IA et secret professionnel : quels usages sont autorisés ?
Oui, vous pouvez utiliser l'IA générative dans un métier tenu au secret professionnel, à condition qu'aucune information couverte par le secret ne sorte du cadre que vous maîtrisez. Concrètement : pas de dossier client ou patient dans un outil grand public, oui à un usage sur des données anonymisées ou dans un environnement contractuellement sécurisé. Cet article détaille où passe la ligne, métier par métier, et comment l'écrire dans une politique IA.
Il s'adresse aux cabinets d'avocats, d'expertise comptable, de conseil, aux professions de santé et à toute structure qui manipule des informations confiées sous couvert de confidentialité. Il prolonge le guide complet de l'IA en entreprise pour les PME et l'article sur la confidentialité des données avec l'IA.
Pourquoi le secret professionnel change la donne avec l'IA
Le secret professionnel est une obligation pénale, pas une simple bonne pratique : la violation du secret par une personne qui en est dépositaire est réprimée par l'article 226-13 du Code pénal. Les textes prévoient jusqu'à un an d'emprisonnement et 15 000 € d'amende, sans compter les suites disciplinaires propres à chaque profession.
Ce qui rend l'IA délicate, c'est le mécanisme. Quand vous collez un texte dans un assistant en ligne, vous transmettez ce texte à un prestataire tiers, souvent hors de l'Union européenne. Selon l'offre et les réglages, ce prestataire peut conserver l'échange, le faire relire par des humains pour la sécurité, voire l'utiliser pour entraîner ses modèles. Le client ne vous a pas autorisé à cela. Du point de vue du secret, c'est une divulgation, même si personne ne lit jamais le message.
Le piège vient du fait que le geste est anodin. Reformuler un courrier, résumer une pièce de procédure, mettre en forme un compte rendu de consultation : chacun de ces gestes prend trente secondes, et chacun peut contenir un nom, une pathologie, un montant, une stratégie.
Ce que le secret couvre exactement (et ce qu'il ne couvre pas)
Le secret couvre tout ce que le client ou le patient vous a confié, mais aussi ce que vous avez vu, entendu ou compris dans l'exercice de votre métier. Il ne se limite donc pas aux documents marqués « confidentiel ».
Dans un cabinet, cela inclut les pièces, mais aussi la situation financière du client, ses intentions, le fait même qu'il vous consulte. Dans un cabinet médical, le simple fait qu'une personne soit suivie par un praticien relève du secret. Les contours exacts dépendent du métier : le secret de l'avocat, celui du médecin, du notaire ou de l'expert-comptable n'ont ni la même source ni les mêmes exceptions.
Ce que le secret ne couvre pas : vos propres contenus génériques. Un modèle de contrat sans nom ni montant, un plan d'article, une trame de présentation, un tableau de suivi sans donnée nominative peuvent passer par un outil d'IA sans difficulté particulière.
Les usages autorisés, ceux qui demandent des précautions, ceux à proscrire
La bonne grille de lecture est la donnée, pas l'outil : le même assistant peut être acceptable pour un usage et interdit pour un autre. Voici un repère de travail, à adapter à votre profession.
| Usage | Exemple | Position |
|---|---|---|
| Contenu sans donnée confiée | Trame de courrier type, plan de formation interne, idées d'articles | Autorisé |
| Donnée réellement anonymisée | Cas clinique ou dossier dont toute identification est impossible | Autorisé avec méthode |
| Donnée identifiante dans un outil sécurisé | Contrat d'entreprise avec garanties contractuelles, hébergement maîtrisé | Possible après analyse |
| Donnée identifiante dans un outil grand public | Collage d'un dossier client dans la version gratuite d'un chatbot | À proscrire |
| Données de santé hors cadre adapté | Compte rendu patient soumis à un assistant généraliste | À proscrire |
Le piège de la ligne « anonymisée » : retirer le nom ne suffit pas. Un dossier qui mentionne une petite commune, une profession rare et une date précise reste identifiable. L'anonymisation sérieuse demande de généraliser les détails, pas seulement de supprimer les noms. Si vous avez un doute, considérez la donnée comme identifiante.
Avocats, santé, comptables, conseil : ce qui diffère selon les métiers
Chaque profession a son régime, et les ordres publient peu à peu leurs propres repères sur l'IA générative. Le Conseil national des barreaux a ainsi adopté le 17 mars 2026 un guide sur la déontologie et l'intelligence artificielle, qui rappelle notamment la protection du secret professionnel et le respect du RGPD. Consultez-le directement pour le détail opérationnel.
Du côté de la santé, la Haute Autorité de santé et la CNIL ont mis en consultation en février 2026 un projet de guide sur l'usage de l'IA en contexte de soins, avec des fiches dédiées à la gouvernance et à l'IA générative. Il s'agissait d'une version provisoire : vérifiez si une version définitive a été publiée avant de vous y référer. Les données de santé relèvent par ailleurs des catégories particulières de données du RGPD, avec des exigences renforcées, notamment sur l'hébergement.
