Un projet d'acte à relire, un échange de courriers à résumer avant un rendez-vous, une convention dont il faut sortir les échéances. Un outil d'IA en ligne peut en préparer un premier jet, et quelqu'un dans l'étude l'utilise peut-être déjà, sur son ordinateur ou sur son téléphone.
La question n'est pas de savoir si l'outil est bon. Elle est de savoir où part le document, et si ce départ est compatible avec le secret que vous devez à vos clients.
Ce que protège l'article 321 du Code pénal
L'article 321 du Code pénal vise notamment les avocats, les défenseurs en justice et les notaires, ainsi que leurs auxiliaires. Il réprime la révélation d'un secret qui leur a été confié en vertu de leur profession ou dont ils ont eu connaissance en l'exerçant. C'est une infraction poursuivie sur plainte, et elle reste punissable même si la personne n'exerce plus sa profession.
Le texte prévoit deux issues. La révélation n'est pas punissable si l'intéressé y consent, ou si l'autorité supérieure ou de surveillance l'autorise par écrit, sur proposition du détenteur du secret. Les dispositions fédérales et cantonales sur l'obligation de renseigner ou de témoigner sont réservées.
Retenez surtout ceci : le secret porte sur l'information, pas sur le support. Le nom d'un client, le contenu d'un testament, la stratégie d'un litige restent couverts, qu'ils soient dans un classeur, dans un e-mail ou dans la fenêtre d'un assistant conversationnel.
Où partent les documents saisis
Quand on colle un texte ou qu'on dépose un PDF dans un outil d'IA grand public, le traitement ne se fait pas sur votre poste. Le contenu est envoyé aux serveurs du fournisseur, traité là-bas, puis la réponse revient. La suite dépend des conditions du service, et elles varient d'un outil à l'autre et d'une offre à l'autre :
- la conversation peut être conservée dans l'historique du compte, parfois sans limite de durée tant qu'on ne l'efface pas ;
- les contenus saisis peuvent servir à améliorer ou entraîner les modèles du fournisseur, sauf si un réglage le désactive ;
- des employés ou des sous-traitants du fournisseur peuvent avoir accès à certaines conversations, par exemple pour contrôler les abus ;
- les serveurs peuvent se trouver hors de Suisse, et le fournisseur relève alors d'un autre droit que le vôtre.
Le Préposé fédéral à la protection des données et à la transparence le rappelle : le droit suisse de la protection des données est directement applicable aux traitements qui recourent à l'IA, et les utilisateurs doivent savoir si leurs saisies servent à améliorer les programmes. Pour une étude, ce n'est pas un détail de confidentialité parmi d'autres. C'est la question de savoir si le dossier d'un client vient d'être remis à un tiers.
Le fournisseur, auxiliaire ou tiers
Une étude confie depuis longtemps des données à des prestataires : fiduciaire, informaticien, hébergeur de la messagerie. Le secret ne l'interdit pas en soi. Avec un outil grand public, c'est la nature de la relation qui change.
Un prestataire que vous avez choisi, avec un contrat qui définit ce qu'il fait des données, qui l'oblige à la confidentialité et qui limite les accès, peut s'insérer dans l'organisation de l'étude. Un service ouvert à tous, accepté par un clic sur des conditions générales rédigées pour des millions d'utilisateurs, n'offre rien de comparable. Vous ne savez ni qui y accède, ni ce qui est gardé, ni sous quel droit.
La loi sur la protection des données va dans le même sens. Son article 9 n'autorise à confier un traitement à un sous-traitant que si un contrat ou la loi le prévoit, et si aucune obligation légale ou contractuelle de garder le secret ne l'interdit. Le responsable doit en outre s'assurer que le sous-traitant garantit la sécurité des données, et celui-ci ne peut pas sous-traiter à son tour sans autorisation préalable.
Savoir si un fournisseur précis peut être traité comme un auxiliaire, et à quelles conditions, dépend du contrat et du cas : c'est une question à poser à un avocat spécialisé ou à votre autorité de surveillance. Une chose est sûre : on ne peut pas y répondre sans avoir lu le contrat.
Ce qu'il faut demander au fournisseur
Avant d'utiliser un outil sur un dossier, les réponses à ces questions doivent exister par écrit, dans le contrat ou dans une annexe signée, pas seulement dans une page d'information :
- Où les données sont-elles stockées et traitées ? Dans quel pays, chez quel hébergeur, et sous quel droit.
- Combien de temps sont-elles conservées ? Et comment obtenir leur suppression, y compris dans les sauvegardes.
- Servent-elles à entraîner ou à améliorer un modèle ? Le refus doit être la règle par défaut, pas un réglage que chaque collaborateur doit penser à désactiver.
- Qui peut y accéder ? Le personnel du fournisseur, ses sous-traitants, et dans quelles circonstances.
- Quels sous-traitants interviennent ? Leur liste, et l'engagement de vous prévenir avant tout changement.
- Le fournisseur s'engage-t-il à la confidentialité ? Par une clause qui tient compte du secret professionnel, pas par une formule générale.
Les offres destinées aux entreprises prévoient parfois des conditions différentes de la version gratuite du même outil. C'est le contrat qui le dit. Un fournisseur sérieux doit pouvoir décrire le parcours des données avant que vous signiez ; c'est d'ailleurs ce que nous fournissons par écrit, sur demande, avant tout engagement, comme l'explique la page où vont vos données.
Anonymiser ne règle pas tout
Une réponse courante consiste à retirer les noms avant de coller le texte. C'est mieux que rien, mais c'est moins protecteur qu'il n'y paraît. Une succession dans une petite commune, une date d'acte, un montant, le nom d'une parcelle ou d'une société suffisent souvent à reconnaître une personne. Et le simple fait qu'un client a consulté l'étude peut lui-même relever du secret.
Anonymiser correctement un dossier demande du soin, et ce soin doit être pris par la personne qui connaît le dossier. Si l'outil n'est utilisable qu'après ce travail, il n'est probablement pas le bon outil pour ce type de document. L'IA peut préparer un premier jet utile ; elle doit le faire dans un cadre où le document ne quitte pas un périmètre que vous connaissez.
À vérifier aujourd'hui, en dix minutes
- Faites la liste des outils d'IA utilisés dans l'étude. Demandez à chaque personne, y compris sur les téléphones et les comptes personnels. C'est souvent là que se trouve la vraie réponse.
- Pour chaque outil, ouvrez les paramètres du compte. Cherchez la rubrique consacrée aux données ou à la confidentialité, et notez si l'historique est conservé et si les contenus peuvent servir à améliorer le service.
- Vérifiez quel contrat vous lie. Un compte gratuit ouvert avec une adresse personnelle n'est pas une offre professionnelle signée par l'étude.
- Écrivez une règle d'une ligne et diffusez-la. Par exemple : « Aucun document de dossier dans un outil en ligne sans contrat validé par l'étude. » Une règle écrite ne dépend plus de ce que chacun a en tête, comme pour le dossier que seule une personne sait traiter.
Si vous vous demandez ce que deviennent les documents dans un outil conçu avec nous, nos questions fréquentes répondent aussi à la question de la sécurité des données.