ChatGPT est-il autorisé pour un avocat en 2026 ?

ChatGPT n'est pas autorisé pour traiter des données client identifiables en cabinet d'avocat. OpenAI est une société américaine soumise au Cloud Act, ce qui crée un risque structurel sur le secret professionnel protégé par l'article 66-5 de la loi du 31 décembre 1971. Le guide CNB du 17 mars 2026 ne l'interdit pas nominativement mais impose la confidentialité, la maîtrise des sous-traitants et la prudence : trois exigences quasi impossibles à documenter avec un compte ChatGPT standard.

Quelle est la différence entre RGPD et Cloud Act ?

Le RGPD est le règlement UE 2016/679 qui protège les données personnelles traitées dans l'Union européenne. Le Cloud Act est une loi américaine de 2018 qui autorise les autorités US à exiger des fournisseurs cloud américains la remise de données qu'ils détiennent, peu importe où les serveurs sont localisés. Les deux textes se contredisent : un fournisseur US qui héberge en Allemagne reste soumis aux deux régimes simultanément, ce qui rend la conformité RGPD fragile.

Doctrine, Jimini ou Lexbase : laquelle choisir ?

Aucune des trois seule ne suffit. Doctrine est la meilleure pour la recherche jurisprudentielle large, Lexbase Intelligence pour la veille doctrinale et la jurisprudence sourcée vérifiable, Jimini AI pour la rédaction assistée et l'hébergement 100% France. Pour un cabinet de 20 avocats, l'approche pragmatique consiste à empiler Doctrine + Lexbase + Jimini, puis Mistral et n8n pour les usages internes sensibles que vous ne voulez pas exposer à un éditeur.

Combien coûte une stack IA souveraine pour un cabinet de 10 à 50 avocats ?

Estimation Kreante calculée sur les tarifs publics 2026 : entre 90 000 et 130 000 € par an pour un cabinet de 30 avocats. Doctrine coûte 1 392 à 2 094 €/an par utilisateur, Jimini 150 à 200 €/mois par utilisateur, Lexbase Intelligence 1 395 €/an individuel, Mistral en API ou auto-hébergé, et n8n self-hosted sur OVHcloud. Le coût varie selon le nombre de licences nominatives et le niveau d'auto-hébergement choisi.

Le guide CNB du 17 mars 2026 est-il opposable ?

Le guide CNB du 17 mars 2026 est un outil opérationnel adopté par le Conseil National des Barreaux, pas un texte réglementaire. Il rappelle des obligations qui, elles, sont opposables : secret professionnel (article 66-5 loi 1971), indépendance (article 1er du Règlement Intérieur National), conformité RGPD. En cas de manquement, c'est sur ces fondements que la sanction tombera, pas sur le guide lui-même.

Que risque un avocat qui utilise une IA non conforme ?

Un avocat qui utilise une IA non conforme s'expose à quatre niveaux de sanction. Pénal : 1 an d'emprisonnement et 15 000 € d'amende (article 226-13 du Code pénal pour violation du secret professionnel). Disciplinaire : avertissement, blâme, suspension ou radiation. Administratif RGPD : jusqu'à 20 millions € ou 4% du chiffre d'affaires. AI Act : jusqu'à 35 millions € ou 7% du CA mondial. À cela s'ajoutent la perte de confiance client et le contentieux civil.

IA cabinet d’avocat, RGPD et Cloud Act : la stack en 5 outils pour 2026

Dernière mise à jour : 17 mai 2026 par Sophie. Révision prévue tous les 6 mois pour suivre l’AI Act (échéance 2 août 2026) et les guides du Conseil National des Barreaux.

TL;DR

La stack IA d’un cabinet d’avocat conforme RGPD et hors Cloud Act en 2026 repose sur cinq outils complémentaires, pas un seul.

