Avocat, IA et secret professionnel : le cadre 2026

Depuis le 2 août 2026, l’article 50 du règlement européen sur l’intelligence artificielle (UE) 2024/1689 impose à tout professionnel qui exploite un système d’IA générative d’en informer les personnes concernées. Pour un cabinet d’avocats, cette échéance arrive cinq mois après le texte qui structure vraiment sa pratique : le guide « La déontologie et l’intelligence artificielle », adopté par l’assemblée générale du Conseil national des barreaux des 12 et 13 mars 2026, puis décliné le 13 avril 2026 dans les modèles types de conventions d’honoraires révisés, qui comportent désormais une clause IA optionnelle. Le message des deux textes est le même : l’usage est autorisé, la responsabilité reste entière, et c’est la méthode qui devra être démontrée.

Le point de friction n’est pas la recherche juridique — les avocats l’ont intégrée. C’est ce qui se passe juste après le rendez-vous client : la note de dossier, le compte rendu de consultation, la synthèse d’un entretien de trois heures avec un dirigeant en difficulté. Là, le contenu n’est plus du droit générique : c’est de l’information couverte par le secret professionnel de l’article 66-5 de la loi n° 71-1130 du 31 décembre 1971, dont la révélation est punie d’un an d’emprisonnement et de 15 000 € d’amende (article 226-13 du code pénal). Cet article donne le protocole que le guide du CNB ne fournit pas : une grille de sensibilité à quatre niveaux, une procédure de rédaction post-consultation, et sept points d’audit chiffrés pour qualifier un outil avant de l’installer.

TL;DR — l’essentiel en 30 secondes

• Le guide CNB adopté les 12 et 13 mars 2026 identifie 8 enjeux déontologiques de l’IA générative : secret professionnel, protection des données, compétence, diligence, indépendance, conflits d’intérêts, information des clients et fixation des honoraires. Il n’interdit pas l’IA : il en encadre l’usage « ponctuel et encadré ».
• Les modèles types de conventions d’honoraires du CNB, révisés le 13 avril 2026, intègrent une clause IA optionnelle qui rappelle que « l’analyse, le raisonnement et le jugement professionnels de l’avocat restent exclusivement humains ».
• La ligne rouge n’est pas l’outil, c’est le flux sortant : dès qu’une information nominative, stratégique ou pénale quitte le poste, l’article 66-5 est en jeu. Sanction pénale : 1 an et 15 000 €.
• Depuis le 2 août 2026, l’article 50 de l’AI Act impose l’information des personnes ; le marquage lisible par machine des contenus générés est repoussé au 2 décembre 2026 par le paquet Digital Omnibus. Sanctions jusqu’à 15 M€ ou 3 % du chiffre d’affaires mondial.
• Un traitement effectué intégralement sur le poste de l’avocat, sans transmission ni conservation externe, sort du champ de la sous-traitance de l’article 28 du RGPD et neutralise l’essentiel des questions posées par le guide.

Que change vraiment le guide CNB du 13 mars 2026 pour un cabinet ?

Beaucoup d’avocats ont lu le guide comme une mise en garde. C’est l’inverse : c’est un permis conditionnel. Le CNB acte que l’IA générative est entrée dans les cabinets — sa formation gratuite lancée avec Lefebvre Dalloz sur la plateforme Skilia avait enregistré 10 000 inscriptions en deux mois dès 2025 — et il choisit de baliser l’usage plutôt que de le prohiber.

L’avocat conserve l’entière maîtrise et la responsabilité de l’ensemble des travaux réalisés.
— Clause IA des modèles types de conventions d’honoraires du CNB, version du 13 avril 2026

Ce que le guide ajoute concrètement au droit existant tient en quatre exigences vérifiables :

1. Vérification systématique de tout contenu produit par un système d’IA avant utilisation ou transmission — la diligence n’est pas déléguable.
2. Contrôle du lieu d’hébergement et de la nationalité des serveurs traitant les données du cabinet.
3. Information du client sur les outils employés, les catégories de données traitées et les mesures de protection retenues.
4. Répercussion honnête sur les honoraires : le guide relève que l’IA « peut impacter le montant dans le sens de la réduction ou de l’augmentation », sans imposer de barème.

