Stocké en France ≠ traité en France : la question des transferts de données dans l'IA juridique

Stockage ≠ traitement : la distinction essentielle

Vous avez choisi un outil d'IA « hébergé en Union européenne ». Vous pensez être protégé ? Pas si simple. Il faut distinguer deux choses : le stockage de vos données (souvent en UE) et le traitement par l'IA, qui peut se faire aux États-Unis.

Cette distinction est fondamentale. Le lieu de stockage — où vos données sont conservées au repos — ne détermine pas le lieu de traitement — où les serveurs du fournisseur d'IA exécutent réellement le calcul. Un outil peut stocker vos données à Paris ou Francfort, mais envoyer chaque requête vers des serveurs situés en Virginie ou en Californie.

Le transfert international de données : un cadre strict

À chaque requête envoyée à un LLM, vos données transitent vers les serveurs du fournisseur d'IA — potentiellement outre-Atlantique. C'est un transfert international de données, encadré par le RGPD (articles 44 à 49).

Le RGPD impose qu'un tel transfert ne puisse avoir lieu que si le pays de destination offre un niveau de protection adéquat des données personnelles, ou si des garanties appropriées sont mises en place. Trois mécanismes principaux rendent ce transfert conforme :

• •Data Privacy Framework (DPF) — accord UE-US adopté en 2023, le fournisseur américain se certifie auprès du Département du Commerce et s'engage à respecter des principes de protection des données
• •Clauses contractuelles types (SCC) — contrat standardisé imposant des garanties RGPD opposables au fournisseur, avec évaluation de la légalité du pays de destination au cas par cas
• •Règles d'entreprise contraignantes (BCR) — mécanisme interne aux groupes multinationaux, autorisant les transferts intra-groupe sous contrôle de l'autorité de protection

Google et Anthropic sont certifiés DPF. Pour les autres fournisseurs, vérifiez le mécanisme de transfert (SCC, DPF) au cas par cas — tous ne le sont pas. OpenAI, par exemple, dispose de certifications ISO 27001 et ISO 27701 mais son statut DPF n'est pas clairement établi sur la liste officielle du Département du Commerce américain.

Le secret professionnel : une protection qui dépasse le RGPD

Mais au-delà du RGPD, il y a le secret professionnel. L'article 66-5 de la loi du 31 décembre 1971 dispose qu'en toutes matières, que ce soit dans le domaine du conseil ou dans celui de la défense, les consultations adressées par un avocat à son client, les correspondances échangées, les notes d'entretien et plus généralement toutes les pièces du dossier sont couvertes par le secret professionnel.

Le Conseil National des Barreaux (CNB) a publié en septembre 2024 un guide pratique sur l'utilisation des systèmes d'intelligence artificielle générative. Le CNB y conseille aux avocats de pseudonymiser les données avant de les soumettre à une IAG — c'est-à-dire de remplacer les informations identifiantes (noms, numéros, adresses) par des pseudonymes avant tout envoi.

La conformité technique au RGPD ne dispense donc pas de la vigilance professionnelle. Un transfert peut être légalement conforme au RGPD et néanmoins insuffisant au regard du secret professionnel si aucune garantie de non-réutilisation n'est opposable au fournisseur.

La question à poser à tout outil d'IA juridique

Avant d'intégrer un outil d'IA dans votre pratique, posez cette question : « Où vont exactement mes données quand je clique sur Envoyer ? »

Cette question en appelle plusieurs autres : le fournisseur d'IA est-il certifié DPF ou utilise-t-il des SCC ? S'engage-t-il par contrat à ne pas réutiliser vos données pour entraîner ses modèles ? Vos données sont-elles isolées de celles des autres utilisateurs ? Existe-t-il un DPA (Data Processing Agreement) signé ?

Si l'une de ces réponses est absente ou vague, l'outil n'est pas adapté à un usage professionnel pour un avocat.

La posture de Juribot

Juribot a été conçu avec une exigence de sécurité adaptée à la profession. La plateforme garantit un isolement strict par utilisateur : chaque avocat ne voit que ses propres conversations et documents, aucune mutualisation, aucun partage entre cabinets. Les données clients ne servent pas à développer le produit ou à nourrir d'autres services.

Les transferts vers les fournisseurs d'IA sont encadrés par des mécanismes de conformité (DPF ou SCC selon le fournisseur), et Juribot vérifie les sources juridiques citées (Légifrance, Judilibre) pour garantir la fiabilité des réponses.

• •Isolement strict par utilisateur — vos dossiers ne sont jamais mutualisés
• •Aucune réutilisation de vos données pour entraîner des modèles
• •Transferts encadrés (DPF ou SCC selon le fournisseur)
• •Vérification des sources juridiques citées (Légifrance, Judilibre)

L'IA peut être un accélérateur puissant pour le cabinet. À condition de savoir où vont vos données.