IA générative : ce que recommande le CNB aux avocats (guide 2026)

Le Conseil national des barreaux a publié deux textes sur l'IA générative : un guide pratique en 2024, puis un guide de déontologie en 2026. Voici ce qu'ils disent vraiment, cités à la source, ce que le Barreau de Paris y a ajouté, et une liste de contrôle à appliquer à votre propre pratique.

1. Deux guides, deux tons

Le « Guide pratique : utilisation des systèmes d'intelligence artificielle générative » (1ère édition, septembre 2024) était un guide d'usage. Le guide « La déontologie et l'intelligence artificielle », préparé par la commission Règles et usages, a été adopté par le CNB en mars 2026 (1ère édition, avril 2026). C'est aujourd'hui la référence, et il est nettement plus directif.

2. Le principe : aucune donnée client vers une IA générative

Le principe découle directement du secret professionnel, que l'article 2.1 du RIN qualifie de « général, absolu et illimité dans le temps ». Le guide 2024 le formulait déjà : l'avocat ne doit jamais communiquer des données couvertes par le secret à une IA générative, « sous peine de sanctions ».

3. La solution qu'il désigne : pseudonymiser ou anonymiser d'abord

Le guide 2026 ne demande pas de renoncer à l'IA. Il désigne la manière de l'utiliser : « La solution réside dans la pseudonymisation ou l'anonymisation des données ». Sa synthèse des bonnes pratiques indique :

• « Pseudonymiser ou anonymiser systématiquement les données avant toute utilisation d'un outil d'IA générative » ;
• « Être attentif au risque d'identification indirecte par croisement de données ».

Le guide 2024 en donnait la version manuelle, remplacer les noms des clients par « des initiales fictives (type X ou Y) », et prévenait déjà que le croisement de plusieurs données peut identifier une personne même après pseudonymisation.

4. Souveraineté, et pourquoi les promesses des fournisseurs ne suffisent pas

Le guide demande de privilégier un hébergement en France ou dans l'Union et d'écarter les acteurs soumis à des lois d'accès extraterritoriales, « comme les entreprises américaines en l'état actuel de leur législation ». Il note aussi que l'engagement d'un fournisseur de ne pas réutiliser les données « n'est en général ni prouvable ni vérifiable ». Autrement dit : un réglage dans une interface n'est pas une garantie.

5. Vérifier le résultat fait partie du devoir

Le guide 2026 impose « une vérification systématique des résultats produits par l'IA ». Il cite deux décisions de 2026 sur des jurisprudences inventées dans des écritures : TA Rennes, 28 janvier 2026 (n° 2506364), et CAA Bordeaux, 26 février 2026 (n° 25BX02906). Le guide 2024 le résumait en une ligne : « vous devenez un vérificateur et un validateur du résultat généré par l'IAG ».

6. L'information du client

Sur ce point, le guide 2026 laisse le choix à l'avocat : « C'est à l'avocat de décider s'il informe son client ». Avec une exception : le consentement du client est requis lorsque ses données servent à entraîner un système d'IA interne.

7. Ce qu'ajoute le Barreau de Paris

Le Livre blanc sur l'IA du Barreau de Paris (2025), qui contient un guide de bonnes pratiques voté par le Conseil de l'Ordre, ouvre explicitement deux voies : « l'avocat peut avoir recours à l'anonymisation, ou bien pseudonymisation et/ou créer une version abstraite du cas », et « il peut également utiliser un outil déployé localement, sans transmission externe des données à des serveurs tiers ».

Le 21 juillet 2026, le Conseil de l'Ordre a adopté un modèle de charte IA à disposition des cabinets. Les utilisateurs s'y interdisent de soumettre à un système d'IA « toute donnée ou information soumise au secret professionnel […] sauf si l'outil utilisé a été préalablement validé », et la charte exige une « vérification humaine systématique des résultats ».

8. Une liste de contrôle pour votre cabinet

1. Recensez les outils d'IA réellement utilisés au cabinet, comptes personnels compris, et l'offre souscrite pour chacun.
2. Faites de la pseudonymisation préalable la règle par défaut pour tout document issu d'un dossier client, sans exception pour les « petites questions ».
3. Conservez la table de correspondance au cabinet, séparément de la copie protégée, comme l'exige la définition du RGPD.
4. Relisez chaque copie protégée pour repérer les identifiants indirects avant envoi : fonctions rares, petites communes, dates exactes, montants caractéristiques.
5. Vérifiez chaque résultat de l'IA par rapport aux sources, en particulier la jurisprudence et les citations.
6. Formalisez : une courte charte interne (le modèle du Barreau de Paris est une bonne base) et une position sur l'information des clients.

9. Où un outil de pseudonymisation local s'inscrit, et où il ne suffit pas

Ce qu'il règle

Hexagone AI réalise la pseudonymisation préalable que demande le CNB, sur l'ordinateur de l'avocat : le dossier d'origine et la table de correspondance ne quittent jamais le cabinet, la question de la souveraineté ne se pose donc pas pour l'étape de pseudonymisation elle-même, et aucune promesse de fournisseur n'est nécessaire. Une même personne garde le même pseudonyme dans tout le dossier, ce que les « X et Y » manuels ne tiennent pas sur deux cents pages.

Ce qu'il ne règle pas

• La vérification du résultat. Un dossier pseudonymisé ne rend pas la réponse de l'IA exacte. La vérifier reste votre travail.
• Les tâches en direct. Comme le note le guide 2024, la pseudonymisation ne s'applique pas à toutes les tâches, par exemple la synthèse en direct d'un rendez-vous client.
• L'identification indirecte. Le logiciel signale ce qu'il détecte, mais la relecture humaine de la copie protégée reste le garde-fou contre un contexte qui identifie à lui seul.