Vous savez de qui je parle. Vous ne faites rien d'inhabituel. Et c'est précisément là le problème.
Lundi matin. Échéance serrée. Un contrat client de 90 pages traîne sur votre bureau, et votre associé veut une synthèse stratégique pour jeudi. Vous ouvrez ChatGPT. Vous collez le document. Vingt-quatre heures plus tard, une synthèse impeccable atterrit dans sa boîte de réception — argumentaire structuré, rigueur de niveau doctoral, des recoupements auxquels les propres juristes du client n'avaient pas pensé. L'associé lève les yeux : « Comment avez-vous fait pour boucler ça aussi vite ? »
La seconde question — celle qu'il ne pose pas —, vous l'éludez.
Cette scène se rejoue chaque jour dans les cabinets d'avocats, les sociétés de conseil, les hôpitaux, les cabinets comptables et les administrations. En silence. À grande échelle.
Ce que vous avez réellement téléversé
Ce contrat, ce n'était pas seulement 90 pages de prose juridique. Il contenait la dénomination sociale complète du client, son adresse, ses coordonnées bancaires, l'identité de sa contrepartie, les conditions de l'opération, les clauses pénales, et l'intention stratégique derrière une transaction qu'il n'a peut-être même pas encore présentée à son propre conseil d'administration.
Toutes les données qu'un régulateur qualifie de « à caractère personnel » — et bien davantage.
Le tout a transité, par Internet, vers l'infrastructure cloud commerciale d'une entreprise américaine, traité sur des serveurs dont vous ne voyez rien, selon des conditions d'utilisation que la plupart des gens n'ont, en réalité, jamais lues.
Pourquoi cette pratique se répand
Le gain de productivité est réel. Inutile de prétendre le contraire. Les outils d'IA condensent véritablement des heures de synthèse en quelques minutes, et la qualité du résultat est souvent bluffante. Aucune compétence technique n'est requise — coller du texte dans une fenêtre de discussion, c'est on ne peut plus simple. Et surtout : personne ne vous voit faire. On a le sentiment qu'il n'y a pas de victime.
D'autres ressorts, plus subtils, entrent en jeu. L'IA « ne fait que traiter du texte » — cela paraît abstrait, éphémère, sans commune mesure avec le fait de tendre une clé USB à un inconnu. L'interface est conçue pour donner une impression d'intimité. Et la pression, elle, est bien réelle : l'associé veut un travail de niveau doctoral pour mardi matin, et l'IA livre la marchandise.
Ce ne sont pas des excuses. C'est la description de ce qui fait que le problème enfle dans le silence plutôt qu'au grand jour — et la raison pour laquelle les enquêtes montrent, sans exception, qu'une majorité de cadres s'y adonnent régulièrement, alors que la plupart de leurs organisations n'ont aucune règle qui encadre cela.
Ce que l'IA a réellement vu — et ce qu'il en est advenu
Les fournisseurs d'IA n'appliquent pas tous la même politique de traitement des données, et les nuances pèsent lourd :
- La plupart des comptes gratuits ou grand public autorisent le fournisseur à utiliser les conversations pour améliorer ses modèles. Cela inclut le contrat que vous avez collé.
- Les comptes entreprise offrent généralement des engagements plus solides — pas d'usage pour l'entraînement, traitement plus encadré — mais la plupart des cadres n'ont pas de forfait entreprise, et même ces conditions ne satisfont pas les exigences de localisation des données du RGPD dans toutes les juridictions.
- Des relecteurs humains peuvent consulter les conversations signalées ou échantillonnées, dans le cadre des programmes de sécurité de la plupart des grands fournisseurs.
- Les sous-traitants : vos données peuvent transiter par des infrastructures cloud réparties dans plusieurs pays, chacun relevant d'un régime juridique différent.
La politique de confidentialité n'est pas un bouclier. C'est un contrat entre vous et le fournisseur d'IA. Elle ne dit rien du contrat qui vous lie à votre client — et elle ne vous affranchit pas de vos obligations au titre du droit de la protection des données.
Les conséquences que personne n'ose dire tout haut
Plusieurs points d'exposition se distinguent, et leurs effets se cumulent :
Violation de l'accord de confidentialité et du contrat
Presque toute mission de services professionnels comporte une clause de confidentialité interdisant de communiquer les données du client à des tiers. « Les tiers », cela inclut les fournisseurs d'IA. Ce n'est pas une zone grise — c'est le texte même de la plupart des accords de confidentialité. Si un client découvre que ses données ont été traitées par un outil d'IA commercial sans son consentement, il dispose d'un fondement pour agir, que le moindre préjudice se soit matérialisé ou non.
