CNIL, RGPD et IA : ce que les avocats doivent exiger

Pourquoi la conformité RGPD de votre LegalTech n’est plus négociable

Un cabinet d’avocats français qui traite des données personnelles sans cadre solide prend aujourd’hui un risque double : juridique et business. Juridique, parce que les sanctions RGPD se chiffrent en millions d’euros. Business, parce que le moindre incident de confidentialité peut ruiner en quelques heures une relation client construite sur des années.

Voici le point clé : votre IA juridique n’est jamais neutre. Derrière une interface élégante, il y a des choix techniques, des règles de gestion des données, des arbitrages éthiques. Et ces choix, vous n’y avez pas toujours accès.

La bonne nouvelle, c’est qu’on commence à voir émerger des signaux forts de sérieux. Le programme d’accompagnement renforcé de la CNIL suivi par Doctrine entre 09/2024 et 08/2025 en est un très bon exemple. Pour les cabinets d’avocats, ce n’est pas juste une info « tech » de plus : c’est un cas d’école de ce que vous êtes en droit d’attendre d’un fournisseur d’IA juridique.

Dans ce billet de la série « L’IA pour les Cabinets d’Avocats Français », on va tirer les leçons de cette expérience CNIL/Doctrine pour répondre à une question simple :

Comment choisir et utiliser une IA juridique en France sans mettre votre cabinet, vos clients et votre responsabilité en danger ?

---

1. Le programme CNIL/Doctrine : pourquoi c’est un signal fort pour les avocats

Le programme d’accompagnement renforcé de la CNIL n’est pas une formalité administrative. C’est un dispositif sélectif, réservé à quelques acteurs jugés stratégiques pour l’innovation numérique et la protection des données. Doctrine a été retenu aux côtés de la FDJ, de Docaposte et de ShareID.

Ce que cela signifie concrètement

Pour un cabinet d’avocats, trois points comptent vraiment :

1. Sélection exigeante
   La CNIL a retenu Doctrine sur la base de critères précis :

   • caractère innovant des services,
   • fort développement économique,
   • impact significatif sur les personnes concernées,
   • engagement démontré en matière de conformité RGPD,
   • intérêt des questions juridiques et éthiques posées.

2. Travail en profondeur sur les usages concrets de l’IA
   Pendant six mois, la CNIL a travaillé avec Doctrine sur des sujets qui vous concernent directement, en tant qu’avocats :

   • Fonctionnalités d’IA générative : comment encadrer juridiquement l’analyse automatisée de décisions, de contrats ou de pièces ?
   • Upload et analyse de documents privés : qui est responsable de quoi dans la chaîne de traitement ? Quel rôle exact joue la LegalTech (responsable de traitement ou sous-traitant) ?
   • Pages avocats et entreprises : conditions d’agrégation de données publiques sans glisser vers de la donnée sensible ou des usages abusifs.

3. Confidentialité des échanges
   L’accompagnement se fait dans un cadre strictement confidentiel, même vis-à-vis des services de contrôle de la CNIL. Résultat : les entreprises peuvent poser les vraies questions, y compris là où le droit n’est pas encore stabilisé, sans craindre un « retour de bâton » immédiat.

Pour les cabinets français, ça change la donne : vous n’êtes plus seuls à interpréter le RGPD face à des technologies complexes. Des acteurs comme Doctrine ont fait le travail de fond, sous le regard direct de l’autorité de contrôle.

---

2. Ce que Doctrine a changé… et ce que vous pouvez en tirer pour votre cabinet

Ce programme CNIL n’est pas juste un label. Il a entraîné des modifications très concrètes dans la manière dont Doctrine conçoit et opère son IA juridique. Et ces changements peuvent servir de check-list pour évaluer tous vos prestataires LegalTech.

a) Clarification des rôles : qui est responsable de quoi ?

Sur les fonctionnalités d’upload et d’analyse de documents, la CNIL a poussé Doctrine à clarifier sa position de sous-traitant au sens du RGPD. Conséquence :

• les CGV ont été mises à jour pour décrire précisément les obligations de chacun,
• le périmètre des traitements est détaillé,
• les engagements de sécurité et de confidentialité sont mieux cadrés.

