Checklist AI Act + RGPD pour cabinets d'avocats

Nous tenons un inventaire à jour des systèmes d'IA utilisés au cabinet (ChatGPT, Copilot, Claude, outils métier, plugins, etc.).

Un référent IA est désigné au cabinet (associé, DPO ou responsable dédié).

Une politique interne écrite encadre l'usage de l'IA (outils autorisés, données interdites en prompt, validation humaine obligatoire).

Les collaborateurs qui utilisent des outils d'IA ont reçu une formation à leurs risques, limites et biais (« AI literacy »).

Aucun usage envisagé ne relève des pratiques interdites de l'article 5 (scoring social, catégorisation biométrique fondée sur données sensibles, manipulation subliminale, etc.).

Nous avons vérifié si nos usages tombent dans la liste des systèmes à haut risque (Annexe III), notamment le point 8 relatif à l'administration de la justice.

Lorsque nous générons du contenu par IA (texte, image, audio) destiné à des tiers, nous appliquons les obligations de transparence de l'article 50.

Nos clients sont informés lorsque l'IA est utilisée de manière significative dans le traitement de leur dossier.

Nous avons signé un accord de traitement des données (DPA) avec chaque fournisseur d'IA traitant des données de nos dossiers.

Nous avons vérifié et documenté que le fournisseur n'utilise pas nos prompts et nos données pour entraîner ses modèles (ou l'avons désactivé).

Nous connaissons la localisation exacte du traitement (UE ou pays tiers) et le mécanisme de transfert applicable.

Pour les modèles à usage général, nous disposons de la documentation technique et du résumé des données d'entraînement mis à disposition par le fournisseur.

Nous avons identifié pour chaque usage IA la base légale (exécution du mandat, intérêt légitime, obligation légale, consentement…).

Nous minimisons les données envoyées au modèle : les prompts ne contiennent que les informations strictement nécessaires à la tâche.

Les données de l'article 9 RGPD (santé, condamnations, opinions politiques, orientation…) ne sont envoyées à un modèle qu'après analyse spécifique et, si nécessaire, anonymisation.

Lorsque c'est possible, les données envoyées au modèle sont pseudonymisées ou anonymisées (masquage des noms, dates, montants identifiants).

Une analyse d'impact (AIPD/DPIA) a été réalisée pour les usages IA susceptibles d'engendrer un risque élevé pour les droits des personnes.

Notre politique de confidentialité informe explicitement les personnes concernées de l'usage d'outils d'IA et de leurs finalités.

Nous savons répondre aux demandes d'accès, d'effacement et d'opposition, y compris pour les données transmises à un fournisseur d'IA.

Aucune décision produisant des effets juridiques significatifs pour une personne n'est prise exclusivement par IA sans intervention humaine substantielle.

Les données échangées avec le fournisseur d'IA sont chiffrées en transit (TLS) et au repos.

Les accès aux prompts sensibles et aux réponses IA sont journalisés et auditables.

Les transferts vers un pays tiers (typiquement États-Unis) sont couverts par un mécanisme valide : décision d'adéquation, CCT ou BCR, avec évaluation d'impact du transfert.

L'usage de l'IA a été validé au regard du secret professionnel de l'avocat (analyse spécifique, absence d'accès du fournisseur au contenu couvert par le secret).