IA en cabinet d'avocats : ce qui peut entrer dans l'outil, et ce qui n'y entrera jamais

Pour un cabinet d'avocats, l'IA pose une question qui n'a rien à voir avec celle des autres entreprises : le secret professionnel. Ailleurs, on parle de confidentialité, de politique interne, de clause à négocier avec un prestataire. Chez vous, la révélation d'une information couverte par le secret est une infraction pénale, et elle est personnelle. C'est pour cette raison que l'entrée de l'IA dans un cabinet ne commence pas par le choix d'un logiciel, mais par le tracé d'un périmètre : quelles données peuvent sortir de vos murs, sous quelle forme, pour quelles tâches. Ce guide pose ce périmètre, liste les usages qui font gagner du temps sans toucher au secret, et donne la méthode pour installer tout cela en quatre semaines.

Le secret professionnel n'est pas une clause de contrat

La plupart des articles sur l'IA en entreprise raisonnent en termes de protection des données personnelles : base légale, durée de conservation, information des personnes. C'est utile, et nous l'avons détaillé dans notre guide sur l'IA et le RGPD. Mais dans un cabinet d'avocats, ce raisonnement n'est pas le premier. Il est le second.

Le premier, c'est l'article 226-13 du code pénal : « La révélation d'une information à caractère secret par une personne qui en est dépositaire soit par état ou par profession, soit en raison d'une fonction ou d'une mission temporaire, est punie d'un an d'emprisonnement et de 15 000 euros d'amende » (texte en vigueur sur Légifrance). Ce n'est pas une amende administrative infligée à une société, c'est une peine encourue par une personne physique.

Trois conséquences pratiques en découlent, et elles changent tout le raisonnement. Le secret ne s'éteint pas à la clôture du dossier : il continue après. Le client ne vous en délie pas par une case cochée dans une lettre de mission : ce n'est pas un droit dont il dispose comme il dispose de ses données personnelles. Et il ne se découpe pas en niveaux de sensibilité : une pièce anodine d'un dossier confidentiel reste couverte.

La bonne question n'est pas « cet outil est-il conforme »

Un éditeur peut être parfaitement conforme au RGPD et rester incompatible avec votre obligation. La conformité RGPD encadre un traitement de données personnelles entre un responsable et un sous-traitant. Le secret professionnel, lui, interdit la révélation, y compris à un tiers de confiance, y compris à un prestataire sérieux, y compris quand personne ne lira jamais rien. La bonne question est donc plus simple et plus brutale : qui, chez cet éditeur ou chez son hébergeur, peut techniquement lire ce que je saisis, et qu'est-ce qui est fait de ce texte une fois la réponse rendue.

Trois points de contrôle suffisent à trier les offres : le lieu de traitement et la loi qui s'y applique, l'engagement écrit de non réutilisation des saisies pour entraîner un modèle, la durée de conservation des conversations et la possibilité de la ramener à zéro. Un cabinet sans informaticien peut poser ces trois questions à un éditeur par écrit et garder la réponse au dossier. Le socle technique minimal, valable pour toute structure sans DSI, est décrit dans notre article sur la sécurité de l'IA dans une organisation sans service informatique. Le vrai risque, en attendant, n'est pas l'outil que vous choisirez : c'est celui que vos collaborateurs utilisent déjà sans vous le dire, ce que l'on appelle le shadow AI.

Trois cercles de données, une seule règle

Le périmètre se trace en trois cercles. Ce découpage n'est pas une invention : il reprend la logique du guide pratique du Conseil national des barreaux sur l'utilisation des systèmes d'IA générative, publié en septembre 2024, qui met la protection du secret et le respect du RGPD avant les obligations de compétence, de prudence et d'indépendance (guide et grille d'auto-évaluation du CNB).

Cercle 1 : ce qui est déjà public

Ce cercle entre librement dans un outil, y compris grand public. Il ne contient rien qui identifie un client ni rien qui vienne d'un dossier.

