Tu utilises sans doute ChatGPT, Claude ou Mistral plusieurs fois par semaine en cabinet. Pour rédiger un mail client, préparer une note de synthèse, reformuler un courrier complexe. Peut-être même pour analyser un grand-livre quand le délai est court.

Dès que tu colles une donnée client identifiable dans un de ces outils, tu effectues un traitement de données personnelles dont tu es responsable, vis-à-vis de ton client final. Et depuis février 2025, l'AI Act ajoute une obligation de formation à l'IA pour tout cabinet qui en déploie. Deux obligations bien réelles, que presque personne n'a encore écrites noir sur blanc dans son cabinet.

Pour situer l'enjeu : plus de 5 000 experts-comptables, soit un quart de la profession, utilisent déjà les ressources de la CNIL sur la protection des données (convention CNIL / Conseil supérieur de l'Ordre). La conformité RGPD générale avance. Mais le cas précis du grand-livre collé dans ChatGPT, lui, reste presque partout dans l'angle mort.

Cette édition n'est pas un cours de droit. C'est un protocole opérationnel pour utiliser l'IA générative en cabinet sans te mettre en risque vis-à-vis de tes clients ni de la CNIL. 7 questions à te poser, 1 grille de décision en 4 cas, 5 actions concrètes à mettre en place cette semaine.

On y va.

RGPD (règlement UE 2016/679) : tu es "responsable de traitement" dès lors que tu détermines les finalités et les moyens d'un traitement de données personnelles. Quand tu colles un grand-livre client dans ChatGPT pour gagner du temps sur une analyse de marge, tu effectues un traitement de données personnelles dont tu es responsable - vis-à-vis de ton client final.

AI Act (règlement UE 2024/1689) : ajoute depuis 2026 une couche transparence, audit et gouvernance pour l'usage de systèmes d'IA. L'usage en cabinet relève principalement du "risque limité" (transparence sur l'usage IA aux clients) mais certains cas peuvent basculer en "risque élevé" (notation, scoring, décision automatisée).

Les sanctions :

Pour un cabinet de 5 collaborateurs à 800K€ de CA, on parle d'une sanction théorique max à 32 000€. Pour un cabinet à 5M€, 200 000€. Pas symbolique.

Question 1 - Les données que je vais coller, sont-elles personnelles ?

Si la donnée permet d'identifier directement ou indirectement une personne physique, elle est personnelle. Test rapide : un nom, un email, un IBAN, un SIREN d'entreprise individuelle, un numéro de sécu, une adresse, une date de naissance, un montant de salaire identifiable. Toutes ces données déclenchent le RGPD.

Une note de synthèse anonymisée sur un secteur d'activité : pas de RGPD.
Le PDF d'une lettre de mission avec le nom du client : RGPD.
Le grand-livre d'un client : 100% RGPD (fournisseurs, clients du client, salariés tous identifiables).

Question 2 - Suis-je responsable de traitement vis-à-vis de mon client sur ces données ?

Quasi-toujours oui en cabinet EC. La lettre de mission t'établit comme prestataire qui traite des données pour le compte du client. Quand tu décides "je colle ces données dans ChatGPT", tu décides d'un moyen de traitement - tu deviens responsable du traitement spécifique à l'IA, en plus de ton traitement principal (tenue, révision, etc.).

Conséquence : tu dois pouvoir justifier ce traitement à ton client SI il pose la question, et SI la CNIL pose la question.

Question 3 - L'outil IA que j'utilise, où sont stockées les données ?

Pour un transfert hors UE, tu as besoin de clauses contractuelles types (CCT) signées avec le fournisseur. ChatGPT Plus inclut des CCT dans ses CGU pour les pros depuis 2023. Mais ce n'est pas automatique - il faut souscrire à l'offre Team/Enterprise pour avoir la couverture pleine.

Question 4 - L'outil utilise-t-il mes données pour entraîner ses modèles ?

