Avant le premier outil : secret, données et responsabilité

Prenez trois documents sur lesquels vous avez travaillé cette semaine : un dossier, un contrat, un tableau, un courrier. Avant toute demande à un assistant, vous allez classer chacun dans l’un des trois niveaux d’information de ce chapitre (public, interne, confidentiel ou couvert) et découvrir si votre premier réflexe était le bon. Vous n’avez rien à coller dans un assistant pour cet essai.

Avant de commencer (30 secondes). Parmi ces trois documents, combien pensez-vous pouvoir saisir dans un service d’IA grand public sans problème ? Notez un nombre de 0 à 3.

Votre premier essai, tout de suite

Pour chaque document, répondez par écrit à trois questions : contient-il un nom, un montant ou un lieu qui permettrait d’identifier quelqu’un ? Est-il couvert par un secret professionnel ou un contrat de confidentialité ? Que se passerait-il s’il était lu par un inconnu ? Classez-le ensuite : public, interne, confidentiel ou couvert. Dans le doute, classez au niveau supérieur.

Comparez avec votre pari. Beaucoup de documents d’apparence banale changent de niveau dès qu’on relit le nom, le montant ou le lieu. Le tableau des trois niveaux, plus bas, donne la règle d’envoi pour chacun.

Maintenant, questionnez-le. Sans coller aucun document, demandez à un assistant : « Quelles questions un responsable de la conformité poserait-il avant d’autoriser l’usage d’un assistant d’IA pour un travail de [votre métier] ? » Notez celles auxquelles vous ne savez pas répondre : elles sont le début de votre fiche de règles.

Pourquoi ce cadre vient avant le premier outil

Les métiers du juridique, des ressources humaines et de la finance ont un point commun que les autres n’ont pas à ce degré : ce qu’ils manipulent est confidentiel, souvent couvert par une obligation de secret, presque toujours rattaché à des personnes identifiables, et ce qu’ils produisent engage leur responsabilité. Un contrat, un dossier de salarié, un bilan, une note de synthèse destinée à un client : l’erreur n’y est pas un détail, la fuite non plus.

C’est pourquoi cette formation commence par le cadre, avant la moindre demande à un assistant. Vous y trouverez ce que disent les textes et les autorités sur le secret, les données personnelles et les usages sensibles de l’IA, puis une méthode pour trier ce que vous pouvez confier à un assistant et ce que vous ne pouvez pas. Ce chapitre est le plus important de la formation : les suivants reposent tous sur lui.

Cette formation ne donne aucun conseil juridique, fiscal, financier ou social. Elle décrit des méthodes de travail et renvoie aux sources officielles. Les règles citées sont celles que vous devez relire à la source, avec la date de consultation. Pour toute situation précise, consultez un professionnel compétent ou l’organe de votre profession.

À qui s’adresse ce chapitre

Le public est large : juristes d’entreprise, collaborateurs de cabinets d’avocats, de notaires ou d’huissiers (commissaires de justice), responsables et gestionnaires RH, gestionnaires de paie, comptables, contrôleurs de gestion, directeurs administratifs et financiers de PME, experts-comptables et leurs collaborateurs. Les règles de chaque profession diffèrent. Le socle commun, lui, est le même : savoir ce qu’on ne doit pas envoyer à un service externe, savoir pourquoi, et savoir ce qu’on garde de la décision.

Trois niveaux d’information

Avant toute demande, classez ce que vous allez saisir.

Une règle simple : dans le doute, classez au niveau supérieur. Un texte qui paraît banal mais contient un nom, un montant et un lieu devient identifiable. Une note qui décrit une stratégie de négociation n’est pas « interne », elle est confidentielle.

