Pourquoi une checklist plutôt qu’une interdiction
Interdire l’IA générative dans un cabinet ou une entreprise ne protège pas les données : les collaborateurs continuent d’utiliser des outils grand public sur leur téléphone, sans trace ni règle. À l’inverse, autoriser sans cadre revient à laisser chacun décider seul si une information client, patient ou salarié peut être saisie dans un service tiers. Entre ces deux positions, la checklist offre une méthode : avant de saisir une donnée dans un outil, le professionnel se pose une série de questions dans un ordre fixe. Si l’une d’elles reçoit une réponse négative, la donnée ne sort pas, ou sort sous une forme rendue anonyme. Cette approche repose sur le RGPD, sur les recommandations publiées par la CNIL au sujet de l’IA et, selon les professions, sur les guides pratiques du Conseil national des barreaux sur l’IA générative, la charte IA du barreau de Paris ou le guide publié en 2026 par la HAS et la CNIL pour accompagner le bon usage des systèmes d’IA en contexte de soins. Elle ne remplace ni le délégué à la protection des données, ni l’avis d’un avocat sur une situation précise ; elle donne un réflexe quotidien à ceux qui manipulent l’information.
Étape 1 : qualifier la donnée avant de la toucher
La première question est la plus simple et la plus souvent oubliée : de quoi s’agit-il ? Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable, directement ou par recoupement : nom, adresse, courriel, numéro de dossier, mais aussi une description suffisamment précise pour reconnaître quelqu’un. Parmi ces données, certaines catégories bénéficient d’une protection renforcée par le RGPD : santé, opinions, appartenance syndicale, données biométriques, orientation sexuelle, et, dans un régime proche, les condamnations et infractions. S’y ajoutent les informations couvertes par un secret professionnel (avocat, médecin, expert-comptable, notaire) et les informations confidentielles de l’entreprise, qui ne relèvent pas du RGPD mais d’autres obligations. Première règle : une donnée de catégorie particulière ou couverte par le secret ne sort jamais vers un outil d’IA, sauf dispositif spécifiquement validé par l’organisation. Deuxième règle : une donnée personnelle ordinaire n’est saisie que si les étapes suivantes de la checklist sont satisfaites. Troisième règle : une donnée qui n’est ni personnelle ni confidentielle peut être utilisée, dans la version professionnelle de l’outil autorisé.
Étape 2 : la finalité et la base légale
Le RGPD exige que tout traitement de données personnelles réponde à une finalité déterminée et repose sur une base légale : exécution d’un contrat, obligation légale, intérêt légitime, consentement, entre autres. Saisir des données dans un outil d’IA générative est un traitement, ou une nouvelle opération au sein d’un traitement existant. La question est donc : l’usage envisagé s’inscrit-il dans la finalité pour laquelle la donnée a été collectée ? Rédiger un courrier à un client à partir de son dossier peut relever de l’exécution du contrat ; utiliser le même dossier pour entraîner un assistant interne ou pour une analyse statistique est une autre finalité, qui appelle une analyse distincte. Le professionnel n’a pas à refaire cette analyse à chaque saisie, mais le cabinet ou l’entreprise doit l’avoir faite une fois, par type d’usage, et l’avoir documentée. Le résultat prend la forme d’une liste d’usages autorisés, avec pour chacun la base légale retenue, et d’usages exclus. En cas de doute, la règle est de ne pas saisir et de solliciter le référent protection des données.
Étape 3 : qui traite la donnée, et où
Lorsqu’un professionnel saisit une donnée dans un outil d’IA, un tiers la reçoit : l’éditeur du service, parfois ses propres sous-traitants, et des infrastructures d’hébergement situées dans un ou plusieurs pays. Au sens du RGPD, cet éditeur agit généralement comme sous-traitant, ce qui suppose un contrat précisant l’objet, la durée, les instructions, les mesures de sécurité et les conditions de sous-traitance ultérieure. Les points à vérifier sont concrets : existe-t-il un contrat ou des conditions professionnelles qui encadrent l’usage des données saisies, excluent leur utilisation pour entraîner les modèles et précisent leur durée de conservation ? Où sont hébergées les données et, si c’est hors de l’Union européenne, sur quel fondement le transfert repose-t-il ? Pour les données de santé, des exigences supplémentaires d’hébergement s’appliquent en France. Ces vérifications relèvent du cabinet ou de l’entreprise lors du choix de l’outil et doivent être consignées. Le professionnel, lui, n’a qu’une question à se poser avant la saisie : l’outil que j’utilise figure-t-il dans la liste validée ?
