« Nos données ne sont pas utilisées pour entraîner le modèle » : c'est la phrase que répètent la plupart des éditeurs d'IA lorsqu'un cabinet s'inquiète de la confidentialité. Le problème n'est pas que cette phrase soit fausse — c'est qu'elle est rarement vérifiée. Voici les questions précises à poser avant de signer, et comment interpréter les réponses.
Pourquoi cette question est-elle centrale pour un cabinet d'avocats ?
Un cabinet d'avocats ne traite pas des données comme une entreprise ordinaire. Chaque dossier contient des informations couvertes par le secret professionnel, souvent des données personnelles sensibles (santé, situation financière, vie familiale) au sens de l'article 9 du RGPD. Si ces données alimentent, même partiellement, l'entraînement d'un modèle d'IA, elles peuvent théoriquement resurgir — de façon déformée ou reconnaissable — dans une réponse générée pour un utilisateur tiers, à l'autre bout du monde.
Ce risque n'est pas hypothétique : c'est précisément la raison pour laquelle certains éditeurs d'IA grand public proposent, depuis 2023, des options pour désactiver l'usage des conversations à des fins d'entraînement — preuve que cet usage existe par défaut dans certaines offres.
⚠️ Le point de vigilance : la question ne se limite pas aux IA génératives grand public. Un logiciel juridique « spécialisé » peut lui aussi réutiliser vos données pour améliorer son modèle, s'il ne l'exclut pas explicitement dans son contrat. La spécialisation métier n'est pas une garantie de confidentialité en soi.
Que dit le RGPD sur la réutilisation des données pour l'entraînement ?
Le RGPD ne mentionne pas nommément l'« entraînement d'IA », mais deux principes s'appliquent directement à cette pratique :
Article 5 — Limitation des finalités
Les données collectées pour une finalité (par exemple, générer une réponse pour votre cabinet) ne peuvent pas être réutilisées pour une finalité incompatible (améliorer le modèle au bénéfice d'autres clients) sans base légale distincte et information préalable.
Article 28 — Sous-traitance
Si l'éditeur d'IA agit comme sous-traitant du cabinet, le contrat de sous-traitance doit préciser les traitements autorisés. Une réutilisation pour l'entraînement, non prévue au contrat, constituerait un traitement non autorisé.
La Commission nationale de l'informatique et des libertés (CNIL) a publié des recommandations sur l'IA générative qui rappellent ces principes de minimisation et de limitation des finalités, et invite les organismes à documenter précisément les traitements avant tout déploiement.
💡 Bon à savoir : le règlement européen sur l'IA (AI Act, règlement UE 2024/1689) impose, pour les fournisseurs de modèles d'IA à usage général, de publier un résumé suffisamment détaillé des contenus utilisés pour l'entraînement. Cette obligation de transparence, encore en cours de déploiement, ne dispense pas le cabinet de vérifier lui-même les conditions applicables à son propre contrat.
Entraînement, fine-tuning, inférence : de quoi parle-t-on exactement ?
Les éditeurs emploient parfois un vocabulaire technique qui brouille la question. Trois notions à distinguer :
- Entraînement (pre-training) — la phase où le modèle apprend sur un très large corpus, en amont, avant sa mise à disposition. Vos données de cabinet n'y participent presque jamais directement.
- Fine-tuning / réentraînement — un ajustement ultérieur du modèle sur des données spécifiques, parfois issues des usages réels des clients. C'est le point sensible à clarifier contractuellement.
- Inférence — l'utilisation du modèle pour générer une réponse à votre requête, sans que cela implique automatiquement une conservation ou une réutilisation de vos données.
Un outil peut donc ne pas utiliser vos données pour le pré-entraînement initial, tout en les exploitant pour du fine-tuning ou pour l'amélioration continue de ses fonctionnalités. C'est cette zone grise qu'il faut faire clarifier par écrit.
Quelles questions poser à un éditeur d'IA avant de signer ?
Les données saisies servent-elles à l'entraînement ou au fine-tuning du modèle ?
Demandez une réponse écrite, pas une affirmation orale du commercial. Exigez qu'elle figure dans le contrat, pas seulement dans une page marketing.
Où sont hébergées les données, et par quel sous-traitant ?
Un hébergement en France ou dans l'UE réduit l'exposition aux législations extraterritoriales. Demandez la liste des sous-traitants ultérieurs (le modèle d'IA sous-jacent est-il opéré par un tiers ?).
Combien de temps les données sont-elles conservées, et selon quelle politique de suppression ?
Une conservation « indéfinie par défaut » doit alerter. Demandez un engagement de suppression ou d'anonymisation après un délai précis.
Existe-t-il un contrat de sous-traitance RGPD (article 28) signé et à jour ?
