IA et secret professionnel : ce qu’un cabinet d’avocats peut faire et ce qu’il ne peut pas faire

Le Barreau du Québec a publié un guide pratique sur l’utilisation responsable de l’intelligence artificielle générative, mis à jour depuis sa première version. Sur le secret professionnel, il est d’une clarté rare.

Toute la question tient dans cette distinction. Le guide définit le système ouvert comme un système accessible au public et dont les données ne sont pas stockées en interne. Un assistant conversationnel grand public, utilisé avec un compte personnel, en est l’exemple le plus évident.

Le guide enchaîne aussitôt : « En revanche, les systèmes en circuit fermé, développés et déployés au sein d’une organisation et conservant les données en interne, réduisent ces risques. » Il ne dit pas qu’ils les éliminent. Il dit qu’ils les réduisent et c’est la formulation juste.

Entre ces deux pôles se trouvent les offres d’entreprise hébergées par un éditeur, avec engagements contractuels. Le guide ne les classe pas nommément. Il invite plutôt à opter pour des solutions offrant une protection avancée des données et du secret professionnel et à s’assurer que toute collaboration avec des tiers respecte les normes de confidentialité les plus élevées. C’est donc au cabinet d’évaluer chaque outil, contrat en main.

Le guide n’interdit pas l’IA. Il en encadre l’usage. Plusieurs usages se font sans toucher au secret professionnel et d’autres deviennent possibles quand l’outil tourne en circuit fermé.

Coller le contrat d’un client dans un assistant grand public pour en obtenir un résumé, c’est exactement le geste que le guide qualifie de violation. Il n’est pas nécessaire que l’information soit reproduite ou divulguée ensuite : l’entrée suffit.

Le guide rappelle aussi que l’avocat ne peut pas déléguer son jugement. Une référence produite par l’IA doit être vérifiée auprès de sources reconnues avant d’être utilisée et un contenu généré ne part pas chez le client ni au tribunal sans validation.

Le guide est direct : « le professionnel du droit reste entièrement responsable du mandat confié ». Il doit garantir la qualité et la conformité du travail, qu’il soit réalisé par des personnes ou par des outils technologiques, « en assurant une supervision étroite ». L’obligation de surveillance s’étend explicitement aux technologies de l’information, y compris l’IA générative.

En pratique, cela veut dire une politique d’utilisation écrite, des critères clairs sur ce qui peut être soumis à quel outil et des procédures de vérification. Notre modèle de politique d’utilisation de l’IA peut servir de point de départ.

Le guide recommande de documenter les instructions données à l’IA et les étapes de validation des résultats. Il précise que cette documentation devra être conservée pendant au moins 7 ans après la clôture du dossier.

Un outil bien conçu facilite ce travail : chaque requête, chaque document consulté et chaque validation laissent une trace horodatée, rattachée au dossier. Si l’outil est hébergé au cabinet, ce journal reste lui aussi sous le contrôle du cabinet.

Le guide demande d’informer le client et d’obtenir son consentement libre et éclairé, en précisant les risques liés à l’IA générative et les mesures d’atténuation prévues. Il suggère de le formaliser par écrit, par exemple par une clause dans la convention de services.

Cette obligation est celle de l’avocat. Aucun fournisseur technologique, Cogio compris, ne peut la remplir à sa place. Ce qu’un fournisseur peut faire, c’est décrire exactement où vont les données et qui y a accès, pour que l’avocat explique la situation au client en connaissance de cause.

Avant de brancher un outil sur les dossiers du cabinet, quelques questions permettent de savoir dans quelle catégorie il se trouve. Les réponses devraient être écrites et assez précises pour que l’avocat puisse les expliquer à un client.

Commencez par dresser la liste des outils d’IA déjà utilisés au cabinet, y compris ceux que les employés ont adoptés d’eux-mêmes. Pour chacun, notez quelles informations y entrent. C’est souvent là qu’on découvre le premier risque, bien avant tout projet technologique.

Ensuite, choisissez un flux à faible risque et à fort volume, comme le tri des courriels entrants ou la préparation des ouvertures de dossier. Mesurez le temps avant et après, gardez la validation par l’avocat à chaque étape et documentez le tout comme le demande le guide. Le reste suit plus facilement une fois ce premier flux rodé.

Chez Cogio, nous installons des agents IA sur un serveur au cabinet ou chez un hébergeur de sa région, sous contrat avec le cabinet. Le modèle tourne sur ce serveur, sans passer par un fournisseur d’IA externe. Les agents lisent les courriels, les documents et le logiciel de gestion du cabinet, préparent le travail et l’avocat valide. C’est ce que nous appelons une IA souveraine.

Notre page pour les cabinets d’avocats décrit les flux possibles, chacun avec son point de contrôle par l’avocat. Si le cabinet utilise Microsoft 365, notre article sur Copilot et la Loi 25 explique où vont les données dans ce cas. Les deux approches peuvent cohabiter, à condition de décider quelle information va où.