ChatGPT et secret professionnel : ce qu'un cabinet peut confier à une IA

Mis à jour le 11 septembre 2026

Le principe : un outil d'IA est un tiers

Déposer une pièce client dans un outil d'IA, c'est la transmettre à l'éditeur de cet outil. Pour un expert-comptable comme pour un conseiller en gestion de patrimoine, cette transmission engage deux obligations à la fois : le secret professionnel, et le règlement général sur la protection des données (RGPD), qui fait du cabinet le responsable du traitement des données de ses clients.

La bonne question n'est donc pas « l'IA est-elle autorisée ? », mais « à qui ce document est-il envoyé, et qu'en fait-il ? ».

Ce que recommande l'Ordre des experts-comptables

« Ne chargez pas de données personnelles, sensibles et/ou confidentielles : pas de mails clients, de FEC, de DSN… non anonymisés dans des sites non maîtrisés (respect du RGPD et du secret professionnel). »

Conseil national de l'ordre des experts-comptables, « Comment utiliser ChatGPT ? Notice pour les cabinets d'expertise comptable »

La même notice demande de toujours vérifier les réponses fournies, parce que l'IA « peut se tromper ou inventer ».

Cinq questions à poser à un éditeur d'IA

• Mes documents servent-ils à entraîner ses modèles ? Les offres grand public et les offres professionnelles d'un même éditeur n'obéissent pas toujours aux mêmes règles : lisez les conditions de l'offre que vous utilisez réellement.
• Propose-t-il un contrat de sous-traitance ? L'article 28 du RGPD impose un contrat entre le cabinet et son sous-traitant. C'est lui qui encadre ce que l'éditeur peut faire des données de vos clients.
• Où les données sont-elles stockées, et où sont-elles traitées ? L'hébergement en France ne dit rien du lieu où l'analyse est faite. Un traitement hors de l'Union européenne reste un transfert de données, soumis à des garanties particulières.
• Qui peut y accéder, et combien de temps sont-elles conservées ? Demandez qui, chez l'éditeur, peut consulter les documents, et comment les supprimer à la fin de la mission.
• Les réponses citent-elles leurs sources ? Une conclusion qui renvoie à la pièce du dossier et au texte de loi se vérifie en quelques secondes. Une conclusion sans source se refait.

Avant de déposer un document

• Anonymisez ce qui peut l'être. Noms, numéros fiscaux, IBAN, adresses : ce qui n'est pas nécessaire à l'analyse n'a pas à quitter le cabinet.
• Pas de compte personnel pour des pièces de clients. Une version gratuite ou un abonnement individuel s'accompagne rarement du contrat qu'exige le RGPD : vérifiez-le avant d'y déposer un dossier.
• Informez vos clients. Le RGPD impose d'indiquer à vos clients les destinataires de leurs données ; la lettre de mission est l'endroit naturel pour le faire.
• Gardez la validation. L'outil prépare, le professionnel décide et signe : la responsabilité du conseil reste la sienne.

Comment Patrimind et Numexia répondent à ces questions

Les données sont hébergées chez Scaleway, en France, et les traitements d'IA sont réalisés en priorité dans des régions européennes. Nos fournisseurs de modèles s'engagent contractuellement à ne pas réutiliser vos données pour entraîner leurs modèles.

Chaque conclusion renvoie à la pièce du dossier et au texte de loi qui la fondent : la vérification reste rapide, et la décision reste la vôtre.

Vous êtes conseiller en gestion de patrimoine ? Patrimind et nos guides réglementaires pour les CGP ont leur propre site : patrimind.intellectuality.fr