• Le texte d'un article de code, d'un décret, d'une directive européenne.
• Une décision publiée et anonymisée telle qu'elle figure dans une base publique.
• Une doctrine publiée, un communiqué d'autorité, un rapport parlementaire.
• Vos propres modèles vierges : trame de conclusions, canevas de consultation, clause type sans nom ni chiffre.

Cercle 2 : ce qui n'entre jamais en clair

Ce cercle ne sort pas du cabinet, quel que soit l'outil, quel que soit le contrat signé avec l'éditeur. Il n'y a pas d'arbitrage à faire, pas de gain de temps qui le justifie.

• Le nom, l'adresse, la date de naissance et le numéro de dossier d'un client ou d'un adversaire.
• Les correspondances entre confrères et les correspondances avec votre client.
• Les pièces d'identité, relevés bancaires, bulletins de paie et pièces médicales versées au dossier.
• Les faits qui, même sans nom, rendent un dossier reconnaissable : une commune de 400 habitants, un montant très singulier, une date d'audience croisée avec une juridiction.
• Tout élément d'un dossier pénal, d'un dossier familial ou d'une procédure sous scellés.

Cercle 3 : la zone grise, celle qui se pseudonymise

C'est là que se joue le gain réel. Une clause de bail, une chronologie de faits, un raisonnement de fond : ces éléments sont utiles à traiter, et ils ne deviennent identifiants que par les noms, les dates et les montants exacts qu'ils portent. La règle est de les neutraliser avant la saisie, pas après. Remplacez les parties par « la société A » et « M. B », les communes par « la commune X », décalez les dates d'un même nombre de jours, arrondissez les montants. Ce travail prend deux minutes par pièce une fois la méthode acquise, et il ne se délègue pas à l'outil que vous interrogez.

Un mot sur la pseudonymisation : elle réduit le risque, elle ne l'annule pas. La CNIL rappelle dans ses recommandations sur l'IA et le RGPD, publiées le 7 février 2025, que les données servant à entraîner un modèle peuvent y être mémorisées et que les responsables doivent s'efforcer de rendre les modèles anonymes (recommandations de la CNIL). Autrement dit : pseudonymiser vous protège du cercle 2 par accident, cela ne vous autorise pas à y verser volontairement un dossier entier.

Reste la question du lieu de traitement. Pour un cabinet qui veut garder la maîtrise complète, deux voies existent : héberger un modèle sur ses propres machines, ce que nous détaillons dans notre article sur l'IA locale et les serveurs internes, ou choisir un fournisseur européen dont les traitements restent dans l'Union, un sujet traité dans notre dossier sur les alternatives souveraines. Ces deux voies coûtent plus cher et demandent un peu de technique. Elles ne dispensent d'aucune des règles ci-dessus : un modèle installé chez vous et mal paramétré fuit tout autant.

Avant même d'en arriver là, réglez les comptes que vous utilisez déjà : historique désactivé, entraînement sur vos données refusé, comptes nominatifs plutôt que partagés. Les douze réglages à passer en revue sont listés dans notre article sur le paramétrage des comptes IA professionnels. Et écrivez ces règles noir sur blanc : une page suffit, le modèle est dans notre article sur la politique IA d'une page. Le barreau de Paris a d'ailleurs adopté le 21 juillet 2026 un modèle de charte IA mis à disposition des cabinets, non contraignant mais utilisable tel quel comme référence déontologique (annonce du barreau de Paris).

Quatre tâches où l'IA fait gagner des heures dans un cabinet

Les quatre tâches ci-dessous ont un point commun : ce sont des travaux d'écrit répétitifs, à faible valeur ajoutée intellectuelle et à fort volume horaire. Aucune ne produit un acte signé. Toutes passent par vos yeux avant d'exister.

1. La synthèse de pièces

Un dossier prud'homal de 300 pages, un dossier de construction avec trois rapports d'expertise : le premier passage de lecture consiste à ranger, pas à raisonner. Un outil qui reçoit des pièces pseudonymisées produit en quelques minutes un résumé par pièce, une liste des points de fait invoqués et un relevé des pièces qui se contredisent. Vous gardez la main sur ce qui compte : ce que ces contradictions valent. La méthode d'analyse d'un document long est détaillée dans notre article sur l'analyse de contrat avec l'IA.

