Secret professionnel et IA : ce qu’un cabinet peut faire
Expert-comptable, avocat, notaire, professionnel de santé ou conseil : ce qu’un cabinet peut confier à ChatGPT, à une transcription de rendez-vous ou à un outil d’analyse de documents.
À jour au 18 septembre 2026 — AI Act & PME
Un cabinet peut utiliser l’IA, mais l’outil se choisit en fonction de ce qu’on lui donne. Le secret professionnel n’est pas une règle interne : sa violation est un délit puni d’un an d’emprisonnement et de 15 000 € d’amende (article 226-13 du code pénal), sans exception « outil informatique ». La ligne de partage passe entre un service grand public, qui se réserve souvent la réutilisation des contenus, et un outil professionnel encadré par un contrat. Depuis 2024, les ordres convergent : rien de ce qui touche à un dossier client ou patient ne part dans un outil non maîtrisé — et, pour les avocats, le CNB écrit que rien de couvert par le secret ne doit être confié à une IA générative.
Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →
Le secret professionnel est d’abord un texte pénal
Le code pénal punit « la révélation d’une information à caractère secret par une personne qui en est dépositaire soit par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire » (article 226-13). L’article 226-14 écarte le délit « dans les cas où la loi impose ou autorise la révélation du secret », puis ajoute cinq cas : signalements de violences, alerte du préfet, sévices sur animaux — aucun ne concerne un logiciel. Chaque profession renvoie ensuite à ce texte.
Avocat. Sont couverts « en toutes matières » les consultations, les correspondances avec le client, « les notes d’entretien et, plus généralement, toutes les pièces du dossier » (loi n° 71-1130 du 31 décembre 1971, article 66-5).
Expert-comptable. Les experts-comptables, leurs stagiaires et certains salariés « sont tenus au secret professionnel dans les conditions et sous les peines fixées par l’article 226-13 du code pénal » (ordonnance n° 45-2138 du 19 septembre 1945, article 21).
Notaire. « Le notaire et toute personne placée sous son autorité sont tenus au secret professionnel. Le secret professionnel est général et absolu » (décret n° 2023-1297 du 28 décembre 2023, article 8) : clercs et assistants compris.
Professionnel de santé. Sauf dérogation légale, le secret couvre « l’ensemble des informations concernant la personne venues à la connaissance du professionnel », et obtenir ou tenter d’obtenir la communication de ces informations en violation de ce texte est puni d’un an d’emprisonnement et de 15 000 euros d’amende (code de la santé publique, article L. 1110-4).
Deux conséquences. L’obligation pèse sur le cabinet entier : le collaborateur qui colle une pièce engage l’étude. Et le secret dépasse les données personnelles : le nom d’un client, l’existence d’un dossier ou une stratégie de négociation sont couverts.
Le document est gratuit. Vous n’avez pas à le rédiger. Le modèle de politique d’usage de l’IA reprend les neuf clauses d’une politique d’usage, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Essayer le modèle — remplir et voir le document →
ou recevoir le modèle complet, gratuitement
Gratuit. Une adresse email suffit pour le recevoir.
Coller un texte dans un outil, est-ce le transmettre à un tiers ?
Techniquement, oui : sauf modèle installé sur vos serveurs, le texte quitte le cabinet. Juridiquement, tout dépend du cadre.
Un outil sous contrat. L’éditeur traite les données pour votre compte : il est sous-traitant. Le contrat doit prévoir qu’il ne traite les données que sur instruction documentée et qu’il « veille à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité » (RGPD, article 28, paragraphe 3, point b).
Un service grand public. Vous acceptez des conditions qui permettent souvent la réutilisation des contenus, sans instruction de votre part ni engagement de suppression : ce n’est plus une sous-traitance choisie, c’est une transmission subie.
