La conversation démarre toujours de la même façon. Un associé d'un cabinet d'avocats, la gérante d'un cabinet comptable ou le directeur d'un cabinet médical racontent la même chose avec des mots différents : « ça nous rendrait un service fou, mais nous, on est réglementés ». Et ça s'arrête là. La phrase sert à clore une réunion, pas à analyser quoi que ce soit. Personne ne demande quelle partie, exactement, est réglementée, ni si ce qu'on voulait automatiser tombait dedans.
La thèse en une phrase : dans les professions soumises au secret professionnel, la limite n'est pas posée par le modèle, elle est posée par la responsabilité. Celui qui signe le compte rendu médical, la déclaration fiscale ou les conclusions répond pareil, qu'il ait utilisé de l'IA ou non. Et ça, loin de fermer la porte, ça la met à sa place : l'IA prépare le dossier, le professionnel signe. Tout ce qui vient avant la signature est un terrain ouvert ; tout ce qui remplace la signature est une ligne qu'on ne franchit pas.
L'IA dans les secteurs réglementés : ce qu'elle peut toucher dans un cabinet médical, un cabinet comptable ou un cabinet d'avocats
« Secteur réglementé » est une étiquette bien trop large pour décider quoi que ce soit. Ce qui est vraiment réglementé dans un cabinet médical, un cabinet comptable ou un cabinet d'avocats, ce n'est pas l'usage d'un logiciel : ce sont trois choses précises. Le devoir de secret sur ce que te confie le client ou le patient. Le monopole d'exercice — quels actes seul un professionnel inscrit à son ordre peut réaliser et signer. Et le traitement de données sensibles, qui en santé sont la règle et pas l'exception.
Aucune des trois ne dit quoi que ce soit sur qui prépare le brouillon, qui met la documentation en ordre, qui résume huit cents pages de dossier ou qui repère qu'il manque un justificatif. Ce travail — qui représente l'essentiel des heures facturables d'un cabinet moyen et de la charge administrative d'un cabinet médical — n'est réservé à personne. Il est simplement mal réparti : il est fait par le professionnel le plus cher parce qu'il n'y a jamais eu d'autre façon de le faire.
La limite n'est pas posée par le modèle, elle est posée par qui signe
La bonne question n'est pas « est-ce que l'IA peut faire ça ? », mais « qui répond si ça tourne mal ? ». Et cette réponse-là ne change pas avec la technologie : c'est le professionnel qui signe, celui qui est inscrit à son ordre et qui assume l'acte, la structure qui émet la facture. Un modèle ne peut pas être assigné en justice, il n'est inscrit à aucun ordre et il n'a pas d'assurance responsabilité civile professionnelle. Ce n'est pas un défaut du modèle : c'est la raison d'être de la signature.
De là sort un critère opérationnel qui marche dans les trois professions et qui n'a besoin d'aucun avocat pour être appliqué :
- Si le résultat sort de chez toi avec une signature, la signature est celle d'une personne. Le système peut aller jusqu'au brouillon complet, avec ses citations et ses calculs. Jamais jusqu'à l'envoi.
- Si le résultat ne sort pas, ou sort comme travail interne, il peut aller beaucoup plus loin. Trier, classer, extraire, comparer, signaler qu'il manque quelque chose : là, il n'y a ni acte réservé ni responsabilité déléguée.
- Si l'étape décide au sujet d'une personne — un diagnostic, un licenciement, une réclamation —, la relecture humaine n'est pas une option en plus. C'est la condition pour que l'étape existe.
Ce partage a un nom technique et une mécanique qui ne se discute pas : c'est la conception de l'humain dans la boucle d'une automatisation avec IA, où l'important n'est pas qu'une personne regarde, mais qu'elle ait le contexte, le temps et l'autorité réelle de dire non.
