Avocat et intelligence artificielle : les règles à respecter au cabinet

Un avocat peut utiliser l'intelligence artificielle générative, à trois conditions : ne jamais y confier de données couvertes par le secret professionnel, vérifier tout ce qu'elle produit avant de s'en servir, et encadrer son usage au cabinet. C'est, en substance, ce que recommande le Conseil national des barreaux (CNB) dans son guide pratique de septembre 2024, complété en mars 2026 par un guide « Déontologie et IA » réservé aux avocats. S'y ajoutent le RGPD et, depuis 2025, l'obligation européenne de favoriser la maîtrise de l'IA.

Pourquoi l'outil pose une question de secret

Le guide du CNB décrit le circuit : l'agent conversationnel est l'interface d'un modèle hébergé dans un cloud ; toute requête transmet des données à l'entreprise qui exploite le système, le plus souvent américaine, qui les conserve et peut les réutiliser pour améliorer ses modèles. Certains outils permettent de refuser cette réutilisation, mais le CNB relève qu'aucun moyen de vérification n'est offert à l'utilisateur.

D'où sa première règle : ne jamais communiquer à une IA générative des données couvertes par le secret professionnel. Concrètement, une requête ne contient ni le nom du client, ni ses confidences, ni les éléments de stratégie du dossier, ni un fichier de dossier qui les contiendrait. Le secret de l'avocat est d'ordre public et absolu, et l'avocat répond des violations commises par ceux qui coopèrent avec lui (article 2.3 du règlement intérieur national) : un outil en fait partie.

La pseudonymisation, et ses limites

Pour utiliser l'outil sans exposer le dossier, le CNB recommande de pseudonymiser : remplacer les noms par des initiales fictives, les adresses par une zone plus large, retirer les détails identifiants. Trois limites sont à connaître :

• le croisement de plusieurs détails (montant, nom de projet, style d'un contrat) peut suffire à identifier un client ;
• certaines tâches ne se pseudonymisent pas, comme le compte rendu en direct d'un rendez-vous client ;
• au sens du RGPD, des données pseudonymisées qui peuvent être rattachées à une personne restent des données personnelles (considérant 26).

Vérifier, toujours

Une IA générative prédit le mot le plus probable ; elle n'est, selon le CNB, ni une encyclopédie ni un moteur de recherche. Elle peut produire des hallucinations : des décisions inventées, ou des décisions réelles mal résumées. Le guide rapporte un test où un arrêt de la Cour de cassation, cité avec une référence exacte, était accompagné d'un résumé entièrement faux. Il rappelle aussi que des avocats ont été condamnés, aux États-Unis et au Canada, pour avoir cité des décisions inexistantes.

Pour l'avocat, l'enjeu est déontologique : la compétence et la prudence envers le client (article 1.3 du règlement intérieur national), et, devant le juge, la communication loyale et des références complètes des décisions invoquées (articles 5.1 et 5.5). Toute décision citée se lit dans une source fiable ; toute règle se vérifie dans sa version en vigueur.

Le RGPD s'applique au cabinet

Le CNB rappelle que le RGPD s'applique à tous les cabinets, quelle que soit leur taille. Lorsqu'un outil traite des données personnelles pour le compte du cabinet, son fournisseur est en principe sous-traitant : il faut un contrat conforme à l'article 28 (objet, durée, finalité, instructions documentées), des mesures de sécurité adaptées (article 32, qui cite la pseudonymisation et le chiffrement) et un cadre pour les transferts hors de l'Union (article 44). Une transmission indue de données peut constituer une violation à notifier à la CNIL, si possible sous 72 heures, sauf absence de risque (article 33).

L'article 4 de l'AI Act, révisé en 2026

Un cabinet qui utilise un outil d'IA en est déployeur au sens du règlement (UE) 2024/1689. Depuis le 27 juillet 2026, l'article 4, réécrit par le règlement (UE) 2026/1744, lui demande de prendre des mesures pour favoriser le développement de la maîtrise de l'IA de son personnel et des autres personnes qui utilisent ces outils pour son compte (stagiaires, consultants). Il ne s'agit plus de « garantir un niveau suffisant », et aucun niveau individuel n'est à garantir ; mais l'obligation d'agir demeure. La Commission européenne précise qu'aucun certificat n'est exigé et qu'un registre interne des actions menées peut être tenu.

La charte interne recommandée par le CNB

Le guide du CNB recommande la transparence sur l'usage de l'IA au sein du cabinet, entre associés, collaborateurs et personnel, au moyen d'une charte informatique ou d'un guide interne et de sessions de formation, et souligne que tous les membres du cabinet doivent être formés. Une charte utile tient en une page : outils autorisés, données interdites, usages permis, vérification obligatoire, conduite à tenir en cas d'incident.

Et le client ?

Rien ne change dans la relation : le conseil reste celui de l'avocat, qui en assume la responsabilité. Pour les honoraires, l'avocat informe le client dès sa saisine des modalités de leur détermination (article 11.1 du règlement intérieur national) ; s'il facture au temps, il facture le temps réellement consacré, et s'il veut valoriser autrement ses outils, sa convention le prévoit.

Ces règles sont détaillées, avec des cas pratiques de cabinet, dans notre formation IA générative au cabinet d'avocats (3 h), qui peut aussi servir de mesure de maîtrise de l'IA pour toute l'équipe. Les obligations de la profession sont résumées sur la page formation continue de l'avocat.