Zero Data Retention : la garantie que votre cabinet d'avocats doit exiger avant de confier un dossier à l'IA.

Un cabinet d'avocats qui ouvre une IA générative dans son navigateur y dépose, souvent sans y penser, la matière même de son obligation la plus lourde : le nom d'un client, la stratégie d'un dossier, le montant d'une transaction. La question n'est pas de savoir si l'outil est performant. Elle est de savoir ce qu'il en reste, où, et pendant combien de temps.

En bref. La Zero Data Retention est l'engagement contractuel d'un fournisseur d'IA à ne conserver aucune requête après traitement : ni pour entraîner ses modèles, ni dans ses journaux. C'est la condition minimale pour qu'un cabinet d'avocats confie un dossier à un modèle de langage sans rompre un secret que la loi qualifie de général, absolu et illimité dans le temps. Elle ne suffit pourtant pas : depuis mars 2026, le Conseil national des barreaux demande aussi de vérifier le lieu d'hébergement et la nationalité de l'éditeur. Et 92 % des Français tiennent l'avocat pour responsable de la confidentialité de leur dossier, qu'il utilise l'IA ou non.

Un secret « général, absolu et illimité dans le temps »

La formule n'est pas de nous, elle est à l'article 2.1 du Règlement Intérieur National : le secret professionnel de l'avocat est d'ordre public, il est général, absolu et illimité dans le temps. L'article 66-5 de la loi du 31 décembre 1971 en dessine le périmètre : consultations, correspondances avec le client, notes d'entretien, et plus généralement toutes les pièces du dossier, en conseil comme en défense.

Mettez cette exigence en regard du fonctionnement par défaut de la plupart des services d'IA : les requêtes et les réponses sont conservées, le plus souvent trente jours, sur des serveurs que vous ne choisissez pas, sous une juridiction que vous ne maîtrisez pas.

Un secret illimité dans le temps ne se concilie pas avec une rétention de trente jours décidée par un tiers.

C'est tout le sujet de la Zero Data Retention, ou ZDR : l'engagement contractuel qu'aucune donnée n'est conservée au repos une fois la réponse rendue.

En mars 2026, le CNB a déplacé le curseur

Le Conseil National des Barreaux a publié deux textes qu'il ne faut pas confondre, et l'écart entre les deux dit tout de ce qui a changé.

Le guide pratique de septembre 2024 posait une interdiction nette : ne jamais communiquer à une IA générative de données relatives aux dossiers ou aux clients. Nom du client, personne physique ou morale, informations confidentielles, éléments de stratégie, pièces jointes du dossier. La parade recommandée était la pseudonymisation.

Le guide « Déontologie et intelligence artificielle », adopté en assemblée générale des 12 et 13 mars 2026, va nettement plus loin. Il structure huit enjeux, du secret professionnel aux honoraires, et demande à l'avocat de vérifier trois choses avant de confier quoi que ce soit à un outil :

• le lieu d'hébergement des données, en France ou à tout le moins dans l'Union européenne ;
• la nationalité de l'entreprise qui détient les serveurs ;
• l'absence de dispositions extraterritoriales permettant à une autorité étrangère d'accéder aux données.

En dix-huit mois, l'exigence est passée de « anonymisez vos requêtes » à « dites-moi où sont les serveurs et qui peut légalement y accéder ». Ce n'est plus une question d'hygiène rédactionnelle, c'est une question d'architecture.

Dans le même mouvement, le CNB a révisé ses modèles types de conventions d'honoraires pour y intégrer une clause optionnelle sur l'usage de l'IA : assistance purement technique, analyse et jugement restant exclusivement humains.

Pourquoi la pseudonymisation ne suffit plus

Le CNB reconnaît lui-même les limites de la solution qu'il recommandait. Elle est inapplicable au compte rendu, en direct, d'un rendez-vous client. Et elle n'empêche pas la réidentification par recoupement : un montant, un nom de projet interne, la tournure d'une clause suffisent souvent à reconstituer qui est concerné.

Le guide 2024 était déjà lucide sur un autre point : quand un éditeur promet de ne pas exploiter vos données, aucun moyen de vérification n'est offert à l'utilisateur. La promesse commerciale ne vaut pas garantie.

