Comment les IA cloud utilisent-elles réellement vos données ?
La réponse courte : cela dépend du contrat signé — et dans la grande majorité des cas, ce contrat n'a pas été lu. Les offres grand public de ChatGPT, Gemini ou d'autres assistants généralistes incluent, dans leurs conditions d'utilisation par défaut, une clause autorisant la réutilisation des données soumises à des fins d'amélioration du modèle. L'avocat qui colle un contrat de cession de fonds de commerce dans la fenêtre de chat d'une telle interface offre potentiellement ces données à l'entraînement futur du modèle.
Cette mécanique n'est ni illégale ni cachée : elle est décrite dans les CGU. Mais elle est incompatible avec le secret professionnel de l'avocat, avec les obligations RGPD du cabinet en tant que responsable de traitement, et avec les exigences déontologiques posées par le Conseil National des Barreaux (CNB).
Accepter les CGU d'un outil IA ne vaut pas signature d'un DPA conforme à l'article 28 du RGPD. Ces deux documents sont distincts : les CGU régissent la relation commerciale, le DPA encadre le traitement des données personnelles. Sans DPA valide, le cabinet s'expose à une co-responsabilité en cas de violation de données.
Trois niveaux de risque coexistent selon l'architecture choisie. L'offre grand public présente les garanties les plus limitées : gouvernance des données peu robuste, clauses souvent insuffisantes pour des données sensibles. L'offre entreprise avec DPA offre un cadre contractuel renforcé et des garanties de non-réutilisation mieux définies. La solution on-premise (hébergement local) offre le niveau de contrôle maximal, car aucune donnée ne transite par un serveur tiers.
Article 28 du RGPD : les obligations concrètes du cabinet face à son fournisseur d'IA
Un cabinet d'avocats est responsable de traitement au sens du RGPD — jamais sous-traitant de son client. En revanche, il doit signer un DPA avec chacun de ses prestataires qui accède à des données personnelles : logiciel de gestion, hébergeur, secrétariat externalisé, et bien sûr outil d'IA. C'est une obligation sans exception posée par l'article 28 du Règlement (UE) 2016/679 (RGPD).
Le DPA doit couvrir plusieurs éléments précis : la nature et la finalité du traitement, les mesures de sécurité mises en place par le fournisseur, les conditions de sous-traitance ultérieure (le prestataire ne peut pas faire appel à un sous-sous-traitant sans autorisation écrite préalable du cabinet), et les modalités de retour ou de destruction des données à l'issue du contrat.
Les clauses non négociables à exiger de tout fournisseur d'IA
Le CNB recommande d'exiger au minimum les clauses suivantes : un engagement de confidentialité explicite du personnel du prestataire, l'interdiction formelle d'utiliser les données soumises pour entraîner ou améliorer les modèles sans accord écrit préalable, la localisation des serveurs de traitement dans l'Union européenne, et un délai maximum de notification en cas de violation de données (24 à 48 heures selon les pratiques du marché).
Le contrat avec le fournisseur d'IA doit garantir que vos données ne sont pas utilisées pour l'entraînement général de ses modèles sans votre accord explicite. En 2026, cette clause est absente de nombreux contrats standards — elle doit être négociée ou obtenue par addendum avant tout déploiement.
AI Act : depuis août 2026, la responsabilité des dirigeants est engagée
Le Règlement (UE) 2024/1689 (AI Act), entré en vigueur en août 2024, a déployé ses obligations majeures de façon progressive. Depuis le 2 août 2026, les dirigeants de cabinets d'avocats sont juridiquement responsables des usages d'intelligence artificielle déployés dans leur structure, avec des sanctions pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial.
L'AI Act distingue clairement les rôles dans la chaîne de déploiement : le fournisseur qui développe le système, le déployeur — c'est-à-dire le cabinet — qui l'utilise dans sa pratique. Ce rôle de déployeur emporte des obligations propres : vérifier que l'outil est conforme aux règles applicables à son niveau de risque, maintenir un contrôle humain explicite sur toute production destinée au client ou à une juridiction, et cadrer contractuellement la confidentialité et la réutilisation des données.
L'AI Act et le RGPD se cumulent sans se substituer l'un à l'autre. Un cabinet qui dispose d'un DPA conforme mais qui déploie un système d'IA à risque élevé sans respecter les obligations spécifiques de l'AI Act encourt des sanctions sur les deux textes simultanément. La conformité n'est pas binaire : c'est un empilement de couches réglementaires que le cabinet doit cartographier outil par outil.
Depuis le 2 août 2026, les manquements aux obligations de l'AI Act par les déployeurs exposent à des sanctions pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial, selon la gravité de l'infraction et le régime applicable.
La charte du barreau de Paris : des exigences au-delà du règlement européen
En juillet 2026, le Conseil de l'Ordre du barreau de Paris a adopté une charte d'utilisation de l'intelligence artificielle intitulée « Vers un barreau souverain ». Ce texte pose des exigences que le règlement européen ne couvre pas directement, s'appuyant sur le caractère absolu du secret professionnel de l'avocat.
La charte interdit de transmettre des données confidentielles à des systèmes dont les conditions d'utilisation ne garantissent pas la confidentialité ou qui réutilisent les données soumises à des fins d'amélioration du modèle. Cette interdiction s'applique concrètement aux outils d'IA générative en version grand public, aux offres d'abonnement dont les clauses de traitement des données n'ont pas été vérifiées, et à tout service hébergé hors de l'Union européenne sans garantie contractuelle adaptée.