Stack recommandée : Doctrine (recherche jurisprudentielle), Jimini AI (rédaction assistée), Lexbase Intelligence (veille), Mistral AI (LLM souverain), n8n (orchestration self-hosted).
Le guide CNB du 17 mars 2026 fixe 7 obligations déontologiques : secret professionnel, RGPD, compétence, prudence, indépendance, information du client, fixation équilibrée des honoraires [source: https://cnb.avocat.fr/actualite/le-cnb-adopte-un-guide-sur-la-deontologie-et-l-intelligence-artificielle].
Le Cloud Act expose tout fournisseur de nationalité américaine, même hébergé en Allemagne. Microsoft Copilot, ChatGPT Enterprise et Claude pour le travail restent contractuellement exposés [source: https://www.lexisnexis.com/blogs/fr-juridique/b/droit-des-affaires/posts/cloud-act-et-rgpd-protection-donnees-entreprises-europeennes].
L’AI Act (règlement UE 2024/1689) atteint son palier haut risque le 2 août 2026, avec des sanctions jusqu’à 35 millions € ou 7% du CA mondial [source: https://itlaw.fr/ai-act-le-calendrier-dapplication-decrypte/].
Budget annuel estimé pour 30 avocats : entre 90 000 € et 130 000 € selon licences et niveau d’auto-hébergement (estimation Kreante sur tarifs publics 2026).

À retenir

Une stack IA cabinet en 2026 empile cinq briques distinctes : recherche, rédaction, veille, LLM souverain, orchestration.
Le secret professionnel français est défini par l’article 66-5 de la loi 71-1130 du 31 décembre 1971 et sanctionné par l’article 226-13 du Code pénal (1 an d’emprisonnement et 15 000 € d’amende) [source: https://optimumia.fr/obligations-deontologiques-avocat-ia-le-guide-complet-pour-2026-cnb/].
Quatre décisions françaises ont sanctionné des hallucinations algorithmiques entre décembre 2025 et février 2026 : TA Orléans, TJ Périgueux, TA Rennes, CAA Bordeaux [source: https://www.lexbase.fr/article-juridique/132589747-commentaire-lintelligence-artificielle-generative-a-lepreuve-du-pretoire-lemergence-dune-jurispruden].
Jimini AI a levé 2,7 millions € et compte plus de 3 000 avocats et juristes utilisateurs, dont Gide, CMA CGM et d’Alverny [source: https://www.jimini.ai/en/blog/jimini-ai-leve-2-7-million-pour-revolutionner-l-assistance-juridique-par-ia].
Le chiffrement AES-256 avec clés gérées par le cabinet est identifié comme la barrière technique la plus efficace contre une réquisition Cloud Act [source: https://www.lexisnexis.com/blogs/fr-juridique/b/droit-des-affaires/posts/cloud-act-et-rgpd-protection-donnees-entreprises-europeennes].

Pourquoi le cabinet de 2026 ne tient plus sur un seul outil IA

Un cabinet d’avocat ne peut plus se reposer sur un éditeur IA unique en 2026. La déontologie, la jurisprudence et le Cloud Act imposent trois exigences qu’aucun fournisseur ne couvre seul.

Le réflexe a longtemps été simple : un cabinet, un éditeur, un contrat. Predictice ou Doctrine, parfois LexisNexis, et l’affaire était close. Cette époque est derrière nous.

Première force, la déontologie. Le guide CNB sur la déontologie et l’IA adopté le 17 mars 2026 par le Conseil National des Barreaux liste sept obligations qu’aucun éditeur seul ne couvre [source: https://cnb.avocat.fr/actualite/le-cnb-adopte-un-guide-sur-la-deontologie-et-l-intelligence-artificielle]. Deuxième force, la jurisprudence. Depuis fin 2025, plusieurs juridictions françaises ont sanctionné des requêtes générées par IA. Le Tribunal administratif d’Orléans a relevé 17 citations inexistantes ou non pertinentes dans une seule décision (n°2506461 du 29 décembre 2025) [source: https://www.lexbase.fr/article-juridique/132589747-commentaire-lintelligence-artificielle-generative-a-lepreuve-du-pretoire-lemergence-dune-jurispruden]. La Cour administrative d’appel de Bordeaux a depuis lancé une mise en garde solennelle.

