Modèle
Modèle de politique d'utilisation de l'IA pour les cabinets comptables et juridiques
Par Hugo Ribeiro · Mis à jour le · 7 min de lecture
Dans la plupart des cabinets, l'IA est déjà utilisée, presque toujours sans règles écrites. Le risque ne tient pas à l'outil, mais au fait que chacun décide seul de ce qu'il peut envoyer. Une politique courte règle la question et laisse une trace de la réflexion du cabinet.
Sur quoi elle s'appuie
- Secret professionnel de votre ordre : les faits et documents du client ne sont pas communiqués à des tiers. Voir IA et secret professionnel.
- Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25) : mesures de sécurité propres à assurer la protection des renseignements (article 10) et évaluation avant toute communication à l'extérieur du Québec (article 17).
- En France, le RGPD : responsabilité (article 5, paragraphe 2), contrat avec le sous-traitant (article 28) et mesures de sécurité appropriées, dont la pseudonymisation (article 32).
- Règlement européen sur l'IA (règlement (UE) 2024/1689), article 4 : les organisations qui utilisent l'IA doivent prendre des mesures pour assurer une maîtrise suffisante de l'IA par leur personnel. Le texte a été ajusté en 2026 par le paquet « omnibus numérique », mais l'obligation de prendre des mesures demeure.
Modèle (à copier et à adapter)
Politique d'utilisation de l'intelligence artificielle
[Nom du cabinet] · Version 1 · [date]
1. Champ d'application. S'applique à tous les associés, employés et stagiaires, et à tout outil d'IA générative utilisé pour le travail du cabinet.
2. Outils autorisés. Seuls les outils de la liste en annexe peuvent être utilisés, avec des comptes du cabinet. Les comptes personnels et les versions gratuites ne servent pas au travail pour les clients. Un nouvel outil n'entre dans la liste qu'après approbation par [responsable].
3. Données jamais envoyées. Ne sont pas envoyées à des outils d'IA les données qui identifient des clients, leurs employés ou des tiers : noms, NAS ou numéros de sécurité sociale, numéros d'entreprise, IBAN et numéros de compte, adresses, coordonnées, numéros de dossier. Les mots de passe et identifiants ne sont jamais envoyés.
4. Préparation des documents. Avant l'envoi d'un document de client, les identifiants sont remplacés par des codes (pseudonymisation) sur un ordinateur du cabinet, avec [outil]. La table de correspondance ne quitte pas le cabinet. La personne qui envoie confirme qu'aucun identifiant n'est resté visible.
5. Révision humaine. Aucune réponse d'IA n'est transmise au client, à l'administration fiscale, à un tribunal ou à un tiers sans révision par un professionnel du cabinet, qui répond de son contenu. Les citations de lois, de décisions et de montants sont toujours vérifiées à la source.
6. Registre. Le cabinet tient la liste des outils autorisés, les contrats correspondants et la date de chaque révision de la présente politique.
7. Formation. Tout le personnel est formé à cette politique et aux limites de l'IA à l'arrivée, puis au moins une fois par an.
8. Incidents. Toute personne qui envoie par erreur des données identifiables en informe aussitôt [responsable], qui évalue s'il y a un incident à déclarer.
9. Information du client. La lettre de mission ou la politique de confidentialité du cabinet indique que des outils d'IA sont utilisés et à quelles conditions.
10. Révision. La présente politique est révisée chaque année ou lorsque la loi, les directives de l'ordre ou les outils changent.
Lu et accepté : [nom, date, signature]
Comment l'adapter
- Point 2 : écrivez les noms exacts des outils et des forfaits. « ChatGPT » ne suffit pas ; la version gratuite et la version entreprise n'ont pas les mêmes conditions.
- Point 3 : ajoutez ce qui est propre à votre pratique, par exemple les données de santé en assurance ou les données de mineurs en droit de la famille.
- Point 4 : c'est ce qui rend la politique applicable. Si la seule règle est « ne pas envoyer », les gens cessent d'utiliser l'IA ou l'utilisent en cachette. Avec une étape de pseudonymisation, le travail se fait et les données restent.
- Point 9 : validez le texte avec votre ordre ou avec votre responsable de la protection des renseignements personnels (ou délégué à la protection des données).
Ce modèle est un point de départ et ne remplace pas un avis juridique adapté à votre situation.
La place de Velado
Velado est l'outil du point 4 : il remplace les identifiants par des codes sur l'ordinateur du cabinet, garde la table dans un coffre local et rétablit les données dans la réponse. Comme l'IA ne reçoit que des codes, les points 3 et 4 sont respectés sans changer la façon de travailler. Vous pouvez l'essayer dans le navigateur ou voir comment il fonctionne pour les comptables et pour les avocats et notaires.
Questions fréquentes
Un petit cabinet a-t-il vraiment besoin d'une politique écrite ?
Il doit pouvoir montrer ce qu'il fait. Le RGPD impose au responsable du traitement de démontrer sa conformité (article 5, paragraphe 2), et au Québec la Loi 25 exige des mesures de sécurité propres à protéger les renseignements personnels. Une page signée par tous est la façon la plus simple de le faire.
Dois-je demander l'autorisation du client pour utiliser l'IA ?
Si ce que vous envoyez ne permet pas d'identifier le client, la question du secret ne se pose pas de la même façon. Si vous envoyez des données identifiables, vous les communiquez à un tiers et il vous faut un fondement : vérifiez auprès de votre ordre professionnel et envisagez une clause dans la lettre de mission.
La politique doit-elle interdire les comptes gratuits ?
C'est la règle la plus courante. Les versions gratuites et personnelles n'offrent en général ni contrat de sous-traitance ni garantie sur l'usage des données pour l'entraînement. Le modèle n'autorise que les comptes du cabinet.
Qu'est-ce que la maîtrise de l'IA ?
C'est l'obligation de l'article 4 du règlement européen sur l'IA : les organisations qui utilisent des systèmes d'IA doivent prendre des mesures pour que les personnes qui s'en servent aient des connaissances suffisantes. Elle vise les cabinets de l'Union européenne ; au Québec, c'est une bonne pratique.
Essayez avec l'un de vos documents
Velado fonctionne dans le navigateur, sur votre ordinateur : rien n'est envoyé à un serveur.