Quand l'IA se trompe dans un dossier, qui est responsable ?
La réponse est sans ambiguïté : l'avocat. Aucune disposition du droit français ne transfère la responsabilité professionnelle sur l'éditeur d'un logiciel d'IA. L'outil est un auxiliaire — la signature, elle, reste celle du professionnel.
Cette réalité n'est pas théorique. Le guide déontologie et IA du CNB (avril 2026) rappelle que plusieurs décisions de juridictions françaises ont déjà mis en cause la responsabilité d'avocats ayant produit des actes ou des conclusions contenant des références inventées par une IA générative, sans vérification préalable. Le Tribunal judiciaire de Périgueux, dans une décision du 18 décembre 2025, a ainsi épinglé cette pratique.
La chaîne de responsabilité est claire : l'avocat choisit l'outil, l'avocat valide le résultat, l'avocat signe l'acte. Chaque maillon engage sa responsabilité civile et disciplinaire.
Tribunal judiciaire de Périgueux, 18 décembre 2025 (n° 23/00452) : une juridiction française a mis en cause la responsabilité d'un avocat pour production de références jurisprudentielles inexistantes générées par IA, sans vérification. Premier signal fort d'une jurisprudence naissante.
Ce que le guide CNB 2026 impose concrètement
Adopté lors de l'assemblée générale des 12 et 13 mars 2026, le guide déontologie et IA du CNB constitue le premier cadre déontologique structuré pour les avocats français utilisant l'IA générative. Il ne s'agit pas de recommandations facultatives : les principes qu'il énonce s'inscrivent dans les obligations déontologiques existantes.
Cinq exigences structurent ce guide. La compétence : l'avocat doit comprendre le fonctionnement de l'outil qu'il utilise — notamment ses limites en matière d'hallucinations. La prudence : toute sortie d'IA doit être vérifiée avant d'être intégrée dans un acte. L'indépendance : l'IA ne doit pas orienter le conseil juridique — c'est l'avocat qui pense, pas le modèle. L'information du client : le client doit être informé lorsqu'une IA intervient dans son dossier. La protection des données : le choix de l'outil doit garantir la souveraineté des données client.
Sur ce dernier point, le guide hiérarchise explicitement les critères : lieu d'hébergement des données (France en priorité, Union européenne en second), nationalité de la société hébergeant les serveurs, et impossibilité pour les salariés du fournisseur d'accéder aux prompts soumis par l'avocat.
Depuis l'adoption du guide en mars 2026, le CNB a introduit une clause optionnelle dans les conventions d'honoraires types permettant à l'avocat d'informer son client de l'usage ponctuel et encadré d'outils d'IA dans le traitement du dossier. Omettre cette information alors que l'IA a été utilisée expose à un grief disciplinaire.
RGPD et IA juridique : les obligations que le cabinet ne peut pas ignorer
Le RGPD s'applique pleinement à l'utilisation de l'IA dans un cabinet. Dès lors qu'un traitement de données personnelles de clients est confié à un outil d'IA présentant un risque élevé, l'article 35 du RGPD impose la réalisation préalable d'une AIPD (analyse d'impact relative à la protection des données).
Cette obligation concerne notamment les traitements fondés sur une automatisation poussée et portant sur des données sensibles — ce qui caractérise précisément l'analyse de contrats ou la gestion de dossiers contentieux par IA. L'AIPD doit documenter la finalité du traitement, évaluer sa nécessité et sa proportionnalité, et prévoir les mesures techniques et organisationnelles pour atténuer les risques identifiés.
Concrètement, un cabinet qui déploie une IA cloud sans AIPD et sans contrat de sous-traitance conforme à l'article 28 du RGPD expose ses associés à une responsabilité directe devant la CNIL. La plateforme en ligne de la CNIL propose un outil PIA pour réaliser cette analyse.
Le transfert hors UE : un risque persistant avec les IA cloud américaines
La majorité des IA génératives grand public (OpenAI, Google, Microsoft) transfèrent des données vers des serveurs américains. Depuis l'arrêt Schrems II de la CJUE (juillet 2020), et malgré l'adoption du Data Privacy Framework en 2023, ce transfert reste exposé à une fragilité juridique structurelle : une décision d'adéquation peut être invalidée à tout moment, comme les deux précédentes l'ont été. Soumettre un contrat client à un tel outil, c'est prendre un risque documenté et difficilement défendable devant un bâtonnier ou un tribunal.
AI Act : les systèmes d'IA en justice sont classés à haut risque
L'Annexe III du règlement (UE) 2024/1689 sur l'intelligence artificielle (AI Act) liste huit catégories de systèmes d'IA présumés à haut risque. La catégorie 8 — justice et processus démocratiques — y figure explicitement. Elle englobe les systèmes utilisés pour assister les autorités judiciaires dans la recherche et l'interprétation des faits ou du droit.
Pour les cabinets d'avocats, la qualification de haut risque emporte des obligations substantielles : documentation technique, gestion des risques, journalisation des usages, surveillance humaine effective, et enregistrement dans la base de données européenne. Grâce au règlement Omnibus (UE) 2026/1744, ces obligations pour les systèmes de l'Annexe III sont repoussées au 2 décembre 2027 — ce qui laisse un délai, mais pas une exemption.