Troisième force, le Cloud Act. Un cabinet qui pousse ses pièces dans ChatGPT, Microsoft Copilot ou Claude pour le travail expose contractuellement ses données à une réquisition US, même quand les serveurs sont en Europe. La conformité RGPD ne suffit plus : il faut démontrer l’absence de transfert [source: https://www.lexisnexis.com/blogs/fr-juridique/b/droit-des-affaires/posts/cloud-act-et-rgpd-protection-donnees-entreprises-europeennes].

Conséquence pratique : la bonne unité d’analyse n’est plus l’outil, c’est la stack. Une recherche dans Doctrine, une rédaction dans Jimini AI, une veille via Lexbase Intelligence, un LLM souverain auto-hébergeable pour les usages internes, un orchestrateur n8n pour relier le tout sans fuite. C’est ce que cet article détaille.

Les 7 obligations CNB que toute IA cabinet doit cocher

Les 7 obligations CNB applicables à l’usage de l’IA en cabinet d’avocat sont : secret professionnel, RGPD, compétence, prudence, indépendance, information du client et fixation équilibrée des honoraires.

Le guide CNB n’est pas opposable en lui-même. Il rappelle des obligations qui, elles, sont opposables, et il met le cabinet face à sa propre traçabilité.

Les piliers structurants

Les piliers structurants du guide CNB du 17 mars 2026 sont sept obligations cumulatives qui s’appliquent à tout usage professionnel de l’IA.

D’après le communiqué officiel du Conseil National des Barreaux, ces sept piliers sont : secret professionnel, RGPD, compétence, prudence, indépendance, information du client, fixation équilibrée des honoraires [source: https://cnb.avocat.fr/actualite/le-cnb-adopte-un-guide-sur-la-deontologie-et-l-intelligence-artificielle].

Trois d’entre eux pèsent particulièrement sur le choix des outils. Le secret professionnel, ancré dans l’article 66-5 de la loi 71-1130 du 31 décembre 1971, interdit en pratique tout traitement par un sous-traitant qui ne peut pas garantir l’absence de divulgation [source: https://optimumia.fr/obligations-deontologiques-avocat-ia-le-guide-complet-pour-2026-cnb/]. L’indépendance, posée par l’article 1er du Règlement Intérieur National, suppose que l’avocat ne soit pas captif d’un éditeur unique. Le RGPD impose la maîtrise du sous-traitant, donc une DPA signée et un hébergement traçable.

Comment ça se traduit dans la stack

Chaque brique de la stack couvre au moins deux obligations CNB explicitement identifiables.

Doctrine et Lexbase Intelligence couvrent la compétence et la prudence, en mettant à disposition la jurisprudence sourcée et vérifiable, antidote aux hallucinations.
Jimini AI couvre la prudence et le RGPD, avec hébergement HDS en France, chiffrement AES-256 et certification ISO 27001 [source: https://www.jimini.ai/en/blog/jimini-ai-leve-2-7-million-pour-revolutionner-l-assistance-juridique-par-ia].
Mistral AI et n8n couvrent l’indépendance et le secret professionnel, parce qu’ils peuvent être hébergés sur infrastructure cabinet ou sur Scaleway en France, sans tiers américain [source: https://www.agilotext.com/blog/articles/meilleurs-outils-ia-pour-avocats-2026-comparatif-complet].

L’information du client et la fixation des honoraires sont une affaire de procédure interne (mentions IA dans la lettre de mission, traçabilité du temps gagné), pas une affaire d’outil. Un point souvent oublié.

Cloud Act vs RGPD : pourquoi 90% des stacks IA sont déjà non-conformes

Le Cloud Act est une loi américaine de 2018 (Stored Communications Act, 18 U.S. Code §2713) qui autorise les autorités US à requérir auprès de tout fournisseur de nationalité américaine la remise de données qu’il détient, où que soient les serveurs.