Nous n’avons pas trouvé de décision publiée disant si le recours à un prestataire sous contrat est une « révélation » au sens de l’article 226-13. Mais la chambre criminelle a jugé, dans un autre contexte, que la révélation « n’en suppose pas la divulgation » et qu’elle existe même lorsqu’elle n’est faite qu’à une seule personne, « lors même que cette personne est elle-même tenue au secret » (Cour de cassation, chambre criminelle, 16 mai 2000, n° 99-85.304). Ne comptez donc pas sur le seul contrat pour écarter le délit. Les ordres n’attendent pas cette réponse ; le guide du Conseil national des barreaux est le plus net : « l’avocat ne doit jamais communiquer des données couvertes par le secret professionnel à des intelligences artificielles génératives » (1re édition, septembre 2024).
Le risque n’est pas que pénal : un historique conservé, un compte personnel, une extension installée par un collaborateur, ce sont des copies de dossiers hors du cabinet.
Grand public ou professionnel : la position de la CNIL
Dans ses questions-réponses sur l’IA générative (18 juillet 2024), la CNIL trace une frontière utile. « Pour des usages non confidentiels », elle admet un service grand public, avec des adresses professionnelles dédiées et, si l’offre le permet, sans réutilisation des données d’usage. Mais pour des données personnelles ou « de la documentation sensible ou stratégique », elle juge « généralement plus opportun et plus sécurisé » un déploiement sur site ; à défaut, il faut « sécuriser le recours à une infrastructure externe par le biais d’un contrat de sous-traitance ». Elle recommande d’encadrer l’usage « par des politiques ou chartes internes, définissant clairement les usages autorisés et les usages interdits ». Pour comparer les offres, voir ChatGPT, Copilot, Gemini : quelle offre pour vos données ?
Anonymiser ou pseudonymiser : ce que ça vaut
Retirer les noms est un bon réflexe, pas une autorisation. La CNIL distingue deux opérations. L’anonymisation rend « impossible, en pratique, toute identification de la personne par quelque moyen que ce soit et de manière irréversible » : les données sortent alors du champ du RGPD. La pseudonymisation remplace les identifiants directs par des alias, mais on peut « bien souvent » retrouver l’identité grâce à des données tierces : « les données concernées conservent donc un caractère personnel » (fiche du 19 mai 2020). C’est ce que rappelle la CNIL : des données pseudonymisées « conservent donc un caractère personnel ».
Pour le secret professionnel, ce n’est d’ailleurs pas seulement l’identité qui est protégée, c’est l’information. Le CNB attire l’attention sur « le risque d’identification indirecte de vos clients qui serait rendue possible par votre mise en contexte ». Le projet de guide HAS-CNIL relève le même mécanisme : l’histoire de la maladie « peut devenir une donnée identifiante notamment en cas de maladies rares ». Un montage familial ou un litige notoire restent reconnaissables.
Données de santé : deux règles supplémentaires
Les données de santé sont par principe interdites de traitement (RGPD, article 9, paragraphe 1). L’exception la plus fréquente est celle des soins : traitement « nécessaire aux fins […] de diagnostics médicaux, de la prise en charge sanitaire ou sociale » (paragraphe 2, point h), à condition, précise le paragraphe 3, que les données soient traitées « par un professionnel de la santé soumis à une obligation de secret professionnel […], ou sous sa responsabilité, ou par une autre personne également soumise à une obligation de secret […] ».
Seconde règle : l’hébergement. Si l’outil conserve chez un tiers des données de santé recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, cet hébergeur doit détenir un certificat de conformité (code de la santé publique, article L. 1111-8). Le projet de guide HAS-CNIL le dit sans détour : ce tiers « devra être certifié hébergeur de données de santé ». Une transcription stockée chez un éditeur non certifié n’est donc pas un détail contractuel. Sur l’analyse d’impact préalable, voir Outil d’IA : quand l’AIPD est-elle obligatoire ?