Pour votre cabinet, cela signifie deux choses très pratiques :

• vous pouvez démontrer plus facilement à vos clients que vous maîtrisez votre chaîne de sous-traitance ;
• en cas de contrôle, vous avez un contrat qui correspond réellement aux traitements effectués.

Si votre LegalTech ne vous donne pas une vision claire de son rôle (responsable, co-responsable, sous-traitant), c’est un vrai signal d’alerte.

b) Revue de conformité ciblée sur les produits que vous utilisez

La CNIL a audité les traitements majeurs de Doctrine :

• pages avocat,
• pages entreprises,
• fonctionnalités d’analyse de documents (Flow, extraction d’informations, etc.).

Les enseignements pour un cabinet :

• Préférez les outils qui ont fait l’objet d’une revue RGPD produit par produit, pas seulement d’une politique générale « sécurité et confidentialité ».
• Posez des questions ciblées :
  • Quelles données sont traitées ?
  • Où sont-elles hébergées ?
  • Combien de temps sont-elles conservées ?
  • Sont-elles utilisées pour entraîner les modèles d’IA ? (sur ce point, Doctrine a pris une position nette : aucune donnée client n’est utilisée pour l’entraînement.)

c) Montée en compétence des équipes : un modèle à copier en interne

Un point intéressant du programme : Doctrine n’a pas limité la conformité à son service juridique. Ingénieurs, product managers, juristes : tout le monde a été formé ensemble aux analyses d’impact (AIPD).

Pour un cabinet, la logique doit être la même :

• associer les associés, les collaborateurs, parfois même les assistantes et fonctions support,
• intégrer le RGPD dans les décisions d’outillage (choix de l’IA, paramétrage, règles internes),
• documenter les risques et les mesures de réduction, comme dans une AIPD.

Honnêtement, les cabinets qui feront ça sérieusement auront un avantage très net dans les appels d’offres corporate et les dossiers sensibles (santé, données financières, droit du travail, M&A, etc.).

---

3. Les garanties de sécurité qu’un cabinet français doit exiger en 2025

La sécurité ne se résume pas à un onglet « Confidentialité » sur un site. Doctrine donne un bon aperçu du socle minimum qu’un cabinet peut légitimement attendre d’un outil d’IA juridique utilisé au quotidien.

a) Certification ISO 27001 : le socle industriel

Doctrine est certifié ISO 27001 depuis début 2025, tout comme ses hébergeurs. Pour faire simple, cela signifie :

• un système de management de la sécurité de l’information audité par un tiers,
• des politiques écrites, suivies et contrôlées,
• une gestion structurée des risques (tests, correctifs, journalisation, contrôles d’accès, etc.).

Pour un cabinet d’avocats, exiger l’ISO 27001 n’est plus du luxe :

• vos clients grands comptes la demandent déjà dans leurs questionnaires sécurité ;
• elle vous protège aussi face à vos propres obligations déontologiques (secret professionnel, confidentialité, archivage).

b) Zéro réutilisation des données pour l’entraînement

Doctrine a pris une position claire :

Aucune donnée client n’est utilisée pour entraîner les modèles d’IA.

En pratique, cela veut dire que :

• le mémoire d’un client chargé sur la plateforme ne sert jamais à améliorer le modèle utilisé pour un autre cabinet ;
• vous limitez fortement le risque de « fuite par apprentissage » (un modèle qui recracherait, même partiellement, des données sensibles d’un autre utilisateur).

Quand vous évaluez un outil d’IA juridique, posez la question de façon frontale. Si la réponse est floue, ou noyée dans des généralités techniques, c’est problématique.

c) Chiffrement, cloisonnement, gouvernance de l’IA

Doctrine met en avant :

• un chiffrement complet des fichiers et transferts,
• une isolation stricte entre les clients,
• un code de conduite IA qui cadre les usages et les limites du système.

Pour un cabinet, ça doit devenir votre standard de négociation avec tout prestataire d’IA :

• chiffrement au repos et en transit,
• séparation logique ou physique de vos données,
• documentation claire des garde-fous : logs, droits d’accès, supervision humaine, limites d’usage.

