L'intelligence artificielle générative promet de transformer le métier d'expert-comptable en automatisant des tâches, en analysant des documents et en fournissant des synthèses. Cependant, cette technologie soulève une question fondamentale : comment l'utiliser sans compromettre le secret professionnel et la confidentialité des données clients ? L'enjeu est de taille, car la transmission d'informations sensibles à des outils externes peut constituer une violation des obligations déontologiques. Il est possible de tirer parti de l'IA en adoptant un cadre d'usage rigoureux, centré sur la maîtrise de la donnée et la validation humaine.
Commencer par la donnée, pas par le prompt
Avant même de réfléchir à la formulation d'une requête (un « prompt ») pour une intelligence artificielle, la première étape consiste à classifier les informations que le cabinet détient. L'erreur serait de considérer tous les documents comme un bloc unique à analyser. Une approche structurée impose de distinguer les données en fonction de leur sensibilité.
Cette cartographie doit permettre d'identifier clairement :
- Les données hautement confidentielles : bilans non publiés, stratégies financières des clients, données personnelles des salariés, informations couvertes par le secret des affaires.
- Les données opérationnelles internes : procédures comptables génériques, modèles de documents anonymisés, notes de veille réglementaire.
- Les données publiques ou non sensibles : informations sectorielles, textes de loi, jurisprudence.
Cette classification est le socle de toute utilisation sécurisée. Elle permet de définir des périmètres étanches et d'éviter qu'une information critique ne soit exposée par inadvertance. Il est également essentiel de se méfier des fausses garanties de sécurité. Par exemple, la pseudonymisation, qui consiste à remplacer des données identifiantes par des alias, ne suffit pas toujours à rendre une donnée anonyme. Si le croisement de plusieurs informations permet de remonter à une personne ou une entreprise, la donnée n'est pas anonyme et reste soumise aux mêmes contraintes de confidentialité, comme le rappelle le règlement européen sur l'IA .
Établir une zone rouge et une zone d'essai
Une fois les données classifiées, il est indispensable de formaliser les règles d'usage dans un document interne, tel qu'une charte d'utilisation de l'IA. Ce document doit être clair, accessible à tous les collaborateurs et définir précisément les frontières à ne pas franchir.
Selon les recommandations des autorités, une charte efficace doit distinguer les usages autorisés, les données formellement interdites, les outils approuvés par le cabinet et le niveau de contrôle humain attendu pour chaque cas d'usage. Un guide pratique publié par France Num à destination des cabinets d'expertise comptable insiste sur la primauté de la sécurité des données et de la conformité réglementaire.
Concrètement, la charte peut définir deux zones :
- La zone rouge : Elle liste les données qui ne doivent jamais être soumises à une IA externe, en particulier les services grand public. Cela inclut toute information permettant d'identifier un client, ses données financières, ses stratégies ou ses litiges. L'interdiction doit être absolue.
- La zone d'essai contrôlée : Elle définit les conditions dans lesquelles l'IA peut être utilisée. Par exemple, pour améliorer une note de synthèse sur une nouvelle norme fiscale en utilisant uniquement des textes publics, ou pour générer des modèles de courriels à partir d'instructions anonymisées. Cette zone doit spécifier les outils validés par le cabinet et les procédures de vérification.
Choisir le déploiement et les garanties
Le niveau de risque dépend directement du type d'outil utilisé. Les solutions d'IA générative se déclinent en plusieurs modes de déploiement, avec des garanties de confidentialité très variables.
Les services grand public, souvent accessibles gratuitement ou par un abonnement simple, présentent le plus de risques. La Commission Nationale de l'Informatique et des Libertés (CNIL) déconseille formellement de leur transmettre des informations confidentielles , qu'elles soient personnelles ou couvertes par une obligation professionnelle. Les conditions d'utilisation de ces services prévoient fréquemment que les données soumises peuvent être réutilisées pour entraîner et améliorer le modèle d'IA, ce qui est incompatible avec le secret professionnel.
Pour un usage sur des données sensibles, il est impératif d'examiner en détail les garanties offertes par le fournisseur de la solution d'IA. Les points critiques à vérifier sont :
- La politique de réutilisation des données : Le contrat doit garantir que les requêtes et les documents soumis ne seront pas utilisés à d'autres fins que la fourniture du service.
- La localisation des données : Où les informations sont-elles traitées et stockées ? Un hébergement en Europe offre des garanties supérieures en matière de protection des données.
- La gestion des accès et la sécurité : Quelles sont les mesures techniques mises en place pour empêcher les accès non autorisés et garantir l'étanchéité entre les données des différents clients ?
- Les engagements contractuels : Le fournisseur s'engage-t-il sur sa responsabilité en cas de fuite de données ?
Des solutions professionnelles ou des déploiements privés (sur les serveurs du cabinet ou un cloud dédié) offrent un contrôle bien plus important, mais impliquent un coût et une complexité technique supérieurs.
Tracer la validation humaine
L'intelligence artificielle reste un outil d'assistance. Quelle que soit la performance du modèle, le professionnel du chiffre conserve l'entière responsabilité des analyses, des conseils et des documents qu'il produit. Le recours à l'IA ne dilue en rien cette responsabilité.
Par conséquent, un contrôle humain systématique et traçable est la dernière clé d'un usage maîtrisé. Chaque résultat produit par une IA doit être considéré comme une proposition, et non comme une vérité définitive. Le collaborateur qui utilise l'outil doit être en mesure de vérifier la sortie, de la corriger, voire de la rejeter complètement si elle s'avère inexacte, inappropriée ou non conforme à la déontologie.
Cette supervision humaine doit être active et documentée. Il est recommandé de conserver une trace du processus de validation : qui a vérifié l'information, quelles modifications ont été apportées et pourquoi la décision finale a été prise. Cette traçabilité est essentielle pour justifier les choix du cabinet en cas de contrôle ou de litige, et pour s'assurer que le jugement professionnel reste au cœur de la mission.
Commentaires
No comments yet