Que disent les textes sur le secret professionnel de l’expert-comptable ?
Quatre textes structurent la question. Aucun ne parle d’IA, mais tous s’appliquent à ce que vous confiez à un outil.
| Texte | Ce qu’il prévoit |
|---|---|
| Ordonnance n° 45-2138 du 19 septembre 1945, article 21 | Sous réserve d’une disposition législative contraire, les experts-comptables, les experts-comptables stagiaires et certains salariés qu’elle énumère sont tenus au secret professionnel, dans les conditions et sous les peines de l’article 226-13 du Code pénal. |
| Code pénal, article 226-13 | La révélation d’une information à caractère secret par la personne qui en est dépositaire est punie d’un an d’emprisonnement et de 15 000 euros d’amende. |
| Décret n° 2012-432 du 30 mars 2012, article 147 | Ce texte du code de déontologie ajoute, sans préjudice du secret, un devoir de discrétion sur les informations connues dans l’exercice de l’activité. |
| Cour de cassation, 1re chambre civile, 10 septembre 2015, n° 14-22.699 | Quel que soit l’objet de sa mission, l’expert-comptable est tenu au secret sur les faits qu’il n’a pu connaître qu’en raison de sa profession. |
Retenez la portée de l’arrêt de 2015. Le secret ne dépend pas du contenu de l’information. Il couvre tout ce que vous apprenez parce que vous êtes l’expert-comptable du client.
Utiliser une IA générative, est-ce violer le secret professionnel ?
Je n’ai trouvé ni texte ni décision qui tranche cette question pour les experts-comptables. Je ne suis pas en mesure de vous donner un avis juridique sur votre cas.
Ce qui est sûr tient en deux points. Le secret couvre les données que vous chargez dans un outil. Le risque dépend de ce que l’éditeur fait de ces données : combien de temps il les garde, et s’il les réutilise.
Pour une réponse sur votre situation, l’interlocuteur est votre conseil régional de l’Ordre ou votre avocat.
Que recommande l’Ordre des experts-comptables ?
Le Conseil national de l’ordre des experts-comptables (CNOEC) a publié en 2024 une notice pour les cabinets, « Comment utiliser ChatGPT ? ». Elle accepte l’usage de l’IA générative et pose des précautions.
- Données : ne pas charger de données personnelles, sensibles ou confidentielles. La notice cite les mails clients, les FEC et les DSN non anonymisés dans des sites non maîtrisés, au nom du RGPD et du secret professionnel.
- Vérification : vérifier toujours les réponses, car l’IA peut se tromper ou inventer.
- Formation : se former, ainsi que ses équipes.
- Droits d’auteur : ne pas charger les contenus de l’Ordre réservés aux experts-comptables.
La notice propose aussi un modèle de charte d’utilisation en cabinet. Il demande notamment de ne partager aucune donnée personnelle avec l’IA générative. Il pose aussi que l’IA ne remplace pas la décision humaine.
Que demande le RGPD quand un outil d’IA traite les données de vos clients ?
Un grand livre ou une DSN contient des données personnelles. Le RGPD s’applique en plus du secret.
L’article 28 encadre le recours à un sous-traitant. Le cabinet ne peut faire appel qu’à des sous-traitants qui présentent des garanties suffisantes. Un contrat doit prévoir, entre autres :
- que le sous-traitant ne traite les données que sur instruction documentée du cabinet ;
- que les personnes autorisées à traiter les données sont tenues à la confidentialité ;
- qu’il prend les mesures de sécurité de l’article 32 ;
- qu’il supprime ou renvoie les données au terme de la prestation, au choix du cabinet.
L’article 32 impose des mesures techniques et organisationnelles adaptées au risque.
La CNIL a publié le 18/07/2024 des questions-réponses sur l’usage de l’IA générative. Elle recommande une charte qui liste les usages autorisés et interdits, ainsi que les catégories de données à ne pas fournir. Pour des documents sensibles, elle juge en général plus sûr de privilégier un déploiement sur site. Elle conseille d’associer le délégué à la protection des données et, le cas échéant, de mener une analyse d’impact.
Comment vérifier qu’un outil d’IA est compatible avec le secret ?
Posez ces questions à l’éditeur et cherchez la réponse dans sa documentation, pas dans sa publicité.
| Question | Ce que disent certains éditeurs |
|---|---|
| Mes données servent-elles à entraîner vos modèles ? | Microsoft : les prompts, les réponses et les données lues par Copilot ne servent pas à entraîner ses modèles de fondation. Anthropic : par défaut, les entrées et sorties de ses produits commerciaux ne servent pas à l’entraînement. |
| Et sur un compte personnel ? | Anthropic : sur les offres grand public (Free, Pro, Max), les conversations servent à l’entraînement si l’utilisateur l’autorise dans ses réglages. |
| Combien de temps gardez-vous les données ? | Anthropic : par défaut, les entrées et sorties de l’API sont supprimées de ses serveurs sous 30 jours, sauf exceptions listées. |
| Où les données sont-elles traitées ? | Microsoft : le trafic des utilisateurs de l’Union européenne reste dans l’EU Data Boundary, mais les modèles d’Anthropic proposés dans Copilot en sont pour l’instant exclus. |
| Qui voit quoi dans le cabinet ? | Microsoft : Copilot ne montre que les données qu’un utilisateur a au moins le droit de consulter. |
| Avez-vous un contrat de sous-traitance ? | À demander à chaque éditeur et à lire avant la signature. |
Ces réponses changent avec les versions des produits. Relisez la documentation à chaque renouvellement.
