Pourquoi le choix d'architecture d'une IA est avant tout un choix juridique
La décision de déployer une IA générative au cabinet est souvent présentée comme un choix technologique. Elle est d'abord un choix juridique. Selon l'architecture retenue — cloud mutualisé, cloud privé ou on-premise —, le cabinet se place dans des situations de conformité radicalement différentes au regard du Règlement (UE) 2016/679 (RGPD) et des règles déontologiques de la profession.
Un cabinet d'avocats traite quotidiennement des données parmi les plus sensibles : éléments de santé, patrimoine, procédures pénales, conflits familiaux. Le secret professionnel ne dispense pas du RGPD — les deux régimes se cumulent. L'avocat est responsable de traitement, jamais simple utilisateur passif des outils qu'il déploie.
Le secret professionnel (loi du 31 déc. 1971, art. 66-5 ; RIN, art. 2) et le RGPD se cumulent. Saisir des éléments de dossier dans une IA non encadrée peut caractériser une violation du secret professionnel et un manquement RGPD simultanément, selon le guide déontologique CNB (mars 2026).
Cloud mutualisé, cloud privé, on-premise : trois niveaux de risque distincts
Toutes les IA ne traitent pas les données de la même façon. Il existe trois grandes architectures, chacune avec un profil de risque propre.
| Hébergement des données | Serveurs du fournisseur, souvent hors UE | Serveurs du fournisseur, région EU possible | Serveur du cabinet — aucune donnée ne sort |
| Transfert hors UE | Oui, par défaut | Conditionnel (selon la région configurée) | Non — risque nul par conception |
| DPA obligatoire | Oui (CGU insuffisantes) | Oui (à négocier) | Non applicable (pas de sous-traitant externe) |
| Entraînement du modèle sur vos données | Possible si option non désactivée | Non, en principe | Non — le modèle est isolé |
| Conformité RGPD par défaut | Non | Partielle | Oui |
| Coût d'entrée | Faible | Moyen à élevé | Maîtrisé (licence fixe) |
Le cloud mutualisé grand public cumule les fragilités : absence de base légale solide pour le traitement, risque d'entraînement du modèle sur les données soumises si l'option n'est pas explicitement désactivée, et transfert hors UE quasi systématique. Le cloud privé réduit ces risques mais ne les supprime pas : il exige une configuration experte et un DPA solide. L'architecture on-premise les neutralise à la source.
Article 28 RGPD : le DPA avec votre éditeur d'IA n'est pas optionnel
Dès qu'un éditeur d'IA traite des données de dossier pour le compte du cabinet, il devient sous-traitant au sens du RGPD. Cette qualification déclenche une obligation formelle : conclure un contrat de sous-traitance (DPA — Data Processing Agreement).
Selon la FAQ RGPD du CNB, l'article 28, alinéa 3, du RGPD impose un contrat précisant les modalités de traitement, les mesures de sécurité et les processus d'audit. Les clauses de limitation de responsabilité figurant dans les CGU standard des fournisseurs d'IA ne protègent pas l'avocat vis-à-vis de ses clients ni de la CNIL. En l'absence de DPA, le cabinet s'expose à un manquement RGPD caractérisé.
L'article 28, al. 1, du RGPD impose au responsable de traitement de ne recourir qu'à des sous-traitants « qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées ». Accepter les CGU d'un éditeur d'IA sans DPA ne satisfait pas cette exigence.
En pratique, vérifiez trois points avant de signer avec un fournisseur d'IA : (1) existence d'un DPA disponible et négociable, (2) localisation précise des serveurs de traitement et d'entraînement, (3) engagement contractuel de non-réutilisation des données à des fins d'amélioration du modèle.
Transferts de données hors UE : un risque concret que les CGU ne couvrent pas
Soumettre un contrat client à une IA dont les serveurs sont situés aux États-Unis constitue un transfert de données hors UE au sens du RGPD. Ce transfert est légal uniquement sous conditions strictes.
Le cadre transatlantique EU-US Data Privacy Framework (DPF), adopté le 10 juillet 2023, remplace le Privacy Shield invalidé par l'arrêt Schrems II de la CJUE (C-311/18). Il ne couvre que les entreprises américaines auto-certifiées auprès du Department of Commerce. Si votre éditeur d'IA n'est pas inscrit sur cette liste, la décision d'adéquation ne s'applique pas et des clauses contractuelles types (CCT) accompagnées d'une analyse d'impact des transferts (TIA) sont requises.
La pérennité du DPF reste incertaine sur le plan politique. Un cabinet qui fonde sa conformité uniquement sur ce cadre prend un risque de fragilisation en cas d'invalidation future — scénario que le précédent Schrems II a rendu crédible. Une IA on-premise supprime structurellement ce risque : aucune donnée ne quitte le périmètre du cabinet.
En 2025, la CNIL a prononcé plus d'un milliard d'euros d'amendes cumulées, dont 530 millions d'euros contre TikTok pour transferts de données vers la Chine sans garanties suffisantes. Les transferts illicites hors UE constituent le terrain de sanction le plus actif en 2025-2026.
Guide CNB mars 2026 : ce que la déontologie impose concrètement
La commission des règles et usages du Conseil National des Barreaux a publié en mars 2026 le guide La déontologie et l'intelligence artificielle. Il ne se limite pas à des recommandations générales : il décline des obligations déontologiques précises.