Le piège : un EC qui utilise Claude ou ChatGPT en version perso (Free/Pro/Plus) sans avoir désactivé le training donne ses données client au fournisseur pour entraîner les prochains modèles. Pas illégal en soi, mais difficile à justifier devant un client soucieux, et impossible à justifier devant la CNIL en cas de plainte. À noter pour Claude : la politique a changé en septembre 2025, ce qui était exclu par défaut avant ne l'est plus, il faut désactiver soi-même.

Action minute : va dans les paramètres de confidentialité de Claude ET de ChatGPT maintenant, et vérifie le réglage training (à désactiver pour un usage cabinet).

Question 5 - Mon client a-t-il été informé que j'utilise une IA générative sur ses données ?

Réponse honnête dans 95% des cabinets : non.

La lettre de mission standard ne mentionne quasi jamais l'usage d'IA générative. Or le RGPD article 13/14 t'impose d'informer le client des moyens de traitement, et l'AI Act article 50 ajoute une obligation de transparence sur l'usage d'IA.

Action minute : prévoir une clause IA dans la prochaine révision de tes lettres de mission. Modèle proposé en lead magnet (voir fin de l'édition).

Question 6 - Ai-je un protocole interne (qui peut faire quoi avec quel outil) ?

Cas réel observé sur terrain : un cabinet de 12 personnes avec ChatGPT Plus partagé sur 1 compte. Aucune règle écrite. Trois collaborateurs ont collé des extraits de balance dans ChatGPT pour gagner du temps sur de la révision, sans savoir que le training n'était pas désactivé. Le DPO du cabinet (rôle attribué au comptable confirmé senior, sans formation spécifique) découvre la situation 4 mois plus tard.

Sans protocole, la responsabilité reste collective et chaotique. Avec protocole, elle est cadrée et défendable.

Le minimum : 1 page A4 qui dit "Outils autorisés : X, Y. Outils interdits : Z. Données autorisées sur outils généralistes : aucune donnée nominative client. Données autorisées sur outils spécialisés UE : grand-livre, balance, mais pas notes de frais ni paie. Validation humaine obligatoire avant envoi externe."

Question 7 - Que se passe-t-il si la CNIL me contrôle demain matin ?

Test ultime. Peux-tu produire en 24h :

Si tu réponds "non" à 3 questions ou plus, tu es en zone de risque réel.

Le débat "IA généraliste vs IA spécialisée" n'a pas grand sens en soi. Ce qui compte, c'est l'adéquation outil-tâche-données.

Symétrie utile à retenir : utiliser ChatGPT pour un sujet sensible et utiliser Pennylane Copilot pour un sujet hors de sa scope sont deux erreurs miroirs. Le bon outil pour la bonne tâche pour les bonnes données.

Coût total : 4 à 5 heures de travail réparties. Bénéfice : tu sors de la zone grise et tu deviens contrôlable sans risque.

La CNIL et le Conseil supérieur de l'Ordre des experts-comptables ont une convention de partenariat active, et plus de 5 000 EC utilisent déjà leurs ressources RGPD. Mais au 15 juin 2026, aucune fiche dédiée à l'usage de l'IA générative par les professions réglementées n'a été publiée. Le guide CNIL "IA et RGPD" existant traite des questions générales sans descendre au cas concret du cabinet EC qui injecte un grand-livre dans ChatGPT.

J'ai posé publiquement la question à la CNIL le 27 mai sur LinkedIn (lien dans les sources). Pas de réponse à ce jour. Si elle vient, je la relaierai dans une veille du jeudi.

En attendant : principe de précaution, on documente tout, et on suit le référentiel CNIL sur l'AI Act attendu fin 2026.

Réponds simplement "RGPD" à cet email, je t'envoie le Kit conformité IA Saisie Zéro :

Gratuit. Pas de spam.

Textes officiels

Sources institutionnelles

Sources humaines et publiques

Documentation fournisseurs IA vérifiée au 15 juin 2026

Données contextuelles Saisie Zéro

À jeudi pour la veille.

Julien