Ce que la ZDR est, et ce qu'elle n'est pas

La Zero Data Retention signifie que le fournisseur ne stocke pas vos requêtes ni les réponses après avoir répondu. Rien ne subsiste au repos, donc rien ne peut fuiter, être consulté par un administrateur, ni être saisi plus tard.

Trois confusions courantes méritent d'être levées :

• Le chiffrement protège les données en transit et au repos, mais suppose justement qu'elles sont stockées quelque part.
• Le non-entraînement est un autre sujet. « Nous n'entraînons pas nos modèles sur vos données » est aujourd'hui la norme sur les API professionnelles, et ne dit rien de la conservation.
• L'opt-out d'historique dans une interface grand public ne constitue pas un engagement contractuel opposable.

Les angles morts que le contrat ne met pas en avant

Une ZDR est un périmètre, pas un interrupteur. Ce que nous vérifions systématiquement avant de déployer :

• Elle s'applique par organisation, sur demande, après approbation. Elle n'est jamais active par défaut, et ne s'étend pas automatiquement à un nouveau compte créé à côté.
• Elle couvre l'API, pas les interfaces web ni les consoles de test, où beaucoup de collaborateurs travaillent en réalité.
• Les offres grand public en sont exclues, y compris certaines offres payantes individuelles.
• Les fichiers déposés, les traitements par lots et l'exécution de code obéissent à des durées propres, parfois de plusieurs semaines.
• Une session signalée par les systèmes de modération peut être conservée, jusqu'à deux ans chez certains fournisseurs.

Autrement dit : un cabinet peut avoir signé une ZDR et continuer à exposer ses dossiers, simplement parce que ses collaborateurs travaillent dans l'interface web plutôt que dans l'outil raccordé à l'API.

L'épisode qui a donné raison à la ZDR

En mai 2025, dans le contentieux qui oppose le New York Times à OpenAI, un juge fédéral de New York ordonne la préservation des journaux de sortie du service. Une politique de suppression annoncée depuis des années se trouve suspendue du jour au lendemain, par une décision à laquelle aucun client n'est partie.

La suite est instructive. Le 27 mai 2025, la cour exclut les offres Enterprise de la mesure. Le 26 septembre 2025, l'obligation de préservation continue prend fin. Le 9 octobre 2025, la cour approuve un accord qui limite la conservation aux journaux déjà isolés et exclut explicitement les requêtes provenant de l'Espace économique européen, de Suisse et du Royaume-Uni.

Pendant quatre mois, une décision de justice étrangère a primé sur la politique de suppression du fournisseur. Les clients sous contrat Zero Data Retention n'ont jamais été concernés : il n'y avait rien à préserver.

C'est l'argument le plus concret que nous connaissions en faveur de la ZDR. Une donnée conservée est une donnée saisissable, y compris pour des motifs totalement étrangers à votre cabinet et à vos clients.

Où en sont réellement les fournisseurs

État des lieux à la mi-2026, sur la foi des documentations officielles. Ce paysage bouge vite : ce qui suit est à revérifier au moment de contracter, jamais à recopier d'un comparatif daté.

OpenAI

Les données envoyées à l'API ne servent pas à entraîner les modèles, sauf accord explicite. Les journaux de surveillance des abus sont conservés jusqu'à trente jours par défaut. Une ZDR existe sur approbation préalable, avec un périmètre d'API défini : les fonctions d'assistants et de fils de conversation en restent exclues.

Anthropic

La documentation est la plus explicite du marché : sous ZDR, ni requêtes ni réponses ne sont stockées au repos une fois la réponse rendue, et les données conservées ne servent jamais à l'entraînement sans autorisation expresse. Les exclusions sont clairement énumérées, ce qui est en soi un bon signal. Une fonction de résidence géographique des traitements existe et reste compatible avec la ZDR.

Google

Sur Vertex AI, les points de terminaison régionaux garantissent que le traitement reste dans la zone choisie, l'option Union européenne couvrant la résidence des données dans les États membres. Les requêtes clients ne servent pas à l'entraînement. Le niveau exact de non-rétention dépend de la configuration du projet et du contrat : il se vérifie, il ne se présume pas.

