ChatGPT et secret professionnel : ce qu’un expert-comptable risque vraiment

Deux obligations, pas une

Le RGPD encadre le traitement des données personnelles : sur quelle base, pour quelle finalité, avec quels sous-traitants, pendant combien de temps. Le secret professionnel, lui, interdit la révélation d’une information confidentielle à un tiers, indépendamment de tout traitement de données. Les deux se superposent sans se recouvrir.

La conséquence est contre-intuitive et c’est elle qui piège : un traitement peut être parfaitement conforme au RGPD (base légale valide, sous-traitant sous contrat, durée définie) et constituer malgré tout une révélation à un tiers. Le règlement organise la circulation de la donnée ; le secret professionnel l’interdit.

Un cabinet porte en outre une double qualification au regard du RGPD. Il est responsable de traitement pour ses propres données, et sous-traitant au sens de l’article 28 pour celles que ses clients lui confient. Cette seconde casquette impose de ne pas ajouter un sous-traitant ultérieur sans autorisation, ce qui vise directement l’introduction d’un service d’IA dans la chaîne.

Ce que « déposer un dossier dans ChatGPT » veut dire juridiquement

Coller le contenu d’un dossier dans un assistant en ligne transmet cette information à l’éditeur du service. Peu importe que la conversation soit privée, que l’historique soit désactivé ou que l’offre soit professionnelle : l’information a quitté le cabinet et se trouve chez un tiers qui n’est pas soumis au même secret.

Les offres entreprise des éditeurs prévoient en général de ne pas réutiliser les données pour entraîner leurs modèles. C’est une garantie utile, et ce n’est pas la même chose qu’une absence de transmission. Un engagement de non-réutilisation porte sur ce que le tiers fait de l’information, pas sur le fait qu’il l’a reçue.

La question à poser au moment de choisir n’est donc pas « est-ce que mes données servent à l’entraînement », qui est la question que l’argumentaire commercial vous invite à poser. C’est « est-ce que mes données sortent », qui appelle une réponse binaire et vérifiable au contrat.

Où se situe réellement la ligne

Tout usage n’est pas égal. Faire reformuler une note que vous avez écrite, expliquer un mécanisme général, préparer un courrier type : rien de tout cela ne suppose de transmettre une information couverte. Ces usages sont ceux qu’une formation apprend, et ils sont légitimes.

La ligne se franchit dès que l’information transmise permet d’identifier un client ou de reconstituer sa situation. Un montant isolé ne dit rien ; le même montant avec la nature de l’opération, la période et le secteur peut désigner une entreprise sans jamais la nommer.

L’anonymisation est une réponse partielle et il faut le dire. Retirer un nom ne suffit pas quand la combinaison des éléments restants reste identifiante, ce que le droit des données personnelles nomme depuis longtemps le risque de réidentification.

Ce que change l’endroit où le traitement s’exécute

Un système qui s’exécute sur les machines du cabinet ne transmet rien. La question du secret professionnel ne se pose alors pas différemment de celle d’un tableur : l’information ne quitte pas le périmètre où elle est légitimement détenue.

Ce n’est pas un argument de vente, c’est une conséquence d’architecture. C’est aussi la raison pour laquelle ce point se cadre avant la construction et jamais après : il détermine ce qui est possible, pas la façon de le présenter.

Le corollaire honnête : un système local ne dispense d’aucune autre obligation. Il faut toujours un registre à jour, une durée de conservation, une information des personnes. Il retire une question, celle du tiers, il ne retire pas le sujet.