Votre cabinet utilise l'IA : vous êtes déjà un déployeur au sens de l'AI Act
La qualification est automatique. Le Règlement (UE) 2024/1689, dit AI Act, est entré en vigueur le 1er août 2024. Dès lors qu'un cabinet utilise un système d'IA dans son activité professionnelle — analyse de contrats, recherche jurisprudentielle, rédaction assistée —, il est juridiquement qualifié de déployeur et supporte des obligations propres, distinctes de celles du fournisseur de l'outil.
Cette qualification n'est pas théorique. En 2026, l'intelligence artificielle générative est déjà installée dans la pratique quotidienne des cabinets. Le vrai sujet n'est plus l'adoption, mais la maîtrise des risques réglementaires qui en découlent.
67 % des cabinets de moins de 5 avocats déclarent manquer de compétences techniques pour évaluer la fiabilité des outils d'IA qu'ils utilisent — source : enquêtes CNB / ViaVoice 2025. Une lacune qui crée une exposition déontologique et réglementaire directe.
Calendrier AI Act : quelles échéances concrètes pour les cabinets en 2026 ?
L'AI Act s'applique de manière progressive. Tous les délais ne courent pas simultanément, mais plusieurs étapes critiques concernent déjà les professionnels du droit en 2026.
Depuis février 2025, les pratiques d'IA à risque inacceptable sont interdites — manipulation comportementale, notation sociale, reconnaissance faciale en temps réel dans l'espace public. Depuis août 2025, les modèles d'IA à usage général (GPAI) comme GPT-4o ou Claude sont soumis à des obligations de transparence. À partir du 2 août 2026, les obligations complètes pour les systèmes à haut risque entrent en vigueur — dont certains usages juridiques impliquant des décisions ou recommandations judiciaires automatisées.
2 août 2026 : date d'application des obligations complètes pour les systèmes IA à haut risque. Les cabinets utilisant des outils d'aide à la décision judiciaire ou d'évaluation de dossiers doivent avoir cartographié leurs usages avant cette échéance — source : Règlement (UE) 2024/1689.
Un point de calendrier important : un accord politique provisoire du Conseil et du Parlement européen du 7 mai 2026 (Digital Omnibus) a réajusté certains délais pour les systèmes à haut risque de l'annexe III, en repoussant leur applicabilité au 2 décembre 2027. La vigilance sur les mises à jour réglementaires reste donc essentielle pour les cabinets.
Quelles obligations pratiques pèsent sur un cabinet déployeur d'IA ?
En tant que déployeur, un cabinet d'avocats doit respecter plusieurs obligations concrètes définies par le Règlement (UE) 2024/1689. Ces obligations ne se limitent pas à la conformité technique : elles concernent directement la gouvernance interne, la formation des équipes et la documentation des usages.
Les obligations déployeur à mettre en place dès maintenant
1. Cartographier les usages IA du cabinet. Identifier chaque outil utilisé, sa catégorie de risque et les données qu'il traite. Les usages non cartographiés — ce que l'on appelle la shadow AI — constituent l'exposition la plus sous-estimée des cabinets.
2. Garantir une supervision humaine effective. L'AI Act impose que les décisions appuyées sur un système IA à haut risque ne soient pas automatisées sans validation par une personne compétente. Pour un avocat, cela signifie que tout document produit ou analysé par l'IA doit faire l'objet d'une vérification juridique rigoureuse avant usage.
3. Former le personnel. L'article 4 du Règlement (UE) 2024/1689 impose aux fournisseurs et déployeurs de garantir un niveau suffisant de maîtrise de l'IA pour leur personnel. Dans un cabinet, cela implique une formation minimale aux limites des outils utilisés, notamment au phénomène d'hallucinations.
4. Documenter les traitements. En 2026, la documentation des usages et la gouvernance interne sont devenues déterminantes pour démontrer la conformité lors d'un contrôle.
Jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial pour manquement aux obligations applicables aux déployeurs de systèmes à haut risque — articles 99 à 101 du Règlement (UE) 2024/1689. Pour une structure plus modeste, le plafond le plus bas s'applique, mais le risque reste réel.
Le guide déontologie et IA du CNB (mars 2026) : trois impératifs pour les avocats
Les obligations réglementaires de l'AI Act se superposent aux règles déontologiques propres à la profession. En mars 2026, le Conseil National des Barreaux (CNB) a adopté un guide « Déontologie et IA » qui pose un cadre complémentaire, spécifiquement adapté aux avocats.
