IA et déontologie : le guide opérationnel pour les avocats

Un avocat peut utiliser l’intelligence artificielle pour rechercher, synthétiser ou préparer des documents. Il ne peut pas lui déléguer son secret professionnel, son jugement ni sa responsabilité.

Le Conseil national des barreaux a consacré un guide pratique à ce sujet en avril 2026. Son message n’est pas d’interdire l’IA, mais de l’encadrer : choisir l’outil en fonction des données traitées, limiter les informations transmises, vérifier chaque résultat et organiser les usages au sein du cabinet.¹²

À retenir

Ne transmettez aucune information couverte par le secret professionnel à une IA grand public.¹
Une promesse « conforme au RGPD » ne suffit pas : vérifiez le contrat, l’hébergement, la rétention, les sous-traitants, les accès et la réutilisation des données.¹³
Pseudonymiser un dossier réduit le risque, mais n’empêche pas toujours la réidentification.¹
Une réponse juridique générée par IA ne devient exploitable qu’après vérification des faits, du droit et de chaque source.¹³
L’avocat conserve la maîtrise de la stratégie, du document final et de toute communication au client ou à la juridiction.¹

Le sujet ne se résume pas au RGPD

Le secret professionnel, la protection des données personnelles, la sécurité informatique et la responsabilité de l’avocat se recoupent, mais ne se confondent pas.

Le RGPD organise le traitement des données personnelles.¹ Le secret professionnel couvre plus largement les informations confiées à l’avocat ou connues dans l’exercice de sa mission : identité du client, contenu du dossier, stratégie, échanges, pièces, mais aussi informations relatives à une personne morale.¹

Le CNB pose donc une règle de départ stricte : les données relatives aux dossiers ou aux clients ne doivent pas être communiquées à une IA générative sans un environnement et des garanties adaptés.¹ Le fait qu’un client accepte l’usage de l’IA ne transforme pas un outil insuffisamment sécurisé en outil acceptable et ne décharge pas l’avocat de ses obligations.¹

Quelles informations peut-on transmettre à une IA ?

La bonne question n’est pas « peut-on utiliser l’IA ? », mais « avec quel outil, pour quelle tâche et avec quelles données ? ».¹³

Situation	Niveau de risque	Conduite recommandée
Demander un plan générique à partir d’informations publiques	Faible	Utiliser un outil validé et vérifier le résultat.
Reformuler un texte interne sans donnée client ni information confidentielle	Faible à modéré	Retirer les métadonnées et relire avant réutilisation.
Résumer une décision publique	Modéré	Fournir le texte officiel, demander des renvois précis et comparer la synthèse à l’original.
Travailler sur un cas pseudonymisé	Modéré à élevé	Vérifier qu’aucun croisement de faits, montants, dates ou lieux ne permet une réidentification.
Analyser une pièce, un échange client ou une stratégie de dossier	Élevé	Ne pas utiliser une IA grand public. Réserver cet usage à un environnement professionnel fermé dont les garanties ont été vérifiées.
Transcrire un rendez-vous client en direct	Très élevé	La pseudonymisation préalable est impossible. N’utiliser qu’un dispositif spécifiquement encadré pour ce traitement.

Le CNB recommande de limiter chaque requête aux seules données strictement nécessaires. Il rappelle aussi que la pseudonymisation n’est pas une anonymisation : remplacer les noms ne suffit pas si la combinaison d’un montant, d’une date, d’un lieu ou d’un fait rare permet de retrouver le client.¹

Un test simple avant d’envoyer le prompt

Demandez-vous :

Si ce prompt, la pièce jointe et la réponse étaient lus demain par le fournisseur ou exposés lors d’un incident, le secret professionnel serait-il compromis ?

Si la réponse est oui ou incertaine, ne transmettez pas les données à cet outil.

Comment choisir un outil d’IA pour le cabinet ?

