IA générative et secret de l'expert-comptable

Vous pouvez utiliser un assistant d'IA générative, qu'il s'appelle Claude, Le Chat de Mistral, Gemini, Copilot ou ChatGPT, mais pas avec les données de vos clients dans n'importe quelles conditions. Le secret professionnel s'applique à tout ce que vous apprenez dans l'exercice de votre mission. Coller le grand livre d'un client, un courriel de son dirigeant ou une liasse dans un service grand public dont vous ne maîtrisez pas les conditions, c'est confier une information couverte par le secret à un tiers. La bonne pratique tient en trois mots : anonymiser, choisir, vérifier.

La règle : article 21 et code de déontologie

L'article 21 de l'ordonnance du 19/09/1945 (version en vigueur depuis le 24/12/2016) soumet au secret professionnel, dans les conditions et sous les peines de l'article 226-13 du code pénal :

• les experts-comptables ;
• certains de leurs salariés ;
• les experts-comptables stagiaires ;
• les professionnels autorisés à exercer partiellement l'activité.

Le texte s'applique « sous réserve de toute disposition législative contraire » : la loi prévoit des cas où le secret cède, comme la déclaration de soupçon dans la lutte contre le blanchiment.

Le code de déontologie ajoute deux obligations utiles ici. L'article 147 impose un devoir de discrétion sur toutes les informations connues dans le cadre de l'activité, en plus du secret. L'article 148 demande au professionnel de s'assurer que ses collaborateurs ont une compétence appropriée et respectent ces règles. Si un collaborateur colle un dossier client dans un outil inadapté, la question remonte à l'expert-comptable.

Le risque concret

Il n'est pas théorique. Le livre blanc publié en 2025 par l'Ordre des experts-comptables Paris Île-de-France relève que les solutions d'IA généralistes n'offrent pas toujours une conformité au RGPD (règlement général sur la protection des données) et que certaines exploitent les données soumises pour entraîner leurs modèles.

La Commission nationale de l'informatique et des libertés (CNIL) distingue trois façons d'utiliser une IA générative :

Pour un accès par interface de programmation (API), la CNIL note que la maîtrise du système est « quasi exclusivement dans les mains du fournisseur » : il faut lire les clauses, notamment sur les transferts hors de l'Union européenne.

Les précautions qui tiennent

1. Anonymiser par défaut. Le livre blanc fait de l'anonymisation « une étape indispensable » avant de soumettre une information sensible à un outil sans garanties suffisantes. Remplacez noms, SIREN, adresses, montants identifiants. Il reconnaît aussi que certains documents sont presque impossibles à anonymiser : ceux-là ne vont que vers un outil sous contrat.

2. Choisir les outils, pas les laisser choisir. Comptes professionnels uniquement, liste d'outils autorisés, conditions d'utilisation lues : réutilisation des données, hébergement, sous-traitants. Le livre blanc encourage à privilégier des solutions conçues pour la profession ou des solutions européennes.

3. Classer les données. Publiques (textes, doctrine), internes (procédures, modèles), clients, sensibles (litiges, stratégie) : chaque catégorie a ses outils autorisés. L'exemple de charte du livre blanc interdit les données sensibles dans tous les outils et n'autorise les données de clients dans un outil public qu'anonymisées.

4. Vérifier chaque production. Le secret n'est pas le seul risque : une réponse fausse transmise à un client engage aussi le cabinet. Voir l'IA dans la révision.

5. Former et écrire. La CNIL recommande une charte interne qui liste usages autorisés et interdits, et une formation avant usage. Voir la charte IA du cabinet.

Ce que vous pouvez faire sans hésiter

• Reformuler un courriel type sans nom ni chiffre de client.
• Résumer un texte public : une instruction fiscale, une actualité réglementaire (en vérifiant la source).
• Préparer un support de formation interne.
• Structurer une note à partir d'éléments anonymisés.

Pour tout le reste, la question à se poser avant de coller quoi que ce soit est celle du mémo proposé par le livre blanc : y a-t-il des données de clients ? Ai-je bien anonymisé ? Suis-je sur un outil autorisé ? Vais-je vérifier le résultat ?