---

4. Comment intégrer une IA juridique conforme dans la vie du cabinet

Avoir un prestataire « clean » ne suffit pas. La vraie différence, c’est la manière dont le cabinet intègre l’IA dans ses propres méthodes de travail.

a) Définir une politique interne d’usage de l’IA

Les cabinets qui s’en sortent le mieux font tous la même chose : ils rédigent une politique interne d’usage de l’IA juridique. Pas un roman, mais 4–5 pages claires qui répondent à des questions très concrètes :

• Quels types de documents peuvent être chargés dans l’outil ?
• Quels usages sont proscrits (par exemple : données de santé, procédures pénales sensibles, arbitrages confidentiels) ?
• Qui est responsable de la validation humaine des analyses produites par l’IA ?
• Comment tracer les usages de l’IA dans les dossiers (notamment pour la responsabilité professionnelle) ?

Inspirer cette politique du code de conduite IA de votre fournisseur est une bonne idée. Doctrine, par exemple, met en avant une IA pensée pour les professionnels du droit, avec une priorité donnée à la confidentialité et à la traçabilité.

b) Documenter votre conformité : le réflexe AIPD

L’un des apports forts du programme CNIL/Doctrine, c’est la formation des équipes aux analyses d’impact (AIPD). Pour un cabinet d’avocats, reprendre cette logique est très utile quand :

• vous mettez en place un traitement particulièrement sensible (ex. : analyse massive de pièces prud’homales ou pénales),
• vous déployez une IA dans un département entier (droit social, IP/IT, contentieux, etc.).

Concrètement, une AIPD adaptée au cabinet peut rester simple :

1. Quels types de données traitez-vous via l’IA ?
2. Quels risques pour les personnes concernées en cas d’atteinte (clients, salariés, dirigeants) ?
3. Quelles mesures techniques et organisationnelles pour réduire ces risques ?
4. Comment vérifiez-vous, dans le temps, que ces mesures restent efficaces ?

Un document de 3–4 pages bien tenu peut faire toute la différence lors d’un contrôle CNIL ou d’un audit client.

c) Former les avocats à « parler RGPD » avec leurs clients

Dernier point souvent oublié : vos clients vous posent de plus en plus de questions sur l’usage que vous faites de l’IA. Être capable de répondre clairement, sans jargon technique inutile, devient un vrai avantage compétitif.

Les cabinets qui s’y préparent :

• organisent des ateliers internes courts sur RGPD + IA + LegalTech ;
• préparent une fiche de synthèse à remettre aux clients sensibles (banques, assureurs, groupes cotés, acteurs santé) ;
• s’appuient sur les engagements publics de leurs prestataires (politique de données personnelles, certification ISO 27001, DPO identifié, etc.).

---

5. Une IA juridique fiable : un investissement stratégique, pas un luxe

Ce que montre l’expérience de Doctrine avec la CNIL, c’est qu’une IA juridique peut être à la fois performante et exemplaire sur les données personnelles. Mais cela suppose un vrai travail de fond : audit, documentation, formation, certification.

Pour les cabinets d’avocats français, surtout en cette fin 2025 où les clients sont de plus en plus exigeants sur la conformité numérique, le message est clair :

• vous avez le droit d’être très exigeant avec vos LegalTech,
• vous pouvez exiger des preuves (ISO 27001, accompagnement CNIL, code de conduite IA, contrats RGPD détaillés),
• vous devez structurer vos propres pratiques internes pour rester cohérent avec votre discours.

L’IA juridique n’est plus un gadget pour quelques geeks du cabinet. C’est en train de devenir une infrastructure de travail aussi structurante que le RPVA, la messagerie sécurisée ou votre logiciel de gestion. Autant la construire sur un socle solide : RGPD, sécurité, transparence.

La série « L’IA pour les Cabinets d’Avocats Français » continuera à creuser ces sujets : choix d’outils, organisation interne, usages concrets en contentieux, M&A, droit social, IP/IT. D’ici là, posez-vous une question simple :

Si la CNIL entrait demain dans votre cabinet, seriez-vous à l’aise pour expliquer comment vous utilisez l’IA juridique ?

Si la réponse est « pas vraiment », c’est le bon moment pour s’y mettre sérieusement.