Le secret professionnel

Vérifié à l’automne 2026 : d’après l’article 226-13 du Code pénal consulté sur Légifrance, la révélation d’une information à caractère secret par une personne qui en est dépositaire, soit par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire, est punie d’un an d’emprisonnement et de 15 000 euros d’amende ; l’article 226-14 prévoit des exceptions, notamment lorsque la loi impose ou permet la révélation. Le Conseil national des barreaux a publié un guide pratique sur l’utilisation de l’IA générative par les avocats (sa page officielle n’en donne pas l’année : vérifiez-la), puis un guide consacré à la déontologie et à l’IA, adopté en mars 2026 (annonce du 17 mars 2026, première édition d’avril 2026), qui rappelle notamment la protection du secret professionnel, le respect du RGPD, la compétence et la prudence parmi les exigences de la profession. Chaque profession réglementée a ses propres règles et son propre organe : avocats, notaires, experts-comptables, commissaires de justice, médecins du travail, etc. Relisez les textes et les recommandations de votre ordre, de votre compagnie ou de votre fédération.

Ce que cela signifie en pratique, sans que ce soit un avis juridique : si votre profession est tenue au secret, envoyer le contenu d’un dossier à un service externe peut constituer une révélation. La question n’est pas seulement « l’éditeur s’en servira-t-il pour entraîner un modèle ? » mais « ai-je le droit de transmettre cette information à un tiers, avec quelles garanties contractuelles, et le client le sait-il ? » Pour les professions non soumises à un secret légal, l’obligation de confidentialité vient du contrat de travail, du contrat avec le client, des règles internes ou du RGPD.

Les données personnelles : ce que dit la CNIL

Vérifié à l’automne 2026 : dans ses questions-réponses sur l’utilisation d’un système d’IA générative, la CNIL recommande de ne saisir que des informations que l’on est autorisé à partager et de ne jamais partager d’informations confidentielles telles que des données personnelles avec un service grand public ; d’utiliser une adresse professionnelle plutôt qu’un compte créé avec une adresse personnelle ; pour des données personnelles ou sensibles comme celles des clients ou des salariés, de privilégier un déploiement plus maîtrisé que le service grand public, car il limite les risques d’extraction par un tiers ; de s’opposer à la réutilisation des données d’usage par le fournisseur quand c’est possible et de désactiver l’enregistrement de l’historique ; d’encadrer par un contrat de sous-traitance l’hébergement externe, en précisant responsabilités et accès autorisés, et d’encadrer les transferts hors de l’Union européenne ; d’associer le délégué à la protection des données (DPO) et, le cas échéant, de réaliser une analyse d’impact (AIPD). Côté éditeurs, Anthropic indique que les changements de ses conditions grand public ne s’appliquent pas aux services soumis à ses conditions commerciales (Team, Enterprise, API), et OpenAI indique, sur sa page consacrée aux données des entreprises, ne pas utiliser par défaut les données de ses offres professionnelles et de son API pour entraîner ses modèles. Ces engagements dépendent de l’offre souscrite et de son contrat : lisez le vôtre.

Deux précisions qui comptent pour vos métiers :

• « Pas utilisé pour l’entraînement » ne veut pas dire « pas conservé ». Un service peut conserver des échanges pendant une durée donnée, par exemple pour des contrôles de sécurité. Lisez la durée de conservation de votre offre.
• La pseudonymisation ne rend pas une donnée anonyme. D’après la CNIL et le comité européen de la protection des données, des données pseudonymisées restent des données personnelles, puisqu’on peut retrouver la personne par recoupement. Remplacer « Marie Durand » par « Mme D. » dans un dossier de petite entreprise ne protège donc pas grand-chose : le poste, le service, la date et le montant suffisent souvent à identifier.

Le règlement européen sur l’IA : trois domaines sensibles

Le règlement européen sur l’IA qualifie de « à haut risque » certains usages. Trois d’entre eux touchent directement vos métiers.

