Secret professionnel et IA : ce que dit le texte, et ce qu’il ne dit pas
Ce que recouvre exactement l’article 226-13 du code pénal quand un document part dans un service en ligne, et pourquoi le RGPD ne répond pas à la même question.
Brouillon de démonstration — à réécrire
La question revient à chaque rendez-vous, formulée à peu près comme ça : « on nous parle de RGPD, mais concrètement, qu’est-ce qu’on risque ? » Les deux régimes sont distincts, et c’est le second que les cabinets anticipent le moins.
Deux régimes, deux natures de risque
Le RGPD organise la protection des données personnelles. Il s’adresse au responsable de traitement, c’est-à-dire à la structure. La sanction est administrative, prononcée par la CNIL, et elle vise le cabinet.
Le secret professionnel est d’une autre nature. Il ne protège pas des données, il protège une relation. Et il ne s’adresse pas à la structure mais à la personne.
Est puni d’un an d’emprisonnement et de 15 000 euros d’amende la révélation d’une information à caractère secret par une personne qui en est dépositaire soit par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire.
C’est l’article 226-13 du code pénal. Il ne mentionne ni serveur, ni sous-traitant, ni transfert hors Union européenne : il parle de révélation.
Ce que « révéler » veut dire quand on colle un document
Un collaborateur qui dépose un procès-verbal d’assemblée générale dans un service en ligne ne le publie pas. Il le transmet à un tiers, qui l’héberge, le traite, et parfois s’autorise contractuellement à l’exploiter.
La difficulté est là. Le secret ne suppose pas une intention de nuire, ni une diffusion publique. La communication à un tiers non autorisé suffit à poser la question, et l’appréciation ne dépend pas de ce qu’en fait le destinataire.
Ce que le texte ne dit pas
Il faut être honnête sur les limites de ce raisonnement.
- La jurisprudence sur ce cas précis est mince. Nous n’avons pas connaissance d’une décision française portant spécifiquement sur le dépôt d’une pièce couverte dans un service d’IA généraliste. Quiconque vous affirme le contraire vous vend quelque chose.
- Les conditions contractuelles évoluent. Certains services proposent des offres professionnelles sans réutilisation des contenus. C’est un progrès, mais cela déplace la question sans l’éteindre : le tiers reste un tiers.
- Le risque disciplinaire est le plus immédiat. Avant le pénal, il y a l’Ordre ou le bâtonnier. C’est là que se posent, en pratique, les premières questions.
Ce que ça implique concrètement
La conclusion utile n’est pas « interdisez ». Une interdiction sans alternative déplace l’usage vers les téléphones personnels, où plus rien n’est ni visible ni documenté.
La conclusion utile est qu’il faut pouvoir répondre à trois questions, par écrit :
- Quels outils sont utilisés dans le cabinet, y compris ceux que personne n’a déclarés ?
- Quelles catégories de documents y passent ?
- Qui, en dehors du cabinet, peut techniquement y accéder ?
Un cabinet qui sait répondre à ces trois questions a fait l’essentiel du travail. C’est précisément ce que produit l’audit de confidentialité.
Cet article ne constitue pas une consultation juridique. Il présente le cadre général applicable ; l’appréciation d’une situation particulière relève de votre conseil ou de votre Ordre.
Vous voulez savoir ce qui sort déjà de votre cabinet ? Deux jours suffisent à le documenter.