2. La chronologie du dossier

C'est la tâche où le rapport temps gagné sur risque pris est le meilleur. Une chronologie est un travail mécanique : extraire des dates, les ordonner, rattacher chaque date à sa pièce. Un collaborateur y passe deux à quatre heures sur un dossier moyen. Avec des dates décalées et des parties anonymisées, l'outil produit la trame en dix minutes, et il suffit de remettre les vraies dates ensuite, dans un fichier qui ne quitte pas le cabinet.

3. La veille

La veille jurisprudentielle et réglementaire ne contient aucune donnée de dossier : elle est entièrement dans le cercle 1. C'est donc l'usage le plus simple à ouvrir, et souvent le meilleur point de départ pour un cabinet qui découvre ces outils. Une heure par mois suffit à structurer une veille utile, comme nous le montrons dans notre article sur la veille en une heure par mois. Une réserve, tout de même : l'outil vous aide à trier et à résumer des textes que vous lui fournissez, il ne remplace pas une base de jurisprudence à jour.

4. La mise en forme et le premier jet

Note de synthèse interne, courrier de relance à un confrère, compte rendu de rendez-vous, reformulation d'un paragraphe trop technique pour un client : ce sont des écrits de routine, pas des actes. Ils gagnent à partir d'une trame produite en trente secondes plutôt que d'une page blanche. Pour les comptes rendus de rendez-vous, notre article sur le compte rendu automatique décrit la chaîne complète, et celui sur la réduction du temps de réunion donne les garde-fous à poser quand une conversation est enregistrée. Attention sur ce point précis : l'enregistrement d'un rendez-vous client suppose son accord explicite, et un rendez-vous couvert par le secret ne se transcrit pas sur un service dont vous ignorez le lieu de traitement.

Même logique côté correspondance courante : le tri et la préparation de réponses standardisées font gagner une heure par jour dans un cabinet chargé, à condition de ne jamais laisser partir un message sans relecture. Les cinq gestes sont dans notre article sur la gestion des emails avec l'IA.

Tu es assistant juridique. Je te fournis des extraits de pièces d'un dossier civil, déjà anonymisés : les parties sont désignées par « société A », « M. B », « la commune X », et toutes les dates ont été décalées du même nombre de jours.

Produis un tableau à quatre colonnes : date, fait, pièce d'origine, point de droit potentiellement concerné.

Règles strictes :
1. N'ajoute aucun fait qui ne figure pas dans les extraits.
2. Si une date est incertaine ou absente, écris « non datée » et ne la déduis pas.
3. Ne cite aucune décision de justice et aucun article de code : je m'en charge.
4. Termine par la liste des points où deux pièces se contredisent, sans les trancher.

Extraits :
[coller ici les extraits anonymisés]

Ce prompt suit la structure que nous enseignons dans notre article sur l'écriture d'un bon prompt : un rôle, un livrable précis, des interdictions explicites. Gardez vos prompts au même endroit que vos modèles d'actes, dans une bibliothèque partagée : un prompt qui a fait ses preuves sur un dossier resservira sur les cinquante suivants.

Les tâches que vous ne déléguez jamais

La ligne de partage n'est pas la difficulté de la tâche, c'est son caractère engageant. Une chronologie est fastidieuse et n'engage rien. Une qualification juridique est parfois évidente et engage tout. Voici ce qui reste, sans discussion possible, votre travail.

• La consultation : l'avis donné au client sur sa situation, oralement ou par écrit.
• La qualification juridique des faits, y compris quand elle vous semble évidente.
• La stratégie de défense et le choix des moyens à soulever.
• La rédaction finale et la signature de tout acte : conclusions, assignation, protocole, statuts, acte d'avocat.
• L'appréciation des chances de succès et tout ce qui ressemble à une prévision de décision.