Le guide structure trois piliers non négociables. Premier pilier : le secret professionnel. Aucune donnée client identifiable ne peut transiter par un service IA dont les conditions de traitement ne garantissent pas la confidentialité absolue. L'obligation est absolue, indépendamment des pratiques du marché. Deuxième pilier : la responsabilité entière de l'avocat. L'IA est un outil, pas un co-auteur. Signer un acte ou une conclusion produits par un LLM sans vérification approfondie engage pleinement la responsabilité du signataire. Troisième pilier : la compétence numérique. Le CNB exige une maîtrise suffisante des outils utilisés et de leurs limites pour garantir la qualité du service rendu.
Par ailleurs, en décembre 2025, le CNB a adopté une nouvelle définition de la consultation juridique lors de son assemblée générale du 12 décembre 2025, pour tenir compte de l'émergence des outils d'IA générative. Le cadre réglementaire se construit vite, et les positions officielles évoluent.
IA cloud grand public vs IA locale : le comparatif au prisme de l'AI Act
Face aux exigences cumulées de l'AI Act et du RGPD, toutes les architectures d'IA ne sont pas équivalentes. Voici une comparaison structurée des deux grandes options disponibles pour un cabinet.
| Localisation des données | Serveurs hors UE (USA) — transferts soumis au Data Privacy Framework, révocable | Données sur le serveur du cabinet, aucun transfert externe |
| Qualification RGPD | Nécessite un DPA (article 28 RGPD) + analyse d'impact (AIPD) recommandée | Traitement interne — cabinet responsable de traitement, contrôle total |
| Obligation AI Act déployeur | Forte : documentation, supervision, audit fournisseur obligatoire | Allégée : gouvernance interne suffisante pour la plupart des usages |
| Secret professionnel | Risque élevé si données client soumises sans garanties contractuelles étanches | Risque nul : données jamais exposées à un tiers |
| Conformité CNB (guide mars 2026) | Conditionnel — dépend des clauses contractuelles avec le fournisseur | Conforme par architecture — aucune sortie de données du cabinet |
| Maîtrise en cas de contrôle | Dépendance au fournisseur pour justifier les mesures de sécurité | Documentation interne suffisante et immédiatement disponible |
Ce comparatif illustre un principe simple : l'architecture d'un outil détermine mécaniquement son niveau de conformité. Un cabinet qui choisit une IA locale réduit sa charge documentaire et son exposition aux risques croisés AI Act / RGPD — non par facilité, mais par cohérence avec ses obligations déontologiques.
Checklist pratique : les 5 actions à mener avant août 2026
L'échéance réglementaire est proche. Voici les cinq actions concrètes à mettre en œuvre pour qu'un cabinet puisse démontrer sa conformité en cas de contrôle.
- Cartographier tous les outils IA utilisés au cabinet — y compris les intégrations implicites dans les logiciels de gestion (Copilot dans Microsoft 365, suggestions automatiques dans les SaaS métier).
- Qualifier le niveau de risque de chaque système selon la classification de l'AI Act : risque minimal, limité, élevé. Un outil de résumé de jugement n'a pas le même niveau d'exposition qu'un outil d'aide à l'évaluation d'un dossier contentieux.
- Vérifier l'existence d'un DPA (accord de sous-traitance, article 28 RGPD) avec chaque fournisseur d'IA cloud. Sans ce document, le traitement de données clients est illicite.
- Formaliser une politique d'usage interne de l'IA : quels outils sont autorisés, pour quels types de dossiers, avec quelle procédure de vérification humaine obligatoire.
- Former l'équipe aux limites des outils utilisés, notamment au risque d'hallucinations et à l'interdiction de soumettre des données clients identifiables à un service cloud non qualifié.
Questions fréquentes
Un cabinet d'avocats est-il vraiment concerné par l'AI Act ?
Quelles sont les sanctions encourues par un cabinet non conforme à l'AI Act ?
Quelle est la différence entre les obligations AI Act et les obligations RGPD pour un cabinet ?
Le guide déontologie IA du CNB est-il contraignant pour les avocats ?
Comment savoir si un outil IA utilisé au cabinet entre dans la catégorie « haut risque » de l'AI Act ?
Une IA locale est-elle automatiquement conforme à l'AI Act ?
Conclusion : la conformité AI Act est un acte de gouvernance, pas un chantier technique
L'AI Act ne demande pas aux cabinets d'avocats de devenir des spécialistes de l'intelligence artificielle. Il leur demande de traiter l'IA comme tout autre risque professionnel : identifier les outils utilisés, évaluer leur niveau de risque, encadrer leur usage et former les équipes. C'est un acte de gouvernance, accessible à tout cabinet quelle que soit sa taille.
Le guide CNB de mars 2026 va dans le même sens : la conformité réglementaire et la déontologie professionnelle convergent sur les mêmes exigences. Choisir une IA dont l'architecture garantit que les données clients ne quittent jamais le cabinet — comme le propose JurIAdoc — n'est pas un luxe. C'est la réponse la plus directe aux deux corpus de règles à la fois.