Comment le Cloud Act traverse le RGPD

Le Cloud Act traverse le RGPD via trois critères d’application cumulatifs : possession ou contrôle des données, probabilité raisonnable d’éléments liés à un crime US, juridiction par le “minimum contacts test” [source: https://www.lexisnexis.com/blogs/fr-juridique/b/droit-des-affaires/posts/cloud-act-et-rgpd-protection-donnees-entreprises-europeennes].

Ce dernier critère est large : il inclut le fait d’opérer un site en anglais ou de vendre à des clients américains.

Faisons le calcul concret. Un cabinet français qui utilise Microsoft Copilot, Claude pour le travail (Anthropic) ou ChatGPT Enterprise (OpenAI) reste exposé. Le RGPD interdit en principe le transfert, le Cloud Act l’autorise et parfois l’impose. La jurisprudence Schrems II a depuis 2020 condamné cette ambiguïté sans la résoudre. Résultat : trois des plus gros assistants IA du marché sont contractuellement incompatibles avec le secret professionnel français.

Le tableau qui clarifie tout

Le tableau ci-dessous compare les quatre régimes juridiques qui s’appliquent simultanément à une IA cabinet en 2026.

Régime	Origine	Application	Article / texte de référence	Sanction maximale
RGPD	Union européenne, 2016	Toute donnée personnelle UE	Règlement (UE) 2016/679	20 millions € ou 4% du CA mondial
Cloud Act	États-Unis, 2018	Fournisseurs cloud US, où que soient les serveurs	18 U.S. Code §2713 (Stored Communications Act)	Réquisition US sans information du client [source: https://www.lexisnexis.com/blogs/fr-juridique/b/droit-des-affaires/posts/cloud-act-et-rgpd-protection-donnees-entreprises-europeennes]
AI Act	Union européenne, 2024	Systèmes IA, palier haut risque le 2 août 2026	Règlement (UE) 2024/1689	35 millions € ou 7% du CA mondial [source: https://itlaw.fr/ai-act-le-calendrier-dapplication-decrypte/]
Secret professionnel	France, 1971	Avocats et leurs sous-traitants	Article 66-5 loi 71-1130 + art. 226-13 Code pénal	1 an d’emprisonnement et 15 000 € d’amende [source: https://optimumia.fr/obligations-deontologiques-avocat-ia-le-guide-complet-pour-2026-cnb/]

Le seul antidote technique

Le seul antidote technique fiable au Cloud Act est le chiffrement AES-256 avec clés gérées par le cabinet et non par le fournisseur.

Le chiffrement AES-256 est identifié comme la barrière la plus efficace contre une réquisition Cloud Act, à condition que les clés soient gérées par le cabinet et non par le fournisseur [source: https://www.lexisnexis.com/blogs/fr-juridique/b/droit-des-affaires/posts/cloud-act-et-rgpd-protection-donnees-entreprises-europeennes]. C’est pour cela qu’une stack saine combine fournisseur européen pour l’hébergement (OVHcloud, Scaleway) et chiffrement client side pour les pièces sensibles.

La stack en 5 briques : Doctrine, Jimini, Lexbase, Mistral, n8n

La stack IA cabinet 2026 est une architecture en cinq briques complémentaires, testée pour un cabinet de 10 à 50 avocats, couvrant ensemble les 7 obligations CNB.

Brique 1 : Doctrine (recherche jurisprudentielle large)

Doctrine est un moteur de recherche juridique français qui agrège jurisprudence, doctrine et actualité légale.

Tarif individuel : 1 392 à 2 094 €/an selon le pack [source: https://www.pamplemousse-magazine.co/post/ia-juridiques-comparatif-complet].
Hébergement : AWS Allemagne [source: https://www.pamplemousse-magazine.co/post/ia-juridiques-comparatif-complet].
Obligations CNB couvertes : compétence, prudence.

C’est cette brique qui pose la première question gênante. AWS étant un fournisseur américain (Amazon Web Services), l’exposition Cloud Act résiduelle reste théorique mais réelle. La compensation : ne jamais charger de pièces client dans Doctrine, l’utiliser pour la recherche froide (textes publiés, décisions publiques) et garder le travail confidentiel ailleurs.

