Quand le FBI a saisi les appareils de Bradley Heppner, dirigeant d’entreprise poursuivi pour fraude sur titres, les agents y ont trouvé trente et un documents d’un genre nouveau. Ce n’étaient ni des courriels, ni des notes, ni des échanges avec son avocat. C’étaient ses conversations avec une plateforme d’intelligence artificielle grand public, dans lesquelles il avait exposé sa stratégie de défense, envisagé les arguments de fait et de droit qu’il pourrait opposer, et anticipé ce que le parquet allait retenir contre lui. Il avait tenu ces échanges après avoir reçu une citation à comparaître devant le grand jury, et sans que son conseil le lui ait demandé.
Le 10 février 2026, le juge Jed Rakoff, du tribunal fédéral du district sud de New York, a jugé que ces documents n’étaient couverts par aucune protection.
Le même jour, à huit cents kilomètres de là, un autre tribunal fédéral a jugé l’inverse.
Deux décisions, deux doctrines, un seul geste
Dans Warner v. Gilbarco , le tribunal fédéral du district est du Michigan a refusé de contraindre une plaignante non assistée d’un avocat à produire les traces de son usage d’outils d’IA générative dans la préparation de son dossier. Le raisonnement tient en une formule : les plateformes d’IA sont des outils, pas des personnes. Soumettre un document à un outil ne revient pas à le divulguer à son adversaire. La protection du travail préparatoire, ce que le droit américain appelle le work product, a donc survécu.
Dans United States v. Heppner , dont la motivation écrite a été publiée le 17 février, le tribunal new-yorkais a conclu que les échanges du prévenu avec la plateforme n’étaient couverts ni par le secret professionnel de l’avocat, ni par la protection du travail préparatoire. La juridiction s’est appuyée sur les conditions générales de la plateforme, qui indiquent que les entrées et les sorties peuvent être conservées, utilisées pour l’entraînement et communiquées à des tiers, y compris à des autorités publiques. Un utilisateur informé de cela ne pouvait raisonnablement s’attendre à la confidentialité.
Les deux résultats se défendent parfaitement. Le secret de l’avocat tombe dès qu’il y a divulgation à un tiers, quel qu’il soit. La protection du travail préparatoire ne tombe qu’en cas de divulgation à l’adversaire. Deux doctrines distinctes, un même geste, deux issues opposées.
Ce qu’aucune des deux décisions n’examine, c’est l’hypothèse qu’elles partagent. Et c’est cette hypothèse qui ne résiste pas à la confrontation avec le reste du droit.
La comparaison que personne ne fait
Confier des dossiers clients à un hébergeur n’a jamais été traité, en soi, comme une renonciation au secret.
L’hébergeur est pourtant un tiers, sans discussion possible. Il détient les documents sur son propre matériel. Il peut être contraint de les produire, et il l’a été dans plusieurs juridictions. Aucun barreau, aucune juridiction, aucun régulateur professionnel n’en a pourtant déduit que recourir à un service d’hébergement détruit le secret par principe.
La ligne de partage n’a donc jamais été la simple présence d’un intermédiaire technique. Il y en a toujours un. La poste transporte la lettre. Le coursier détient le dossier. L’opérateur achemine l’appel. Chacun est un tiers au sens littéral, et aucun ne fait tomber le secret par sa seule existence.
Ce qui distinguait l’hébergeur était plus étroit et plus précis que ce que la jurisprudence énonce d’ordinaire. Il stockait sans lire. Il ne pouvait rien déduire du contenu. Il n’avait aucune capacité de savoir ce qu’il détenait.
Ce qui protégeait l’hébergeur n’était pas son statut juridique de tiers, c’était son incapacité technique à savoir ce qu’il détenait.
Ce critère fonctionne en silence depuis deux décennies. Personne n’a eu besoin de l’écrire, parce qu’aucun intermédiaire ne l’avait encore mis en défaut.
Ce que les juges décident réellement
Une fois le critère énoncé, les décisions de février changent de nature.
Un tribunal qui traite la soumission d’un document à une IA générative comme une divulgation à un tiers n’applique pas une vieille règle à des faits nouveaux. Il constate que cet intermédiaire précis n’est pas comme les autres. Qu’il traite au lieu de stocker. Qu’il se produit à l’intérieur quelque chose qui ne se produit pas à l’intérieur d’un disque dur.
