Cabinets d'avocats · Réaliser un data privacy impact assessment sur un nouveau système de gestion des dossiers

Un cabinet de contentieux de taille moyenne signe un contrat avec un éditeur de revue de contrats assistée par IA un vendredi. Le lundi, un collaborateur a chargé 400 NDA de clients dans l'outil pour le tester, aucun client n'a été informé, et les conditions générales de l'éditeur précisent que les documents chargés peuvent servir à « améliorer la performance du modèle ». Personne n'a réalisé de DPIA au préalable. C'est ainsi que les cabinets finissent dans des lettres de notification de violation, pas dans des articles sur les gains d'efficacité.

Un DPIA (Data Protection Impact Assessment) est un processus structuré et documenté qui identifie et réduit le risque en matière de vie privée avant qu'un nouveau système ne touche à des données personnelles. Sous le Règlement général sur la protection des donnéesRèglement général sur la protection des donnéesRèglement de l'UE encadrant la collecte, le stockage et l'usage des données personnelles, avec des amendes indexées sur le chiffre d'affaires mondial.Voir la définition complète → (RGPD) UE/UK, un DPIA est légalement obligatoire dès lors qu'un traitement est « susceptible d'engendrer un risque élevé » pour les personnes, article 35. Les cabinets américains n'ont pas d'équivalent fédéral unique, mais des lois d'État comme le California Consumer Privacy Act (CCPA, appliqué par la California Privacy Protection Agency) et les attentes sectorielles des ABA Model Rules of Professional Conduct (Rule 1.6 sur la confidentialité) crcrLe pourcentage de visiteurs ou de prospects qui réalisent une action attendue (achat, inscription, formulaire de contact), calculé en divisant les conversions par le nombre total d'opportunités.Voir la définition complète →éent la même obligation pratique : savoir ce que l'outil fait des données clients avant de le déployer.

Pourquoi cela compte particulièrement pour les cabinets d'avocats

Les données d'un cabinet d'avocats ne sont pas des données d'entreprise ordinaires. Les documents clients contiennent couramment :

• Des données personnelles de tiers (salariés nommés dans des litiges RH, patients dans des dossiers de faute médicale)
• Du matériel privilégié et confidentiel protégé par le secret professionnel avocat-client
• Des données de catégorie particulière au sens de l'article 9 du RGPD (dossiers médicaux, antécédents judiciaires, appartenance syndicale)

Un outil d'IA de revue de contrats qui ingère ces documents est un sous-traitant, et le cabinet reste le responsable de traitement, comptable de ce qui advient de ces données, même si l'éditeur les gère mal. L'article 28 du RGPD impose un contrat écrit (un Data Processing Agreement, DPA) régissant précisément cette relation.

Le déroulé du DPIA : six étapes

Étape 1 : Décrire le traitement

Cartographiez ce qui se passe réellement : quels documents entrent, où ils sont stockés, si le modèle de l'éditeur est hébergé dans l'UE, aux États-Unis ou ailleurs, et si un relecteur humain chez l'éditeur voit un jour le texte client brut. Posez directement la question à l'éditeur : cela passe-t-il par un large language modellarge language modelUn Large Language Model est un système d'IA entraîné sur d'énormes volumes de texte pour prédire et générer du langage, ce qui permet de rédiger, résumer ou répondre à des questions.Voir la définition complète → (LLM) qui journalise les prompts, et ces logs servent-ils à l'entraînement du modèle ?

Étape 2 : Évaluer la nécessité et la proportionnalité

La même tâche de revue de contrats pourrait-elle être faite avec une moindre exposition de données : documents caviardés, pilote en sandbox, échantillons anonymisés ? Si l'éditeur exige des jeux de documents complets pour un essai gratuit, c'est un signal d'alerte, pas une commodité.

Étape 3 : Identifier les risques pour les personnes, pas seulement pour le cabinet

C'est là que les DPIA diffèrent des revues de sécurité informatique ordinaires. La question n'est pas « pourrions-nous être piratés » mais « qu'arrive-t-il aux personnes nommées dans ces documents si quelque chose tourne mal ». Une transaction de départ divulguée expose les conditions d'indemnisation d'un ancien salarié, pas seulement la réputation du cabinet.

Étape 4 : Consulter les parties prenantes

La bonne pratique, souvent obligatoire, consiste à associer le Data Protection Officer (DPO) du cabinet s'il en existe un, la sécurité informatique et la direction juridique avant de signer. L'Information Commissioner's Office (ICO) britannique publie un modèle de DPIA et des lignes directrices pratiques que les cabinets peuvent adapter directement.