La page marketing du fournisseur n’est pas un audit.¹ La mention « RGPD », un hébergement européen ou la possibilité de désactiver l’entraînement ne répondent chacun qu’à une partie du problème.¹³

Le CNB a publié une grille d’auto-évaluation des solutions d’IA juridiques. Elle invite notamment à examiner la souveraineté, la confidentialité, la sécurisation et la possible réutilisation des données.⁴

Avant d’autoriser un outil, obtenez des réponses documentées sur les points suivants.¹³⁴

Données concernées : quelles données sont envoyées au fournisseur, au modèle et aux éventuels services tiers ?
Finalité : les requêtes servent-elles uniquement à produire la réponse demandée ?
Entraînement : les prompts, pièces ou réponses sont-ils réutilisés pour entraîner ou améliorer un modèle ?
Rétention : combien de temps les entrées, sorties, journaux et sauvegardes sont-ils conservés ?
Suppression : la suppression est-elle automatique, vérifiable et étendue aux sauvegardes ?
Localisation : où les données sont-elles hébergées et traitées ?
Sous-traitants : qui peut techniquement accéder aux données et dans quels pays ?
Contrat : un accord de sous-traitance conforme à l’article 28 du RGPD encadre-t-il le service ?
Sécurité : chiffrement en transit et au repos, habilitations, journalisation et tests sont-ils documentés ?
Cloisonnement : les données d’un cabinet peuvent-elles être utilisées ou exposées dans le contexte d’un autre client ?
Fiabilité : l’outil cite-t-il des sources consultables et adaptées au droit français ?
Réversibilité : peut-on exporter puis supprimer les données si le cabinet change de solution ?

La CNIL recommande elle aussi de partir du besoin réel et du niveau de risque. Pour un service cloud ou accessible par API, elle insiste sur le contrat de sous-traitance, les accès autorisés, les transferts éventuels hors de l’Union européenne et la maîtrise des données soumises au système.³

Ce qu’une garantie « Zero Data Retention » règle, et ce qu’elle ne règle pas

La rétention zéro réduit le risque lié à la conservation des prompts et des réponses.¹ Elle ne prouve pas, à elle seule, le lieu de traitement, l’absence de sous-traitants, le cloisonnement des accès, la qualité des sources ou la sécurité de l’ensemble du service.¹³

Aucune caractéristique isolée ne rend donc un outil « conforme ». L’évaluation porte sur un usage précis, des données précises et un ensemble de garanties contractuelles, techniques et organisationnelles.

C’est exactement là que se sépare une IA généraliste d’un outil conçu pour le cabinet. Avec un assistant grand public, la totalité de cette évaluation reste à la charge de l’avocat : c’est à lui d’obtenir du fournisseur, point par point, les réponses aux douze questions ci-dessus, puis de les réexaminer à chaque évolution des conditions de service.

eCab Assistant applique le raisonnement inverse. La rétention zéro n’y est qu’un élément parmi d’autres, aux côtés du traitement en Europe, du cloisonnement des accès, de la non-réutilisation des données pour l’entraînement et de la validation humaine avant toute action sur un dossier. L’évaluation est faite en amont et documentée, au lieu d’être laissée au cabinet.

Faut-il informer le client ou obtenir son consentement ?

Le guide du CNB ne pose pas une obligation générale d’informer systématiquement chaque client de tout recours à l’IA. L’avocat apprécie cette information selon le contexte, la nature du dossier et les attentes du client.¹

En pratique :

si le client interroge le cabinet sur ses méthodes de travail, répondez clairement ;
si un agent conversationnel échange directement avec le client, indiquez qu’il s’agit d’un système d’IA ;
si les données du client doivent servir à entraîner un système interne, le CNB prévoit son information et l’obtention de son consentement ;
si l’usage change substantiellement le traitement des données ou les conditions d’exécution de la mission, examinez l’information à fournir et la base juridique applicable.

