Secret professionnel : ce qui pousse les cabinets vers l'IA locale

Deux régimes, une seule faute possible

Un expert-comptable ou un avocat qui dépose un fichier client dans un outil d'IA générative en ligne prend un risque qu'un simple contrat "Enterprise" ne couvre pas. Le RGPD encadre la protection des données personnelles. Le secret professionnel, lui, encadre la divulgation d'une information confiée par un client — qu'elle soit personnelle ou non. Un chiffre d'affaires, une marge, un litige en cours : ces informations relèvent du secret sans forcément relever du RGPD. Un sous-traitant qui présente toutes les garanties RGPD requises n'est pas pour autant une personne légalement qualifiée pour connaître ces données au sens du droit professionnel. Autrement dit, cocher la case RGPD ne dispense pas de se poser la question du secret.

C'est tout l'enjeu documenté en avril 2025 par le Cahier n°43 de l'Académie des sciences et techniques comptables et financières, rédigé par un groupe pluridisciplinaire de juristes, avocats et experts-comptables : déposer un fichier comptable dans ChatGPT ou Copilot pose une question de confidentialité distincte de la conformité RGPD, et l'IA générative ne crée pas ce problème mais l'exacerbe.

Le point de friction : où sont vraiment les données

Même quand l'hébergeur est certifié et les données physiquement stockées en France ou dans l'UE, une question reste en suspens : une entreprise américaine soumise au Cloud Act peut en théorie voir ses données réclamées par les autorités américaines, même si les serveurs sont en Europe. C'est un point de friction juridique réel, même si le risque concret reste faible pour un cabinet comptable français isolé.

Ce sujet a pris une dimension politique cet été : un rapport parlementaire d'enquête sur les dépendances structurelles et les vulnérabilités systémiques du secteur numérique, déposé le 8 juillet 2026, invite les entreprises à migrer leurs données sensibles vers des hébergements qualifiés SecNumCloud et à se détourner des acteurs américains. Ce n'est pas une obligation légale, mais un signal politique volontariste qui change la grille de lecture : la localisation et le cadre juridique de l'hébergement deviennent des critères de choix, au même titre que le prix.

Ce que change l'exécution locale

Faire tourner un modèle sur les serveurs du cabinet supprime le maillon du transfert externe : aucune donnée ne transite par un tiers, américain ou chinois. C'est un argument fort pour un cabinet de quelques collaborateurs qui traite des documents hautement confidentiels — bilans, situations patrimoniales de dirigeants, dossiers de contentieux. Dans ces secteurs, l'argument de sécurité prime sur toute logique de coût : on ne compare pas un abonnement cloud à un serveur local, on évite un risque de faute déontologique.

La limite qu'on oublie trop vite

L'exécution locale déplace le risque, elle ne le supprime pas. Un serveur sur site reste vulnérable à une intrusion sur le réseau interne, à un vol physique de matériel, ou tout simplement à un système d'exploitation mal durci faute de compétences internes. Un cabinet de huit personnes n'a généralement pas de responsable sécurité informatique. Passer au local sans revoir la sécurité du poste, du réseau et des sauvegardes, c'est remplacer un risque documenté et contractualisé par un risque diffus et mal maîtrisé.

Ce qu'il faut retenir

Le choix entre cloud et local ne se résume pas à une opposition binaire. Il dépend du niveau de contrainte réglementaire du secteur, de la nature des données traitées, et surtout de la capacité réelle du cabinet à sécuriser ce qu'il choisit d'héberger chez lui. Pour les professions soumises au secret, la question n'est plus "faut-il protéger les données" mais "avec quelles compétences internes".