Ce dernier point mérite une phrase de plus. Un outil qui produit une probabilité de succès à partir de décisions passées vous expose deux fois : sur la fiabilité du calcul, et sur ce que le client comprendra de ce chiffre. Il n'existe aucune manière de rattraper une espérance donnée à un client puis démentie par le tribunal.

Ce que l'AI Act classe, et ce qu'il ne classe pas

Beaucoup de confrères croient que tout outil d'IA touchant au droit est « à haut risque » au sens du règlement européen. C'est inexact. Le point 8 a) de l'annexe III vise « les systèmes d'IA destinés à être utilisés par une autorité judiciaire ou en son nom pour l'aider à rechercher et à interpréter les faits et le droit » (annexe III du règlement (UE) 2024/1689). Un outil que vous utilisez comme conseil d'une partie n'est pas utilisé par une autorité judiciaire ni en son nom : il ne relève pas de ce point. Notre autodiagnostic annexe III permet de vérifier ce classement cas par cas.

La nuance compte dans l'autre sens : si votre cabinet développe ou déploie un outil destiné à assister une juridiction, un médiateur ou un arbitre, la qualification change et les obligations qui vont avec s'appliquent. Et quel que soit le classement, l'obligation d'être formé, elle, ne dépend d'aucune de ces cases.

Vérifier avant de déposer, ce n'est plus une précaution

Décembre 2025 a marqué un tournant discret en France. Trois tribunaux administratifs ont relevé, en quatre semaines, des références jurisprudentielles inexistantes dans des écritures déposées devant eux. Le 3 décembre à Grenoble, des juges ont qualifié de « fantaisistes » les références d'un mémoire rédigé avec un outil d'IA générative. Le 18 décembre à Périgueux, le tribunal a noté que les décisions citées « ne semblent pas correspondre à des décisions publiées » et a invité le conseil à s'assurer qu'il ne s'agissait pas d'hallucinations. Le 29 décembre à Orléans, plusieurs décisions citées n'existaient tout simplement pas, avec des numéros erronés ou des dates qui ne correspondaient à rien (Le Monde Informatique, 22 janvier 2026).

Aucune sanction disciplinaire n'a été prononcée à ce stade : les juridictions ont choisi la voie pédagogique, en invitant les conseils à vérifier leurs sources. Il serait imprudent de parier sur la durée de cette clémence. Le mécanisme, lui, est connu : un modèle de langue produit la suite de mots la plus vraisemblable, et une référence de jurisprudence plausible ressemble en tous points à une référence exacte. Elle a le bon format, la bonne juridiction, une date crédible et un numéro bien construit. Elle n'existe simplement pas.

La règle de vérification, en quatre lignes

Elle tient sur un post-it collé à l'écran, et elle vaut pour tout le cabinet, du stagiaire à l'associé.

• Toute référence produite par un outil est fausse jusqu'à preuve du contraire.
• La preuve, c'est la décision retrouvée dans une base officielle ou dans votre éditeur juridique, ouverte et lue, pas un résumé.
• Une référence non retrouvée est supprimée de l'écrit, elle n'est jamais gardée « au cas où ».
• La vérification est faite par une personne, elle est notée au dossier, et ce n'est pas l'outil qui se vérifie lui-même.

Cette discipline n'a rien de propre aux avocats : c'est la première des erreurs que nous voyons dans toutes les organisations, et nous l'avons listée avec six autres dans notre article sur les erreurs qui plombent un projet IA. Elle est seulement plus coûteuse chez vous, parce qu'elle se paie devant un magistrat.

Vingt heures par an que vous payez déjà

Voici le point que la plupart des cabinets n'exploitent pas. Vous avez déjà une obligation de formation continue, et elle est chiffrée : l'article 85-1 du décret n° 91-1197 fixe sa durée à vingt heures au cours d'une année civile ou quarante heures au cours de deux années consécutives (texte en vigueur sur Légifrance). Ces heures sont déjà dans votre budget et déjà dans votre agenda.

