD), articles 28 et 32