Quatre piliers structurent le cadre déontologique applicable à l'usage de l'IA au cabinet, selon le guide CNB (mars 2026) : protection des données (respect du RGPD, sécurité, minimisation) ; compétence (maîtrise suffisante des outils et de leurs limites) ; diligence et prudence (vérification systématique des résultats produits par l'IA) ; conscience et indépendance (conservation du libre arbitre et de l'esprit critique face aux suggestions de l'IA).
Sur la question des données soumises à l'IA, le CNB est explicite : il est interdit de communiquer dans une requête le nom du client ou des informations stratégiques et confidentielles. Si une IA cloud est utilisée, la pseudonymisation des données est la règle minimale. L'utilisation d'une IA locale rend cette contrainte opérationnelle sans effort supplémentaire, puisque les données ne quittent jamais le cabinet.
Le guide CNB mars 2026 rappelle que l'IA ne dispense jamais l'avocat de ses devoirs : secret, RGPD, compétence, diligence, prudence, indépendance et absence de conflit d'intérêts. « L'avocat augmenté par les outils d'IA reste le seul interlocuteur de confiance », selon le CNB.
AI Act : l'obligation de maîtrise de l'IA est déjà en vigueur
Le Règlement (UE) 2024/1689 (AI Act) s'applique de façon progressive. L'obligation de maîtrise de l'IA pour le personnel est en vigueur depuis le 2 février 2025. Les obligations de transparence opposables sont actives depuis le 2 août 2026. Les systèmes à haut risque de l'annexe III font l'objet d'un report au 2 décembre 2027 après le vote du Digital Omnibus par le Parlement européen le 16 juin 2026.
Pour les cabinets, la plupart des usages d'IA — synthèse, rédaction assistée, analyse contractuelle — relèvent du risque limité ou minimal selon l'AI Act, ce qui impose essentiellement des obligations de transparence envers les utilisateurs. Mais cette classification ne dispense pas de la conformité RGPD et déontologique, qui s'applique en parallèle et de façon cumulative.
Un point pratique souvent négligé : un cabinet qui utilise une IA tierce est qualifié de déployeur au sens de l'AI Act, avec des obligations propres de vérification du fournisseur, de documentation des usages et d'organisation de la supervision humaine. L'inventaire des outils d'IA utilisés au cabinet — y compris ceux adoptés de façon informelle par les collaborateurs (shadow AI) — est le point de départ de toute démarche de conformité.
Checklist : 6 critères pour choisir une IA juridique conforme
Face à la multiplicité des offres, voici les six critères non négociables à vérifier avant tout déploiement d'IA au cabinet.
- Localisation des serveurs — les données de dossier doivent être traitées sur des serveurs situés en UE, ou mieux, sur le serveur du cabinet (on-premise). Exigez une mention contractuelle précise, pas une formulation générale.
- Existence d'un DPA conforme à l'article 28 RGPD — le contrat de sous-traitance doit préciser les mesures de sécurité, les modalités de traitement et les droits d'audit. Les CGU standard ne suffisent pas.
- Non-réutilisation des données pour l'entraînement — vérifiez que l'éditeur s'engage contractuellement à ne pas utiliser vos données pour améliorer ou entraîner son modèle.
- Certification ou certification DPF si fournisseur américain — vérifiez l'inscription active sur dataprivacyframework.gov ; si absent, des CCT et une TIA sont requises.
- Transparence sur les hallucinations et la vérification humaine — l'outil doit permettre la traçabilité des sources et faciliter la vérification par l'avocat. La diligence déontologique ne se délègue pas à la machine.
- Spécialisation juridique du modèle — un modèle généraliste non spécialisé génère davantage d'erreurs sur les concepts juridiques français. Privilégiez les solutions entraînées ou ajustées sur corpus juridique.
Une IA 100 % locale comme JurIAdoc répond structurellement aux critères 1, 2 et 3 : aucune donnée ne quitte le serveur du cabinet, il n'y a pas de sous-traitant externe, et l'entraînement du modèle sur les données clients est impossible par conception.
Questions fréquentes
Un avocat peut-il utiliser ChatGPT avec des données clients ?
Qu'est-ce qu'un DPA et pourquoi est-il obligatoire pour une IA juridique ?
Le Data Privacy Framework protège-t-il mon cabinet si j'utilise une IA américaine ?
Quelles obligations impose l'AI Act aux cabinets d'avocats en 2026 ?
Une IA locale est-elle vraiment plus sûre qu'une IA cloud pour un cabinet ?
Comment vérifier si mon éditeur d'IA est conforme au RGPD ?
Architecture IA : trancher tôt pour ne pas subir
Le choix d'architecture d'une IA juridique n'est pas un détail technique à régler après adoption. C'est une décision qui engage la conformité RGPD du cabinet, sa responsabilité déontologique et la protection concrète des données de ses clients. En 2026, le cadre réglementaire — RGPD, AI Act, guide CNB — est suffisamment précis pour qu'une absence de choix délibéré soit elle-même une faute.
Les cabinets qui optent pour une IA 100 % locale sécurisent structurellement les points les plus exposés : transferts hors UE, entraînement sur données clients, absence de DPA. Ceux qui retiennent une solution cloud doivent investir dans la vérification du fournisseur, la négociation du DPA et la mise en place de protocoles de pseudonymisation. Dans les deux cas, la supervision humaine des résultats reste une obligation déontologique non délégable — c'est l'avocat, pas la machine, qui signe.