Aucune de ces quatre exigences ne parle de la qualité du modèle. Toutes parlent d’architecture et de traçabilité. C’est la conséquence pratique la plus importante : la conformité d’un cabinet ne se juge pas à l’outil qu’il utilise, mais à sa capacité à décrire précisément ce qui sort du cabinet, où cela va, et combien de temps cela y reste.

Qu’est-ce qu’un avocat peut confier à une IA sans violer l’article 66-5 ?

Le guide du CNB pose le principe — ne jamais transmettre à une IA générative une information couverte par le secret — mais laisse chacun le décliner. En pratique, tout ne se vaut pas. Voici la grille de sensibilité que nous utilisons pour trancher, dossier par dossier, avant même de choisir un outil.

Niveau	Nature de l’information	Exemples	Outil en ligne (cloud grand public)	Outil professionnel hébergé UE	Traitement local
N1 — Droit générique	Aucune donnée client	Recherche sur un régime juridique, plan type d’assignation, veille jurisprudentielle	Acceptable	Acceptable	Acceptable
N2 — Contexte anonymisé	Situation réelle dépersonnalisée : ni nom, ni date, ni montant identifiant	« Un gérant de SARL cède ses parts après un pacte d’associés litigieux »	À éviter (risque de ré-identification)	Acceptable avec DPA art. 28	Acceptable
N3 — Dossier nominatif	Identité, pièces, correspondances, montants, stratégie	Note de dossier, compte rendu de consultation, courrier confrère	Exclu	Sous conditions strictes	Recommandé
N4 — Sensible renforcé	Pénal, familial, santé, secret des affaires, dossier médiatisé	Garde à vue, divorce conflictuel, procédure collective non publique	Exclu	Exclu en pratique	Seule option raisonnable

La règle opérationnelle qui découle de ce tableau tient en une phrase : au-delà du niveau 2, la question n’est plus « quel modèle ? » mais « les données quittent-elles le poste ? ». Un cabinet qui ne traite jamais que du N1 en ligne et bascule tout le N3-N4 en local n’a plus de zone grise à documenter.

Le piège le plus courant se situe au niveau 2. L’anonymisation improvisée ne fonctionne pas : retirer un nom mais conserver la commune, le secteur d’activité, la date d’audience et le montant du litige laisse un dossier parfaitement ré-identifiable. Le CNB parle d’anonymisation préalable ; le RGPD, lui, ne reconnaît comme anonyme qu’une donnée dont la ré-identification est impossible — pas seulement improbable. Dans un contentieux local, cette barre est rarement atteinte.

Comment rédiger la note de dossier sans reconstituer de mémoire ?

Le vrai coût du secret professionnel, ce n’est pas l’interdiction : c’est le report. Un avocat qui s’interdit tout outil sur les dossiers nominatifs finit par rédiger ses notes le soir, ou trois jours plus tard, à partir de notes manuscrites partielles. La note ainsi reconstituée perd exactement ce qui fait sa valeur probatoire : la précision des demandes du client, la mention des options écartées, la date des mises en garde délivrées.

Le protocole ci-dessous vise à produire une note exploitable dans les 30 minutes qui suivent la consultation, sans jamais franchir la ligne du niveau 3.

Étape	Fenêtre	Action	Point de contrôle
1. Information	Avant l’entretien	Mentionner l’usage d’un outil d’assistance et son caractère local	Clause de la convention d’honoraires signée
2. Captation	Pendant l’entretien	Enregistrement ou dictée traitée sur le poste, sans transmission	Aucune connexion sortante pendant le traitement
3. Génération	T + 2 min	Brouillon structuré : demandes, faits, options examinées, mises en garde, échéances	Le brouillon n’est jamais un livrable
4. Relecture	T + 10 min	Vérification et correction ligne à ligne par l’avocat	Diligence de l’article 3 du RIN
5. Validation	T + 20 min	Intégration au dossier, horodatage, note versée au RPVA le cas échéant	La note validée fait foi, pas le brouillon
6. Purge	T + 30 min	Suppression de l’audio source	Limitation de conservation, art. 5.1.e du RGPD

Deux points méritent d’être soulignés. D’abord, l’étape 6 n’est pas cosmétique : conserver l’enregistrement d’une consultation crée une dette de données qui survivra au dossier et deviendra, en cas de perquisition ou de litige, un objet à protéger de plus. La bonne pratique est symétrique de celle documentée pour l’enregistrement des rendez-vous en cabinet de courtage — produire l’écrit, supprimer la source — que nous détaillons dans notre analyse du cadre RGPD de l’enregistrement des rendez-vous clients.