Vérifié à l’automne 2026 : d’après l’annexe III du règlement (texte du Journal officiel, relu sur EUR-Lex), relèvent notamment des systèmes à haut risque : dans l’emploi et la gestion des travailleurs, les systèmes destinés au recrutement ou à la sélection de personnes (par exemple pour filtrer des candidatures ou évaluer des candidats) et ceux qui servent à prendre des décisions sur les conditions de la relation de travail, la promotion ou la rupture, l’attribution de tâches d’après des traits personnels, ou le suivi et l’évaluation des performances ; dans l’accès aux services essentiels, les systèmes d’évaluation de la solvabilité des personnes physiques ou d’établissement d’une note de crédit (hors détection de fraude financière), et ceux d’évaluation des risques et de tarification pour l’assurance vie et santé ; dans l’administration de la justice, les systèmes destinés à assister une autorité judiciaire dans la recherche et l’interprétation des faits et du droit. L’interdiction de l’IA qui déduit les émotions d’une personne sur le lieu de travail et dans l’éducation, sauf raisons médicales ou de sécurité, s’applique depuis le 2 février 2025, d’après l’article 5 du règlement. Le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet 2026, a reporté l’application des obligations des systèmes à haut risque de l’annexe III au 2 décembre 2027 (au lieu du 2 août 2026), et au 2 août 2028 pour ceux qui relèvent de l’annexe I ; relisez le calendrier en vigueur.

Pour vous, l’enseignement pratique est le suivant. Le règlement vise des usages. Si vous utilisez un assistant pour trier des candidatures, évaluer une personne ou apprécier une solvabilité, vous pouvez vous placer dans l’une de ces catégories, avec des obligations lourdes. Cette formation en tire une règle de conduite constante : l’assistant prépare, reformule et met en forme ; il ne sélectionne, n’évalue et ne décide pas à propos d’une personne. Pour toute question de qualification juridique, demandez l’avis de votre juriste ou de votre DPO.

La décision entièrement automatisée

Le RGPD pose, dans son article 22, un principe que la CNIL résume ainsi : une personne a, par principe, le droit de ne pas faire l’objet d’une décision fondée uniquement sur un traitement automatisé, lorsqu’elle produit des effets juridiques ou l’affecte de manière significative ; des exceptions existent (consentement explicite, nécessité contractuelle, disposition légale), avec des garanties, dont la possibilité de demander l’intervention d’une personne humaine, d’exprimer son point de vue et de contester la décision. Un refus de crédit, un rejet de candidature, une sanction, un licenciement sont des décisions de cette nature. Un assistant dont vous suivez le résultat sans le contrôler réellement ne vous place pas en dehors de cette logique.

Ce qui reste à vous

La responsabilité ne se délègue pas à l’outil. Quatre principes simples :

1. Vous êtes l’auteur. Ce que vous signez, envoyez ou versez au dossier est de votre fait, même si un assistant a rédigé le premier jet.
2. Vous vérifiez à la source. Un texte de loi, une décision, un taux, un article se vérifient sur la source officielle, pas dans la réponse d’un assistant.
3. Vous gardez la décision. Recruter, licencier, accorder un crédit, conclure un contrat : ce sont des décisions humaines, motivées et traçables.
4. Vous tenez une trace. Quand vous avez utilisé un assistant sur un dossier, vous le notez (voir le chapitre sur la gouvernance).

Cartographier vos tâches

Comme dans les autres formations de ce niveau, tenez un relevé de cinq jours. Ajoutez une colonne : le niveau d’information.

Les tâches « publiques » et « internes sans nom » sont vos candidates pour les premiers essais. Les tâches « confidentielles » demandent une solution adaptée (outil validé par votre organisation, anonymisation réelle, ou renoncement).

Un exemple d’ordre de grandeur, sans promesse. Un juriste d’entreprise fictif note qu’il passe environ trois heures par semaine à rédiger des notes de synthèse sur des textes publics (nouvelle réglementation, décision de jurisprudence). C’est une tâche idéale : les sources sont publiques, la vérification est possible. Les chapitres suivants montrent comment la traiter. Pour la même personne, la relecture d’un contrat avec ses parties n’est pas candidate tant que le cadre n’est pas réglé.

