Guide IA du CNB : ce qu'il impose avant de confier un dossier à une IA
Le guide IA du Conseil national des barreaux (mars 2026) applique le secret professionnel et le RGPD à l'IA générative. Rien de couvert par le secret n'entre dans l'outil : les données du client sont d'abord remplacées par des codes neutres, réversibles par l'avocat seul. Le fournisseur est lié par un contrat de sous-traitance, et chaque résultat est vérifié.
Que dit le guide, en une phrase ?
Que l'IA générative est un outil comme un autre, soumis aux mêmes principes que le reste de l'exercice : secret professionnel, RGPD, compétence, prudence, indépendance, information du client et juste fixation des honoraires. Le guide ne dit pas « n'utilisez pas l'IA ». Il dit à quelles conditions on peut s'en servir sans manquer à ces principes, et il le dit de façon opérationnelle, avec des bonnes pratiques et des exemples.
Il a été adopté en mars 2026 et annoncé par le CNB le 17 mars 2026. Le fondement reste l'article 66-5 de la loi du 31 décembre 1971, selon lequel les consultations, les correspondances, les notes d'entretien et, plus généralement, toutes les pièces du dossier sont couvertes par le secret professionnel.
Peut-on encore utiliser ChatGPT ou une autre IA générative ?
Oui, pour une utilisation ponctuelle et encadrée, et à une condition qui commande tout le reste : ne jamais transmettre à l'outil une information couverte par le secret. Un contrat client, un jugement, des conclusions, une note d'entretien sont des pièces du dossier. Les coller tels quels dans une IA grand public, c'est les confier à un tiers, qui les conserve souvent et les traite parfois hors de l'Union européenne.
La question n'est donc pas « quelle IA », mais « qu'est-ce qui entre dans l'IA ». Si ce qui entre ne permet plus d'identifier le client, ses cocontractants ni les tiers, le secret n'est pas levé.
Qu'exige le guide pour les données du client ?
Qu'elles soient remplacées avant tout envoi. Les lectures publiées du guide décrivent la même méthode :
- remplacer chaque élément identifiant — noms, prénoms, sociétés, adresses, références de dossier — par un code neutre : « Monsieur Dupont » devient « Partie A », « la société ABC » devient « Entreprise X » ;
- documenter la procédure suivie ;
- faire en sorte que le remplacement ne soit réversible que par l'avocat, qui seul détient la correspondance entre les codes et les vraies valeurs.
Cette dernière exigence a une conséquence de vocabulaire : un document qu'on peut rétablir grâce à une table de correspondance est, au sens du RGPD, pseudonymisé, pas anonymisé. La différence n'est pas qu'académique ; nous y consacrons une page entière.
Faut-il un contrat avec le fournisseur d'IA ?
Oui. Dès que le fournisseur traite pour le cabinet des données personnelles — et c'est le cas dès qu'il reçoit un document avant anonymisation —, une relation de sous-traitance au sens de l'article 28 du RGPD s'établit. Elle doit être encadrée par un contrat (souvent appelé DPA, data processing agreement) avant le premier traitement.
En pratique, les grands fournisseurs proposent un contrat standard, accepté en ligne et intégré à leurs conditions, plutôt qu'un exemplaire signé et nominatif pour chaque client. Ce qu'il faut vérifier :
- que ce contrat existe pour l'offre que vous utilisez — les offres grand public et gratuites en sont souvent dépourvues ;
- qu'il vise l'article 28 et liste les sous-traitants ultérieurs ;
- qu'il dit ce que devient la donnée après le traitement : conservation, réutilisation pour entraîner des modèles, durée.
Où les données peuvent-elles être traitées ?
La lecture du guide publiée par le Village de la Justice en retient trois vérifications : que les données soient hébergées en France ou dans l'Union européenne, quelle est la nationalité de la société qui exploite les serveurs, et que cette société ne soit pas soumise à des dispositions extraterritoriales. Le lieu du serveur ne suffit pas : une société de droit américain qui opère en Europe reste soumise au droit américain.
C'est un point sur lequel il faut regarder au-delà du fournisseur principal. Un fournisseur d'IA européen peut faire tourner une partie de son calcul chez des hébergeurs qui ne le sont pas. La liste de ses sous-traitants ultérieurs, qu'il doit publier, le dit.
Qui est responsable de ce que produit l'IA ?
L'avocat, entièrement. L'IA est un outil d'assistance, pas de substitution : chaque contenu produit doit être relu, contrôlé et validé avant d'être utilisé. Une jurisprudence inventée, un article de loi mal cité, une clause qui ne dit pas ce que le client voulait engagent le cabinet, pas l'éditeur de l'outil.
Faut-il informer le client ?
Le guide fait de l'information du client un principe. Les lectures publiées en tirent deux points concrets : le consentement du client est requis si ses données servent à entraîner un système d'IA interne au cabinet, et la convention d'honoraires peut comporter une clause qui formalise les conditions d'usage de l'IA — une clause présentée comme optionnelle dans les modèles du CNB.
Même facultative, cette clause a une utilité : elle oblige le cabinet à écrire ce qu'il fait réellement, et c'est souvent en l'écrivant qu'on découvre ce qu'on ne fait pas.
Ce que vous devez pouvoir montrer
Traduit en pièces, le guide revient à pouvoir répondre, dossier en main, aux questions d'un client, d'un bâtonnier ou d'un délégué à la protection des données.
| Question | Ce qui y répond |
|---|---|
| Qu'est-ce qui est parti dans l'IA ? | Le document tel que l'outil l'a reçu, sans nom ni identifiant |
| Qui peut revenir aux vraies valeurs ? | La table de correspondance, et la liste de ceux qui y ont accès |
| Qui a vu le texte en clair ? | La liste des prestataires, leur pays et la nationalité de leur société |
| Sous quel contrat ? | Le contrat de sous-traitance (article 28) de chaque prestataire |
| Qu'en ont-ils gardé ? | La politique de conservation, et sa preuve quand elle existe |
| Le client le sait-il ? | La clause de la convention d'honoraires |
Caviardeur a été construit pour produire ces pièces : le document anonymisé, une table lisible par le seul cabinet et une attestation par document. Le détail, prestataire par prestataire et avec nos réserves, est sur la page Dossier de conformité.
Sources
- Conseil national des barreaux, « Le CNB adopte un guide sur la déontologie et l'Intelligence artificielle », 17 mars 2026 — cnb.avocat.fr. Consulté le 29 septembre 2026.
- Nathalie Hantz, Rédaction du Village de la Justice, « IA et déontologie des avocats : notre lecture du guide du CNB », 23 avril 2026 — village-justice.com.
- JurIAdoc, « Guide CNB mars 2026 : ce que l'IA impose à votre cabinet » — juriadoc.fr.
- Loi n° 71-1130 du 31 décembre 1971, article 66-5 — Légifrance.
- Règlement (UE) 2016/679 (RGPD), article 28 — EUR-Lex.