Que dit la directive IA de la Fédération Suisse des Avocats ?

La question préalable

Avant le choix d'un outil, la directive demande de clarifier ce qu'il advient des données saisies : qui y a accès, et où elles sont stockées, y compris temporairement. Le stockage intermédiaire est nommé explicitement, ce qui vise les caches et les journaux des fournisseurs autant que leur base de données principale.

Elle rappelle que trois corps de règles s'appliquent en même temps : le secret professionnel de l'avocat, la loi sur la protection des données, et les éventuelles autres obligations de confidentialité. Les membres de la Fédération doivent en outre respecter les règles déontologiques.

Les trois voies, dans l'ordre où elles sont citées

Une solution installée et exploitée dans le réseau du cabinet, avec la garantie qu'aucune donnée ne quitte ce réseau interne ni n'est stockée hors de l'infrastructure du cabinet.

Le respect des règles d'externalisation, lorsque l'application est obtenue auprès d'un prestataire et éventuellement utilisée sur son infrastructure. La directive renvoie sur ce point à sa propre directive sur l'informatique externalisée et l'informatique en nuage.

Une déclaration de consentement et de renonciation d'un client informé, portant sur le secret professionnel et sur la protection des données.

Hors de ces trois voies, la directive écrit que les informations confidentielles, les secrets d'entreprise, les données personnelles de collaborateurs, de clients ou de partenaires — quel qu'en soit le format, images et vidéos comprises — et les contenus protégés par la propriété intellectuelle ne doivent pas être saisis dans des systèmes d'IA.

Les quatre devoirs qui subsistent quel que soit le dispositif

Vérifier. Le résultat doit être contrôlé de manière indépendante et critique. La directive souligne qu'une IA n'est pas capable de vérifier ses propres résultats : lui demander si sa réponse est vraie ne sert à rien. Elle nomme trois causes d'erreur — l'hallucination, l'absence de données dans l'entraînement, et la complaisance, cette tendance du modèle à épouser le point de vue de l'utilisateur même lorsqu'il est biaisé.

Assumer. L'avocat répond de la mauvaise exécution de son mandat et ne peut pas invoquer une erreur de l'IA. Lorsque l'IA est employée en accord avec le client, la directive recommande d'aborder en amont la responsabilité du résultat.

Surveiller le droit d'auteur. La question se pose surtout lorsqu'un cabinet entraîne ou complète ses propres modèles. Un résultat purement généré par une IA n'est en principe pas une création de l'esprit protégée.

Informer, le cas échéant. Certaines conditions générales de fournisseurs imposent de divulguer l'usage de l'IA. Un devoir d'information peut par ailleurs exister lorsque le client attend à juste titre une exécution personnelle du mandat.

Ce que la directive recommande aux cabinets

Elle invite les cabinets à édicter une instruction interne fixant les règles d'usage des systèmes d'IA. C'est la recommandation la plus concrète du document, et la plus simple à mettre en œuvre immédiatement.

Elle se garde de citer des applications précises, en signalant que le domaine évolue vite et que ses développements peuvent être rapidement dépassés. La date de publication compte donc à la lecture.

Les textes cités

Art. 321 CP — Le secret professionnel de l'avocat, dont la directive rappelle qu'il s'applique en parallèle de la protection des données.

Règles déontologiques FSA — Applicables en sus aux membres de la Fédération Suisse des Avocats.

Chaque référence est donnée avec sa portée, sans interprétation. Le sens à lui donner dans votre situation relève de votre conseil.