Selon l’usage
| Usage | Ce qui pose problème | Condition minimale |
|---|---|---|
| Reformuler un courrier sans nom | Le contexte peut rendre la situation reconnaissable | Aucun élément rattachant le texte à un client ; relecture |
| Résumer une pièce du dossier | La pièce est couverte en entier, nom du client compris | Outil de la liste autorisée, sous contrat, sans réutilisation des contenus ; pour un avocat, le CNB écrit de ne jamais confier de données couvertes par le secret à une IA générative |
| Transcrire un rendez-vous | L’enregistrement capte tout, y compris la parole de tiers ; un enregistrement à l’insu des participants tombe sous l’article 226-1 du code pénal | Information préalable, conservation courte ; hébergeur certifié si données de santé |
| Analyser des documents comptables (FEC, DSN, balances) | Données des salariés du client ; le CNOEC écrit de ne pas charger de FEC ni de DSN non anonymisés dans des sites non maîtrisés | Outil professionnel, compte au nom du cabinet, contrat écrit |
| Préparer une consultation juridique | Références inventées ; mise en contexte qui révèle le dossier | Vérification de chaque référence sur la source officielle |
| Dicter un compte rendu médical | Données de santé ; secret médical et hébergement | Outil relevant du cadre de soins, hébergeur certifié, validation avant versement |
Ce sont des minimums, qui ne remplacent pas les règles de votre ordre. Sur la transcription, voir Enregistrer et résumer une réunion avec l’IA : les règles.
Ce que disent les ordres et les autorités
Avocats. Le CNB a adopté le 17 mars 2026 un guide sur la déontologie et l’IA, présenté comme rappelant « les exigences fondamentales de la profession : protection du secret professionnel, respect du RGPD, compétence, prudence, indépendance, information et fixation équilibrée des honoraires ». Il n’est accessible qu’après connexion : nous n’avons ouvert que sa présentation publique et le guide pratique de septembre 2024.
Experts-comptables. Dans « Parlons data et IA », le Conseil national de l’ordre écrit : « Ne chargez pas de données personnelles, sensibles et/ou confidentielles : pas de mails clients, de FEC, de DSN… non anonymisés dans des sites non maîtrisés (respect du RGPD et du secret professionnel). » Il propose aussi un modèle de charte.
Notaires. Le guide de l’IEJ du Conseil supérieur du notariat, publié le 12 décembre 2025, rappelle trois principes : « Le respect absolu du secret professionnel », la maîtrise des données personnelles et la responsabilité pleine et entière de l’acte notarié. Le 9 juillet 2026, le CSN a annoncé avoir retenu Mistral AI et Scaleway, pour un partenariat de dix-huit mois, afin d’offrir aux études un environnement cloud européen présenté comme « sécurisé, maîtrisé et garantissant le respect du secret professionnel du notaire ». Le CSN précise que les notaires « resteront naturellement libres de recourir ou non à ces outils ».
Santé. La HAS a publié le 30 octobre 2025 (mise à jour le 15 avril 2026) ses « Premières clefs d’usage de l’IA générative en santé », bâties sur la méthode A.V.E.C. : apprendre, vérifier, estimer, communiquer. Le projet de guide HAS-CNIL en contexte de soins, document de travail du 16 février 2026, rappelle que « l’introduction d’un SIA ne change pas les règles en matière de secret professionnel prévues à l’article L. 1110-4 du CSP » et identifie « un risque d’atteinte au secret médical, lié à l’intégration de données à caractère personnel sensibles dans les requêtes effectuées aux agents conversationnels en ligne ». Attention : c’est une version de travail, et nous n’avons pas trouvé de version définitive au 18 septembre 2026.
Ce que dit l’AI Act
Ces usages ne sont en principe pas à haut risque. Pour la justice, l’annexe III vise les systèmes « destinés à être utilisés par les autorités judiciaires ou en leur nom […], ou à être utilisés de manière similaire lors du règlement extrajudiciaire d’un litige » (point 8, a) : un cabinet qui rédige pour lui-même n’y est pas, un médiateur ou un arbitre relira cette phrase de près. En santé, la qualification peut changer : un système d’IA qui est lui-même un dispositif médical, ou le composant de sécurité d’un tel produit soumis à évaluation par un tiers, est à haut risque (article 6, paragraphe 1, et annexe I), avec des règles applicables au 2 août 2028 — au 2 décembre 2027 pour l’annexe III.
