Gestion et confidentialité des données du cabinet à l’ère de l’IA

Programme

9h00 – 9h10  Introduction : la donnée, le vrai sujet de l’IA

• Présentation du formateur et de la philosophie de la formation

• Pourquoi parler d’outils alors que le vrai sujet, ce sont les données

• Ce que disent les études :

• 60 % des projets d’IA menés sans données préparées sont voués à l’abandon (Gartner, 2025)

• Une seule information hors sujet suffit à dérouter le modèle (Shi et al., 2023)

• Dans un contexte long, l’information placée au milieu est moins bien exploitée (« Lost in the Middle », 2023)

• Tour de table : quels usages, quelles données, quelles inquiétudes

9h10 – 9h30  1. Qu’arrive-t-il à vos données lorsque vous utilisez une IA ?

A. Pourquoi une IA, ce n’est pas Word ou Excel

• Logiciel local ou service distant : la donnée quitte le poste de travail

• Un fonctionnement probabiliste : une même question peut produire des réponses différentes

• Le modèle « lit » tout ce qu’on lui transmet, y compris ce qu’on ne voit pas (métadonnées, commentaires, versions masquées)

B. Entraînement des modèles : vos données sont-elles réutilisées ?

• Entraînement et utilisation : deux phases distinctes dans la vie d’un modèle

• Ce que le modèle retient, ou non, de vos conversations

• L’entraînement sur les données des utilisateurs : réglages par défaut selon les offres et comment les vérifier

• Mémoire, historique et projets : ce qui est conservé d’une conversation à l’autre

• Peut-on retrouver une donnée d’entraînement dans une réponse ? Le risque de « régurgitation »

C. Le trajet complet d’une donnée

• De la saisie à la suppression : transmission, traitement, stockage, journalisation, effacement

• Les intermédiaires : éditeur de l’outil, fournisseur du modèle, hébergeur, sous-traitants

• Durées de conservation et accès humains : ce que disent réellement les conditions d’utilisation

• Offres grand public, offres professionnelles et accès par API : trois régimes pour une même donnée

D. Les logiques d’hébergement

• France, Union européenne ou hors UE : ce que cela change concrètement

• Lois extraterritoriales (Cloud Act) et transferts hors UE : où se situe le risque

• Clouds et modèles souverains, le point complet :

• Claude : lieu de traitement des données et options d’hébergement

• Les modèles souverains : l’offre française et européenne

• L’IA locale : faire tourner un modèle sur ses propres machines

• Le comparatif : localisation, confidentialité, performance, coût

• Lire une politique de confidentialité et un DPA : localisation, sous-traitants, réversibilité

9h30 – 9h45  2. Le pont avec les obligations déontologiques

A. Secret professionnel et confidentialité

• Le périmètre du secret professionnel de l’avocat appliqué aux outils numériques

• Confier une donnée à un prestataire : à quelles conditions est-ce compatible ?

B. RGPD et responsabilité

• Le cabinet responsable de traitement : obligations et documentation

• Données sensibles, données de tiers, données de la partie adverse

• Responsabilité de l’avocat sur le contenu produit : relecture et vérification systématiques

C. Anonymisation et pseudonymisation : le point juridique

• Donnée anonyme (hors RGPD) et donnée pseudonymisée (toujours une donnée personnelle)

• Pourquoi une véritable anonymisation est difficile à atteindre (réidentification par recoupement)

• Ce que la pseudonymisation permet, et ce qu’elle ne permet pas

• CNIL et RGPD : pourquoi leurs approches divergent

• Les recommandations du CNB et des barreaux sur l’usage de l’IA et la protection des données

9h45 – 10h00  3. Cartographie des IA : qui fait quoi, avec quelles données

A. Les IA génériques

• Les grands assistants généralistes : ce qu’ils savent faire, et ce qu’ils ne savent pas faire

• Ce qu’on peut leur confier selon l’offre (grand public, professionnelle, API)

• Leurs limites : pas de fonds juridique propre, sources non vérifiées, hébergement souvent hors UE

B. Les IA juridiques des éditeurs

• L’IA adossée à un fonds documentaire : sources citées, jurisprudence et doctrine à jour

• Leurs limites : périmètre réduit au fonds de l’éditeur, erreurs possibles malgré les sources, dépendance à un abonnement

C. Les IA legal tech

• Les outils spécialisés : analyse de contrats, due diligence, gestion de dossiers, pseudonymisation

• Leur apport : un usage métier précis, intégré au flux de travail

• Leurs limites : couverture fonctionnelle étroite, maturité et pérennité variables, modèle sous-jacent souvent non choisi