Étape 4 : version grand public ou version professionnelle
Un même outil existe souvent en plusieurs versions, et leurs garanties diffèrent. Les versions gratuites ou grand public sont généralement régies par des conditions destinées aux particuliers ; selon les paramètres, les contenus saisis peuvent être utilisés pour améliorer le service, les options d’administration sont absentes et le compte appartient à la personne, non à l’organisation. Les versions professionnelles ou entreprise proposent, selon l’éditeur, des engagements contractuels sur la non-utilisation des données pour l’entraînement, une administration centralisée des comptes, des options d’hébergement et de conservation, et des fonctions de journalisation. Pour Microsoft 365 Copilot, les garanties dépendent de la licence et de la configuration du tenant : Microsoft 365 Copilot et Copilot Chat utilisés avec un compte professionnel s’inscrivent dans le cadre contractuel de l’organisation, à la différence d’un usage avec un compte personnel. La règle pratique est sans nuance : aucune donnée personnelle, confidentielle ou couverte par le secret ne doit être saisie dans une version grand public ni avec un compte personnel. Cela suppose que l’organisation fournisse effectivement une version professionnelle à ceux qui en ont besoin.
Étape 5 : anonymiser ou pseudonymiser avant la saisie
Lorsqu’une tâche peut être réalisée sans identifier la personne, la bonne pratique est de retirer ou de remplacer les éléments identifiants avant la saisie. Il faut distinguer deux opérations. La pseudonymisation remplace les identifiants directs (nom, numéro de dossier) par un code ; la donnée reste personnelle au sens du RGPD, car la personne peut être réidentifiée avec la table de correspondance, mais le risque est réduit. L’anonymisation rend la réidentification impossible par tout moyen raisonnable ; c’est un seuil élevé, difficile à atteindre sur un dossier détaillé, et la CNIL a publié des repères sur ce sujet. En pratique, pour rédiger un courrier type ou analyser la structure d’un contrat, le professionnel peut travailler sur une version où les noms, dates précises, montants et lieux sont remplacés par des mentions génériques, puis réintroduire les éléments réels dans son logiciel métier, hors de l’outil d’IA. Cette méthode est celle utilisée en formation : tous les exercices s’appuient sur des documents fictifs ou rendus anonymes. Elle demande un peu de discipline, mais elle ouvre un large champ d’usages sans exposer les personnes.
Étape 6 : registre, analyse d’impact et documentation
Le RGPD impose aux organisations de documenter leurs traitements, notamment dans un registre, et de réaliser une analyse d’impact lorsque le traitement est susceptible d’engendrer un risque élevé pour les personnes. L’introduction d’un outil d’IA générative dans un processus qui manipule des données personnelles doit donc être inscrite dans le registre, avec sa finalité, les catégories de données, les destinataires, les durées et les mesures de sécurité. Selon la nature des données et des usages, une analyse d’impact peut être nécessaire ; la CNIL a publié des lignes directrices sur les cas où elle l’est. Cette documentation n’est pas une formalité : c’est ce qui permet de démontrer, en cas de contrôle ou de réclamation, que l’organisation a réfléchi avant d’agir. Pour le professionnel au quotidien, cela se traduit par une question simple : l’usage que je m’apprête à faire figure-t-il dans la liste documentée ? Si l’usage est nouveau, il doit passer par le référent avant de devenir une habitude.
