Experts-comptables : utiliser l'IA sans rompre le secret professionnel

Grands livres, DSN, mails clients : les dossiers d'un expert-comptable regorgent exactement des données que l'IA générative sait bien lire, et exactement des données que couvre le secret professionnel. La position de l'Ordre n'est pas « pas d'IA ». C'est « pas de données clients dans un outil que vous ne maîtrisez pas ».

1. Le secret : même texte, même peine que les avocats

L'article 21 de l'ordonnance n° 45-2138 du 19 septembre 1945 pose que les experts-comptables, les salariés mentionnés aux articles 83 ter et 83 quater, les experts-comptables stagiaires et les professionnels autorisés à exercer partiellement « sont tenus au secret professionnel dans les conditions et sous les peines fixées par l'article 226-13 du code pénal ». Cet article 226-13 punit la révélation d'une information à caractère secret d'un an d'emprisonnement et de 15 000 € d'amende.

Le code de déontologie ajoute une couche. L'article 147 du décret n° 2012-432 du 30 mars 2012 dispose : « Sans préjudice de l'obligation au secret professionnel, les personnes mentionnées à l'article 141 sont soumises à un devoir de discrétion dans l'utilisation de toutes les informations dont elles ont connaissance dans le cadre de leur activité. » Le secret interdit de révéler ; la discrétion encadre aussi l'usage que vous faites de l'information, y compris en la confiant à un outil.

2. Ce que dit l'Ordre sur l'IA générative

Dans sa synthèse « Parlons data et IA », publiée dans le cadre de ses travaux Data et IA, le Conseil national de l'ordre des experts-comptables encourage l'usage : « L'IA générative est de plus en plus répandue, nous devons saisir cette opportunité ! […] Il faut simplement veiller au respect de la règlementation, dont le RGPD et notre secret professionnel. » Parmi les précautions d'usage, il demande : « Ne chargez pas de données personnelles, sensibles et/ou confidentielles : pas de mails clients, de FEC, de DSN… non anonymisés dans des sites non maîtrisés (respect du RGPD et du secret professionnel). » Il rappelle aussi de vérifier toujours les réponses, l'IA pouvant « se tromper ou inventer ».

Le même document propose un modèle de « charte d'utilisation de l'IA générative au sein du cabinet ». Sa rubrique sécurité est sans ambiguïté : « Les utilisateurs doivent respecter le règlement général sur la protection des données et ne partager aucune donnée personnelle dans leurs interactions avec l'IA générative. » Le modèle prévoit aussi que les réponses doivent être « vérifiées et validées avant d'être partagées en interne (collaborateurs) ou en externe (clients, usagers, partenaires, …) ».

La CNIL va dans le même sens dans ses questions-réponses sur l'utilisation d'un système d'IA générative : ne jamais partager d'informations confidentielles comme des données personnelles avec un service grand public, et privilégier les déploiements sur site.

3. Ce que ça veut dire en cabinet

Lus ensemble, les textes laissent deux voies conformes pour travailler sur un vrai dossier client avec l'IA :

• Un outil que le cabinet maîtrise. Déployé sur ses propres systèmes, ou encadré par un contrat et des réglages que le cabinet a réellement vérifiés (hébergement, accès, réutilisation des requêtes pour l'entraînement).
• Des données qui n'identifient plus personne. Le nom du client, les salariés d'une DSN, les IBAN, les adresses et les numéros fiscaux remplacés avant que le dossier n'atteigne l'IA.

4. Deux cas concrets

Nous décrivons pas à pas comment un cabinet prépare un dossier de révision ou analyse des dossiers KYC avec l'IA, sur une copie pseudonymisée :

• Préparer un dossier de révision avec l'IA
• Analyser des dossiers KYC avec l'IA

5. Où s'inscrit Hexagone AI

Hexagone AI tourne sur le Mac ou le PC de l'expert-comptable. Il détecte et remplace les noms, raisons sociales, adresses, IBAN et numéros de carte, numéros fiscaux et de sécurité sociale, montants et références clients dans les fichiers PDF, Word, Excel et PowerPoint, et les reconstruit avec leur mise en page. La copie protégée peut partir vers ChatGPT, Claude, Mistral ou Copilot ; la table de correspondance reste sur la machine, et la réponse de l'IA y est réidentifiée. Pour reprendre les termes de l'Ordre, ce qui atteint un site non maîtrisé n'est plus la donnée du client.