La maîtrise de l’IA (article 4). Fournisseurs et déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel » ; le texte précise que « cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu ». Ce chapitre s’applique depuis le 2 février 2025.
Transparence (article 50). Le marquage technique des sorties pèse sur le fournisseur. Le déployeur, lui, signale un texte généré par IA lorsqu’il est « publié dans le but d’informer le public sur des questions d’intérêt public », sauf examen humain ou contrôle éditorial avec responsabilité éditoriale assumée (paragraphe 4) : une consultation remise au client n’est pas publiée, une tribune du cabinet peut l’être.
Les 7 règles d’un cabinet
1. Une liste d’outils autorisés, écrite. Nom, offre, usage permis, responsable. Le reste est interdit par défaut, extensions de navigateur comprises.
2. Pas de comptes personnels ni de versions gratuites dès qu’un dossier est en jeu : comptes au nom du cabinet, adresses professionnelles, départs gérés.
3. Une règle de sortie claire. Hors des outils de la liste, ne sortent jamais : noms, pièces, montants, stratégie, éléments de santé. Peuvent sortir : un texte générique, un document public. Dans les outils de la liste, écrivez ce qui est admis, usage par usage.
4. Un contrat, pas une promesse commerciale. Instructions documentées, non-réutilisation des contenus, sous-traitants, lieu de traitement, suppression en fin de prestation, certification HDS en santé.
5. La relecture reste votre travail. L’acte, la consultation, le compte rendu et la déclaration restent les vôtres.
6. Former et tracer. Une courte formation interne est une des mesures attendues par l’article 4 ; gardez trace des usages sensibles.
7. Prévoir l’incident. Si un dossier a été collé dans un outil grand public, tout se joue en quelques heures : voir Données clients collées dans ChatGPT : que faire en 72 h.
Ce qu’il faut écrire dans la lettre de mission
Rien n’oblige, à notre connaissance, à mentionner l’IA dans une lettre de mission. Mais une clause claire évite une discussion désagréable après coup ; quatre points suffisent.
Ce que vous utilisez : aide à la rédaction, recherche documentaire, transcription, analyse de pièces.
Ce qui ne part pas : les éléments couverts par le secret ne sont traités que dans des outils sous contrat, jamais dans des services grand public.
La relecture humaine : tout livrable est vérifié et assumé par le professionnel, qui reste responsable.
La sous-traitance : une clause RGPD identifiant les prestataires, le lieu de traitement et les durées de conservation. Le CNOEC met une clause type à disposition de ses membres.
En santé, c’est l’information du patient au moment de la prise en charge qui compte. Faites valider votre rédaction : nous ne sommes pas avocats. Pour le document interne correspondant, voir Politique d’usage de l’IA en entreprise : modèle et guide.
Idées reçues
« J’ai enlevé les noms, donc c’est anonyme. » Non : pour la CNIL, des données pseudonymisées « conservent […] un caractère personnel », et le CNB signale le risque d’identification indirecte par la mise en contexte.
« L’outil est européen, donc le secret est préservé. » La localisation n’est qu’un critère. Comptent d’abord la réutilisation des contenus, les accès et les durées.
« Mon client est d’accord, donc je peux tout mettre dans l’outil. » Prudence : le décret du 28 décembre 2023 qualifie le secret du notaire de « général et absolu », et le CNB écrit sans réserve que l’avocat ne doit jamais confier de données couvertes par le secret à une IA générative. L’accord du client peut compter pour le RGPD ; ne comptez pas sur lui pour écarter l’article 226-13, et vérifiez auprès de votre ordre.
« Mon prestataire a signé une clause de confidentialité, je suis couvert. » Elle est nécessaire, mais le secret pèse sur vous : c’est le professionnel qui répond devant son ordre et devant le juge pénal.
