AI Act : ce que les dirigeants de cabinets d’avocats doivent faire depuis le 2 août 2026

Le règlement (UE) 2024/1689 du Parlement européen et du Conseil, dit AI Act, s’applique progressivement depuis son adoption. Une phase décisive a pris effet le 2 août 2026 : les obligations de transparence pesant sur les opérateurs de systèmes d’intelligence artificielle à usage général sont désormais actives, tout comme le régime de sanctions en cas de manquement.

Les chiffres méritent attention. Selon une tribune publiée le 31 juillet 2026 dans Le Figaro par Alexandre Lazarègue, avocat spécialiste du numérique, les sanctions prévues par le règlement atteignent jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial annuel en cas de non-respect des obligations de transparence. Pour une pratique interdite, le plafond monte à 35 millions d’euros ou 7 % du chiffre d’affaires. Le volet consacré aux systèmes à haut risque, lui, ne s’appliquera qu’à partir du 2 décembre 2027.

Pour les cabinets d’avocats, la situation est particulière. Ils accompagnent leurs clients dans leur propre mise en conformité avec le règlement, mais ils deviennent simultanément des opérateurs soumis à ce même cadre dès lors qu’ils intègrent des systèmes d’IA dans leur organisation. Recherche documentaire automatisée, rédaction assistée d’actes, gestion des dossiers clients, agents autonomes traitant des courriels ou produisant des comptes-rendus : chacun de ces usages peut relever du règlement et engager la responsabilité du dirigeant.

Quatre questions pour cartographier les usages d’IA du cabinet

Alexandre Lazarègue propose dans sa tribune une démarche articulée autour de quatre interrogations que tout dirigeant de structure devrait pouvoir renseigner depuis le 2 août 2026 : où l’IA est-elle utilisée dans la structure ? Quelles données lui sont confiées ? Quelles décisions influence-t-elle ? Qui en assure la supervision ?

Transposées dans un cabinet d’avocats, ces questions révèlent souvent une réalité plus fragmentée qu’anticipée. Les outils de recherche documentaire augmentée, les plateformes de legaltech intégrant des fonctions de résumé ou d’analyse de contrats, les assistants de rédaction en langage naturel, les logiciels de gestion de la relation client et les agents autonomes capables de planifier des tâches ou de traiter des courriels : chacun de ces systèmes doit être qualifié au regard du règlement, avec un profil de risque propre.

Cette cartographie n’est pas un exercice formel. Elle permet d’identifier si certains outils entrent dans la catégorie des pratiques potentiellement interdites par le règlement, si d’autres relèvent des systèmes à usage général soumis aux obligations de transparence activées en août, ou si d’autres encore constituent des systèmes à haut risque dont les règles d’utilisation seront précisées à compter de décembre 2027. Pour chaque outil recensé, il convient de vérifier que le fournisseur respecte lui-même ses obligations de documentation et de transparence vis-à-vis des autorités compétentes.

Un point souvent sous-estimé : les agents d’IA connectés à Internet ou capables d’exécuter des actions autonomes, comme l’envoi de courriels ou la rédaction de conclusions à partir de trames, posent des questions spécifiques sur la nature des décisions qu’ils influencent réellement dans le traitement des dossiers. Leur qualification au regard du règlement ne va pas de soi.

Secret professionnel et contrôle humain : les exigences déontologiques qui vont plus loin que le règlement

Les obligations de l’AI Act ne se superposent pas aux règles déontologiques propres à la profession : elles s’y ajoutent. En juillet 2026, le Conseil de l’Ordre du barreau de Paris a adopté une charte d’utilisation de l’intelligence artificielle dans le cadre de sa stratégie de souveraineté numérique, intitulée « Vers un barreau souverain ». Ce texte pose des exigences que le règlement européen ne couvre pas directement.

Le secret professionnel de l’avocat est absolu. Aucun outil d’IA ne saurait y déroger par défaut d’hébergement ou de conditions contractuelles insuffisantes. La charte du barreau de Paris interdit de transmettre des données confidentielles à des systèmes dont les conditions d’utilisation ne garantissent pas la confidentialité ou qui réutilisent les données soumises à des fins d’amélioration du modèle. Cette exigence s’applique aux outils d’IA générative en version grand public, aux offres d’abonnement dont les clauses de traitement des données n’ont pas été vérifiées, et à tout service hébergé hors de l’Union européenne sans garantie contractuelle adaptée.

La charte pose également l’exigence d’un contrôle humain à chaque étape de la production. Un acte rédigé avec l’aide d’un outil d’IA doit être relu, corrigé et validé par l’avocat qui le signe. La responsabilité personnelle de l’avocat sur ses travaux ne peut être transférée à un algorithme. En pratique, cela interdit de transmettre au client ou au tribunal un document produit par IA sans intervention critique du professionnel.

Gouvernance interne de l’IA : les mesures concrètes à mettre en place

La responsabilité des dirigeants, activée par l’AI Act depuis le 2 août 2026, appelle des mesures d’organisation précises. Plusieurs étapes structurent cette mise en conformité, sans qu’il soit nécessaire de disposer d’un service informatique étoffé pour les engager.

Désigner un référent interne chargé du suivi des usages d’IA est la première priorité. Ce référent tient à jour la cartographie des outils, vérifie la conformité des fournisseurs et signale à la direction tout déploiement d’un nouveau système ou toute modification des conditions d’utilisation d’un outil existant. Dans les cabinets disposant déjà d’un délégué à la protection des données, ce rôle peut être coordonné avec lui pour éviter les doublons.

La formalisation de règles internes constitue la deuxième étape. Ces règles précisent quels outils sont autorisés, pour quelles catégories de tâches, selon quelles procédures de contrôle humain et avec quelles restrictions de confidentialité. Elles prévoient également les conditions dans lesquelles un outil peut être mis à l’essai avant d’être généralisé à l’ensemble du cabinet.

Former les équipes est une exigence à ne pas différer. Collaborateurs et associés doivent comprendre pourquoi les sorties d’un outil d’IA peuvent être inexactes, dans quelles conditions les données soumises sont susceptibles d’être réutilisées par le fournisseur, et pourquoi la responsabilité professionnelle reste entière en toute hypothèse. Cette formation s’appuie sur des situations concrètes tirées des dossiers traités, et non sur une présentation générique.

Enfin, la révision des contrats avec les fournisseurs de solutions d’IA doit être planifiée. Les clauses relatives à l’hébergement des données, à leur réutilisation à des fins d’entraînement du modèle, aux garanties de continuité de service et aux conditions de résiliation en cas de non-conformité méritent un examen systématique, avec l’appui d’un conseil spécialisé si nécessaire.

Obligations clés pour les cabinets d’avocats depuis le 2 août 2026

Depuis le 2 août 2026, les dirigeants de cabinets d’avocats sont juridiquement responsables des usages d’intelligence artificielle déployés dans leur structure, sous peine de sanctions pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial, selon la tribune d’Alexandre Lazarègue publiée dans Le Figaro le 31 juillet 2026.

La mise en conformité avec l’AI Act commence par une cartographie précise des outils utilisés, des données qui leur sont confiées et des décisions qu’ils influencent. Cette étape précède toute réflexion sur la gouvernance interne ou la renégociation des contrats de prestataires.

Les obligations du règlement européen s’ajoutent aux exigences déontologiques de la profession : le secret professionnel reste absolu, le contrôle humain sur les travaux produits avec l’aide de l’IA est impératif, et la responsabilité personnelle de l’avocat ne saurait être transférée à un algorithme.