Dossier client dans ChatGPT : 2 obligations qui demeurent

Les régulateurs ont déjà décrit cette situation précise, et aucun n’y répond par un simple oui ou non. La Solicitors Regulation Authority, régulateur des solicitors d’Angleterre et du pays de Galles, cite dans son rapport Risk Outlook consacré à l’intelligence artificielle (20 novembre 2023), parmi les menaces particulières pour la confidentialité, le cas d’« un collaborateur qui utilise une IA en ligne, comme ChatGPT, pour répondre à une question sur le dossier d’un client » (« a staff member using an online AI, such as ChatGPT, to answer a question on a client’s case »). Les instances professionnelles d’autres pays sont arrivées au même point par leurs propres voies. Ce qu’elles décrivent, en des termes différents, ce sont deux obligations qui demeurent une fois le dossier importé : le secret, et la responsabilité de ce que l’outil renvoie.

Les deux mêmes obligations, dans des règles différentes

Toutes les professions juridiques connaissent une obligation de confidentialité ou de secret professionnel, et toutes tiennent l’avocat pour responsable de son travail. En France, le secret professionnel de l’avocat est général, absolu et illimité dans le temps (article 66-5 de la loi n° 71-1130 du 31 décembre 1971 et article 2 du Règlement intérieur national), et sa violation est un délit (article 226-13 du Code pénal). La formulation, les exceptions et les sanctions varient d’un pays à l’autre, mais les positions sont proches. Trois exemples :

• États-Unis (ABA Formal Opinion 512, 29 juillet 2024). L’American Bar Association estime que, sur le fondement de la Model Rule 1.6 (la règle type sur la confidentialité), lorsqu’un outil « auto-apprenant » pourrait divulguer des informations relatives au mandat, le consentement éclairé du client est requis avant de les y introduire, et qu’« ajouter simplement des clauses générales et standardisées aux lettres de mission » (« merely adding general, boiler-plate provisions to engagement letters ») ne suffit pas. En pratique, ce sont les règles et les avis des barreaux de chaque État qui s’appliquent, et ils varient.
• Angleterre et pays de Galles (SRA Risk Outlook, 20 novembre 2023). Les cabinets « devront s’assurer que leur usage de l’IA protège la confidentialité et le legal privilege » (« will need to make sure that their use of it protects confidentiality and legal privilege »), et « vous restez responsable des résultats produits par l’IA que vous utilisez » (« you will remain responsible and accountable for the outputs from AI you are using »).
• Europe (guide du CCBE sur l’utilisation de l’IA générative par les avocats, 2 octobre 2025). Le Conseil des barreaux européens, où siège une délégation française, recommande aux avocats de « s’abstenir d’introduire toute donnée personnelle, confidentielle ou autre relative au client » dans un outil d’IA générative « à moins que des garanties appropriées n’aient été mises en place » (« should refrain from entering any personal, confidential or other data related to the client… unless there are appropriate safeguards in place »), et de vérifier le résultat avant de l’utiliser dans leur travail lorsque l’usage envisagé l’exige.

Ce sont des illustrations, pas un panorama complet. Dans les pays de droit continental, le secret professionnel relève souvent du droit pénal autant que des règles déontologiques, comme en France, ce qui alourdit les conséquences d’un import imprudent. Avant de vous fonder sur ce qui précède, vérifiez les règles et les éventuelles recommandations sur l’IA de votre barreau et du Conseil national des barreaux.

Un précédent anglais illustre la seconde obligation. Dans Ayinde v London Borough of Haringey [2025] EWHC 1383 (Admin) (6 juin 2025, § 6), la Divisional Court a jugé que les outils accessibles gratuitement, comme ChatGPT, « ne sont pas capables de mener une recherche juridique fiable » (« are not capable of conducting reliable legal research ») et peuvent « prétendre citer des passages d’une source authentique qui n’y figurent pas » (« purport to quote passages from a genuine source that do not appear in that source »). L’affaire portait sur la recherche juridique, non sur les documents d’un client. Mais la défaillance qu’elle décrit, une citation assurée qui ne figure pas dans la source, reste celle qui compte lorsque la source est votre propre dossier.

La confidentialité dépend des conditions que vous avez acceptées

« ChatGPT » désigne plusieurs produits. Un compte personnel gratuit, un abonnement individuel payant et le contrat d’une organisation avec un fournisseur peuvent prévoir des règles différentes sur la conservation, l’entraînement des modèles et l’accès du personnel du fournisseur aux contenus. Ces conditions changent, en outre. Nous ne résumons ici la politique actuelle d’aucun fournisseur, car un résumé exact aujourd’hui peut être faux au trimestre suivant. Lisez les conditions et les paramètres du compte que vous utiliseriez réellement, le jour où vous l’utilisez.