Ce qu'elle peut toucher aujourd'hui, sans discussion
Une fois ce critère appliqué, la liste de ce qui est automatisable dans un cabinet d'avocats, un cabinet comptable ou un cabinet médical cesse d'être courte. C'est pratiquement tout ce qu'un professionnel fait avant de penser :
- Préparer le dossier. Réunir la documentation d'une affaire, la remettre dans l'ordre chronologique, repérer ce qui manque et laisser un résumé où chaque affirmation renvoie au document d'origine.
- Extraire la donnée d'un document qui arrive dans n'importe quel format. La facture du fournisseur, le compte rendu, l'acte notarié, l'attestation. Le travail dur, ce n'est pas de lire le PDF : c'est que chaque émetteur le met en page à sa façon.
- Traduire le jargon administratif en langage compréhensible. Le premier brouillon d'un courrier au client, d'un consentement éclairé ou d'une explication de l'avis d'imposition, que relit ensuite celui qui sait.
- Surveiller les délais, les mises en demeure et les changements de réglementation et prévenir la bonne personne avant l'échéance, au lieu de dépendre de quelqu'un qui pense à ouvrir un dossier.
- Préparer la réponse à la question qui revient. Dans un cabinet comptable, 80 % des mails de janvier se ressemblent. Que le brouillon existe n'enlève de discernement à personne : ça enlève de la frappe au clavier.
Tout ça partage une propriété : si le système se trompe, l'erreur est vue par une personne avant de sortir. C'est la définition pratique du risque acceptable, et elle ne dépend pas de la qualité du modèle.
Ce qu'elle ne devrait pas toucher, et pas par peur : par conception
L'autre moitié de la liste compte tout autant, et mieux vaut l'écrire en positif que comme une interdiction floue. Un système ne devrait pas poser un diagnostic, déposer une déclaration, enregistrer des conclusions ni répondre à une mise en demeure sans qu'une personne l'ait vu et validé. Non parce que la loi le dit avec ces mots-là dans tous les cas, mais parce que le jour où ça tournera mal, la question sera qui a relu, et « personne, ça partait tout seul » n'est pas une réponse qu'on peut donner deux fois.
C'est là que l'argument du secteur se retourne. L'objection habituelle — « on ne peut pas, on est réglementés » — sert à ne rien faire, alors que ce que la réglementation exige est exactement ce qu'un système bien monté donne et qu'un processus manuel ne donne pas : la traçabilité. Savoir ce qui a été fait, avec quelle donnée, avec quelle autorisation et qui a validé. C'est ça, la gouvernance et le contrôle de l'automatisation avec IA, et un cabinet avec des logs et des validations enregistrées est en meilleure position face à un contrôle qu'un cabinet où tout s'est décidé sur WhatsApp.
Le secret professionnel ne disparaît pas parce que le fournisseur est gros
Il y a un point où la prudence du secteur est bien fondée, et il faut le dire sans le rabaisser. Mettre le dossier d'un client ou le dossier médical d'un patient dans un outil souscrit à titre personnel, sans contrat de sous-traitance et sans savoir où la donnée est traitée, c'est un vrai problème. Et ça ne se règle pas avec une clause de la politique de confidentialité du fournisseur.
L'Agence espagnole de protection des données — l'homologue espagnole de la CNIL — a publié en février 2026 des orientations sur l'intelligence artificielle agentique du point de vue de la protection des données dont la prémisse est celle qu'on ignore le plus dans ce débat : utiliser un agent d'IA, ce n'est pas remplacer un outil par un autre plus avancé, ça peut changer la nature même du traitement, sa portée et ses risques. Périmètre : Espagne. Traduit dans le quotidien d'un cabinet : la décision n'est pas « est-ce que j'utilise l'IA ou pas ? », c'est « quelle donnée sort d'ici, vers où, et avec quel contrat ? ». Et cette décision se prend une fois, au moment de monter le système, pas à chaque fois que quelqu'un ouvre un onglet.