Une clause dans la convention d’honoraires peut décrire un usage ponctuel et encadré de l’IA.¹ Elle ne doit ni diluer la responsabilité de l’avocat ni laisser croire que le client renonce au secret professionnel.¹

Le contrôle humain ne consiste pas à relire en diagonale

Le CNB exige une vérification systématique des contenus avant leur utilisation ou leur transmission. Il cite plusieurs décisions françaises récentes dans lesquelles des références jurisprudentielles inexistantes ou incohérentes ont été relevées.¹

Pour une production juridique, le contrôle doit couvrir au minimum les faits, les sources, l’état du droit, le raisonnement, la portée, les calculs, la stratégie et le document final.¹³

les faits : concordance avec les pièces et absence d’ajout inventé ;
les sources : existence réelle, texte intégral, juridiction, date et numéro ;
l’état du droit : version applicable à la date du dossier ;
le raisonnement : qualification, articulation des moyens et exceptions ;
la portée : ne pas transformer une décision d’espèce en principe général ;
les calculs et délais : les refaire indépendamment ;
la stratégie : cohérence avec l’intérêt du client et les choix de l’avocat ;
le document final : ton, confidentialité, destinataires et pièces jointes.

Une citation accompagnée d’un lien n’est pas encore une source vérifiée. Ouvrez le texte officiel et contrôlez le passage utilisé. La CNIL recommande de ne jamais reproduire telles quelles les sorties d’un système génératif, même lorsqu’il intègre des filtres.³

Classer les usages par niveau de risque

Tous les usages ne nécessitent pas le même dispositif.

Risque faible

produire un plan générique ;
reformuler un texte sans donnée confidentielle ;
préparer une checklist administrative ;
résumer une information publique non juridique.

Contrôle minimal : outil autorisé, absence de données client, relecture du résultat.¹³

Risque modéré

synthétiser une décision officielle ;
préparer une première version de courrier ;
rechercher des pistes juridiques ;
analyser un document réellement anonymisé.

Contrôle renforcé : sources imposées, comparaison avec les originaux, vérification juridique et validation par l’avocat chargé du dossier.¹³

Risque élevé

analyser des pièces couvertes par le secret ;
produire un projet de consultation, de contrat ou de conclusions ;
proposer une stratégie ;
calculer une échéance ;
communiquer directement avec un client ou une juridiction ;
créer, modifier, supprimer ou envoyer un document dans le système du cabinet.

Contrôle strict : environnement professionnel validé, droits d’accès compartimentés, données minimisées, traçabilité adaptée et validation humaine explicite avant toute action.¹³

L’objectif n’est pas de maintenir l’IA en lecture seule. Elle peut assister la production documentaire et, à terme, exécuter certaines modifications. La limite opérationnelle est ailleurs : aucune action ne doit être effectuée sans que l’avocat sache ce qui va changer et l’ait expressément validé.

Les règles minimales à formaliser dans le cabinet

Même dans une structure de deux personnes, une règle orale ne suffit pas. Le CNB et la CNIL recommandent une charte interne précisant les usages autorisés, les usages interdits et les processus de contrôle.¹³

Cette charte peut tenir sur deux pages, mais elle doit définir les outils, usages, données, contrôles et responsabilités applicables dans le cabinet.¹³

la liste des outils autorisés ;
les tâches autorisées pour chaque outil ;
les catégories de données interdites ;
les règles d’anonymisation ou de pseudonymisation ;
les vérifications obligatoires selon le niveau de risque ;
la personne responsable de la validation ;
la conduite à tenir en cas d’erreur ou de fuite potentielle ;
la fréquence de réévaluation des outils ;
les règles applicables aux collaborateurs, salariés et prestataires.

Le règlement européen sur l’IA impose par ailleurs aux fournisseurs et déployeurs de prendre des mesures pour assurer un niveau suffisant de maîtrise de l’IA parmi les personnes qui utilisent ces systèmes pour leur compte. La formation doit tenir compte des connaissances, de l’expérience et du contexte d’utilisation.⁵

Une traçabilité utile, sans recopier le dossier

Pour les usages sensibles, conservez au minimum :

la date et la finalité de l’usage ;
l’outil et, si disponible, sa version ;
la catégorie de données utilisée ;
le nom de la personne ayant contrôlé le résultat ;
la validation donnée avant une modification ou un envoi ;
l’incident ou la correction éventuelle.

