Le secret professionnel à l’ère de l’IA : ce que tout avocat doit savoir

Le secret professionnel de l’avocat est général, absolu et d’ordre public (article 66-5 de la loi du 31 décembre 1971 et article 226-13 du Code pénal). Il couvre toutes les correspondances, consultations, notes et pièces de dossier. Toute solution numérique utilisée au cabinet doit garantir que ces données restent inaccessibles à tout tiers, y compris au prestataire technique.

Ce que le RIN et la loi imposent

L’article 226-13 du Code pénal sanctionne d’un an d’emprisonnement et de 15 000 euros d’amende la révélation d’une information à caractère secret par une personne qui en est dépositaire. Le RIN reprend et précise ce cadre pour l’avocat : la violation du secret constitue une faute disciplinaire, indépendamment de la sanction pénale.

Concrètement, cela implique que toute donnée d’un dossier client transitant par un outil doit rester chiffrée et inaccessible au fournisseur, sauf le temps strict nécessaire au traitement -- et encore, sous couvert de contrat solide et de mécanismes techniques vérifiables.

Les trois modèles techniques à distinguer

• Chiffrement au transport (HTTPS/TLS) : garantit que les données ne sont pas interceptées pendant leur transfert. C’est un minimum, jamais suffisant.
• Chiffrement au repos : les données sont chiffrées dans les bases de données et sauvegardes. Le fournisseur détient encore les clés et peut techniquement accéder aux données.
• Chiffrement Zero Knowledge : les données sont chiffrées côté client (dans le navigateur) avant d’être envoyées. Le fournisseur ne détient que des données inintelligibles pour lui. Même sur réquisition judiciaire, il ne peut fournir qu’un blob chiffré.

IA générative et cabinet : les questions à poser

Avant de déposer un dossier client dans un service d’IA, cinq questions minimales :

• Où sont hébergées les données (Union européenne ou hors UE) ?
• Les données sont-elles utilisées pour l’entraînement du modèle (opt-in / opt-out) ?
• Combien de temps sont-elles conservées ? Peuvent-elles être supprimées à la demande ?
• Quel niveau de chiffrement est en place (transport, repos, Zero Knowledge) ?
• Qui a accès techniquement aux données, dans quel cadre contractuel et judiciaire ?

Le principe : préparer, jamais décider

Une déontologie prudente conduit à n’utiliser l’IA que pour préparer le travail de l’avocat (recherche, synthèse, brouillon) et jamais pour rendre une décision juridique. L’avocat reste seul responsable de ses écritures, de ses consultations et de ses conseils. Cette logique ne limite pas l’usage de l’IA, elle en fixe le cadre.

Ce que DIKOO propose

Chez DIKOO, les transcriptions de consultation sont chiffrées avec la clé personnelle de l’avocat (ECDH P-256 + AES-256-GCM) dès leur enregistrement : une fois stockées, DIKOO ne peut pas les relire. Les notes CRM et les échanges avec THERESAII sont chiffrés en AES-256-GCM au repos sur nos serveurs. Les documents soumis aux outils IA sont chiffrés en transit (TLS) puis lus par le moteur le temps du traitement : ils ne sont pas chiffrés de bout en bout. L’architecture est documentée publiquement sur la page Sécurité.