Mes associés peuvent-ils utiliser ChatGPT sur des contrats clients sans violer le secret professionnel ?
Trois scénarios typiques en cabinet. Un collaborateur de troisième année qui colle dans ChatGPT le texte d'un NDA pour le reformuler avant signature. Un secrétaire général qui demande à Claude un résumé de convention de cession à présenter au comité d'associés. Un associé qui interroge Perplexity sur un arbitrage stratégique tiré d'une correspondance couverte par le secret. La question pour vous, associé gérant : est-ce que cela engage le cabinet, et jusqu'où ?
Le risque réel se joue sur trois niveaux
Saisine du Conseil de discipline
Article 2.1 du Règlement intérieur national, qui renvoie à l'article 66-5 de la loi du 31 décembre 1971. Sanctions possibles : avertissement, blâme, interdiction temporaire, radiation.
Sanction CNIL
Jusqu'à 4 % du chiffre d'affaires annuel. Le Garante italien a sanctionné OpenAI à hauteur de 15 millions d'euros le 20 décembre 2024 (provvedimento n° 10085455).
Action du client
Responsabilité contractuelle et délictuelle si le préjudice est démontré. La couverture d'assurance professionnelle peut être contestée si la faute est qualifiée de manquement délibéré.
Le secret professionnel n'est pas une obligation parmi d'autres. Le RIN le qualifie en termes que peu d'autres règles déontologiques connaissent :
« Le secret professionnel de l'avocat est d'ordre public. Il est général, absolu et illimité dans le temps. », Règlement intérieur national de la profession d'avocat, article 2.1
Le caractère d'ordre public signifie qu'il ne peut pas être levé par accord entre les parties. Le caractère absolu signifie qu'il ne souffre pas d'exception au cas par cas. Le caractère illimité dans le temps signifie qu'une fuite aujourd'hui peut être qualifiée comme un manquement dans cinq ans.
Ce que dit le Conseil national des barreaux
Le Règlement intérieur national, adopté par le CNB, fait du secret professionnel une règle d'ordre public (article 2.1) et interdit à l'avocat toute divulgation qui y contrevient. Confier un dossier à un système d'IA ne transfère pas cette obligation au fournisseur : l'avocat reste responsable des données qu'il lui soumet, quel que soit le contrat signé.
En pratique, trois points sont à vérifier avant tout usage professionnel : où sont hébergées les données traitées, qui peut techniquement y accéder, et si les requêtes sont réutilisées pour entraîner le modèle. Sur ces trois points, les versions standard des outils grand public (ChatGPT, Claude, Perplexity) ne donnent pas de garantie suffisante au regard du secret professionnel.
Ce que demande le RGPD
L'usage d'un outil d'IA sur des données personnelles relève du RGPD : le responsable du traitement (le cabinet) doit pouvoir justifier d'une base légale (article 6), d'une analyse d'impact lorsque le traitement est susceptible d'engendrer un risque élevé (article 35), et d'un contrat de sous-traitance conforme à l'article 28.
Le RGPD demande aussi des mesures techniques adaptées au risque (article 32) : le contrat ne les remplace pas.
Ce qui est interdit, ce qui est permis
- Coller un contrat client dans ChatGPT, Claude ou Perplexity grand public
- Demander un résumé de correspondances couvertes par le secret
- Faire reformuler une clause issue d'un dossier en cours
- Soumettre des conclusions adverses pour analyse stratégique
- Identifier nommément un client ou une opération réelle dans une requête
- Recherche jurisprudentielle sans référence aux faits du dossier
- Travail sur des données fictives ou totalement anonymisées
- Rédaction de contenu marketing, de billets de blog, de notes de doctrine
- Assistance à la rédaction de documents internes (RH, organisation)
- Synthèse de textes officiels accessibles publiquement
La réponse de VoltageGPU pour les cabinets
Pour répondre à la fois à l'exigence ordinale et à l'exigence RGPD, il faut une infrastructure d'IA qui combine quatre garanties. Aucune des quatre n'est suffisante seule. Les quatre ensemble transforment l'usage de l'IA en mesure organisationnelle et technique appropriée au sens de l'article 32 du RGPD.
- 1Société française, base client dans l'UESociété française (VOLTAGE EI, SIREN 943 808 824), responsable de traitement français, base client hébergée dans l’UE. Le calcul est opéré par des sous-traitants américains dans des enclaves Intel TDX, où la mémoire du traitement est chiffrée par le processeur : le transfert est documenté.
- 2Contrat conforme à l'article 28 du RGPDDPA, registre des sous-traitants, engagements de confidentialité, droits d'audit. Disponible sur demande avant tout démarrage.