Évitez de dupliquer les prompts et pièces confidentiels dans un registre moins sécurisé que le dossier lui-même. La traçabilité doit prouver le contrôle, pas créer une nouvelle fuite de données.

Checklist avant d’utiliser une IA sur un dossier

Si une réponse manque, arrêtez le traitement avant d’envoyer les données.

La prochaine étape pour un cabinet est simple : recenser les usages déjà pratiqués, suspendre les outils non évalués, puis formaliser une charte courte. Le sujet n’est plus de savoir si l’IA entrera dans le cabinet, mais dans quelles conditions elle pourra y travailler.

eCab Assistant : une réponse concrète à ces exigences

Le cahier des charges posé dans cet article correspond précisément à la manière dont eCab Assistant a été conçu. L’assistant travaille directement dans l’environnement eCab, déjà relié aux dossiers, documents eDrive, contacts et autres données du cabinet. Il n’est donc pas nécessaire d’exporter une pièce vers un outil grand public ou de reconstituer manuellement le contexte du dossier.

Il réunit les garanties attendues pour un usage professionnel :

Zero Data Retention : les échanges ne sont pas conservés par le fournisseur du modèle et ne servent pas à son entraînement ;
traitement en Europe et accès compartimenté selon les droits de chaque utilisateur ;
modèles à l’état de l’art, orchestrés pour fournir la meilleure réponse disponible selon la tâche ;
réponses sourcées : l’assistant est optimisé pour rattacher ses réponses aux pièces et sources d’origine afin que l’avocat puisse les ouvrir et les contrôler ;
contexte déjà disponible : dossiers, documents, contacts et informations utiles restent reliés dans le même outil ;
validation humaine obligatoire avant toute création, modification, suppression ou action d’envoi.

Legalia publie également son code de conduite IA. Il expose publiquement les règles appliquées à l’assistant : contrôle humain, secret professionnel, absence d’entraînement sur les données du cabinet, transparence et vérifiabilité des réponses.

Ces garanties ne remplacent pas l’analyse de l’avocat ni la vérification du document final. Elles permettent d’utiliser l’IA là où elle apporte réellement de la valeur, sans sortir du cadre de travail du cabinet.

Demander une démonstration d’eCab Assistant

Sources

https://cnb.avocat.fr/medias/guide-deontologie-ia-6a4cef5ea1d577.28126431.pdf — CNB, Guide pratique : La déontologie et l’intelligence artificielle (2026) ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹² ↩¹³ ↩¹⁴ ↩¹⁵ ↩¹⁶ ↩¹⁷ ↩¹⁸ ↩¹⁹ ↩²⁰ ↩²¹ ↩²² ↩²³ ↩²⁴ ↩²⁵ ↩²⁶ ↩²⁷
https://cnb.avocat.fr/actualite/le-cnb-adopte-un-guide-sur-la-deontologie-et-l-intelligence-artificielle — CNB, adoption du guide sur la déontologie et l’IA, 17 mars 2026 ↩
https://www.cnil.fr/fr/les-questions-reponses-de-la-cnil-sur-lutilisation-dun-systeme-dia-generative — CNIL, Questions-réponses sur l’utilisation d’un système d’IA générative ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹² ↩¹³ ↩¹⁴
https://cnb.avocat.fr/actualite/ia-juridiques-un-outil-pour-vous-aider-a-comparer-les-solutions — CNB, Grille d’auto-évaluation des solutions d’IA juridiques, 20 juin 2025 ↩ ↩²
https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32024R1689 — Règlement (UE) 2024/1689 sur l’intelligence artificielle ↩

Tous les articles