Étape 5 : Identifier les mesures d'atténuation

Mesures d'atténuation courantes pour les outils d'IA de revue de contrats :

• Clause contractuelle interdisant l'usage des données clients pour l'entraînement des modèles
• Garantie de résidence des donnéesrésidence des donnéesL'exigence de stocker et traiter les données physiquement dans un pays ou une région précise, souvent pour des raisons légales ou contractuelles.Voir la définition complète → (les données UE restent sur des serveurs UE, point pertinent au regard des restrictions du chapitre V du RGPD sur les transferts internationaux)
• Limites de conservation (documents supprimés automatiquement après 30 ou 90 jours)
• Contrôles d'accès par rôle limitant les collaborateurs autorisés à charger des documents

Étape 6 : Validation et risque résiduel

Documentez le risque résiduel et la personne qui l'a accepté. Si le risque demeure élevé après atténuation, l'article 36 du RGPD impose une consultation préalable de l'autorité de contrôle avant le début du traitement.

Les déclencheurs de risque qui doivent arrarrL'Annual Recurring Revenue (ARR) est le revenu normalisé et prévisible qu'une entreprise par abonnement attend de ses contrats actifs sur une année.Voir la définition complète →êter net un achat

Ce sont les signaux qui doivent stopper un deal avant qu'il n'arrive sur le bureau de la direction juridique, car lorsque le GC relit un contrat signé, il n'y a plus de levier.

Un test de bon sens utile : si le commercial de l'éditeur ne sait pas répondre en une phrase à « où vont ces données et qui peut les voir », faites remonter avant de piloter, pas après.

Une vérification technique concrète

Avant le déploiement, demandez à l'IT ou à l'éditeur de confirmer par écrit les réponses à une courte checklist. Même des relecteurs non techniques peuvent la mener :

DPIA Technical Intake Checklist:
[ ] Data residency confirmed (country/region)
[ ] Subprocessors listed (e.g., cloud host, model provider)
[ ] Training data exclusion clause in contract (Y/N)
[ ] Retention period specified (days)
[ ] Encryption: at rest (Y/N), in transit (Y/N)
[ ] Access logs available for audit (Y/N)
[ ] Deletion/export process on contract termination

Si plus de deux cases restent non cochées, le DPIA doit signaler un statut « risque élevé, ne pas poursuivre ».

Où cela s'inscrit dans la gouvernance continue

Un DPIA n'est pas un point de passage unique. Il doit être réexaminé lorsque :

• L'éditeur change ses sous-traitants ultérieurs ou son hébergement (fréquent chez les éditeurs d'IA qui changent de fournisseur de LLM sous-jacent, par exemple en passant d'un fournisseur de modèle de fondation à un autre)
• Le cabinet étend l'usage d'un seul département à l'ensemble du cabinet
• Les documents de clients d'une nouvelle juridiction commencent à être traités (déclenchant de nouveaux régimes réglementaires, comme la LGPD brbrLe pourcentage de visiteurs qui repartent après avoir vu une seule page, souvent le signe d'une pertinence insuffisante, d'un décalage d'intention ou d'une expérience utilisateur faible.Voir la définition complète →ésilienne ou la PIPL chinoise)

Les cabinets qui traitent le DPIA comme un document vivant, revu annuellement ou au renouvellement du contrat, détectent les dérives avant les régulateurs ou les clients. L'AI Risk Management Framework du National Institute of Standards and Technology (NIST) américain offre une structure complémentaire, non spécifique à l'UE, pour la revue continue des risques liés aux systèmes d'IA, utile aux cabinets américains sans obligation RGPD formelle mais désireux de la même discipline : NIST AI RMF.

🎬 [VIDEO : « What is a DPIA? Data Protection Impact Assessment Explained » — youtube.com — une courte explication qui parcourt le processus DPIA du RGPD étape par étape, utile comme complément visuel à cette leçon]

Points clés à retenir

• Un DPIA doit intervenir avant le déploiement, pas après la signature ; le mener une fois le contrat conclu revient à perdre tout levier de négociation sur les clauses de données.
• La question centrale est le risque pour les personnes nommées dans les documents, pas seulement la sécurité du cabinet : c'est le changement de posture entre revue IT et revue privacy.
• Six signaux d'alerte (réutilisation pour l'entraînement, résidence floue, absence de DPA, chiffrement faible, absence de logs d'audit, chargements d'essai non caviardés) doivent stopper l'achat avant même que la direction juridique n'examine le contrat.
• Traitez le DPIA comme une documentation vivante : à revoir en cas de changement de sous-traitants ultérieurs, d'extension juridictionnelle ou de renouvellement annuel.
• Les ressources gratuites des régulateurs (modèle de DPIA de l'ICO, AI RMF du NIST) donnent aux relecteurs non spécialistes un processus structuré et défendable, sans recourir à un conseil externe pour chaque pilote.