À faire tout de suite, en cinq minutes. Reprenez trois documents que vous avez ouverts aujourd’hui et classez chacun dans l’un des trois niveaux d’information. Si l’un d’eux est confidentiel, notez en une phrase ce qui l’empêche de passer par un service grand public : vous avez fait, en miniature, le travail de ce chapitre.

Votre fiche de règles

Rédigez en une page :

1. Les niveaux d’information et des exemples de votre quotidien.
2. Ce que je ne saisis jamais dans un service grand public.
3. L’outil, le compte et les réglages que j’ai vérifiés, avec la date.
4. Ce que je ne fais jamais faire à un assistant (sélectionner, évaluer, décider à propos d’une personne).
5. À qui je pose la question en cas de doute (DPO, responsable de la conformité, ordre professionnel).

Exercice

Durée : 30 minutes de préparation, 5 jours de relevé, 45 minutes de tri. Résultat : un relevé classé, trois tâches candidates et une fiche de règles d’une page.

1. Créez le tableau du relevé avec la colonne « niveau d’information ». Tenez-le cinq jours.
2. Classez chaque tâche. Repérez celles qui sont publiques ou internes sans nom.
3. Choisissez trois tâches candidates, toutes de niveau public ou interne sans nom.
4. Retrouvez la politique de votre organisation sur les outils d’IA, ou demandez-la. Notez ce qu’elle autorise.
5. Rédigez votre fiche de règles d’une page et faites-la relire par votre responsable ou votre DPO.

Critère de réussite : aucune de vos trois premières tâches ne contient d’information confidentielle ou nominative, et votre fiche de règles est approuvée par la personne compétente dans votre organisation.

Si cela ne marche pas : si vous ne trouvez pas la politique de votre organisation sur les outils d’IA, demandez-la à votre responsable ou à votre DPO, et restez d’ici là sur des tâches publiques. Si presque tout vous paraît confidentiel, c’est normal : commencez par les tâches publiques ou internes sans nom. Au moindre doute de classement, remontez d’un niveau. Tant que votre fiche n’est pas validée, ne l’appliquez à aucun dossier.

Ce que vous savez maintenant

Répondez de mémoire, puis vérifiez avec les points qui suivent.

1. Quels niveaux d’information distingue-t-on, et que fait-on dans le doute ?
2. À quoi s’oppose le secret professionnel ?
3. Que vaut la pseudonymisation dans un petit groupe ?
4. Quels usages le règlement européen classe-t-il parmi les plus sensibles, et qu’est-ce qui reste humain ?

Points à retenir :

• On classe l’information en trois niveaux avant de saisir quoi que ce soit, et on remonte d’un niveau dans le doute.
• Le secret professionnel s’oppose à la transmission d’un dossier à un service externe sans cadre validé.
• La pseudonymisation ne rend pas une donnée anonyme ; dans un petit groupe, elle protège peu.
• Recruter, évaluer, apprécier une solvabilité ou assister un juge sont des usages que le règlement européen classe parmi les plus sensibles.
• L’assistant prépare, reformule et met en forme : la décision, la vérification et la responsabilité restent humaines.

Quand allez-vous le faire ?

Écrivez une phrase : « Lundi, avant d’ouvrir le premier dossier de la semaine, je classe chacune de mes tâches dans l’un des trois niveaux d’information. » Le signal est le premier dossier du lundi : le classement se fait avant d’avoir un document sous les yeux, pas devant lui.

La suite

Le chapitre suivant pose la règle d’or de ces métiers : chercher et vérifier à la source. Viennent ensuite la lecture, la comparaison et la structuration de contrats et de documents, le recrutement sans déléguer la décision, les ressources humaines au quotidien, la finance, la comptabilité et le contrôle de gestion, la gouvernance à votre échelle (registre des usages, sous-traitants, incidents), puis votre système de travail sur trente jours.