Pour les experts-comptables et les cabinets de conseil, le sujet est moins encadré par un texte unique que par la combinaison du secret, des clauses de confidentialité signées avec les clients et du RGPD. C'est souvent le contrat client qui fixe la règle la plus stricte : relisez vos lettres de mission et vos accords de confidentialité avant de décider.
Comment cadrer l'usage de l'IA dans votre structure
La méthode la plus fiable tient en quatre décisions écrites : quels outils, quelles données, qui décide, et comment on vérifie. Dans une petite structure, cela tient sur deux pages.
- Dressez la liste des outils d'IA réellement utilisés, y compris ceux que les équipes ont installés de leur côté. C'est le sujet du shadow IA, et c'est généralement là que se trouve le risque principal.
- Classez vos données en trois niveaux : libres, confidentielles, couvertes par le secret. Seul le premier niveau peut aller sans condition dans un outil grand public.
- Choisissez un ou deux outils validés, avec un contrat professionnel qui précise la conservation des données, leur localisation, l'absence d'entraînement sur vos contenus et la possibilité d'un accord de traitement au sens du RGPD.
- Désignez un référent, même à temps partiel. La gouvernance de l'IA en PME n'a pas besoin d'un comité, elle a besoin d'une personne qui répond quand un collaborateur hésite.
Pour la vérification, gardez à l'esprit que l'IA produit parfois des réponses fausses énoncées avec aplomb, ce qu'on appelle une hallucination. Dans un métier réglementé, relire et valider chaque production reste obligatoire : l'outil assiste, il ne remplace pas votre responsabilité professionnelle.
Les erreurs les plus fréquentes
Les fautes de secret avec l'IA viennent rarement d'une décision, presque toujours d'une habitude. Quelques cas typiques :
- coller un extrait de dossier « juste pour reformuler », avec le nom du client encore visible ;
- utiliser un compte personnel gratuit parce que l'outil de l'entreprise est jugé trop lent ;
- charger un enregistrement de réunion client dans un service de transcription non validé ;
- conserver l'historique des conversations sans savoir où il est stocké ni qui peut y accéder ;
- supposer qu'un outil « payant » est forcément confidentiel, sans lire les conditions.
À l'inverse, un cabinet qui interdit tout en bloc obtient souvent l'effet inverse : les usages continuent, mais cachés. Mieux vaut un cadre clair et utilisable qu'une interdiction que personne n'applique. Pour la question de la propriété des contenus générés, voyez aussi l'article sur l'IA et la propriété intellectuelle.
Questions fréquentes
Puis-je utiliser ChatGPT, Claude ou Gemini avec des dossiers clients ? Pas dans leur version grand public avec des données identifiantes. Une offre professionnelle avec garanties contractuelles peut changer l'analyse, mais la décision se prend après lecture des conditions et, selon votre métier, des recommandations de votre ordre.
Anonymiser suffit-il à lever le secret ? Seulement si la personne n'est plus identifiable, y compris par recoupement. Retirer le nom ne suffit pas toujours. En cas de doute, traitez la donnée comme identifiante.
Le client peut-il autoriser l'usage de l'IA sur son dossier ? Dans certains cas, un accord éclairé et écrit du client peut aider, mais il ne dispense ni du RGPD ni des règles propres à votre profession.
Que faire si un collaborateur a déjà collé des données confidentielles dans un outil ? Documentez ce qui a été transmis, supprimez l'historique si l'outil le permet, vérifiez les conditions de conservation du fournisseur et interrogez votre délégué à la protection des données ou votre conseil. Selon la nature des données, une notification peut être nécessaire.
Un assistant IA hébergé en Europe règle-t-il le problème ? Il réduit certains risques, notamment sur les transferts de données, mais il ne supprime pas l'obligation de contrôler ce qui y est envoyé, ni de contractualiser avec le fournisseur.
Faut-il former les équipes ? Oui, c'est le levier le plus efficace : la plupart des écarts viennent d'une méconnaissance de ce que devient un texte collé dans un outil en ligne.
Comment GrowthPerf accompagne
GrowthPerf est un organisme de formation certifié Qualiopi. Pour les structures soumises au secret, nous travaillons en deux temps : un audit des usages IA pour identifier ce qui circule réellement, puis une formation des équipes, par exemple la formation IA en entreprise ou la formation IA opérationnelle, avec des cas pratiques construits sur vos règles de confidentialité. Pour replacer le sujet dans une démarche globale, reprenez le guide de l'IA en entreprise.
Si vous voulez cadrer les usages de votre structure, demandez un échange de 30 minutes avec GrowthPerf pour faire le point sur vos outils et vos données.