RGPD et droit de la protection des données
Au regard du RGPD, vous êtes le responsable du traitement des données personnelles de votre client. Le fournisseur d'IA devient un sous-traitant. Pour que ce transfert soit licite, il vous faut un accord de traitement des données en bonne et due forme — ainsi qu'une base légale pour le transfert transfrontalier. Recourir à un outil d'IA commercial sans cela ne relève pas du simple manquement aux bonnes pratiques. C'est une infraction potentielle aux articles 28 et 46, passible d'amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour un cabinet de taille moyenne, cela n'a rien de théorique.
Obligation déontologique
Avocats, experts-comptables, médecins et professionnels des RH sont tenus à des devoirs de confidentialité propres à leur secteur, qui existent en dehors de tout droit des contrats. L'avocat qui divulgue les données d'un client à un fournisseur d'IA sans le consentement éclairé de celui-ci s'expose à une procédure disciplinaire devant son ordre. L'issue ne dépend pas de l'intention. Elle dépend des faits.
Perte de la confiance du client
Les régulateurs prennent leur temps. Les clients, eux, réagissent sur-le-champ. Encore faut-il savoir à quoi. Rarement à l'usage de l'IA en tant que tel : ils savent qu'un cabinet moderne s'appuie sur des outils automatisés, et peu s'en émeuvent — ils s'y attendent, même. Ce qu'ils tiennent pour acquis, en revanche, c'est que leurs informations confidentielles en aient été retirées avant que le moindre service extérieur n'y touche.
C'est là, précisément, que se joue la confiance. Le client à qui l'on explique que ses données sensibles ont été expurgées en amont, par des techniques éprouvées, n'a aucun grief : le traitement a porté sur un document anonymisé, non sur ses secrets. Mais qu'il découvre que ses informations brutes — noms, montants, clauses — ont été transmises telles quelles à un service tiers, et la relation s'arrête net. Le moyen par lequel il l'apprend importe peu : une demande d'accès à ses données, une notification de violation, un ancien collègue rancunier, ou tout bonnement une question posée sans détour. Or, dans les services professionnels, la relation, c'est toute l'activité.
L'atteinte à la réputation ne se limite pas à l'incident lui-même. Les clients se parlent entre eux.
L'argument du « mais leur politique de confidentialité dit que… »
C'est le premier réflexe. « OpenAI affirme ne pas utiliser les données entreprise pour l'entraînement. » « Anthropic a pris un engagement de confidentialité. » Ces affirmations sont peut-être exactes — pour ce type de compte précis, dans cette juridiction précise, selon les conditions précises en vigueur au moment du traitement.
Elles ne satisfont pas aux exigences du RGPD en matière de licéité du traitement. Elles n'annulent pas votre accord de confidentialité. Elles ne constituent pas une défense face à une plainte déontologique. Et elles ne vous seront d'aucun secours si la politique du fournisseur change, si vous vous êtes trompé sur la formule à laquelle vous avez souscrit, ou si un régulateur retient une lecture du mot « traitement » plus étroite que la vôtre.
S'appuyer sur la politique de confidentialité d'un prestataire pour justifier le traitement des données d'un client, c'est comme compter sur l'assurance d'un fournisseur pour couvrir sa propre responsabilité. Ces polices existent bel et bien. Elles ne font simplement pas ce dont vous avez besoin.
La solution est plus simple que la conformité ne le laisse croire
L'IA n'a pas besoin de savoir que la contrepartie est « Acme GmbH, domiciliée Friedrichstraße 123, à Berlin » pour vous aider à analyser la structure contractuelle. Elle a besoin de la structure, de la langue, de la logique des clauses. Retirez les identités, gardez le contenu.
Anonymisez le document avant de le coller. Remplacez les noms par [PERSON_1], les adresses par [ADDRESS_1], les numéros de compte par [IBAN_1]. L'IA produit une analyse d'une qualité identique. Vous pourrez rétablir la correspondance des jetons ensuite. Le risque tombe à un niveau quasi nul.
Ce n'est pas une posture de conformité abstraite. C'est une étape de deux minutes qui sépare la méthode de travail que vous avez déjà de celle que vous pouvez réellement défendre.
Le rapport de niveau doctoral reste tout à fait possible. Les données du client, elles, restent là où est leur place.