« Un outil d’IA en cabinet, c’est du haut risque au sens de l’AI Act. » En principe non — ce qui ne dispense ni du secret, ni du RGPD, ni de l’article 4.
Le modèle de politique d’usage — gratuit
Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Gratuit. Une adresse email suffit pour le recevoir.
Le kit de conformité — 199 €
Pour un cabinet, l’essentiel tient en deux documents : lister au registre les outils réellement autorisés, et écrire dans la politique d’usage ce qui ne doit jamais sortir du cabinet.
Vous renseignez votre raison sociale et la liste de vos outils. Vous choisissez vous-même la catégorie de risque de chaque usage — interdit, haut risque, risque limité, risque minimal, ou « Je ne sais pas encore — à faire vérifier » — à l’aide d’un rappel des règles. Le kit met ensuite en forme votre politique d’usage de l’IA, dont les neuf clauses sont complétées avec les informations que vous avez saisies, votre registre des systèmes d’IA, votre journal des usages sensibles et votre note d’information au personnel.
Pas encore prêt ? Faites l’auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».
À lire ensuite
Sources
Légifrance — Code pénal, article 226-13 (en vigueur depuis le 1er janvier 2002) et articles 226-13 et 226-14 (article 226-14 en vigueur depuis le 12 mai 2024), consultés le 18 septembre 2026
Légifrance — Cour de cassation, chambre criminelle, 16 mai 2000, n° 99-85.304 (Bulletin criminel 2000, n° 192)
Légifrance — Loi n° 71-1130 du 31 décembre 1971, article 66-5 (en vigueur depuis le 30 mars 2011) ; ordonnance n° 45-2138 du 19 septembre 1945, article 21 (en vigueur depuis le 24 décembre 2016) ; décret n° 2023-1297 du 28 décembre 2023, article 8 (en vigueur depuis le 30 décembre 2023)
Légifrance — Code de la santé publique, article L. 1110-4 (en vigueur depuis le 4 août 2021) et article L. 1111-8 (en vigueur depuis le 1er juillet 2025)
CNIL — Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative (18 juillet 2024), questions 5 et 6
CNIL — L’anonymisation de données personnelles (19 mai 2020)
Règlement (UE) 2016/679 (RGPD), articles 9 et 28, texte reproduit par la CNIL : chapitre II et chapitre IV (consultés le 18 septembre 2026)
Conseil national des barreaux — Guide pratique, Utilisation des systèmes d’intelligence artificielle générative (1re édition, septembre 2024, PDF), pages 26 et 30, et Le CNB adopte un guide sur la déontologie et l’intelligence artificielle (17 mars 2026 ; guide non consultable sans compte avocat)
Conseil national de l’ordre des experts-comptables — Parlons data et IA, synthèse des travaux du CNOEC (PDF non daté, consulté le 18 septembre 2026), pages 27, 28 et 32
Conseil supérieur du notariat — Introduction à l’intelligence artificielle : le nouveau Guide juridique de l’IEJ (12 décembre 2025) et Intelligence artificielle : le Conseil supérieur du notariat choisit Mistral AI et Scaleway (9 juillet 2026)
Haute Autorité de santé — Premières clefs d’usage de l’IA générative en santé (validation octobre 2025, mise en ligne le 30 octobre 2025, mise à jour le 15 avril 2026)
HAS et CNIL — Accompagner le bon usage des systèmes d’intelligence artificielle en contexte de soins (document de travail du 16 février 2026, PDF), pages 17, 31 et 54, et consultation publique close le 16 avril 2026
Règlement (UE) 2024/1689 (AI Act), version consolidée au 27 juillet 2026 : articles 4, 6, 50 et 113, annexes I et III
Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l’aide d’outils d’IA et vérifié sur les textes officiels cités.
Cet article a un but d’information générale, établi d’après les textes en vigueur au 18 septembre 2026 ; il ne constitue pas un conseil juridique.
