Gouvernance IA pour avocats et services professionnels

Une avocate colle une note confidentielle concernant un client dans un service d’IA non autorisé. Cet exemple illustratif soulève des questions de divulgation, d’accès et de secret professionnel. Il ne permet pas de conclure à une infraction sans examiner les faits et le droit applicable.

Un cadre de gouvernance utile permet de répondre à ces questions avant l’utilisation d’un outil. L’approche ci-dessous s’adresse aux petites équipes de conseil. Son déroulement est une aide à la planification, pas une certification de conformité ni un calendrier validé empiriquement.

Partir des obligations professionnelles suisses

Les lignes directrices de la Fédération Suisse des Avocats sur l’IA, dans leur version de février 2025, recommandent des règles internes, un examen attentif des données saisies et une vérification indépendante et critique des résultats. Elles constituent un guide. Les obligations juridiques découlent de la législation et des règles professionnelles applicables. Le guide s’abstient volontairement de recommander des produits précis.

Il décrit trois configurations possibles : une exploitation dans le réseau du cabinet sans sortie de données ; une externalisation évaluée au regard du guide FSA sur l’externalisation et le cloud ; ou un accord et une déclaration de renonciation d’une clientèle informée, dans la mesure où ils sont juridiquement valables. Aucune ne dispense automatiquement du respect de la protection des données, de la confidentialité ou des droits de tiers. Une installation locale exige aussi des contrôles d’accès, une exploitation sûre et la vérification des connexions externes.

Deux lois ancrent cette obligation. Selon l’article 13 LLCA, l’avocat relevant du champ d’application de la loi (art. 2 LLCA) est soumis au secret professionnel pour toutes les affaires qui lui sont confiées par ses clients dans l’exercice de sa profession, sans limite de temps et à l’égard des tiers, et il veille à ce que ses auxiliaires le respectent. L’article 321 du Code pénal suisse protège les secrets professionnels selon ses conditions. Aucune de ces dispositions ne fait de toute utilisation de l’IA une infraction ou un manquement professionnel ; une phrase générale dans la lettre de mission n’autorise pas non plus toute divulgation. Identifiez les informations, les destinataires, la finalité et les autorisations nécessaires pour l’usage prévu.

Le guide du CCBE sur l’utilisation de l’IA générative par les avocats, daté du 2 octobre 2025 et publié sur la page IA de la FSA, est lui aussi un guide et non du droit contraignant. Il recommande de ne saisir aucune donnée personnelle, confidentielle ou autre relative au client dans un outil d’IA générative sans garanties appropriées, de vérifier les résultats lorsque l’usage l’exige et d’être transparent envers le client lorsqu’un client informé pourrait raisonnablement s’y opposer ou émettre des réserves.

Examiner chaque fournisseur et chaque usage

Un hébergement suisse et un certificat de sécurité peuvent constituer des éléments utiles. Ils n’établissent pas la licéité d’un traitement particulier. Appliquez les mêmes critères à un produit suisse spécialisé et à un assistant généraliste.

Examinez la chaîne de traitement réelle plutôt que d’interdire par principe toute sous-traitance ultérieure. Évaluez-la au regard du secret professionnel, du droit applicable en matière de protection des données et du contrat. Les questions importantes non résolues devraient limiter l’autorisation. Un score d’achat numérique ne remplace pas cet examen.

La recherche apporte une structure, pas une garantie : le cadre d’audit interne proposé par Raji et ses collègues en 2020 relie les décisions du cycle de vie à une piste d’audit. Il propose une méthode ; il ne démontre pas qu’une liste précise empêche les manquements dans les cabinets.

Définir les règles de travail

Inventoriez les outils fournis par le cabinet et les usages professionnels individuels. Ada Studio recommande d’autoriser une tâche et un périmètre de données à la fois, avec une personne désignée qui peut arrêter l’usage, plutôt qu’un produit entier pour toute finalité. Des statuts utiles sont : autorisé sous conditions documentées, preuves attendues et usage restreint dans l’attente d’un examen.