Le tribunal fédéral du Kansas a formulé la dimension pratique sans détour dans Jefferies v. Harcros Chemicals , le 25 mars 2026. Il a étendu l’ordonnance de protection à l’ensemble des pièces de la procédure, y compris celles qui ne sont pas confidentielles, au motif qu’il est pratiquement impossible de récupérer une donnée une fois qu’elle a été soumise à un outil d’IA ouvert, parce qu’elle a servi à entraîner le modèle. La rétention n’est pas une politique commerciale renégociable. C’est une propriété du fonctionnement du système.
Mises bout à bout, ces décisions reviennent à reconnaître, dans le vocabulaire du droit de la preuve, une capacité que le droit n’a jamais eu à attribuer à un serveur.
La position française, et ce que ses critères supposent
L’énoncé le plus net ne vient pas d’un tribunal mais de la régulation professionnelle.
Le Conseil national des barreaux a publié en septembre 2024 son premier guide pratique sur l’IA générative, puis adopté le 17 mars 2026 un guide sur la déontologie et l’intelligence artificielle . Le premier est catégorique sur le point central : l’avocat ne doit pas communiquer à un système d’IA générative des données couvertes par le secret professionnel, et cela vaut pour le nom du client comme pour toute information stratégique ou confidentielle. L’alternative recommandée est le travail sur des jeux de données pseudonymisées, dans lesquelles les éléments identifiants ont été remplacés.
Le commentaire praticien de la position française, notamment le guide comparatif de Baker McKenzie sur le secret professionnel , en tire quatre conditions cumulatives. Le secret survit à l’usage d’un outil d’IA générative uniquement si la plateforme préserve une confidentialité complète, sans réutilisation, entraînement ni accès de tiers ; si elle est exploitée exclusivement sous le contrôle de l’avocat ou du cabinet ; si elle sert une finalité juridique relevant de la mission de conseil ou de défense ; et si le résultat reflète le raisonnement propre de l’avocat plutôt que le traitement autonome du système.
Cette dernière condition mérite qu’on s’y arrête.
Pour que le secret tienne, il faut que le système n’ait pas apporté de traitement qui lui soit propre.
Un critère rédigé dans ces termes n’a de sens que si l’on tient le système pour capable d’apporter un traitement qui lui soit propre. Personne n’écrit une règle exigeant qu’une armoire à dossiers n’ait pas raisonné sur les pièces qu’elle contient. La condition existe parce qu’elle vise quelque chose qu’une armoire ne peut pas faire.
La même reconnaissance implicite se loge dans la recommandation de pseudonymisation. Remplacer les éléments identifiants avant transmission n’est nécessaire que si l’on suppose que le système pourrait sinon les relier, les conserver ou en déduire quelque chose. Un support de pur stockage n’appellerait aucune précaution de ce genre.
Ne pas vouloir lire, ne pas pouvoir lire
Une objection vient immédiatement : l’hébergeur aussi peut être contraint de produire, alors pourquoi un intermédiaire fait-il tomber le secret et pas l’autre ?
La réponse se trouve dans le Code de déontologie modèle du CCBE , et elle est plus précise que l’objection ne le suppose. L’avocat européen doit exiger de ses collaborateurs, de son personnel et de toute personne à laquelle il fait appel dans la fourniture de ses services qu’ils observent la même obligation de confidentialité. L’obligation se propage le long de la chaîne.
Un hébergeur peut être intégré à cette chaîne. Il signe un contrat de sous-traitance. Il accepte des engagements de confidentialité. Il peut être audité, et il peut être poursuivi en cas de manquement. Le tiers est tenu.
Une plateforme d’IA générative qui conserve et entraîne sur les contenus soumis ne peut pas être intégrée à la chaîne de la même façon, parce que ce qu’il faudrait empêcher n’est pas un comportement mais une architecture. Un engagement de ne pas entraîner sur les données d’entrée est une promesse portant sur une intention. Elle est opposable au fournisseur, mais elle ne modifie pas ce que le système est construit pour faire, et elle n’est pas vérifiable de l’extérieur.