Ensuite, l’étape 4 est la seule qui ne peut pas être compressée. Le guide du CNB en fait une obligation de méthode : c’est l’avocat qui répond du contenu, jamais l’éditeur. Un brouillon non relu transmis à un client ou à un confrère engage la responsabilité professionnelle sans aucune exonération possible.

Quelle clause IA insérer dans la convention d’honoraires ?

La révision du 13 avril 2026 a introduit une clause optionnelle. « Optionnelle » signifie que le CNB ne l’impose pas, pas qu’elle soit facultative sur le plan du risque : dès lors que le cabinet utilise un outil, l’absence d’information du client devient un manquement au devoir d’information, et l’article 50 de l’AI Act ajoute depuis le 2 août 2026 une obligation autonome de transparence.

Une clause utile couvre quatre éléments, dans cet ordre :

• La nature de l’assistance : l’outil intervient en soutien technique, il ne produit ni analyse, ni raisonnement, ni jugement.
• Le périmètre des données : quelles catégories de données du dossier sont traitées, et par quel type d’outil.
• Le lieu du traitement : traitement sur le poste de l’avocat, ou hébergement identifié en Union européenne avec contrat de sous-traitance au sens de l’article 28 du RGPD.
• La responsabilité : l’avocat conserve l’entière maîtrise et la responsabilité des travaux, et relit chaque contenu avant transmission.

Le guide recommande aussi d’avertir le client du risque inverse : soumettre lui-même les écrits de son avocat à une IA grand public compromet la confidentialité que le cabinet protège. C’est un point rarement traité et pourtant décisif dans les dossiers d’entreprise, où le client relit souvent les conclusions avec ses propres outils.

Comment auditer un outil IA en sept points avant de l’installer ?

Le CNB a diffusé une grille de décision fondée sur quatre critères : souveraineté et sécurité des données, fonctionnalités, conformité éthique, coût. Elle est juste mais non opposable — un éditeur peut y répondre par des affirmations. Voici la version opérationnelle, avec des seuils vérifiables. Un outil qui échoue à l’un des trois premiers points est disqualifié pour les niveaux 3 et 4 de la grille de sensibilité, quel que soit son score ailleurs.

#	Point d’audit	Question à poser à l’éditeur	Seuil d’acceptation
1	Flux sortant	Les données du dossier transitent-elles par un serveur tiers ?	Aucun flux sortant, vérifiable au pare-feu
2	Conservation de l’audio	Combien de temps l’enregistrement source est-il conservé ?	Suppression après génération, sans copie
3	Entraînement	Les contenus traités servent-ils à entraîner un modèle ?	Exclusion contractuelle explicite
4	Sous-traitance	Contrat art. 28 RGPD, liste des sous-traitants ultérieurs, localisation	UE uniquement, liste communiquée
5	Fonctionnement dégradé	L’outil fonctionne-t-il sans connexion internet ?	Oui pour un traitement local
6	Réversibilité	Export des notes dans un format ouvert, sans dépendance à l’éditeur	Export intégral en un clic
7	Transparence AI Act	L’information des personnes est-elle prévue nativement ?	Mention prévue depuis le 2 août 2026

Le point 3 est celui sur lequel les réponses commerciales sont les plus floues. « Nous n’entraînons pas nos modèles sur vos données » ne vaut que si l’engagement figure au contrat et couvre également les sous-traitants du fournisseur. À défaut, la question du secret professionnel se repose intégralement.

Ce que l’AI Act du 2 août 2026 ajoute — et ce qu’il n’ajoute pas

Il faut être précis, parce que la confusion est fréquente. Depuis le 2 août 2026, l’article 50 du règlement (UE) 2024/1689 impose des obligations de transparence : signaler qu’un contenu a été généré ou manipulé par une IA, informer les personnes qui interagissent avec un système d’IA. Ces obligations pèsent sur les fournisseurs comme sur les utilisateurs professionnels. Le paquet de simplification Digital Omnibus a toutefois accordé un sursis jusqu’au 2 décembre 2026 pour l’exigence de marquage lisible par machine des systèmes déjà sur le marché. Le barème de sanctions atteint 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial.

