Diagnostic IA d’un cabinet d’avocats : une grille de maturité en 5 niveaux

Un diagnostic IA de cabinet d’avocats doit répondre à trois questions : quels usages produisent une valeur vérifiable, quels risques doivent être maîtrisés et quelle prochaine étape le cabinet peut-il réellement exécuter ? La maturité ne se mesure donc ni au nombre de comptes ouverts ni à la sophistication du modèle choisi. Elle s’évalue sur cinq dimensions : les usages, les données, la maîtrise des risques, les compétences et le pilotage.

La grille proposée ci-dessous classe le cabinet de 1 à 5, depuis les expérimentations individuelles jusqu’au pilotage mesuré de processus augmentés. Elle peut être utilisée en auto-évaluation, puis approfondie dans un diagnostic de maturité IA du cabinet. Son objectif n’est pas d’attribuer une note flatteuse, mais de faire apparaître les écarts entre la pratique réelle et le niveau de contrôle nécessaire.

Ce qu’un diagnostic IA doit examiner

Commencez par recenser les pratiques effectives, y compris celles qui n’ont jamais été formellement autorisées. Pour chaque outil, relevez les utilisateurs, le type de compte, les fonctionnalités activées, les catégories de documents traitées, les connecteurs, la finalité et le mode de validation des résultats. Distinguez une simple aide à la reformulation d’un traitement portant sur un dossier, une recherche juridique, une analyse de pièces ou une production destinée à être communiquée.

Cette distinction est importante : les conditions applicables dépendent notamment de l’offre souscrite. À titre d’exemple, les conditions commerciales d’Anthropic consultées indiquent que le client conserve ses droits sur ses entrées et détient les sorties dans les limites du droit applicable, que le contenu client des services commerciaux ne peut pas servir à entraîner les modèles et que les affirmations factuelles produites doivent être vérifiées indépendamment. Ces stipulations ne dispensent pas d’examiner l’offre exacte, le DPA, la conservation, les sous-traitants, les transferts, les connecteurs et la configuration du compte.

Le diagnostic doit ensuite rapprocher les usages des principes de protection des données. La fiche de la CNIL sur l’IA et le RGPD organise l’analyse autour de points concrets : finalité, base légale, minimisation, durée de conservation, information, exercice des droits, évaluation du système et prévention des discriminations. Pour un cabinet, ces thèmes doivent devenir des preuves observables : une finalité écrite, des catégories de données autorisées, une règle de conservation et une procédure de contrôle.

La grille de maturité IA en 5 niveaux

Un cabinet peut être au niveau 4 sur la synthèse de documents internes et au niveau 1 sur les usages libres d’un outil conversationnel. Il faut donc attribuer un niveau à chaque dimension et à chaque cas d’usage, plutôt qu’une note globale unique. Le niveau cible dépend aussi du contexte : une tâche réversible portant sur un contenu public ne nécessite pas le même dispositif qu’une analyse de pièces confidentielles ou qu’une action automatisée.

La méthode PREUVE pour conduire l’évaluation

Pour éviter un audit purement déclaratif, Initial propose une séquence en six étapes, mémorisable sous l’acronyme PREUVE :

1. P — Pratiques : inventorier outils officiels et usages informels à partir d’entretiens, questionnaires, configurations et exemples expurgés.
2. R — Risques : qualifier les données, la confidentialité, les droits d’accès, les erreurs possibles, les dépendances et les effets d’une mauvaise sortie.
3. E — Économie du processus : décomposer le travail actuel, son déclencheur, ses reprises, ses contrôles et son livrable. Le temps théoriquement gagné ne suffit pas si la vérification augmente.
4. U — Usages prioritaires : sélectionner deux ou trois cas selon leur fréquence, leur valeur, leur faisabilité et leur réversibilité. Une automatisation de contentieux sériel, par exemple, doit être découpée en opérations contrôlables plutôt que pensée comme une délégation globale.
5. V — Vérifications : définir les sources autorisées, la revue humaine, les tests, les seuils de rejet et la conduite à tenir lorsqu’une sortie est incomplète ou incertaine.
6. E — Exécution : attribuer un responsable, une échéance, un indicateur et une preuve de réalisation à chaque action de la feuille de route.

La dimension « compétences » ne doit pas être réduite à une session de sensibilisation. L’article 4 du règlement européen sur l’intelligence artificielle, applicable depuis le 2 février 2025, prévoit que fournisseurs et déployeurs prennent, dans toute la mesure du possible, des mesures assurant un niveau suffisant de maîtrise de l’IA, compte tenu des connaissances, de l’expérience, de la formation et du contexte d’utilisation. Au 22 juillet 2026, la date générale d’application de nombreuses autres dispositions du règlement reste fixée au 2 août 2026, avec des calendriers particuliers prévus par l’article 113. Le diagnostic doit donc documenter qui utilise quoi, dans quel contexte et avec quelle préparation.

Comment noter le cabinet sans produire une moyenne trompeuse

Évaluez séparément cinq axes : usages, données, sécurité, compétences et gouvernance. Pour chaque axe, attribuez un niveau uniquement si trois éléments sont réunis : une règle écrite, une pratique observée et une preuve conservée. Si la politique annonce un niveau 4 mais que les comptes restent personnels, la note opérationnelle reste celle de la pratique constatée.

• Usages : existe-t-il un inventaire et un propriétaire pour chaque cas ?
• Données : les catégories autorisées, la minimisation et la conservation sont-elles définies ?
• Sécurité : les accès, connecteurs, journaux, incidents et départs sont-ils administrés ?
• Compétences : les utilisateurs savent-ils formuler, vérifier, citer leurs sources et identifier les limites ?
• Gouvernance : une instance peut-elle autoriser, suspendre ou modifier un usage ?

Le dossier du Conseil national des barreaux consacré à l’IA générative insiste sur une intégration maîtrisée respectant déontologie, confidentialité et responsabilité. Il met également à disposition de la profession un guide pratique et une grille d’analyse attirant notamment l’attention sur la souveraineté, la confidentialité, la sécurisation et la réutilisation éventuelle des données. Cela conforte une approche dans laquelle le choix du logiciel vient après la qualification de l’usage et des exigences.

La comparaison technique reste utile, mais seulement à l’intérieur de ce cadre. Le comparatif des LLM pour les professionnels du droit peut éclairer les capacités et limites des modèles, tandis que la sélection des outils d’IA pour les avocats doit être confrontée aux conditions contractuelles et aux réglages réellement disponibles. Pour un processus documentaire complexe, l’analyse consacrée à l’IA et la due diligence juridique illustre aussi l’importance de la traçabilité et de la revue des résultats.

Transformer le diagnostic en feuille de route

La restitution doit tenir sur trois horizons. À trente jours : inventorier, sécuriser les comptes, fixer les interdits temporaires et nommer un responsable. À soixante jours : former le groupe pilote, tester deux cas d’usage sur un corpus maîtrisé et documenter les contrôles. À quatre-vingt-dix jours : décider du déploiement, de l’abandon ou d’un nouveau test sur la base des erreurs, du temps de reprise, de la qualité et des incidents observés.

Le livrable final comprend idéalement une cartographie des processus, un registre des outils, les scores détaillés, une matrice valeur-risque, les fiches des cas prioritaires et un plan d’action avec responsables et échéances. Le bon résultat n’est pas nécessairement d’atteindre le niveau 5 partout. Il consiste à obtenir un niveau de maîtrise proportionné, démontrable et compatible avec le fonctionnement réel du cabinet.