Brique 2 : Jimini AI (rédaction assistée souveraine)

Jimini AI est un assistant IA juridique français lancé en 2023, lauréat France 2030, dédié à la rédaction assistée d’actes et de courriers.

Levée de fonds : 2,7 millions € au premier tour [source: https://www.jimini.ai/en/blog/jimini-ai-leve-2-7-million-pour-revolutionner-l-assistance-juridique-par-ia].
Base utilisateurs : plus de 3 000 avocats et juristes (Gide, CMA CGM, d’Alverny cités) [source: https://www.jimini.ai/en/blog/jimini-ai-leve-2-7-million-pour-revolutionner-l-assistance-juridique-par-ia].
Tarif : 150 à 200 €/mois par utilisateur [source: https://www.pamplemousse-magazine.co/post/ia-juridiques-comparatif-complet].
Hébergement : Scaleway France et Azure Europe, certification ISO 27001, chiffrement AES-256.
Obligations CNB couvertes : prudence, RGPD, secret professionnel.

Le partenariat avec le Barreau de Paris ouvre 3 mois gratuits pour les cabinets de 1 à 20 avocats [source: https://www.transformations-droit.com/le-barreau-de-paris-et-jimini-annoncent-un-nouveau-partenariat-pour-favoriser-l]. Pierre Hoffman, bâtonnier de Paris, parle d‘“accélérer l’innovation, construire une véritable souveraineté numérique européenne” [source: https://www.transformations-droit.com/le-barreau-de-paris-et-jimini-annoncent-un-nouveau-partenariat-pour-favoriser-l].

Brique 3 : Lexbase Intelligence (veille et jurisprudence sourcée)

Lexbase Intelligence est la couche IA de l’éditeur juridique français Lexbase, spécialisée dans la veille jurisprudentielle et la jurisprudence sourcée.

Tarif individuel : 1 395 €/an [source: https://www.pamplemousse-magazine.co/post/ia-juridiques-comparatif-complet].
Hébergement : serveurs propres en France, exclusion contractuelle du Cloud Act [source: https://www.pamplemousse-magazine.co/post/ia-juridiques-comparatif-complet].
Obligations CNB couvertes : compétence, prudence.

C’est la brique que les cabinets sous-investissent. Or c’est celle qui répond directement au risque d’hallucination documenté par Lexbase dans sa propre revue jurisprudentielle [source: https://www.lexbase.fr/article-juridique/132589747-commentaire-lintelligence-artificielle-generative-a-lepreuve-du-pretoire-lemergence-dune-jurispruden]. Quatre décisions de référence : TA Orléans 29 décembre 2025, TJ Périgueux 18 décembre 2025, TA Rennes 28 janvier 2026, CAA Bordeaux 26 février 2026. Le point commun de ces décisions est l’absence de vérification de la source. Lexbase Intelligence force le sourcing.

Brique 4 : Mistral AI (LLM souverain pour usages internes)

Mistral AI est un éditeur français de grands modèles de langage fondé en 2023, qui propose des LLM utilisables en API ou auto-hébergés. C’est le seul LLM grand public d’origine européenne capable de tenir une comparaison avec OpenAI ou Anthropic sur l’usage cabinet.

Modes de déploiement : API via la plateforme Mistral hébergée en France, ou auto-hébergement sur OVHcloud ou Scaleway.
Conformité : obligations AI Act pour modèles d’usage général applicables depuis le 2 août 2025 [source: https://itlaw.fr/ai-act-le-calendrier-dapplication-decrypte/].
Obligations CNB couvertes : indépendance, secret professionnel.

C’est la brique qui permet de garder dans les murs ce qui ne doit jamais sortir : notes internes, fiches client, brouillons sensibles, automatisations RH. Lire notre guide Mistral AI vs OpenAI en entreprise pour les critères de choix de Mistral AI en cabinet d’avocat.