- 3Garantie technique d'isolation au niveau du processeurLes modèles tournent dans des enclaves Intel TDX chez notre fournisseur d'inférence : la mémoire du traitement est chiffrée par le processeur. Notre API relaie la requête en TLS ; elle la voit en clair en mémoire le temps du relais.
- 4Rapport d'attestation cryptographique vérifiablePour des données que personne d'autre que vous ne doit voir : la VM confidentielle. Vous y générez vous-même l'attestation, que vous vérifiez contre les clés publiques du fabricant du processeur. C'est une preuve, pas une promesse contractuelle.
Voyez ce que ça donne sur un vrai document
Choisissez un document d'exemple fictif, un accord de confidentialité par exemple : un modèle exécuté dans une enclave Intel TDX, chez notre fournisseur d'inférence, l'analyse, et la page affiche la vraie réponse du modèle, avec ce que la démo prouve et ce qu'elle ne prouve pas.
Tester sur un contrat d'exemple, gratuitement, sans compte ni carte bancaireVotre document passe par notre API : elle relaie la requête en TLS et la voit en clair en mémoire le temps du relais.
Cinq questions qui reviennent
Mes associés peuvent-ils utiliser ChatGPT en interne sans toucher aux dossiers clients ?
Oui, tant que les requêtes ne contiennent aucune information couverte par le secret professionnel : ni nom de client, ni clause issue d'un contrat réel, ni stratégie contentieuse, ni correspondance. Pour les notes de jurisprudence générales ou la rédaction de contenu marketing, l'usage est admis. Dès qu'un dossier client entre en jeu, l'outil grand public n'est plus l'environnement adéquat.
Quelles sanctions risque concrètement un cabinet qui aurait soumis des contrats clients à ChatGPT ?
Trois niveaux de risque cumulatifs. Disciplinaire : avertissement, blâme, interdiction temporaire d'exercer, voire radiation prononcée par le Conseil de discipline. RGPD : sanction de la CNIL pouvant atteindre 4 % du chiffre d'affaires annuel, comme l'a montré la décision du Garante italien à l'encontre d'OpenAI (provvedimento du 20 décembre 2024, sanction de 15 millions d'euros). Civile : action en responsabilité du client si une fuite est constatée et que le préjudice est démontré.
Le DPA d'OpenAI Enterprise ne suffit-il pas à couvrir le secret professionnel ?
Le DPA est un contrat. Il engage OpenAI à ne pas réutiliser les données pour entraîner ses modèles. Il ne supprime pas l'accès technique des équipes du fournisseur aux contenus traités. Or l'article 2.1 du Règlement intérieur national de la profession d'avocat interdit toute divulgation contrevenant au secret professionnel, et un contrat avec le tiers ne lève pas ce secret, qui est d'ordre public. Un DPA couvre le RGPD ; il ne couvre pas l'obligation déontologique propre à la profession.
Notre cabinet compte 5 avocats. Est-ce que cette obligation s'applique aussi à nous ?
Oui. Le secret professionnel ne dépend ni de la taille du cabinet, ni du chiffre d'affaires. La loi du 31 décembre 1971 et le RIN s'appliquent à tout avocat inscrit à un barreau français, qu'il exerce seul, en collaboration ou en structure de cinquante associés. Le risque pratique est même supérieur dans les petites structures : moins de procédures internes, moins de DPO, moins de revue documentaire des outils utilisés par les collaborateurs.
Comment justifier auprès du bâtonnier que nous utilisons une IA sur des dossiers clients ?
Trois éléments à présenter : (1) un registre interne des outils d'IA utilisés, par qui et pour quels types de tâches ; (2) un sous-traitant dont les transferts hors UE sont documentés, avec contrat conforme à l'article 28 du RGPD ; (3) une preuve technique que le fournisseur n'a pas accès aux contenus traités. Les deux premiers éléments sont du droit, le troisième est de l'architecture. Sur l'API d'inférence, nous ne fournissons pas cette preuve : notre relais voit la requête en clair en mémoire le temps de la transmettre. Pour des données que personne d'autre que vous ne doit voir, la VM confidentielle : vous y générez vous-même l'attestation.
- Loi n° 71-1130 du 31 décembre 1971, article 66-5, secret professionnel de l'avocat
- Règlement intérieur national de la profession d'avocat, article 2.1
- Garante per la protezione dei dati personali, provvedimento du 20 décembre 2024 (n° 10085455), OpenAI, 15 M€
- Règlement (UE) 2016/679 (RGPD), articles 6, 28, 32 et 35