Peut-on utiliser l’IA quand on est tenu au secret professionnel ?

Que dit la loi ?

L’article 226-13 du Code pénal punit d’un an d’emprisonnement et de 15 000 € d’amende la révélation d’une information à caractère secret par la personne qui en est dépositaire par état ou par profession. Des textes propres à chaque métier le déclinent : l’article 21 de l’ordonnance du 19 septembre 1945 pour les experts-comptables, l’article 66-5 de la loi du 31 décembre 1971 pour les avocats.

Aucun de ces textes ne parle d’intelligence artificielle. La question qu’ils posent est toujours la même : l’information est-elle sortie vers quelqu’un qui n’avait pas à la recevoir ?

Une PME est-elle concernée ?

La plupart des PME ne sont pas tenues au secret professionnel au sens pénal. Elles sont tenues à trois obligations voisines, qui se raisonnent de la même façon :

• les clauses de confidentialité de leurs contrats avec clients et fournisseurs ;
• le secret des affaires, protégé par les articles L. 151-1 et suivants du Code de commerce ;
• le RGPD, dès qu’une personne est identifiable dans ce qui est envoyé au modèle.

Pourquoi un outil grand public pose-t-il problème ?

Parce que l’information part chez un fournisseur avec lequel l’entreprise n’a aucun contrat de sous-traitance, et dont les conditions générales peuvent autoriser la réutilisation des données. Pour ces services, la CNIL recommande de « ne jamais partager d’informations confidentielles telles que des données personnelles ». Elle rappelle aussi qu’avec une simple interface de programmation, « la maîtrise du système est alors quasi exclusivement dans les mains du fournisseur ».

À quelles conditions l’usage de l’IA se défend-il ?

Six conditions reviennent dans les recommandations de la CNIL et dans la pratique des professions réglementées :

• Un contrat de sous-traitance avec le fournisseur du modèle et avec l’hébergeur : la CNIL demande de « sécuriser le recours à une infrastructure externe par le biais d’un contrat de sous-traitance ».
• L’opposition à la réutilisation des données par le fournisseur, écrite au contrat.
• Le retrait de ce qui identifie le client avant l’envoi, chaque fois que la tâche n’en a pas besoin.
• Des accès par personne et par rôle, et un journal de ce qui a été lu et produit.
• Une relecture humaine de ce qui sort : la CNIL écrit que les utilisateurs « devraient toujours porter un regard critique » sur les résultats.
• Une formation avant l’usage : la CNIL recommande « des formations obligatoires préalables à l’utilisation de ces systèmes ».

Quatre situations, de la moins défendable à la plus sûre

Que disent les ordres professionnels ?

Le Conseil national des barreaux a adopté en mars 2026 un guide sur la déontologie et l’intelligence artificielle : le secret s’impose à l’avocat quel que soit l’outil. Le Conseil des barreaux européens avait publié le sien le 2 octobre 2025, avec une partie consacrée au secret professionnel. Dans les deux cas, la consigne est la même : choisir l’outil d’après les garanties qu’il donne sur les données, pas d’après sa commodité.

Ce que fait Kaoly

Kaoly construit et fait tourner des agents IA pour les PME, à partir d’entretiens menés auprès de leurs équipes. Quatre règles s’appliquent à chaque mission :

• Les outils de l’entreprise sont branchés en lecture seule : rien ne change dans ses logiciels.
• Au-delà d’un seuil que l’entreprise fixe, un agent demande une validation humaine.
• Chaque action d’un agent est tracée et reliée à sa source.
• Quand le dossier l’exige, un filtre retire les noms avant tout envoi au modèle.

Au sens strict du RGPD, ce filtre est une pseudonymisation : il réduit ce que voit le fournisseur du modèle, il ne dispense ni du contrat ni de la relecture.