Secteur réglementé : cabinets d'avocats

L'essentiel

• Le secret professionnel de l'avocat est « d'ordre public, absolu, général et illimité dans le temps » ; il couvre toutes les pièces du dossier, le nom des clients et l'agenda, quel que soit le support. Textes : loi de 1971 art. 66-5, RIN art. 2, décret 2023-552 art. 4 (le décret 2005-790 est abrogé).
• Le guide du CNB « Déontologie et IA » (avril 2026) désigne l'installation du LLM sur le système d'information du cabinet, avec RAG sécurisée, chiffrement AES-256 à clé détenue par le cabinet, journalisation et habilitations, comme le moyen d'éliminer les risques de souveraineté. C'est la description de la Box.
• Conservation : 1 an en base active + 4 ans en archive après la fin de mission (référentiel CNB, art. 2225 C. civ.) : c'est un modèle fondé sur la prescription, pas une règle du RIN.
• L'avocat reste responsable de tout ce qu'il produit avec l'IA ; aucune information n'est due aux magistrats ; le consentement du client est requis si ses données servent à entraîner une IA interne (le RAG sans entraînement n'est pas expressément visé : à valider).
• HDS non applicable à notre lecture (à valider) ; secret des affaires : la Box aide à maintenir les « mesures de protection raisonnables ».

Secret professionnel et confidentialité

Conservation des dossiers

Positions du CNB et des ordres sur l'IA

Guide CNB « La déontologie et l'intelligence artificielle » (1re édition, avril 2026)

Guide CNB 2024, Barreau de Paris, avocats aux Conseils

Traçabilité, responsabilité, validation humaine

Convergence de toutes les sources : l'avocat répond de ce qu'il produit, IA ou non. La Box doit donc :

• citer systématiquement les passages sources (numéro de page, document) pour permettre la vérification ;
• ne jamais présenter une jurisprudence ou un texte non présent dans les documents indexés comme une source vérifiée ; distinguer visuellement « extrait de vos documents » et « connaissance générale du modèle » ;
• journaliser qui a demandé quoi, quand, sur quel dossier (sans conserver le contenu dans le journal de sécurité) ;
• permettre la purge des conversations (recommandation CNB « suppression des prompts après réponse », à concilier avec l'utilité d'un historique court) ;
• rendre la validation humaine incontournable : aucune action automatique (envoi, dépôt) depuis l'assistant.

Accès aux dossiers

Le secret est aussi interne : tous les membres du cabinet n'ont pas accès à tous les dossiers (conflits d'intérêts, murailles de Chine, dossiers sensibles d'un associé). La Box applique les permissions avant la recherche vectorielle : un utilisateur ne voit jamais un passage d'un dossier auquel il n'a pas droit, y compris dans les résultats intermédiaires. Voir permissions et ADR-003.

Fournisseurs d'IA externes : pourquoi la Box

HDS et données de santé dans les dossiers

Exigence déontologique → réponse technique de la Box

Questions ouvertes

• Q-009Quel modèle principal pour le cabinet d'avocats ?HauteOuverte
• Q-010Une AIPD est-elle obligatoire pour un cabinet qui déploie la Box ?MoyenneOuverte

Ce qu'il reste à tester

• Comparer la qualité en français des modèles candidatsgpt-oss-120b et Mistral Small 4 produisent un français juridique jugé acceptable par un avocat dans plus de 80 % des cas ; Qwen3-30B-A3B est nettement en retrait sur la rédaction mais équivalent sur la synthèse avec passages fournis ; les modèles de 7 à 22 Md (Lucie, EuroLLM) ne suffisent pas pour l'assistant principal. Le taux d'hallucination de citations est le critère discriminant.À tester
• Rédiger l'AIPD du cabinet pilote avec l'outil PIA de la CNILL'architecture de la Box (sur site, permissions avant recherche, chiffrement à clé détenue par le cabinet, journalisation 6 à 12 mois, télémaintenance encadrée) permet de conclure une AIPD sans risque résiduel élevé, donc sans consultation préalable de la CNIL (art. 36).À tester
• Test de fuite de permissions du RAG (« l'avocat B ne voit jamais A »)Avec un filtre dossier_id calculé côté serveur et imposé par le moteur (RLS PostgreSQL ou JWT Qdrant), aucun chunk ni aucune réponse ne contient un canari hors de la portée de l'utilisateur, même lorsque la barrière applicative est désactivée.À tester
• Faire valider l'analyse juridique de la section RGPD par un avocatLes interprétations de la section RGPD (base légale 6.1.f, AIPD fortement recommandée, prestataire sous-traitant, RAG non assimilé à un entraînement, assistant interne non haut risque, HDS non applicable) seront confirmées pour l'essentiel ; les corrections porteront sur la formulation des arguments commerciaux et le contenu des clauses.À tester