Les questions à poser à tout outil d’IA avant d’y importer les documents d’un client sont celles que vous poseriez à tout prestataire externe à qui vous confiez des éléments du dossier :

1. Où les données sont-elles traitées et stockées, et en vertu de quel contrat de sous-traitance au sens de l’article 28 du RGPD ?
2. Vos contenus servent-ils à entraîner un modèle, et où est-ce écrit ?
3. Combien de temps sont-ils conservés, et pouvez-vous les supprimer ?
4. Qui d’autre, au cabinet ou chez le fournisseur, peut y accéder ?
5. Quels sous-traitants ultérieurs les traitent ?
6. Votre convention d’honoraires, les instructions du client ou les règles de votre barreau imposent-elles d’obtenir d’abord l’accord du client ?

Si la réponse sincère à l’une de ces questions est « je ne sais pas », une question de confidentialité doit être réglée avant même le choix de l’outil. La façon dont votre cabinet la règle relève de la personne chargée de la conformité et, le cas échéant, du client.

Le second problème : une réponse impossible à retracer

Supposons les conditions acceptables. Un assistant généraliste peut encore vous donner une réponse inutilisable à l’audience, pour une raison qui tient à sa conception. Il répond à partir de ce que contient la conversation et de ce qu’il a appris pendant son entraînement, sans être tenu de vous montrer de quelle page provient une phrase. Avec un dossier de trente pages, cela reste gérable, car vous pouvez vérifier en lisant. Avec plusieurs milliers de pages de pièces, réparties en plusieurs imports, la vérification devient tout le travail.

Exemple inventé pour les besoins de l’article. Vous demandez à quel moment le défendeur a eu connaissance du défaut pour la première fois. La réponse est : « en mars 2022, lorsque le chef de chantier a écrit au directeur de projet ». Elle se lit bien. Mais le chef de chantier a envoyé quatre e-mails ce mois-là, l’une des pièces jointes est un document numérisé, et la réponse n’en désigne aucun. Avant que cette date n’entre dans des conclusions, quelqu’un doit retrouver l’e-mail, vérifier sa formulation et s’assurer qu’aucun document antérieur ne dit le contraire. Si la citation a été paraphrasée ou composée à partir de deux documents, vous ne le découvrirez qu’en lisant les deux.

Voilà ce que signifie concrètement être responsable du résultat, quelles que soient les règles qui vous gouvernent. Le résultat n’est utilisable que dans la mesure où vous pouvez rattacher chaque phrase factuelle à un document et à une page. Nous décrivons une méthode pour le faire avant tout dépôt dans Texte rédigé par l’IA dans vos conclusions : 5 vérifications.

Ce qu’il faut exiger d’un outil qui lit le dossier

Pour être juste envers les assistants généralistes : pour une poignée de documents et une question ponctuelle, ou pour une aide à la rédaction sans lien avec un dossier précis, ils sont souvent l’outil le plus rapide, et rien de ce qui précède ne dit le contraire.

Des réponses ancrées dans le dossier

Legalnaut a été conçu pour le second problème. Chaque réponse et chaque projet indiquent le document, la page et la citation sur lesquels ils s’appuient, et chacun passe un contrôle des citations sur le dossier avant que vous ne le lisiez : le document existe, la page existe, les mots cités y figurent bien. Tout ce qui échoue vous est signalé comme un échec. Chaque fichier importé reçoit une empreinte SHA-256, de sorte que la page que vous citez ne change pas à votre insu. Vos documents ne servent jamais à entraîner un modèle : Legalnaut n’entraîne aucun modèle sur les données de ses clients, et les modèles de langage qu’il utilise fonctionnent sous des contrats qui interdisent l’entraînement sur vos documents. Côté sécurité, l’exploitant, A2Z WEB, détient un rapport SOC 2 Type II. La page sécurité indique où se trouvent les données et quels sous-traitants y ont accès, pour que vous puissiez lui appliquer vous-même les six questions ci-dessus. Une comparaison détaillée, y compris les cas où un assistant généraliste est le meilleur choix, figure sur la page qui compare Legalnaut aux assistants IA généralistes.

Cet article donne une information générale sur les obligations professionnelles. Il ne constitue pas un conseil juridique sur votre dossier ni sur les règles de votre barreau.

Créez votre compte et interrogez un vrai dossier : chaque réponse indique son document, sa page et sa citation. Sans carte bancaire.