Brique 5 : n8n (orchestration locale et flux RGPD)

n8n est un outil d’automatisation open source, équivalent low-code de Zapier, conçu pour être auto-hébergé.

Hébergement recommandé : OVHcloud ou Scaleway, jamais sur AWS, GCP ou Azure US [source: https://www.agilotext.com/blog/articles/meilleurs-outils-ia-pour-avocats-2026-comparatif-complet].
Fonction dans la stack : relier la boîte mail, le DMS, Mistral et Jimini sans qu’un seul flux ne passe par un fournisseur tiers non maîtrisé.
Obligations CNB couvertes : indépendance, RGPD.

Hébergé sur OVHcloud ou Scaleway, n8n n’expose aucune donnée hors France. Lire notre tutoriel n8n self-hosted sur OVH pour la mise en place.

Architecture concrète pour un cabinet de 10 à 50 avocats

Voici à quoi ressemble l’architecture cible pour un cabinet de 10 à 50 avocats : les cinq briques articulées autour du DMS, un flux de travail standardisé, trois interdictions explicites.

Le schéma part d’un cabinet de référence de 30 avocats, deux bureaux, un DMS existant. Il s’adapte à 10 ou 50 sans rupture.

Le flux type d’une affaire

Le flux type d’une affaire dans la stack IA cabinet 2026 suit cinq étapes ordonnées, du DMS à la journalisation.

L’avocat ouvre l’affaire dans son DMS. Une recherche froide se fait dans Doctrine pour cadrer le contexte légal. La veille jurisprudentielle remonte automatiquement via Lexbase Intelligence sur les mots-clés du dossier. La rédaction des actes se fait dans Jimini AI, avec injection des faits par formulaire, sans pièce client brute. Les notes internes, fiches stratégie et brouillons sensibles passent par Mistral AI en mode privé. n8n orchestre les notifications, archive les versions et journalise les accès.

Les flux à interdire

Trois flux doivent être bloqués au niveau de la politique cabinet pour rester conforme au guide CNB et au RGPD.

Aucune pièce client identifiable vers ChatGPT (OpenAI), Claude (Anthropic) ou Microsoft Copilot publics.
Aucun upload de PDF non chiffré vers Doctrine, hébergé sur AWS Allemagne.
Aucune synchronisation automatique du DMS vers un outil non répertorié dans la DPA cabinet.

Lire notre modèle de DPA sous-traitance IA pour la mise en conformité contractuelle.

Coût total, ROI et calendrier de déploiement sur 90 jours

Le coût total d’une stack IA souveraine pour 30 avocats est estimé entre 104 000 € et 146 000 € par an, selon les paliers d’usage et le niveau d’auto-hébergement (estimation Kreante sur tarifs publics 2026).

Budget annuel estimé

Faisons le calcul, ligne par ligne, sur un cabinet de référence de 30 avocats.

Brique	Tarif unitaire	Volume	Coût annuel estimé
Doctrine	1 392 à 2 094 €/an	30 licences	42 000 à 63 000 €
Jimini AI	150 à 200 €/mois	20 licences	36 000 à 48 000 €
Lexbase Intelligence	1 395 €/an	10 licences	14 000 €
Mistral AI (API + serveur)	Variable	Cabinet	8 000 à 15 000 € (estimation Kreante)
n8n self-hosted OVHcloud	Hébergement + maintenance	Cabinet	4 000 à 6 000 € (estimation Kreante)
Total estimé			104 000 à 146 000 €/an

Pour 10 avocats, l’enveloppe descend sous 50 000 €/an grâce au pack Barreau de Paris sur Jimini [source: https://www.transformations-droit.com/le-barreau-de-paris-et-jimini-annoncent-un-nouveau-partenariat-pour-favoriser-l]. Pour 50 avocats, elle dépasse 200 000 € avec les paliers d’usage.

Le ROI réglementaire

Le ROI réglementaire d’une stack IA souveraine est binaire : une seule sanction CNIL ou disciplinaire annule cinq années d’économies.

