IA et données comptables : ce que le droit dit vraiment (RGPD, secret professionnel, AI Act)

Coller un bilan client dans ChatGPT pour l'analyser : tentant, rapide, souvent utile. Mais légalement, tu viens de transmettre des données personnelles et confidentielles à un serveur américain, sans base légale documentée, sans contrat sous-traitant signé, en violation potentielle du secret professionnel de ton ordre. Ce décryptage démêle ce que le RGPD, le Code de déontologie des experts-comptables et l'AI Act imposent concrètement, et trace la voie de la conformité sans renoncer à l'IA.

Pourquoi coller des données comptables dans ChatGPT pose un problème légal concret ?

Un expert-comptable gère les comptes de dizaines de clients qui lui confient salaires, marges, résultats nets, coordonnées bancaires. Des données parmi les plus sensibles qui existent en entreprise.

Depuis 2023, une pratique s'est répandue dans les cabinets : copier-coller des extraits de bilan, de grand livre ou de liasse fiscale dans ChatGPT ou Claude pour obtenir une analyse rapide, rédiger un commentaire de gestion ou détecter une anomalie. La vitesse de traitement est réelle. Le gain de temps aussi.

Le problème, c'est que la plupart de ceux qui le font n'ont jamais vérifié ce que ça implique légalement. Et les implications sont sérieuses : secret professionnel au titre de l'ordonnance du 19 septembre 1945, obligation RGPD de documenter tout traitement de données personnelles, transfert de données hors Union européenne vers des serveurs américains sans base juridique vérifiable dans la plupart des cas.

Ce décryptage ne te dit pas de ne pas utiliser l'IA en cabinet. Je pense que tu dois l'utiliser, et j'explique comment. Mais il faut d'abord comprendre ce que le droit dit précisément, parce que les risques ne sont pas théoriques : un client dont les données transitent par un LLM sans son consentement peut engager la responsabilité du cabinet. La CNIL sanctionne. L'Ordre des experts-comptables a des procédures disciplinaires.

On va passer en revue trois couches de contraintes : le secret professionnel, le RGPD et l'AI Act. Puis je te propose une voie de conformité praticable.

Que disent le secret professionnel, le RGPD et l'AI Act sur l'usage des LLMs ?

Le secret professionnel : une obligation pénale, pas déontologique seulement

L'article 226-13 du Code pénal punit d'un an d'emprisonnement et de 15 000 euros d'amende la révélation d'une information à caractère secret par une personne dépositaire d'un secret professionnel. Les experts-comptables inscrits au tableau de l'Ordre sont expressément visés par l'ordonnance du 19 septembre 1945 (modifiée) et par le Code de déontologie des professionnels de l'expertise comptable (décret n° 2012-432), qui qualifie le secret professionnel de devoir absolu.

Concrètement : transmettre un document client à un tiers non autorisé, même à des fins d'analyse, peut caractériser une violation du secret professionnel. Un LLM grand public (ChatGPT, Claude, Gemini en version gratuite ou standard) est un tiers. La question n'est pas de savoir si le modèle garde les données : c'est la transmission elle-même qui est problématique, quelle qu'en soit la suite.

À la date de ce décryptage, l'Ordre des experts-comptables n'a pas encore publié de recommandation formelle sur l'IA générative. Mais cette absence ne crée aucun vide juridique : le Code pénal et le RGPD s'appliquent indépendamment de toute doctrine ordinale.

Le RGPD : données personnelles, base légale, transferts hors UE

Les pièces comptables contiennent presque systématiquement des données personnelles au sens du règlement UE 2016/679 (RGPD) : noms de salariés, salaires, numéros de Sécurité sociale sur les bulletins de paie, coordonnées bancaires (IBAN) sur les relevés, noms de clients et fournisseurs personnes physiques. Le cabinet est responsable du traitement de ces données (art. 4-7 RGPD).

Toute transmission à un sous-traitant (au sens RGPD) doit respecter trois conditions cumulatives : une base légale de traitement (art. 6), un contrat de sous-traitance signé ou DPA (Data Processing Agreement, art. 28), et en cas de transfert hors UE, un mécanisme de transfert adéquat (art. 46), c'est-à-dire soit une décision d'adéquation de la Commission européenne, soit des clauses contractuelles types (CCT).

Les LLMs grand public posent un problème spécifique sur ce dernier point. OpenAI, Anthropic et Google hébergent leurs modèles sur des serveurs majoritairement américains. Le Privacy Shield a été invalidé par la Cour de justice de l'UE en 2020 (arrêt Schrems II). Son successeur, le Data Privacy Framework (DPF), approuvé en juillet 2023, reste contesté. Dans ses recommandations sur l'IA mises à jour en 2024-2025, la CNIL rappelle que tout appel à une API hébergée hors UE constitue un transfert de données personnelles au sens du chapitre V du RGPD, même un simple prompt contenant un nom ou un email.

L'AI Act : ce qui change pour les usages pro à partir de 2025-2026

Le règlement UE 2024/1689 (AI Act) est entré en vigueur le 1er août 2024, avec une application échelonnée. Les systèmes IA à haut risque dans certains secteurs (emploi, crédit, administration) sont soumis à des exigences renforcées. Les LLMs à usage général (GPT, Claude, Gemini) sont classés modèles d'IA à usage général et soumis à des obligations de transparence, dont la publication d'une politique de conformité pour les modèles déployés en Europe.

