Pas de sous-traitant IA : ce que cela change au registre et à l'AIPD
· 8 min · Gérald Hédoire
Le RGPD n'impose un contrat de sous-traitance que s'il existe un sous-traitant. Sur une machine possédée par le cabinet, le schéma se simplifie — à une condition.
Le cabinet d'avocats reste responsable de traitement des dossiers de ses clients. S'il n'existe aucun tiers qui traite ces dossiers pour son compte au moment du calcul, l'article 28 du RGPD n'a pas de sous-traitant IA à encadrer. Le registre, l'information des personnes et l'analyse d'impact portent alors sur un traitement interne, pas sur une chaîne d'éditeurs.
Responsable, pas une chaîne d'éditeurs
L'article 4 du RGPD distingue le responsable, qui détermine les finalités et les moyens, et le sous-traitant, qui traite pour le compte du responsable. Dans un cabinet, les finalités sont claires : défendre, conseiller, gérer le dossier. Elles ne migrent pas parce qu'un outil aide à relire une pièce. Ce qui migre, avec une IA en ligne, ce sont les moyens : un éditeur reçoit les données, choisit ses sous-traitants d'hébergement, fixe ses durées de journaux, parfois ses finalités d'amélioration du modèle.
Cette migration oblige à empiler les contrats, à décrire des flux que le cabinet ne voit pas, et à expliquer à un client que sa pièce a été lue « quelque part ». Elle complique aussi le secret professionnel, traité dans la note sur l'article 66-5. Le RGPD et la déontologie posent deux questions différentes ; une architecture locale en ferme une grande partie d'un coup, parce que le moyen redevient interne.
Ce que l'article 28 exige — et quand il se tait
L'article 28 impose un contrat lorsque le responsable fait appel à un sous-traitant : objet et durée, nature et finalité, type de données, obligations de sécurité, sort des données en fin de contrat, interdiction de recruter un autre sous-traitant sans autorisation. Ce contrat est indispensable dès qu'un éditeur d'IA touche les pièces. Il est sans objet pour la brique de calcul si personne d'extérieur ne touche les pièces.
Dire « pas de sous-traitant » n'est pas un slogan. C'est un fait d'architecture : équipement propriété du cabinet, installé dans ses locaux, sans hébergeur et sans connexion qui emporterait les dossiers. C'est le périmètre décrit au constat et dans le détail de la machine. Les autres prestataires du cabinet — expert-comptable, éditeur du logiciel de gestion, hébergeur de la messagerie — restent, eux, des sous-traitants s'ils traitent des données pour le compte du cabinet. L'IA locale ne les fait pas disparaître. Elle évite d'en ajouter un, précisément sur le contenu des dossiers.
Ce qui reste dans le registre
L'article 30 continue de demander une fiche de traitement lorsque le cabinet, hors des exceptions étroites, traite des données de manière non occasionnelle — ce qui est le cas d'une activité d'avocat. La fiche devient plus courte à écrire :
- Finalité : assistance à l'analyse, à la synthèse et à la préparation d'actes, sous la validation de l'avocat.
- Base : intérêt légitime ou mission liée au mandat, selon la qualification retenue avec le DPO ; le secret professionnel encadre déjà l'accès.
- Catégories : pièces du dossier, parfois des données sensibles (santé, infractions) lorsque le contentieux l'exige.
- Destinataires : les avocats et collaborateurs habilités. Pas d'éditeur d'IA.
- Transferts : aucun vers un pays tiers pour cette brique, faute de flux. Le Cloud Act n'a dès lors pas de fournisseur à saisir.
- Durée : celle de la conservation du dossier par le cabinet, pas celle des serveurs d'un éditeur.
- Sécurité : cloisonnement physique, absence de liaison sortante, et, si l'option est retenue, accès badgés décrits dans la sécurisation du local.
L'analyse d'impact (article 35) se pose lorsque le traitement est susceptible d'engendrer un risque élevé, en particulier s'il porte à grande échelle sur des données sensibles. Beaucoup de cabinets la rédigent déjà pour la gestion des dossiers. L'ajout d'un outil interne se documente comme une mesure : les données ne quittent pas le responsable, l'avocat valide le résultat, les accès sont limités. Ce n'est pas une dispense automatique d'AIPD. C'est une AIPD plus facile à conclure que celle d'un flux vers un modèle généraliste dont on ne maîtrise ni les journaux ni les sous-traitants ultérieurs.
L'information des clients, au titre des articles 13 et 14, peut tenir en peu de phrases : un outil d'assistance fonctionne dans le cabinet, sans transmission à un éditeur d'IA, sous la responsabilité de l'avocat. C'est plus net qu'une liste de sous-traitants successifs.
La condition : la maintenance
Le schéma se rouvre si un technicien peut lire les dossiers en venant mettre à jour la machine. Dès lors, il traite pour le compte du cabinet, et l'article 28 reprend ses droits. Deux réponses sont propres : empêcher cet accès (comptes séparés, disques non ouverts pendant l'intervention, local dont les pièces ne sont pas laissées à l'écran), ou signer un contrat de sous-traitance limité à l'hypothèse où un accès serait malgré tout nécessaire.
L'absence de sous-traitant IA est une propriété du fonctionnement quotidien. Elle se perd le jour où quelqu'un d'extérieur lit les pièces.
Nomos apporte les mises à jour du modèle et du logiciel physiquement, sans connexion permanente et sans administration à distance. Le cabinet qui veut inscrire cette organisation dans sa fiche de traitement peut partir de cette description, puis l'ajuster avec son DPO. Pour voir le matériel correspondant, le configurateur donne une estimation ; le détail contractuel se fait sur devis, pas dans le journal.
Questions fréquentes
Faut-il un contrat article 28 pour l'IA locale ?+
Pas pour le calcul, s'il n'existe aucun tiers qui traite les dossiers. L'article 28 ne s'applique qu'en présence d'un sous-traitant. Le cabinet demeure responsable de traitement.
Le registre disparaît-il ?+
Non. La fiche de traitement reste due. Elle se rédige plus clairement : finalité interne, pas de destinataire éditeur, pas de transfert, sécurité physique et absence de liaison sortante.
La maintenance recrée-t-elle un sous-traitant ?+
Seulement si l'intervenant accède aux pièces. Il faut empêcher cet accès, ou l'encadrer par un contrat article 28. Les mises à jour Nomos sont physiques, sans administration distante des dossiers.