Le secret professionnel de l'avocat est absolu. Aucun outil d'IA ne peut y déroger, qu'il s'agisse d'un défaut d'hébergement ou de conditions contractuelles insuffisantes. Cette position du barreau de Paris va plus loin que ce qu'impose l'AI Act ou le RGPD pris isolément, et constitue désormais un standard de référence pour l'ensemble de la profession.
Hébergement en France ou en Europe : est-ce suffisant pour protéger les données ?
Non — et c'est l'une des erreurs les plus fréquentes. Héberger physiquement des données en France ou dans l'Union européenne ne protège pas contre les lois extraterritoriales étrangères. Un fournisseur cloud dont la maison mère est américaine reste soumis au Cloud Act américain, qui peut imposer la communication de données stockées en Europe à des autorités américaines, indépendamment de la localisation des serveurs.
Pour les cabinets qui traitent des données vers des fournisseurs américains, la conformité RGPD passe par la vérification de la certification Data Privacy Framework (DPF) du prestataire, et idéalement par des clauses contractuelles types (CCT) adoptées par la Commission européenne en complément du DPA. L'arrêt Schrems II de la Cour de Justice de l'Union européenne a invalidé le Privacy Shield précisément sur ce fondement : les garanties formelles ne suffisent pas si les lois du pays de destination permettent l'accès des autorités aux données.
Un serveur hébergé en France par une filiale d'un groupe américain n'est pas à l'abri du Cloud Act américain. Seule une solution on-premise, déployée sur les propres serveurs du cabinet ou d'un hébergeur souverain certifié HDS sans lien capitalistique américain, offre une garantie structurelle.
Cloud, SaaS entreprise ou on-premise : quel niveau de protection pour votre cabinet ?
Le choix de l'architecture IA n'est pas seulement technique : il détermine le niveau d'exposition réglementaire du cabinet. Le tableau suivant synthétise les trois modèles de déploiement selon les critères qui comptent pour la conformité.
| DPA article 28 RGPD | Non (CGU seulement) | Oui (à vérifier) | Sans objet (aucun tiers) |
| Risque d'entraînement du modèle | Élevé (par défaut) | Faible (si clause explicite) | Nul (données non transmises) |
| Exposition au Cloud Act | Élevée (serveurs US) | Moyenne (selon hébergement) | Nulle (serveurs cabinet) |
| Compatibilité secret professionnel | Non (sans configuration) | Partielle (à auditer) | Oui (données confinées) |
| Conformité charte barreau Paris | Non | Conditionnelle | Oui |
| Complexité de mise en œuvre | Faible | Moyenne | Élevée à l'installation |
Ce tableau met en évidence une réalité simple : plus le cabinet délègue l'hébergement, plus il délègue aussi le contrôle. La facilité d'accès aux IA cloud s'accompagne d'une exposition réglementaire que peu de cabinets ont formellement évaluée.
7 questions à poser à tout fournisseur d'IA avant de signer
Avant tout déploiement d'un outil IA traitant des données clients, le cabinet doit obtenir des réponses écrites et vérifiables aux questions suivantes. Une réponse floue ou l'absence de réponse doit conduire à bloquer ou limiter l'usage de l'outil.
- Où les données soumises sont-elles hébergées et traitées ? (pays, prestataire d'infrastructure, certifications)
- Les données soumises sont-elles utilisées pour entraîner ou améliorer les modèles, de manière directe ou indirecte ?
- Un DPA conforme à l'article 28 du RGPD est-il disponible et signable ? Est-il distinct des CGU ?
- Le fournisseur fait-il appel à des sous-traitants ultérieurs ayant accès aux données ? Lesquels ?
- Quel est le délai contractuel de notification en cas de violation de données ?
- Quelles sont les conditions et modalités de destruction des données à l'issue du contrat ?
- Le fournisseur est-il soumis à des lois extraterritoriales (Cloud Act américain, lois chinoises) susceptibles d'imposer la communication de données à des autorités étrangères ?
Ces questions sont directement inspirées des recommandations du CNB et des exigences de l'article 28 du RGPD. Elles constituent un minimum non négociable, pas un plafond. Pour les cabinets traitant des dossiers pénaux, fiscaux ou de fusion-acquisition, l'exigence doit être rehaussée : seule une solution on-premise ou un cloud souverain certifié sans lien capitalistique étranger répond à ce niveau de sensibilité.
Questions fréquentes
Mon fournisseur d'IA héberge les données en France : suis-je protégé ?
Accepter les CGU d'un outil IA suffit-il à être en conformité RGPD ?
Un avocat peut-il utiliser ChatGPT avec des données de dossiers clients ?
Qu'est-ce qu'une clause de non-entraînement et pourquoi est-elle indispensable ?
L'AI Act s'applique-t-il aux cabinets d'avocats qui utilisent de l'IA mais n'en développent pas ?
Une IA locale (on-premise) est-elle vraiment plus sécurisée ?
Conclusion : la conformité commence avant le premier prompt
Le risque lié à l'entraînement des modèles par des données confidentielles n'est pas hypothétique : il est structurel dans les offres cloud non configurées et non auditées. En 2026, l'empilement RGPD + AI Act + exigences déontologiques du CNB et du barreau de Paris forme un cadre exigeant que les cabinets doivent cartographier outil par outil, contrat par contrat.
La réponse la plus robuste à cette équation reste une architecture où les données ne quittent jamais le périmètre du cabinet. C'est le positionnement de JurIAdoc : une IA juridique 100 % locale, sans transmission de données à des serveurs tiers, sans risque d'entraînement externe, conçue pour répondre aux exigences les plus strictes du secret professionnel.