Étape 7 : droits des personnes et transparence
Les personnes dont les données sont traitées conservent leurs droits : information, accès, rectification, effacement, opposition, limitation, dans les conditions prévues par le RGPD. L’usage d’un outil d’IA ne les suspend pas. Deux conséquences pratiques. La première concerne l’information : les mentions remises aux clients, patients ou salariés doivent refléter la réalité des traitements, y compris le recours à des sous-traitants d’IA lorsque c’est le cas. La seconde concerne l’exercice des droits : si une donnée a été saisie dans un outil tiers, l’organisation doit être en mesure de savoir où elle se trouve et comment la faire rectifier ou effacer, ce qui renvoie aux garanties contractuelles de l’étape 3. S’y ajoute une transparence déontologique propre à certaines professions : les guides du Conseil national des barreaux et la charte du barreau de Paris abordent la question de l’information du client sur l’usage de l’IA ; en santé, la relation de soin impose une loyauté particulière. Première règle : ne jamais présenter comme un travail personnel intégral un contenu largement généré lorsque la relation l’exige. Deuxième règle : rester capable d’expliquer comment un document a été produit.
Le règlement européen sur l’IA en bref
Le règlement européen sur l’intelligence artificielle, souvent appelé AI Act, s’ajoute au RGPD sans le remplacer. Il classe les systèmes d’IA selon leur niveau de risque, interdit certaines pratiques, impose des obligations renforcées aux systèmes à haut risque et prévoit des obligations de transparence pour certains usages, notamment lorsqu’une personne interagit avec une IA ou que des contenus sont générés artificiellement. Il encadre aussi les modèles d’IA à usage général, ceux qui alimentent les outils d’IA générative, avec des obligations qui pèsent surtout sur leurs fournisseurs. Pour un cabinet ou une PME utilisatrice, les conséquences immédiates sont limitées mais réelles : vérifier si un usage envisagé relève d’une catégorie à haut risque, certains usages en matière d’emploi, d’accès à des services essentiels ou de santé pouvant en relever, respecter les obligations de transparence, et veiller à ce que les personnes qui utilisent les systèmes disposent d’une maîtrise suffisante, le règlement comportant une obligation en ce sens pour les déployeurs. La checklist du professionnel n’a pas vocation à en faire l’exégèse ; elle doit simplement intégrer la question du niveau de risque au moment du choix d’un usage.
Passer à l’action
Cette checklist se traduit en une page affichée près du poste de travail et en une formation courte pour ceux qui manipulent des données sensibles. Pour les cabinets d’avocats, études et directions juridiques, la formation gouvernance de l’IA d’AI2 Lab, sur une journée à distance, aide les associés à écrire la charte du cabinet, à choisir les outils selon leurs garanties et à organiser la supervision, en cohérence avec le secret professionnel et les textes de la profession. Pour les professionnels de santé, les parcours dédiés appliquent les mêmes principes au contexte de soins, avec des dossiers fictifs et une attention particulière à l’hébergement des données. Dans tous les cas, les exercices se font sur des données fictives, les sources sont vérifiées et la validation reste celle du professionnel. AI2 Lab ne fournit pas de conseil juridique : la formation donne une méthode, et les situations particulières relèvent de votre délégué à la protection des données ou de votre conseil. Ces formations peuvent être prises en charge par votre OPCO dans le cadre du plan de développement des compétences, selon ses critères.
Pour aller plus loin
Devenez un professionnel de l'IA avec AI2 — Paris
Bachelor (RNCP 6) et Mastère (RNCP 7) en Intelligence Artificielle & Data Science. Alternance, CPF et financement entreprise possibles. Inscriptions ouvertes jusqu'en octobre — places limitées.
Être rappelé gratuitement sous 24h
Laissez votre numéro — notre équipe vous rappelle pour tout vous expliquer (programmes, financement, inscription jusqu'en octobre). Sans engagement.
Articles similaires
IA générative pour avocats : usages, limites et déontologie en 2026
Ce que l’IA générative fait bien au cabinet, les hallucinations de jurisprudence, le protocole de vérification, le secret professionnel et la formation.
ChatGPT au cabinet médical : ce qui est possible, ce qui est interdit
Usages possibles, interdits (données patient, diagnostic), secret médical, RGPD, hébergement des données de santé et organisation du cabinet.
IA en cabinet d’expertise comptable : par où commencer en 2026
Tâches candidates, traçabilité et contrôle, confidentialité des dossiers clients, choix des outils, plan de déploiement par pôle et formation des équipes.