Politique IA du cabinet d’avocats : la méthode CAPTURE

Une politique IA utile tient en un dispositif simple : des usages nommés, des outils autorisés, un responsable pour chaque décision et une preuve conservée. Elle ne doit ni interdire abstraitement l’IA, ni transformer chaque essai en projet de conformité. Pour un cabinet d’avocats, son objectif est opérationnel : permettre les usages utiles tout en protégeant les informations, en imposant la revue humaine et en rendant les décisions auditables.

Le document signé n’est donc que la façade. Le véritable système comprend une liste d’outils, un registre des cas d’usage, une matrice des données, des validations, une procédure d’incident et une revue périodique. Avant de le rédiger, un diagnostic de maturité IA du cabinet permet d’identifier les pratiques déjà installées, y compris les comptes personnels et les essais informels.

1. Fixer le périmètre : usages, données et outils

Commencez par recenser les usages réels : recherche d’idées, synthèse, traduction, préparation d’un plan, analyse documentaire, rédaction assistée, automatisation ou agent connecté. Un même outil n’a pas le même risque selon qu’il reçoit un texte public, un document interne ou des éléments relatifs à un dossier.

La politique peut poser une règle à trois niveaux :

• Vert : données publiques, fictives ou préalablement expurgées ; usage permis dans les outils inscrits sur la liste blanche.
• Orange : informations internes ou données personnelles nécessaires ; usage seulement pour un cas validé, avec minimisation, accès contrôlé et paramètres approuvés.
• Rouge : informations couvertes par le secret, données sensibles, stratégie ou pièces d’un dossier ; aucune saisie par défaut. Une exception suppose un environnement et un cas d’usage expressément approuvés après examen technique, contractuel, déontologique et RGPD.

Cette classification doit préciser les opérations autorisées, pas seulement les catégories de documents. Copier un extrait, téléverser une pièce, connecter un espace documentaire et laisser un agent agir sont quatre expositions différentes. Pour approfondir ce point, voir IA générative et secret professionnel.

La fiche de la CNIL sur l’IA et le RGPD, consultée le 22 juillet 2026, invite notamment à définir une finalité déterminée, légitime et explicite, à limiter les données à ce qui est nécessaire, à fixer une conservation proportionnée et à évaluer le système en production. Traduction pratique : chaque cas d’usage approuvé tient sur une fiche indiquant objectif, utilisateurs, données, outil, sortie attendue, durée et contrôles.

2. Écrire des règles exécutables, pas des principes décoratifs

Une personne doit pouvoir savoir en moins d’une minute si elle peut agir. La politique doit donc répondre à six questions : quel compte utiliser, quelles données saisir, quelles fonctions activer, qui relit, où enregistrer le résultat et comment signaler un problème.

• Utiliser uniquement un compte professionnel administré et l’outil dans sa configuration validée.
• Ne pas connecter de messagerie, drive, navigateur ou base documentaire sans autorisation spécifique et test des permissions.
• Réduire les données au strict nécessaire ; privilégier données fictives, masquage ou pseudonymisation lorsque le résultat reste utile.
• Traiter toute sortie comme un brouillon : vérifier faits, citations, calculs, droit applicable, cohérence et biais avant réutilisation.
• Interdire qu’une sortie déclenche seule un acte, un envoi, une échéance, un conseil ou une décision affectant une personne.
• Signaler immédiatement divulgation, accès excessif, réponse anormale, source inventée ou action non prévue.

La revue humaine doit être définie par le risque : identité du relecteur, points de contrôle et trace de validation. Pour un flux de clauses, par exemple, la méthode diffère d’une simple reformulation ; l’article automatiser la rédaction de contrats avec l’IA détaille cette logique de contrôle.

Le dossier du CNB consacré à l’IA générative insiste sur une intégration maîtrisée respectant déontologie, confidentialité et responsabilité, et propose une grille attentive à la souveraineté, à la sécurisation, à la confidentialité et à la possible réutilisation des données. Une politique interne doit convertir ces vigilances en boutons activés ou désactivés, habilitations et critères d’acceptation.