Pour un cabinet comptable, l'AI Act ne crée pas d'obligation directe d'enregistrement ou d'audit (les cabinets ne sont pas opérateurs de systèmes à haut risque au sens strict). En revanche, il renforce l'obligation de traçabilité des usages et la responsabilité du déployeur : si tu utilises un LLM pour analyser des documents clients dans un processus de conseil, tu es déployeur au sens de l'AI Act et tu dois documenter cet usage.

Qu'est-ce que ça change concrètement pour ton cabinet ou ton service comptable ?

La question n'est pas de savoir si tu as le droit d'utiliser l'IA. Tu l'as. La question est : dans quelles conditions ?

Si tu travailles dans un cabinet d'expertise comptable

Chaque fois que tu copies des données clients dans un LLM sans avoir vérifié trois choses, tu prends un risque documenté. Ces trois choses : le LLM dispose-t-il d'un DPA que tu as signé ? Les données copiées contiennent-elles des informations personnelles identifiantes ? Le serveur est-il hébergé en UE ou dans un pays à décision d'adéquation valide ?

Dans la pratique, les offres entreprise des grands LLMs résolvent partiellement ce problème. ChatGPT Enterprise et ChatGPT Team, par exemple, proposent un DPA et s'engagent à ne pas entraîner leurs modèles sur les données des conversations. La version gratuite de ChatGPT ne donne aucune de ces garanties. La distinction est concrète : tu ne peux pas utiliser la version gratuite pour analyser une liasse fiscale client, mais tu peux utiliser ChatGPT Team si tu as signé le DPA et si tu informes tes clients de cet usage dans tes conditions générales.

Si tu gères la compta interne d'une TPE ou PME

Tu es responsable de traitement des données de tes fournisseurs, de tes clients personnes physiques et de tes salariés. Transmettre des bulletins de paie ou des relevés bancaires à un LLM sans DPA est une infraction au RGPD, indépendamment du résultat obtenu. La CNIL ne distingue pas le but du traitement : même si tu n'as pas eu l'intention de divulguer, la transmission a eu lieu.

Ce qui est praticable aujourd'hui

Il existe une voie de conformité simple à condition de la mettre en place de façon intentionnelle. Première étape : pseudonymiser ou anonymiser les données avant de les passer dans un LLM. Remplace les noms par des étiquettes neutres (Client A, Fournisseur 1), supprime les IBAN et les numéros de Sécurité sociale avant de coller le texte. Une donnée anonymisée n'est plus une donnée personnelle au sens du RGPD. Notre tuto sur l'analyse de bilan client montre comment anonymiser les données avant d'interroger le LLM.

Deuxième étape : utiliser une solution souveraine ou certifiée. Mistral AI (Le Chat) est hébergé en France, propose des options d'hébergement UE, et communique sur sa conformité RGPD. Des solutions comme Inqom ou Pennylane intègrent des fonctionnalités IA dans un environnement déjà soumis à leurs propres DPA avec toi.

Troisième étape : documenter. Mettre à jour ton registre des activités de traitement (obligatoire pour les cabinets traitant des données de nombreux clients) pour y inclure les LLMs utilisés, leur base légale, la catégorie de données traitées et le mécanisme de transfert.

Ces trois étapes ne sont pas un obstacle à l'adoption de l'IA. Elles sont la condition pour l'utiliser sans risque de sanction, de réclamation client ou de procédure ordinale.

Mon avis : l'IA en cabinet est défendable, mais « je ne savais pas » ne protège plus

Je vais être direct sur ce que je pense.

La plupart des cabinets qui utilisent l'IA aujourd'hui le font sans avoir vérifié une seule des conditions décrites ci-dessus. Pas par mauvaise foi : par méconnaissance, par manque de temps, parce que l'outil marche bien et que personne n'a encore frappé à la porte. Ce n'est pas une raison suffisante de continuer.

En 2024, la CNIL a prononcé 87 sanctions pour un total de 55,2 millions d'euros d'amendes, dont plusieurs visant des TPE et des professions libérales. Les sanctions ne ciblent pas seulement les grandes entreprises. Et contrairement à ce qu'on croit souvent, une violation du RGPD n'a pas besoin d'être intentionnelle ni de causer un préjudice visible pour être sanctionnée : la simple absence de DPA avec un sous-traitant traitant des données personnelles peut suffire.

Sur l'AI Act, je pense que le texte est encore trop récent et trop peu contrôlé pour que les cabinets en ressentent la pression à court terme. Ce n'est pas là que le risque est immédiat.

Le risque immédiat vient du secret professionnel et du RGPD, deux corps de règles en vigueur depuis respectivement 1945 et 2018. Ils ne sont pas nouveaux. Ils s'appliquent à des outils nouveaux, mais le principe de base n'a pas changé : tu ne peux pas transmettre des données confidentielles à un tiers non autorisé, quel que soit l'outil.

Ce que j'en déduis : les cabinets qui vont être dans une position solide dans deux ou trois ans ne sont pas ceux qui évitent l'IA, mais ceux qui la déploient avec une politique interne documentée, une liste d'outils autorisés assortis de leurs DPA, et des procédures d'anonymisation intégrées dans les workflows. C'est un investissement de quelques heures. C'est aussi un argument commercial auprès des clients qui commencent à poser ces questions.