Sans ce document, le cabinet reste seul responsable en cas de manquement de l'éditeur — l'absence de contrat n'exonère personne.
L'offre « entreprise » change-t-elle réellement les garanties, ou seulement le tarif ?
Certaines offres premium excluent contractuellement l'entraînement sur les données clients — ce qui n'est pas toujours le cas des offres gratuites ou grand public du même éditeur.
Comment lire les conditions générales d'un outil d'IA ?
Les conditions générales sont longues et rarement conçues pour être lues par un non-spécialiste. Trois raccourcis pour cibler l'essentiel :
| À rechercher dans le document | Ce que cela révèle |
|---|---|
| « Training », « model improvement », « amélioration du service » | Termes fréquemment associés à une réutilisation des données pour l'entraînement |
| « Opt-out », « paramètres de confidentialité » | Indique que l'usage par défaut existe, et qu'il faut le désactiver activement |
| Absence totale de mention sur l'entraînement | N'est pas une garantie — c'est un point à faire préciser par écrit avant signature |
| Clause de sous-traitance ultérieure (« subprocessors ») | Identifie qui, au-delà de l'éditeur direct, a accès techniquement aux données |
Que faire si la réponse est floue ou négative ?
❌ Signaux d'alerte
- Réponse verbale sans confirmation écrite
- Renvoi systématique vers des CGU génériques non spécifiques au métier juridique
- Refus de communiquer la liste des sous-traitants
- Absence de contrat de sous-traitance RGPD disponible
✓ Ce qu'un éditeur sérieux fournit
- Une clause contractuelle explicite sur la non-réutilisation des données
- Un contrat de sous-traitance RGPD daté et signé
- Une politique de conservation et de suppression documentée
- La localisation précise de l'hébergement
Face à une réponse floue, deux options : négocier une clause spécifique dans le contrat (souvent possible, même avec de grands éditeurs, à condition de la demander explicitement), ou écarter l'outil pour tout usage impliquant des données de dossier — en le réservant, le cas échéant, à des tâches strictement anonymisées.
Cette démarche de vérification rejoint la question plus large du secret professionnel appliqué au cloud : un outil d'IA reste, avant tout, un sous-traitant de données comme un autre, avec les mêmes obligations contractuelles à exiger.
L'approche NetJuris
Les fonctions d'IA assistive de NetJuris sont opérées sur un hébergement français, avec une clause contractuelle explicite d'exclusion de vos données de tout entraînement de modèle. Le contrat de sous-traitance RGPD est disponible sur simple demande, sans négociation à obtenir au cas par cas.
Pour structurer cette vérification à l'échelle du cabinet, notre diagnostic RGPD en ligne aide à cartographier les outils utilisés et les points de vigilance associés. Découvrez aussi les fonctionnalités NetJuris et notre grille tarifaire avant de comparer les solutions du marché.
FAQ
Une simple case « je consens » dans les CGU suffit-elle pour autoriser l'entraînement ?
Sur le plan RGPD, non, si les CGU sont imposées sans réel choix ni information claire sur la finalité précise. Sur le plan du secret professionnel, le consentement du cabinet ne couvre de toute façon pas les données personnelles des clients, qui n'ont pas été informés ni consultés.
Faut-il réaliser une analyse d'impact (AIPD) avant d'adopter un outil d'IA ?
L'article 35 du RGPD impose une analyse d'impact lorsque le traitement présente un risque élevé pour les droits des personnes — ce qui peut être le cas d'un outil d'IA traitant des volumes importants de données sensibles. Le diagnostic doit se faire au cas par cas, mais la question doit systématiquement être posée avant le déploiement.
Un éditeur français est-il automatiquement plus fiable qu'un éditeur étranger sur ce point ?
Pas automatiquement : la nationalité de l'éditeur ne garantit rien en soi, seule la clause contractuelle compte. Un éditeur français peut réutiliser des données pour l'entraînement sans clause d'exclusion, tandis qu'un éditeur étranger peut proposer un contrat conforme. L'hébergement en France ou en UE reste toutefois un facteur pertinent pour limiter l'exposition aux législations extraterritoriales.
Peut-on demander une preuve technique, et pas seulement contractuelle, de la non-réutilisation ?
C'est plus difficile en pratique, la plupart des cabinets n'ayant pas les moyens d'un audit technique du fournisseur. La clause contractuelle, assortie d'une clause de responsabilité en cas de manquement constaté, reste le levier réaliste et le plus courant.
Publié le 2026-06-11. Contenu informatif destiné aux professionnels du droit ; il ne constitue pas une consultation juridique. Pour aller plus loin, consultez les ressources de la CNIL sur l'intelligence artificielle et le texte du règlement européen sur l'IA (UE 2024/1689).