Le même article précise le reste du cadre : pendant les deux premières années d'exercice, dix heures portent sur la déontologie et le statut professionnel, et les titulaires d'un certificat de spécialisation consacrent au moins dix heures par an à leur domaine, sous peine de retrait du certificat. La déclaration se fait auprès du conseil de l'ordre au plus tard le 31 janvier pour l'année écoulée. Les formations agréées par le Conseil national des barreaux satisfont de plein droit à l'obligation.

L'arbitrage est donc simple à poser, et il ne coûte rien de plus : plutôt que de remplir ces heures avec ce qui tombe sous la main en décembre, fléchez-en une partie sur les outils et la méthode de travail du cabinet. Un point de vigilance honnête avant de signer : vérifiez auprès de votre ordre que l'organisme et le contenu retenus entrent bien dans le champ de l'article 85 et, si vous visez la voie la plus sûre, choisissez une formation agréée par le CNB. C'est une question à poser avant de payer, pas au moment de la déclaration.

Une obligation européenne s'ajoute, indépendante de la première

Depuis février 2025, l'article 4 du règlement européen sur l'IA impose aux organisations qui déploient des systèmes d'IA de veiller à un niveau suffisant de maîtrise de ces outils chez les personnes qui les utilisent. Cette obligation ne dépend ni de votre taille, ni du classement de l'outil en haut risque : elle s'applique dès qu'un salarié ou un collaborateur utilise l'IA dans son travail. Nous en avons détaillé le contenu exact et les preuves à conserver dans notre article sur la formation IA rendue obligatoire par l'AI Act. Pour un cabinet, la bonne nouvelle est que les deux obligations peuvent se remplir avec la même demi-journée, à condition de garder l'attestation, le programme et la durée.

Quatre semaines pour installer la méthode

Une demi-journée par semaine, pendant quatre semaines. Cela suffit à passer d'un usage flou, individuel et non écrit à une pratique de cabinet tenable. L'ordre compte : on ne choisit pas l'outil en premier.

Semaine 1 : recenser ce qui se fait déjà

Demandez à chacun, sans reproche et par écrit, quels outils il utilise et pour quoi. L'objectif n'est pas de sanctionner mais de voir la surface réelle. Dans presque tous les cabinets, la réponse contient au moins un compte personnel utilisé sur un dossier. Notez également les cinq écrits les plus répétitifs du cabinet et le temps qu'ils coûtent chaque mois.

Semaine 2 : tracer le périmètre et l'écrire

Une page, pas dix. Les trois cercles de données appliqués à vos matières, la liste des tâches ouvertes et des tâches fermées, la règle de vérification des références, la mention à porter dans les dossiers internes. Le modèle de charte du barreau de Paris peut servir de base et se reprend en l'adaptant à votre structure.

Semaine 3 : choisir l'outil et régler les comptes

Posez vos trois questions écrites aux éditeurs retenus : lieu de traitement, non réutilisation des saisies, durée de conservation. Gardez les réponses. Puis passez les réglages de confidentialité de chaque compte, créez des comptes nominatifs, et fermez les comptes personnels utilisés jusque-là sur des dossiers.

Semaine 4 : tester sur deux tâches, désigner un responsable

Prenez la chronologie et la synthèse de pièces, sur trois dossiers réels et pseudonymisés. Mesurez le temps avant et après, notez ce qui a dû être corrigé. Désignez enfin la personne qui répond aux questions et tient la page de règles à jour : dans un cabinet de dix personnes, c'est un rôle de deux heures par mois, décrit dans notre article sur le référent IA.

Ce que vous obtenez au bout de quatre semaines n'est pas un cabinet augmenté : c'est un cabinet où l'on sait qui a le droit de saisir quoi, où les heures gagnées sont mesurées et où l'on peut expliquer sa méthode à un bâtonnier sans hésiter. C'est le socle de tout le reste, et c'est aussi celui que nous mettons en place dans les autres métiers administratifs regroupés dans le parcours administratif.

Questions fréquentes