Autres secteurs réglementés : canevas d'étude

L'essentiel

• Le cas d'usage de référence est le cabinet d'avocats ; les autres secteurs ne sont pas étudiés. Cette page fixe la méthode et les premières questions, sans conclusion.
• Le socle RGPD de la Box (sur site, permissions, journalisation, registre, AIPD, contrat art. 28) est transposable ; ce qui change, ce sont le secret professionnel applicable, les durées légales, les certifications d'hébergement et la qualification AI Act de l'usage.
• Point d'alerte : le secteur médical fait intervenir la certification HDS dès qu'un tiers héberge des données de santé ; le modèle « sauvegarde hors site chez le prestataire » devrait être repensé.
• Aucun article ni texte n'a été vérifié pour ces secteurs : tout est à étudier.

Méthode commune

Pour chaque secteur, reprendre les huit questions suivantes :

1. Quel secret ou obligation de confidentialité s'applique (texte, portée, personnes tenues) ?
2. Quelles catégories de données particulières (art. 9, art. 10) dominent, et sur quel fondement ?
3. Quelles durées de conservation légales ou recommandées (référentiel de l'ordre ou de la profession) ?
4. Une certification d'hébergement ou une qualification est-elle exigée (HDS, SecNumCloud pour certains marchés) ?
5. L'usage envisagé entre-t-il dans une catégorie « haut risque » de l'annexe III du règlement IA (emploi, crédit, assurance, services essentiels, éducation) ?
6. Quels référentiels sectoriels (ordre, autorité de tutelle, fédération) existent sur l'IA ?
7. L'AIPD est-elle requise par la liste CNIL 2018 (santé, RH, données financières croisées) ?
8. Quelles intégrations documentaires (logiciels métier) créent des flux sortants à qualifier ?

Le point de départ reste la position CNIL : sur site recommandé pour les données sensibles, responsabilité du déployeur sur le RAG ⁴.

Experts-comptables et commissaires aux comptes

• Secret professionnel de l'expert-comptable (ordonnance de 1945, code de déontologie) : texte à vérifier.
• Données : rémunérations, données bancaires, parfois données de santé (arrêts de travail) via la paie ; données fiscales.
• Durées : obligations comptables (10 ans pour les pièces, à vérifier) ; référentiel de l'Ordre à rechercher.
• AI Act : un assistant documentaire interne semble hors haut risque ; vigilance si l'outil servait à noter des clients ou à décider d'un crédit.
• Points spécifiques : lutte anti-blanchiment (obligations de vigilance), multiplicité des clients (un cabinet comptable traite les données des salariés de ses clients : cloisonnement par client indispensable).

Professions de santé (cabinets, maisons de santé, cliniques)

• Secret médical (art. L. 1110-4 CSP, à vérifier), référentiels de sécurité du secteur (PGSSI-S), guide HAS/CNIL 2026 sur le bon usage des systèmes d'IA en santé (existence signalée dans la recherche, non exploité).
• AIPD requise par la liste CNIL 2018 pour les traitements de données de santé (item à vérifier).
• AI Act : les dispositifs médicaux relèvent de l'annexe I ; un assistant documentaire interne ne l'est pas, mais toute aide au diagnostic changerait la qualification.

Immobilier (agences, administrateurs de biens, syndics)

• Données : identité, solvabilité, situation familiale des candidats locataires ; données bancaires ; parfois données sensibles indirectes.
• Points spécifiques : lutte anti-blanchiment ; discrimination au logement ; la CNIL a publié des recommandations sur les pièces exigibles des candidats locataires (à rechercher).
• AI Act : vigilance si l'outil servait à sélectionner des candidats ou à évaluer une solvabilité (annexe III, accès aux services essentiels ou crédit : à analyser).
• Secret : obligation contractuelle et déontologie professionnelle (loi Hoguet, à vérifier), moins protectrice que le secret de l'avocat.

Bureaux d'études, ingénierie, industrie

• Données personnelles limitées ; l'enjeu principal est le secret des affaires et la propriété intellectuelle des clients : la protection légale suppose des « mesures de protection raisonnables » ³.
• Clauses de confidentialité clients souvent strictes (interdiction de tout traitement hors UE, parfois hors du site) : la Box répond par construction ; vérifier les clauses sur les sous-traitants.
• Secteurs sensibles (défense, nucléaire, énergie) : régimes spécifiques (informations classifiées, IGI 1300, secteurs d'activité d'importance vitale) hors périmètre, à ne pas aborder sans étude.
• AI Act : usage documentaire hors haut risque ; vigilance sur les composants de sécurité de produits (annexe I) si l'IA participait à la conception.

Conseil, RH, recrutement

• Données RH : le profilage, l'évaluation des salariés et le recrutement assisté sont à la fois des cas d'AIPD (liste CNIL 2018) et des cas « haut risque » de l'annexe III (point 4) du règlement IA.
• Un assistant documentaire interne pour des consultants reste hors haut risque à notre lecture ; l'offre doit exclure explicitement tout usage de tri de candidatures ou d'évaluation.
• Secret : obligations contractuelles ; secret des affaires des clients.

Tableau de synthèse

Questions ouvertes