Puis-je utiliser ChatGPT avec des dossiers clients ?

Ce que dit la directive, et dans quel ordre

La directive de la Fédération Suisse des Avocats sur l'usage de l'intelligence artificielle demande d'abord d'établir, avant tout usage, ce qu'il advient des données saisies : qui y accède, et où elles sont — même temporairement — stockées.

Elle énumère ensuite trois possibilités. La première est la solution installée et exploitée dans le réseau du cabinet, avec la garantie qu'aucune donnée ne quitte ce réseau interne ni n'est stockée hors de l'infrastructure du cabinet. La deuxième est le respect des règles d'externalisation, en renvoyant à la directive existante sur l'informatique externalisée et l'informatique en nuage. La troisième est l'obtention d'une déclaration de consentement et de renonciation d'un client informé, portant sur le secret professionnel et sur la protection des données.

La suite est la phrase la plus nette du document : à défaut, les informations confidentielles, les secrets d'entreprise, les données personnelles de collaborateurs, de clients ou de partenaires — quel qu'en soit le format — et les contenus protégés par la propriété intellectuelle ne doivent pas être saisis dans des systèmes d'IA.

Pourquoi la troisième voie est plus étroite qu'elle n'en a l'air

Le consentement du client est une voie réelle, mais elle porte mal à l'échelle d'un cabinet. Il faut informer, obtenir la renonciation, la documenter, et la renouveler dès que le dispositif change — pour chaque dossier, et non une fois pour toutes.

Elle suppose surtout que le client accepte. Un client qui vient précisément parce que son affaire est sensible n'a aucune raison de signer une renonciation au secret, et le lui demander est en soi un aveu sur le dispositif.

Enfin, le secret professionnel de l'avocat protège aussi des tiers dont le consentement n'a pas été demandé : la partie adverse, les témoins, les personnes citées dans les pièces.

Et les autres professions ?

La directive citée est celle des avocats. Les fiduciaires, les médecins, les notaires et les gérants de fortune relèvent de régimes propres, mais le raisonnement est le même partout : la question n'est pas la qualité du fournisseur, c'est de savoir si des données couvertes sortent du périmètre.

Pour les professions visées par l'art. 321 CP — avocats, notaires, médecins, ecclésiastiques et leurs auxiliaires — la responsabilité est pénale et personnelle. Elle ne se déplace pas vers le prestataire par une clause contractuelle.

Pour les autres, la nLPD s'applique de toute façon dès qu'il y a des données personnelles, et son régime est renforcé pour les données sensibles.

L'option qu'on oublie de considérer

L'interdiction pure est la réponse la plus courante, et c'est la moins efficace : elle ne supprime pas l'usage, elle le rend invisible. Un collaborateur pressé colle un extrait de dossier dans un service public depuis son navigateur, et personne ne le voit passer.

La première voie de la directive — l'installation dans le réseau du cabinet, sans sortie de données — est la seule qui autorise l'usage sans créer cette zone d'ombre. C'est aussi celle qui est citée en premier.

Les textes cités

Art. 321 CP — Violation du secret professionnel : délit poursuivi sur plainte, responsabilité personnelle.

Art. 5 let. c nLPD — Définit les données sensibles, dont les données sur la santé, les opinions et les mesures d'aide sociale.

Chaque référence est donnée avec sa portée, sans interprétation. Le sens à lui donner dans votre situation relève de votre conseil.