3. Attribuer les rôles et les pouvoirs de décision

Dans une petite structure, une même personne peut cumuler plusieurs rôles ; les décisions doivent néanmoins rester identifiables.

• Direction ou associé sponsor : approuve le niveau de risque accepté, les outils et les exceptions.
• Référent IA : tient le registre, organise les tests, publie les consignes et surveille les changements de produit.
• DPO ou conseil privacy, lorsqu’il intervient : qualifie les traitements, la base juridique, l’information, les droits, les durées et la nécessité éventuelle d’une analyse d’impact.
• IT/RSSI : valide identité, accès, journalisation, connecteurs, export, suppression, sauvegarde et procédure d’incident.
• Responsable métier : fixe les critères de qualité et la revue humaine du cas d’usage.
• Utilisateur : respecte le périmètre, contrôle la sortie et remonte tout écart.

La formation fait partie du dispositif. L’article 4 du règlement européen impose aux fournisseurs et déployeurs de prendre des mesures, dans toute la mesure du possible, pour assurer un niveau suffisant de maîtrise de l’IA adapté aux connaissances, à l’expérience et au contexte. Selon l’article 113, les chapitres I et II s’appliquent depuis le 2 février 2025, tandis que l’application générale intervient le 2 août 2026, sous réserves prévues par le texte. Il faut donc vérifier la version en vigueur et la qualification de chaque système dans le règlement (UE) 2024/1689 sur EUR-Lex, sans présumer que tout usage génératif relève d’une même catégorie.

Une preuve de maîtrise peut combiner parcours par rôle, exercice sur un cas fictif, évaluation courte, feuille de présence et rappel lors d’une évolution importante. La CNIL recommande d’impliquer et former les utilisateurs, d’adapter le contenu à leurs fonctions, d’évaluer l’assimilation et de documenter des procédures tenues à jour.

4. La méthode CAPTURE : sept décisions, sept preuves

Pour passer du texte au pilotage, Initial propose la séquence CAPTURE. Chaque étape produit un livrable daté.

Le dossier fournisseur doit figer le produit, le plan, la configuration et la version contractuelle examinés. Exemple daté, non transposable à une offre grand public : les conditions commerciales d’Anthropic affichées lors de notre consultation, effectives au 17 juin 2025, indiquent notamment que le contenu client n’est pas utilisé pour entraîner les modèles dans les services concernés, qu’un DPA s’applique et que ce contenu est traité comme confidentiel. Cela ne dispense pas d’examiner le service réellement souscrit, ses paramètres, sous-traitants, transferts, durées et évolutions.

5. Organiser les preuves sans créer une nouvelle fuite

Conserver une preuve ne signifie pas archiver tous les prompts. Le registre peut référencer le cas d’usage, l’outil, l’utilisateur habilité, la date, le type de données, le contrôle effectué et l’incident éventuel, sans recopier les informations d’un dossier. Les accès aux preuves, leur durée et leur suppression doivent eux aussi être définis.

En cas d’incident : arrêter l’usage concerné, préserver les faits nécessaires, alerter les rôles désignés, limiter l’exposition, demander au fournisseur les mesures disponibles, puis qualifier les obligations applicables selon la procédure du cabinet. Le retour d’expérience doit déboucher sur une correction de règle, de configuration ou de formation. Un déploiement sécurisé de l’IA transforme ces exigences en paramétrage et tests ; le pilotage et l’amélioration continue maintiennent ensuite le registre et les contrôles.

Les indicateurs doivent aider à décider : part des outils recensés ayant un propriétaire, cas d’usage avec fiche à jour, personnes habilitées ayant suivi le parcours requis, tests échoués non corrigés, incidents ouverts, délai de retrait d’un accès et date de dernière revue fournisseur. Ce ne sont pas des objectifs universels : le cabinet fixe seuils et cadence selon ses risques. La bonne politique IA est celle qui prouve, à une date donnée, pourquoi un usage a été autorisé, comment il est contrôlé et qui peut l’arrêter.