La politique d’utilisation devrait répondre à des questions concrètes : quelles informations saisir, quels résultats vérifier à la source, qui traite une incertitude et comment signaler un incident ? Rendez les règles principales compréhensibles et les procédures détaillées faciles à trouver. Le nombre de pages ne prouve pas qu’une politique sera comprise ou suivie.

Les personnes qualifiées devraient vérifier les propositions juridiques importantes et les citations dans les sources originales. Demander au même modèle si sa réponse est correcte n’est pas une vérification indépendante. Recherchez aussi les omissions et les acquiescements trompeurs.

Le guide FSA mentionne de possibles obligations d’information liées aux conditions du fournisseur ou à l’attente légitime d’une exécution strictement personnelle du mandat. Examinez le mandat et les règles applicables. Une explication utile décrit le rôle réel de l’IA et les modalités de contrôle. Elle ne remplace pas un consentement spécifique ou une autorisation de divulgation requis.

Relier la formation aux tâches

Formez le personnel aux tâches autorisées et donnez-lui l’occasion de démontrer les vérifications requises. Une feuille de présence prouve une participation, pas à elle seule une compétence. Accordez assez de temps et d’autorité à la personne responsable ; une durée trimestrielle fixe n’est pas étayée empiriquement.

Lorsque le règlement européen sur l’IA s’applique, son article 4 concerne la maîtrise de l’IA. Du 2 février 2025 au 26 juillet 2026, il obligeait les fournisseurs et les déployeurs à prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA de leur personnel et des autres personnes s’occupant pour leur compte des systèmes d’IA. Depuis le 27 juillet 2026, tel que modifié par le règlement (UE) 2026/1744, il exige des mesures pour favoriser le développement de la maîtrise de l’IA, sans obligation de garantir un niveau précis pour une personne. Pour les systèmes à haut risque, l’article 26, paragraphe 2, imposera aux déployeurs, à partir du 2 décembre 2027 pour les systèmes de l’annexe III, de confier le contrôle humain à des personnes physiques disposant des compétences, de la formation et de l’autorité nécessaires, ainsi que du soutien nécessaire. La portée territoriale, la finalité et le rôle de l’opérateur doivent être examinés séparément.

Selon le règlement sur l’IA consolidé, articles 111 et 113, les obligations pertinentes concernant les systèmes à haut risque de l’annexe III s’appliquent à partir du 2 décembre 2027, et les obligations correspondantes liées aux produits à partir du 2 août 2028, sous réserve des transitions applicables. La transparence de l’article 50 et la maîtrise de l’IA ont des calendriers distincts. Une politique générale de gouvernance ne satisfait pas automatiquement ces obligations particulières.

Suivre l’évolution réglementaire suisse

Le 12 février 2025, le Conseil fédéral s’est prononcé en faveur de la ratification de la Convention du Conseil de l’Europe sur l’IA, dont le champ d’application concerne en premier lieu des acteurs étatiques, et a chargé le DFJP d’élaborer d’ici fin 2026 un projet de consultation (communiqué du Conseil fédéral). La Suisse a signé la Convention en mars 2025. La page de l’Office fédéral de la justice, consultée le 26 septembre 2026, indique toujours fin 2026 comme échéance du projet de consultation. Jusqu’à l’adoption de nouvelles règles, le secret professionnel et la LPD restent les règles suisses centrales pour l’usage de l’IA par un cabinet ; le PFPDT confirme que la LPD s’applique directement aux traitements de données fondés sur l’IA.

Conserver les décisions et leurs évolutions

Le NIST AI RMF peut aider à organiser les responsabilités et l’examen des risques. L’alignement sur un cadre ou une certification de système de management n’établit pas le respect de toutes les lois. Réutilisez les dossiers pertinents de confidentialité et de sécurité, puis complétez les lacunes propres à l’IA.

Besoin d’un processus de gouvernance utilisable ? Contactez-moi pour discuter des outils, responsabilités et besoins de vérification de votre équipe.