Le secret professionnel, par ailleurs, n'exonère pas du RGPD : il le module. C'est une limite à l'accès des tiers, pas un sauf-conduit qui remplacerait les obligations liées au traitement. Qui le comprend à l'envers finit par rater les deux.
Pourquoi le calendrier de l'AI Act n'est pas ta limite principale
Il faut désamorcer ici une confusion qui retarde des décisions. Le calendrier du règlement européen sur l'IA — ce qui s'applique déjà et ce qui a été déplacé par l'Omnibus — est détaillé dans ce que l'AI Act t'impose depuis août 2026, et on ne le répète pas ici. Ce qui compte pour une profession à ordre, c'est autre chose : ce calendrier n'est pas celui qui te serre en premier.
Les usages à haut risque de l'Annexe III — où tombent certains usages de santé et de décision sur des personnes — ont été repoussés au 2 décembre 2027 par le paquet Omnibus acté en mai 2026, d'après le suivi du calendrier d'application de l'AI Act publié par le Future of Privacy Forum. Périmètre : Union européenne. Mais ta responsabilité professionnelle, elle, n'a pas été repoussée, parce qu'elle n'a jamais eu de date d'entrée : si un rapport signé par toi tourne mal, ton ordre et ton client ne vont pas te parler de l'Annexe III. C'est pour ça que le bon ordre est l'inverse de celui qu'on suit d'habitude : d'abord tu décides où va la signature humaine, et la conformité tombe presque toute seule derrière cette décision.
Comment on monte ça dans un cabinet qui ne peut pas s'arrêter
L'ordre compte plus que l'outil. Dans une petite structure tenue au secret, la séquence qui marche est celle-ci :
- Commence par un processus sans signature. Préparation de dossier, extraction documentaire, contrôle des délais. Rien qui parte vers un tiers. Comme ça, la première erreur possible est interne et pas chère.
- Décide la donnée avant l'outil. Quelle information sort de ton système, vers quel fournisseur, avec quel contrat de sous-traitance et avec quelle durée de conservation. Si cette réponse ne tient pas sur une page, tu n'es pas encore prêt pour l'étape d'après.
- Mets la relecture humaine à l'endroit où ça fait mal. Pas à toutes les étapes — ça tue l'économie —, mais exactement à celle qui a une conséquence vers l'extérieur.
- Enregistre tout dès le premier jour. Quel document est entré, ce que le système en a extrait, ce que la personne a changé. Le journal, ce n'est pas de la bureaucratie : c'est ce qui transforme un contrôle inconfortable en un simple dossier à ouvrir.
- Mesure une seule chose au début : combien d'heures de professionnel inscrit à son ordre cessent de partir dans du travail qui n'exigeait aucune inscription. Si ce chiffre ne bouge pas, le projet ne marche pas, aussi moderne que soit la démo.
Ce deuxième point — la donnée avant l'outil — est celui qui coule le plus de projets et celui qui reçoit le moins d'attention. C'est du travail de gouvernance de la donnée : savoir quelle information tu as, qui peut y toucher et ce qui peut sortir de ton périmètre, avant de brancher quoi que ce soit. Le faire après, c'est réécrire le système entier avec le client déjà dedans.
Ce qui change vraiment
Le secteur réglementé ne va pas automatiser le jugement professionnel, et qui te vend ça te ment. Ce qu'il va automatiser, c'est tout ce qui entoure le jugement professionnel et qui, aujourd'hui, le dévore : la préparation, la recherche, la mise en ordre, le brouillon, l'alerte. Un cabinet où l'associé passe 70 % de son temps à préparer et 30 % à décider ne fait pas le poids face à un cabinet où la proportion est inversée. Et cette inversion ne demande de changer ni la loi, ni l'ordre professionnel, ni l'assurance. Elle demande de décider où va la signature et de monter tout le reste en dessous.
« On est réglementés » restera vrai. Ça cesse d'être une excuse le jour où quelqu'un demande quelle partie, exactement.