Suite au règlement (UE) 2026/1744 (Omnibus IA), en vigueur depuis le 27 juillet 2026, les obligations pour les systèmes à haut risque de l'Annexe III (dont la justice) s'appliquent au 2 décembre 2027. Le délai est court pour un cabinet qui doit auditer, documenter et potentiellement changer d'outil.
La question pratique pour un cabinet est donc : l'IA que j'utilise pour analyser des contrats ou préparer des conclusions est-elle susceptible d'influencer une décision significative sur une personne ? Si oui, la qualification haut risque s'applique, et la conformité doit être anticipée maintenant, pas en novembre 2027.
IA locale ou IA cloud : le choix qui engage la responsabilité
Le choix de l'architecture technique n'est pas qu'une décision informatique. C'est un choix déontologique et juridique. Le tableau ci-dessous synthétise les enjeux de responsabilité selon les deux architectures principales.
| Hébergement des données | Serveurs tiers hors cabinet (souvent hors UE) | Serveur interne au cabinet, données non externalisées |
| Risque de fuite client | Élevé : prompts peuvent alimenter le modèle | Nul : aucune donnée ne sort du cabinet |
| Conformité RGPD art. 28 | Contrat DPA requis, souvent insuffisant pour données sensibles | Pas de sous-traitant IA externe — risque supprimé |
| AIPD obligatoire | Oui, systématiquement | Oui si traitement à risque élevé, périmètre réduit |
| Transfert hors UE (Schrems II) | Risque résiduel avec fournisseurs US | Aucun transfert hors cabinet |
| Conformité AI Act (Annexe III) | Documentation à produire côté cabinet ET fournisseur | Maîtrise totale par le cabinet, audit simplifié |
| Information client (guide CNB) | Obligatoire + mention du fournisseur tiers | Obligatoire, périmètre restreint au cabinet |
La compétence IA est déjà une obligation déontologique
Utiliser un outil que l'on ne comprend pas expose l'avocat à un manquement au devoir de compétence — l'un des piliers du serment. Le CNB a lancé en 2025 un parcours de formation en ligne gratuit, en partenariat avec Lefebvre Dalloz, sur la plateforme Skilia, qui avait déjà rassemblé 10 000 inscrits en deux mois.
Connaître les limites d'un outil — sa tendance aux hallucinations, son absence de mise à jour temps réel, ses biais de corpus — fait partie de la diligence attendue. Un avocat qui produit des conclusions sans avoir vérifié chaque référence citée par l'IA ne peut pas invoquer le dysfonctionnement du logiciel pour s'exonérer.
Cette exigence de compétence s'étend aussi au choix de l'outil. La grille d'analyse publiée par le CNB en juin 2025 propose des critères structurés : souveraineté et sécurité des données, fonctionnalités, conformité éthique, coût. Choisir un outil sans appliquer cette grille, c'est s'exposer à un reproche disciplinaire en cas d'incident.
Checklist pratique : déployer l'IA sans engager sa responsabilité
Les obligations qui s'imposent aux cabinets en 2026 peuvent se résumer en six vérifications à mener avant tout déploiement d'un outil d'IA juridique.
- Cartographier les traitements IA : identifier chaque usage (analyse contractuelle, recherche jurisprudentielle, rédaction d'actes) et les données personnelles impliquées.
- Réaliser l'AIPD si le traitement présente un risque élevé au sens de l'article 35 du RGPD. L'outil PIA de la CNIL est accessible gratuitement.
- Vérifier le contrat fournisseur : présence d'un DPA conforme à l'article 28 RGPD, garanties sur le lieu d'hébergement, clause de non-utilisation des données pour entraîner le modèle.
- Informer les clients : insérer la clause optionnelle CNB dans la convention d'honoraires si l'IA est utilisée dans le dossier.
- Instaurer la vérification humaine systématique : aucune production IA ne sort du cabinet sans relecture et validation par un avocat responsable.
- Anticiper l'AI Act : si l'outil relève de l'Annexe III (systèmes d'aide à la décision en matière de justice), entamer dès maintenant la documentation technique requise pour le 2 décembre 2027.
Questions fréquentes
Un avocat peut-il être sanctionné disciplinairement pour avoir utilisé une IA sans vérification ?
L'avocat doit-il toujours informer son client qu'il utilise l'IA dans son dossier ?
Comment savoir si l'IA que j'utilise est classée à haut risque par l'AI Act ?
Quelle est la différence entre une AIPD RGPD et une analyse d'impact AI Act ?
Un logiciel d'IA hébergé en France protège-t-il contre le risque Schrems II ?
L'IA locale est-elle exonérée de toutes les obligations RGPD ?
Conclusion : la responsabilité ne se délègue pas à l'algorithme
L'IA générative modifie profondément la pratique du droit, mais elle ne modifie pas la chaîne de responsabilité. L'avocat qui signe répond. Le guide déontologie du CNB (avril 2026), l'article 35 du RGPD et l'AI Act forment un corpus déjà actif qui encadre chaque décision : choix de l'outil, traitement des données, information du client, vérification humaine.
Le cabinet qui anticipe ces obligations — en choisissant des outils transparents, conformes et maîtrisés — transforme une contrainte réglementaire en avantage concurrentiel. Celui qui les ignore prend un risque disciplinaire, civil et réputationnel qui croîtra avec la diffusion de l'IA dans la profession. JurIAdoc a été conçu pour répondre à ces exigences : traitement 100 % local, aucune donnée hors du cabinet, conformité RGPD by design.