C’est toute la distance entre un prestataire qui ne veut pas lire et un prestataire qui ne peut pas lire. Seul le second survit à un changement d’actionnaire, à une révision des conditions générales ou à une injonction judiciaire. Nous avons examiné exactement ce mécanisme à propos du conflit entre Data Act et CLOUD Act : une garantie juridique ne vaut jamais plus que la juridiction qui l’accueille, alors qu’une impossibilité technique ne dépend d’aucune.
L’asymétrie
C’est ici que l’analyse arrive quelque part d’inconfortable.
Le même ordre juridique qui accepte de reconnaître une capacité de traitement lorsque la question est celle de la renonciation au secret refuse de reconnaître quoi que ce soit lorsque la question est celle de la responsabilité.
La personnalité électronique avait été proposée par le Parlement européen dans sa résolution du 16 février 2017 sur des règles de droit civil sur la robotique , au paragraphe 59, point f. Le texte suggérait que les robots autonomes les plus sophistiqués puissent à terme se voir reconnaître un statut leur permettant d’être tenus responsables des dommages qu’ils causent. La proposition a été abandonnée après qu’une lettre ouverte signée par plusieurs centaines d’experts s’y est opposée. Leur objection principale était solide : accorder la personnalité à des machines créerait un véhicule permettant aux fabricants de se décharger d’une responsabilité qui leur revient.
La position s’est donc stabilisée. Un système autonome qui cause un dommage est un produit, un outil, l’instrument de celui qui l’a déployé. Il n’a pas de personnalité juridique. La responsabilité retombe sur un acteur humain ou sur une personne morale, et il le faut bien, puisqu’il n’existe nulle part ailleurs où la faire retomber.
Les deux propositions fonctionnent aujourd’hui en même temps.
Soit le système est capable de recevoir une communication au sens juridique du terme, et sa capacité est alors reconnue pour priver un client de sa protection tout en étant niée pour épargner à quiconque la charge d’une responsabilité. Soit c’est un outil, et lui soumettre un document n’est pas plus une divulgation que l’enregistrement d’un fichier sur un disque, auquel cas le raisonnement de février s’effondre.
Le contexte européen accentue le déséquilibre plutôt qu’il ne le corrige. La directive sur la responsabilité en matière d’IA, annoncée comme retirée dès le programme de travail de la Commission de février 2025, a été officiellement abandonnée en octobre 2025 . C’était l’instrument censé traiter précisément cette difficulté. Il reste la directive révisée sur la responsabilité du fait des produits défectueux , qui inclut désormais les logiciels et les systèmes d’IA, mais qui exige un défaut, un dommage et un lien de causalité, et qui protège les personnes physiques contre les atteintes corporelles, les dommages matériels et la destruction de données. Sa transposition n’est due que le 9 décembre 2026, et elle ne s’appliquera qu’aux produits mis sur le marché après cette date.
L’objection prévisible, et la réponse
Un lecteur attentif répondra que le droit reconnaît couramment une capacité pour un objet et pas pour un autre, sans que cela constitue une incohérence. Un animal peut causer un dommage juridiquement pertinent sans avoir la personnalité. Une société commerciale a la personnalité pour contracter, et pas pour toutes les finalités dans tous les ordres juridiques. Reconnaître une capacité de traitement à des fins probatoires n’oblige donc personne à reconnaître une personnalité à des fins de responsabilité. Questions différentes, réponses différentes.
L’objection est sérieuse, et elle serait décisive si l’asymétrie jouait dans les deux sens.
Elle ne joue que dans un seul. Là où la capacité du système est retenue, le coût est supporté par le client dont la protection disparaît. Là où cette même capacité aurait servi à répartir la responsabilité, elle devient introuvable. Le résultat tombe toujours du même côté.
Une asymétrie qui favorise systématiquement la même partie n’est pas une distinction doctrinale. C’est une répartition du risque, et elle devrait être discutée comme telle.
Ce que cela implique concrètement
Rien de tout cela ne suggère que les professions juridiques devraient renoncer à ces outils. Les textes professionnels européens ne le disent pas davantage, et le CCBE a publié son propre guide sur le sujet.