Ce que l’AI Act n’ajoute pas pour un cabinet d’avocats : une qualification « haut risque » du simple fait de rédiger des notes de dossier. Les obligations renforcées visent des usages listés à l’annexe III, parmi lesquels l’administration de la justice — c’est-à-dire l’aide à la décision juridictionnelle, pas l’assistance rédactionnelle interne d’un cabinet. Le débat sur la classification haut risque concerne davantage les secteurs réglementés qui automatisent des décisions individuelles, comme l’assurance ou le crédit ; nous en avons analysé les implications côté cabinets d’intermédiation sur moncourtier.ai, et côté acquisition réglementée sur olead.fr.

Pour un avocat, la hiérarchie des normes reste donc claire : l’article 66-5 prime. Un usage parfaitement conforme à l’AI Act mais qui expose une information couverte par le secret professionnel reste une faute déontologique et un délit pénal. L’inverse n’est pas vrai.

Que retenir avant la rentrée judiciaire ?

Trois décisions suffisent à mettre un cabinet en conformité avant septembre 2026 :

1. Classer ses usages selon la grille N1 à N4, et poser par écrit la règle interne : rien au-delà de N2 ne sort du poste.
2. Ajouter la clause IA aux conventions d’honoraires signées à partir de la rentrée, en reprenant les quatre éléments listés plus haut.
3. Auditer l’outil de compte rendu sur les sept points du tableau, et documenter les réponses — c’est cette documentation qui sera produite en cas de question de l’Ordre.

Le raisonnement vaut au-delà du barreau. Les professions qui, comme les avocats, doivent tracer un entretien confidentiel sans le faire sortir de leur cabinet — conseillers en gestion de patrimoine soumis à MIF II, courtiers soumis à l’IOBSP, médecins tenus au secret médical — se heurtent au même arbitrage entre qualité de la trace et confidentialité. Le chiffrage de ce coût côté intermédiaires est détaillé dans notre article sur le temps de saisie après le rendez-vous.

onKall est une application de bureau conçue pour ce cas précis : la consultation est transcrite et structurée en note de dossier intégralement sur le poste de l’avocat, sans aucun flux sortant, et l’audio est supprimé après génération. L’avocat relit, corrige et valide — le document reste le sien. Découvrir onKall pour les avocats et télécharger l’application.

Sources

• Conseil national des barreaux — Le CNB adopte un guide sur la déontologie et l’intelligence artificielle (assemblée générale des 12 et 13 mars 2026)
• Conseil national des barreaux — Révision des modèles types de conventions d’honoraires, clause IA (13 avril 2026)
• Légifrance — Article 226-13 du code pénal (révélation d’une information à caractère secret : 1 an et 15 000 €)
• Légifrance — Article 66-5 de la loi n° 71-1130 du 31 décembre 1971 (secret professionnel de l’avocat)
• EUR-Lex — Règlement (UE) 2024/1689 sur l’intelligence artificielle, article 50 (obligations de transparence, applicable au 2 août 2026)
• CNIL — Recommandations sur le développement des systèmes d’IA et le RGPD
• Wolters Kluwer — Future Ready Lawyer 2026 (rapport publié le 10 mars 2026, 810 avocats et juristes interrogés aux États-Unis, en Chine et dans neuf pays européens dont la France)

À propos de l’auteur

Cet article est rédigé par l’équipe onKall, qui conçoit une application de bureau destinée aux professionnels du conseil réglementé — avocats, médecins, conseillers en gestion de patrimoine, courtiers en assurance et en crédit. Notre parti pris est constant : le traitement s’effectue intégralement sur le poste de l’utilisateur, l’audio est supprimé après génération du compte rendu, et le professionnel demeure seul responsable du document qu’il relit et valide. Les grilles et protocoles présentés ici sont des outils de travail, construits à partir des textes cités et à ajuster à l’organisation de votre cabinet. Ils ne constituent pas une consultation juridique.