Quelle charte IA mettre en place dans un cabinet ?
- Lister les outils autorisés, tous sous compte professionnel. Interdire les comptes personnels pour le travail client.
- Classer les données par niveau de sensibilité, en séparant au moins ce qui est couvert par le secret. Écrire ce qui peut aller dans quel outil.
- Écrire la règle d’anonymisation pour les cas où des données clients sont nécessaires. Le secteur d’activité croisé avec la ville peut suffire à identifier une entreprise.
- Rendre la relecture obligatoire avant tout envoi à un client.
- Former les équipes avant l’accès aux outils.
- Désigner un référent qui répond aux questions et suit les incidents.
- Relire la charte à chaque nouvel outil ou nouvelle version des conditions de l’éditeur.
Le modèle de charte du CNOEC est un bon point de départ. Il est téléchargeable dans le dossier « Parlons data ! » du site privé de l’Ordre.
Ce que l’IA ne change pas
La responsabilité reste celle du professionnel. Un outil qui a mal traité une donnée ne vous décharge pas de votre secret.
La catégorisation d’un historique est le cas le plus fréquent où des données clients partent vers un outil. La méthode prudente est décrite dans l’article sur la façon de catégoriser un grand livre avec l’IA. Pour un DAF qui suit plusieurs entreprises, la séparation des dossiers est traitée dans l’article sur le DAF à temps partagé avec l’IA. La vue d’ensemble est dans l’article sur l’IA pour expert-comptable et DAF.
Ce site n’est pas un cabinet d’expertise comptable ni un cabinet d’avocats. Cet article présente des textes publics ; il ne constitue pas un conseil juridique.
Pour la vue d'ensemble, lisez le guide complet : IA pour expert-comptable et DAF : ce qui change dans la mission.
À lire ensuite
Questions fréquentes
Un expert-comptable a-t-il le droit d'utiliser ChatGPT ?
Le Conseil national de l'ordre encourage l'usage de l'IA générative, à condition de respecter le RGPD et le secret professionnel. Sa notice de 2024 déconseille de charger des mails clients, des FEC ou des DSN non anonymisés dans des sites non maîtrisés.
Quelle sanction en cas de violation du secret professionnel ?
L'article 226-13 du Code pénal punit la révélation d'une information à caractère secret d'un an d'emprisonnement et de 15 000 euros d'amende. L'article 21 de l'ordonnance de 1945 y renvoie pour les experts-comptables.
L'éditeur d'un outil d'IA est-il un sous-traitant au sens du RGPD ?
Quand il traite des données personnelles pour le compte du cabinet, l'article 28 du RGPD impose un contrat qui fixe ses obligations. Il doit notamment ne traiter les données que sur instruction documentée et prendre des mesures de sécurité appropriées.
Anonymiser les données suffit-il ?
Cela réduit fortement le risque, et c'est ce que recommande la notice de l'Ordre. Mais une donnée mal anonymisée peut permettre de retrouver le client. Retirer les noms ne suffit pas toujours : le secteur croisé avec la ville peut identifier l'entreprise.
Mes collaborateurs sont-ils tenus au secret ?
L'article 21 de l'ordonnance de 1945 vise aussi les experts-comptables stagiaires et certains salariés qu'il énumère. Le décret de 2012 ajoute un devoir de discrétion. Une charte IA interne permet d'écrire les règles pour toute l'équipe.
Sources
- Légifrance, ordonnance n° 45-2138 du 19 septembre 1945, article 21 (version en vigueur depuis le 24/12/2016), consulté le 26/10/2026
- Légifrance, Code pénal, article 226-13 (version en vigueur depuis le 01/01/2002), consulté le 26/10/2026
- Légifrance, décret n° 2012-432 du 30 mars 2012, article 147 (code de déontologie, en vigueur depuis le 01/04/2012), consulté le 26/10/2026
- Légifrance, Cour de cassation, 1re chambre civile, 10 septembre 2015, n° 14-22.699, consulté le 26/10/2026
- CNOEC, Comment utiliser ChatGPT ? Notice pour les cabinets d'expertise comptable (2024), consulté le 26/10/2026
- CNIL, Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative (18/07/2024), consulté le 26/10/2026
- CNIL, RGPD chapitre IV, articles 28 (sous-traitant) et 32 (sécurité du traitement), consulté le 26/10/2026
- Microsoft Learn, Data, Privacy, and Security for Microsoft Copilot (mise à jour 2026), consulté le 26/10/2026
- Anthropic Privacy Center, Is my data used for model training? (18/08/2026), consulté le 26/10/2026
- Anthropic Privacy Center, Is my data used for model training on consumer plans? (16/03/2026), consulté le 26/10/2026
- Anthropic Privacy Center, How long do you store my organization's data? (en vigueur au 01/07/2026), consulté le 26/10/2026