Ce que cela suggère, c’est que la question décisive n’est pas de savoir quel outil un cabinet choisit, mais ce que cet outil retient, et si la réponse relève d’une politique ou d’une propriété de conception. Un engagement de ne pas conserver peut être retiré, réinterprété ou écarté par une décision de justice. Une architecture qui ne conserve pas ne le peut pas, parce qu’il n’y a rien à produire.
Les documents de référence pour qui veut instruire la question :
- Le guide du CCBE sur l’usage de l’IA générative par les avocats , publié le 2 octobre 2025, complété par un guide technique en mars 2026
- Le guide déontologique du Conseil national des barreaux du 17 mars 2026, qui applique les principes classiques du secret et de l’indépendance sans créer de droit spécial de l’IA
- Le guide comparatif de Baker McKenzie , utile pour mesurer l’écart entre les régimes nationaux
L’angle que suit Arpokrat
Ce raisonnement dépasse largement les cabinets d’avocats. Il vaut pour toute relation où quelqu’un confie à un système une information qu’il ne veut pas voir ressortir, et il se ramène à une seule question : la garantie repose-t-elle sur une promesse ou sur une impossibilité ?
C’est le principe qui gouverne la conception d’Arpokrat Messenger . L’identité y est générée localement à partir de clés cryptographiques, sans numéro de téléphone ni adresse de courriel, et les clés privées ne quittent jamais l’appareil. Ce choix ne consiste pas à s’engager à ne pas exploiter un annuaire d’utilisateurs. Il consiste à ne pas en constituer un. Une réquisition adressée à une infrastructure qui ne détient pas l’information ne produit pas un refus, elle produit un vide.
La nuance mérite d’être posée honnêtement, parce qu’elle décide de tout. Une politique de confidentialité, même sincère et même bien rédigée, est une déclaration d’intention adossée à une entreprise, à ses actionnaires du moment et à la juridiction où elle est établie. Ces trois éléments changent. Une architecture qui ne collecte pas ne change pas parce qu’un conseil d’administration change. C’est le même déplacement que celui que nous décrivions à propos de la collecte aujourd’hui pour un déchiffrement plus tard : le risque ne se situe pas au moment où l’on promet, il se situe au moment où quelqu’un d’autre décide.
Le droit met du temps à intégrer cette distinction, et le débat sur le secret professionnel en donne une bonne mesure. Il en va de même de la protection de la localisation , où l’essentiel de la construction juridique porte sur l’accès à des données dont l’existence n’est jamais interrogée.
Conclusion
La jurisprudence finira par se stabiliser. Les cours d’appel trancheront la divergence, les régulateurs publieront des critères, les cabinets ajusteront leurs lettres de mission et leurs clauses. Rien de tout cela n’est douteux.
Mais la question de fond ne sera pas réglée par là, parce qu’elle ne porte pas vraiment sur le secret professionnel. Elle porte sur la possibilité, pour un ordre juridique, de reconnaître qu’une chose sait, sans jamais avoir à dire qui répond de ce qu’elle fait de ce savoir.
Tant que cette question reste ouverte, la seule variable qu’un utilisateur maîtrise réellement n’est pas la qualité des engagements qu’on lui donne. C’est la quantité d’information qu’il laisse exister.
Cet article propose une analyse juridique générale destinée à la discussion. Il ne constitue pas une consultation ni un conseil juridique.
Sources
- United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 février 2026, analyse Proskauer
- United States District Court for the Southern District of New York, United States v. Heppner , 10 février 2026, motivation écrite du 17 février 2026
- United States District Court for the District of Kansas, Jefferies et al. v. Harcros Chemicals Inc. et al. , n° 2:25-cv-02352, 25 mars 2026
- Conseil national des barreaux, Le CNB adopte un guide sur la déontologie et l’intelligence artificielle , 17 mars 2026
- Baker McKenzie, Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
- CCBE, Model Code of Conduct for European Lawyers , 8 octobre 2021
- CCBE, Guide on the use of generative AI by lawyers , 2 octobre 2025
- Parlement européen, Résolution du 16 février 2017 contenant des recommandations à la Commission concernant des règles de droit civil sur la robotique , 2015/2103(INL)
- Open Letter to the European Commission on Artificial Intelligence and Robotics
- EAPIL, European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive , 9 octobre 2025
- Directive (UE) 2024/2853 du 23 octobre 2024 relative à la responsabilité du fait des produits défectueux