L'IA dans un cabinet, sans sortir du secret professionnel

01 — Ce qui vous engage

La sanction est pénale, pas commerciale

Le secret professionnel de l'expert-comptable est posé par l'article 21 de l'ordonnance du 19 septembre 1945, qui renvoie à l'article 226-13 du code pénal. C'est ce renvoi qui change la nature du sujet : verser un dossier client identifiable dans un service tiers relève du droit pénal, pas d'un arbitrage d'opportunité.

Deuxième point, moins connu et plus structurant : le cabinet reste personnellement responsable des données qu'il soumet. Un contrat avec l'éditeur encadre la sous-traitance, il ne transfère pas l'obligation déontologique. Le bon niveau de lecture est donc « qu'est-ce que je transmets », avant « qui héberge ».

02 — Les trois conditions

Ce vers quoi convergent les travaux de l'Ordre

Les recommandations de la profession n'ont pas valeur réglementaire. Elles décrivent la pratique attendue, ce qui revient au même le jour où la question se pose. Elles tiennent en trois conditions, et elles se cumulent :

1. Pseudonymiser avant d'envoyer

   Les données transmises au modèle sont expurgées ou pseudonymisées. Jamais le dossier client brut.

2. Un contrat, pas un compte personnel

   L'outil relève d'une offre professionnelle — Team, Enterprise ou API — avec un accord de traitement des données.

3. Relire avant d'utiliser

   Toute sortie du modèle est revue et validée par un professionnel avant d'être transmise ou exploitée.

La troisième est celle qu'on oublie en premier quand l'outil devient confortable.

03 — Paramétrage

Le contrat compte davantage que le modèle

La même interface, sous deux offres différentes, ne traite pas vos données de la même façon. C'est la distinction utile en cabinet :

Un mot sur Microsoft 365 Copilot, souvent résumé trop vite : les données restent dans la frontière du tenant et ne servent pas à entraîner les modèles de fondation, le tout couvert par le DPA Microsoft. Ce n'est pas la même chose qu'une absence totale de conservation, et les deux idées sont régulièrement confondues.

Le détail qui se découvre tard : les modèles Anthropic proposés en option dans Microsoft Copilot sont exclus des engagements de frontière de données de l'UE. Si la localisation du traitement fait partie de vos engagements clients, cette option se vérifie avant d'être activée.

04 — Obligation de formation

L'article 4 s'applique depuis février 2025

Le règlement européen sur l'IA impose, à son article 4, de prendre des mesures pour développer un niveau suffisant de maîtrise de l'IA chez les personnes qui l'utilisent pour le compte de l'organisation. Cette obligation s'applique depuis le 2 février 2025, et la Commission a confirmé l'absence de période de grâce.

Soyons exacts, parce que beaucoup d'articles se trompent sur ce point : l'article 4 ne prévoit pas d'amende directe. L'obligation existe, la sanction ne prend pas la forme d'une amende spécifique. Ce qui la rend concrète en cabinet, c'est qu'elle se démontre — et qu'une charte plus un registre de formation sont ce qu'on vous demandera de produire.

L'Ordre met à disposition un modèle de charte d'utilisation à adapter au cabinet. Sa règle la plus utile au quotidien tient en une phrase : aucune donnée client identifiante dans un service d'IA public sans anonymisation préalable.

05 — Le produit

ialaboite : de la pièce d'identité au Kbis

Les formalités juridiques sont le travail où la saisie coûte le plus cher et rapporte le moins. ialaboite les traite de bout en bout, du document d'identité jusqu'au Kbis, avec un dépôt qui passe par le guichet unique de l'INPI.

C'est un produit distinct de nos formations, avec son propre site et sa propre démonstration. La démonstration se fait sur un spécimen, pas sur un dossier réel.

Voir ialaboite

06 — Questions fréquentes

Ce qu'on nous demande le plus

Un expert-comptable peut-il utiliser ChatGPT avec des données clients ?

Avec des données brutes identifiantes, non. Le secret professionnel de l'expert-comptable est posé par l'article 21 de l'ordonnance du 19 septembre 1945, qui renvoie à l'article 226-13 du code pénal : la sanction est pénale. Les travaux de l'Ordre convergent vers trois conditions cumulatives : des données pseudonymisées ou expurgées avant tout envoi, un outil sous contrat professionnel avec DPA plutôt qu'un compte grand public, et une relecture systématique de la sortie par un professionnel avant usage. Le cabinet reste personnellement responsable : déléguer contractuellement au fournisseur ne transfère pas l'obligation déontologique.

Quelle différence entre un compte grand public et un compte professionnel ?

Le contrat, pas le modèle. Les offres ChatGPT Business et Enterprise, Claude Team et Enterprise et Microsoft 365 Copilot sont exclues de l'entraînement par défaut et s'accompagnent d'un accord de traitement des données. Les offres grand public des mêmes produits peuvent utiliser les contenus pour entraîner les modèles, avec une désactivation à faire soi-même. C'est la même interface et un cadre juridique différent.

La formation à l'IA est-elle obligatoire dans un cabinet ?

L'article 4 du règlement européen sur l'IA impose depuis le 2 février 2025 de prendre des mesures pour développer un niveau suffisant de maîtrise de l'IA chez les personnes qui l'utilisent pour le compte de l'organisation. La Commission a confirmé qu'il n'y a ni période de grâce ni régime transitoire propre à cet article. Il faut être exact sur un point : cet article 4 ne prévoit pas d'amende directe. L'obligation est réelle, la sanction ne prend pas la forme d'une amende spécifique.

Faut-il une charte IA dans le cabinet ?

C'est la recommandation qui revient dans les travaux de l'Ordre, qui met à disposition un modèle de charte à adapter. Une charte n'a pas valeur réglementaire, mais elle documente ce que le cabinet a mis en place, ce qui est exactement ce qu'on vous demandera de montrer si la question se pose. Elle fixe aussi la règle la plus utile au quotidien : aucune donnée client identifiante dans un service d'IA public sans anonymisation préalable.

Les modèles Claude dans Microsoft Copilot sont-ils couverts par la frontière de données européenne ?

Non, et c'est un point que beaucoup de cabinets découvrent tard. Microsoft propose des modèles Anthropic en option dans Copilot, et ces modèles sont exclus des engagements de frontière de données de l'UE et de traitement au Royaume-Uni. Si la localisation du traitement fait partie de vos engagements clients, cette option se vérifie avant d'être activée.

Que fait ialaboite exactement ?

ialaboite traite les formalités juridiques : de la pièce d'identité au Kbis. Le dépôt passe par le guichet unique de l'INPI. C'est un produit distinct de nos formations, avec son propre site et sa propre démonstration.