D. Qui est souverain, qui ne l’est pas ?

• L’éditeur, le modèle et l’hébergement : trois questions différentes

• Un outil français peut reposer sur un modèle américain : comment le vérifier

• Grille de lecture : quel outil, pour quel usage, avec quelles données

10h00 – 10h25  4. Assurer la confidentialité des données : trois approches

A. L’approche « par fichier »

• Anonymiser ou pseudonymiser chaque document avant usage

• Simple et sans outillage lourd, mais répétitive, source d’oublis et d’incohérences entre documents

B. L’approche « par dossier »

• Traiter l’ensemble du dossier une seule fois, avec un référentiel d’entités cohérent

• Utiliser ensuite librement le dossier pseudonymisé avec l’IA de son choix

• La réidentification maîtrisée : retrouver les vrais noms dans le livrable final

C. L’approche automatisée : le cycle de vie du dossier

• Traiter la donnée dès l’ouverture du dossier, et non plus au moment de l’usage

• Identifier les données personnelles une fois pour toutes, avec un référentiel par dossier

• Un processus qui protège par défaut : moins de questions à se poser, moins d’erreurs

D. Choisir son approche

• Les critères : volume de dossiers, types de données, outils déjà en place

• Le contrôle qualité : vérifier ce que l’outil a détecté… ou non

10h25 – 10h40  Pause

10h40 – 11h05  5. Préparer ses données et maîtriser les « tokens »

A. Garbage in, garbage out : préparer ses données

• Les sources de « bruit » dans un cabinet :

• Scans de mauvaise qualité, PDF image, tableaux et annotations manuscrites

• Doublons, versions multiples, brouillons non identifiés

• Pièces non pertinentes mélangées aux pièces utiles

• Préparer un document pour l’IA :

• Vérifier la qualité d’extraction du texte avant de soumettre un document

• Nommer, dater et versionner : des conventions simples qui changent tout

• Trier avant d’envoyer : ne transmettre que ce qui sert la question

B. Optimiser la fenêtre de contexte

• Comprendre la fenêtre de contexte :

• La « mémoire de travail » du modèle, mesurée en tokens, et ses ordres de grandeur en pages

• Ce qui la remplit sans qu’on le voie : historique, instructions, documents joints

• Les limites des contextes longs :

• L’information placée au milieu est moins bien exploitée

• La qualité baisse avec la longueur, bien avant la limite technique

• L’effet des « distracteurs » : un seul contenu proche mais hors sujet suffit à dégrader la réponse

• Les bonnes pratiques :

• Une conversation, un sujet : savoir repartir d’une conversation vierge

• Placer les informations clés au début et rappeler la consigne à la fin

• Découper les gros dossiers et procéder par synthèses intermédiaires

• Les résumés en markdown : le Graal de la gestion du contexte

• Utiliser les projets et bases documentaires plutôt que tout coller dans la conversation

11h05 – 12h10  6. Atelier pratique : mettre en place une politique de traitement de la donnée au cabinet

A. Panorama des solutions d’anonymisation et de pseudonymisation

• Les outils de caviardage manuel : traitement de texte, lecteur PDF

• Les solutions en ligne : traitement document par document

• Les fonctions intégrées aux outils des éditeurs et des legal tech

• Les solutions à installer en interne : la donnée ne sort pas du cabinet ou de l’entreprise

• Les solutions connectées à l’IA : la pseudonymisation se fait au fil de l’eau, entre les documents et l’assistant

B. Construire une chaîne complète

• Pseudonymiser un dossier test

• L’exploiter avec un outil d’IA : synthèse, chronologie, analyse

• Réidentifier le livrable final

C. Contrôler le résultat

• Vérifier les fuites : noms oubliés, données indirectement identifiantes

• Évaluer la qualité de la réponse obtenue sur données pseudonymisées

12h10 – 12h25  7. Ouverture : garder la donnée chez soi, les tendances

A. Les modèles locaux et l’hébergement interne

• Faire tourner une IA sur ses propres machines : ce qui est possible aujourd’hui

• Avantages et contraintes : performance, coût, maintenance

B. Les architectures hybrides

• La donnée reste chez soi, le traitement est externalisé de façon maîtrisée

• Les solutions qui arrivent sur ce créneau

C. Les pièges à éviter

• Dépendance technologique et engagements de durée

• Promesses marketing (« 100 % sécurisé », « données jamais conservées ») : ce qu’il faut vérifier

12h25 – 12h30  Conclusion

• Synthèse : les cinq réflexes « donnée » de l’avocat qui utilise l’IA

• Plan d’action individuel : que faire dès demain, au cabinet ou dans l’entreprise ?

• Ressources, outils et formations complémentaires