Le ROI direct (temps gagné par avocat) est documenté à l’échelle du marché, mais variable selon les usages. Pour un cabinet de taille moyenne, l’exposition cumulée RGPD + AI Act + secret professionnel dépasse 55 millions € en plafond théorique [source: https://itlaw.fr/ai-act-le-calendrier-dapplication-decrypte/].

Calendrier de déploiement, étape par étape

Le calendrier de déploiement standard d’une stack IA cabinet s’étale sur 90 jours en trois étapes ordonnées.

Étape 1 (jours 1 à 30) : audit et signatures. Cartographier les flux IA actuels (Excel ligne par ligne). Signer DPA avec Doctrine, Jimini AI, Lexbase. Sélectionner OVHcloud ou Scaleway pour Mistral et n8n. Annoncer la démarche à l’assemblée générale du cabinet.

Étape 2 (jours 31 à 60) : déploiement technique. Provisionner les comptes Doctrine, Jimini, Lexbase. Installer n8n sur OVHcloud. Activer Mistral en API ou en self-hosted. Construire les 3 à 5 flux n8n prioritaires (réception courrier, archivage, veille).

Étape 3 (jours 61 à 90) : adoption et journalisation. Former par groupes de 5 avocats, par usage. Mettre à jour la lettre de mission type avec mention IA. Activer la journalisation des accès. Désactiver les comptes ChatGPT individuels non gouvernés [source: https://www.septeo.com/fr/articles/avocat-souverainete-donnees].

Check-list de conformité : ce qu’il faut signer, héberger, journaliser

La check-list de conformité IA cabinet 2026 tient en trois blocs : signatures contractuelles, hébergement souverain, journalisation des accès.

Si une ligne n’est pas cochée, la brique correspondante reste en risque.

À signer

DPA conforme RGPD avec chaque éditeur (Doctrine, Jimini AI, Lexbase).
Clause d’exclusion explicite de transfert hors UE quand le fournisseur l’accepte.
Lettre de mission cabinet mise à jour avec mention IA et information client (obligation CNB) [source: https://cnb.avocat.fr/actualite/le-cnb-adopte-un-guide-sur-la-deontologie-et-l-intelligence-artificielle].
Politique cabinet signée par chaque collaborateur sur les usages autorisés.

À héberger en propre ou chez fournisseur UE

n8n sur OVHcloud ou Scaleway, jamais sur AWS, GCP ou Azure US.
Mistral AI en API France ou self-hosted, avec clés de chiffrement gérées cabinet.
Sauvegardes DMS et backups n8n sur infrastructure UE.

À journaliser

Tous les accès Jimini AI et Mistral (qui, quand, sur quel dossier).
Toutes les requêtes Doctrine et Lexbase Intelligence pour audit interne.
Les exceptions à la politique (avec autorisation associée nominative).

D’après une enquête Septeo, 70% des avocats se déclarent directement concernés par la sécurité de leurs données sensibles [source: https://www.septeo.com/fr/articles/avocat-souverainete-donnees] (chiffre publié par l’éditeur sans méthodologie d’échantillonnage détaillée, à interpréter comme un indicateur de marché). C’est rarement la prise de conscience qui manque, c’est la traduction en check-list.

Pour aller plus loin

Pour un panorama plus large des choix d’infrastructure souveraine, lire notre guide IA souveraine PME France, complété par notre dossier sur la souveraineté numérique et le cloud européen. Pour la check-list spécifique au secret professionnel, voir Secret professionnel et IA : la check-list. Pour le calendrier complet AI Act, AI Act 2026 : obligations PME.

Si la mise en œuvre interne semble lourde et que vous voulez un avis externe sur votre stack actuelle, prenez 30 minutes avec l’équipe Kreante. On regarde votre carte des flux, on identifie les briques à risque Cloud Act, et on vous renvoie un plan de conformité chiffré sous 7 jours. Sans engagement.

IA cabinet d'avocat, RGPD et Cloud Act : 5 outils pour 2026