Mistral AI

L'éditeur français revendique les certifications SOC 2 Type II et ISO 27001 ainsi que ISO 27701. C'est la seule option qui permette d'aligner les trois critères posés par le CNB, hébergement, nationalité et absence d'extraterritorialité, sans contorsion contractuelle. Pour un cabinet qui veut une réponse simple à la question « qui peut légalement accéder à mes données », c'est l'option la plus courte.

Reste l'hypothèse la plus radicale, que nous mettons sur la table dès qu'un cabinet traite des dossiers très sensibles : faire tourner un modèle ouvert sur une infrastructure que le cabinet contrôle. Il n'y a alors plus de politique de rétention à négocier, puisqu'il n'y a plus de tiers.

L'angle mort réglementaire : le cadre des transferts vacille

Depuis juillet 2023, les transferts de données vers les États-Unis reposent sur la décision d'adéquation dite Data Privacy Framework. Le Tribunal de l'Union européenne a rejeté le recours qui la contestait le 3 septembre 2025, mais l'affaire est pendante devant la Cour de justice.

Surtout, une décision de la Cour suprême des États-Unis du 29 juin 2026, relative à la révocation des commissaires de l'autorité américaine de la concurrence, fragilise l'un des piliers du dispositif : cette autorité est citée des centaines de fois dans la décision d'adéquation européenne. La Commission européenne a annoncé évaluer les conséquences.

Soyons précis, parce que le sujet circule beaucoup en version déformée : le cadre est toujours en vigueur et les transferts restent licites. Mais son socle est discuté, et les analyses divergent sur la portée réelle de cette décision. C'est exactement pour cette raison qu'il est imprudent de faire reposer la conformité d'un cabinet sur un transfert hors Union européenne. Ce que le CNB dit autrement en demandant de vérifier la nationalité de l'hébergeur.

Vos clients vous en tiennent déjà pour responsable

C'est le point que les cabinets sous-estiment le plus. Dans l'étude Viavoice réalisée pour le CNB auprès de trois cents collectivités et organisations publiques, dont deux cent quarante-neuf clientes de cabinets d'avocats :

• 92 % considèrent que l'avocat qui recourt à une IA reste responsable du respect de la confidentialité des informations qui lui sont transmises. Chez ceux qui utilisent eux-mêmes l'IA sur des sujets juridiques, ce taux monte à 99 %, sans un seul avis contraire.
• 79 % estiment que l'avocat doit informer son client de son usage, ou non, de l'IA sur son dossier.

Aucun client n'acceptera l'argument selon lequel la fuite vient du fournisseur. La responsabilité reste au cabinet. Et puisque huit clients sur dix attendent de la transparence, être capable d'expliquer clairement où vont les données cesse d'être une contrainte de conformité pour devenir un argument de différenciation.

Une IA agentique compatible avec le secret, concrètement

Un bot agentique ne se contente pas de répondre : il reçoit une mission, la découpe, utilise vos outils et rend compte. Dépouillement de pièces, préparation de chronologies, recherche dans votre propre fonds documentaire, rédaction de premières trames. C'est précisément sur ces tâches que le temps d'un cabinet se perd, et c'est là que la question de la rétention devient critique, puisque l'agent manipule le dossier réel et non un extrait anonymisé.

Nos six exigences non négociables sur ce type de déploiement :

• La ZDR écrite dans le contrat, en avenant à l'accord de traitement des données, avec son périmètre exact. Pas une mention sur une page marketing.
• Un hébergement européen, et un éditeur dont la nationalité résiste aux trois questions du CNB.
• Un accès par l'API uniquement, jamais par les interfaces web grand public, pour que le périmètre de la ZDR corresponde à l'usage réel.
• La minimisation à la source : l'agent n'accède qu'aux pièces nécessaires à sa mission, pas au fonds documentaire entier.
• Un journal des usages côté cabinet, qui trace qui a demandé quoi et quand, indépendamment du fournisseur.
• La validation humaine sur toute action qui engage : rien ne part à un client, à un confrère ou à une juridiction sans relecture.

Ajoutons une obligation que beaucoup de cabinets ignorent encore : depuis le 2 février 2025, le règlement européen sur l'intelligence artificielle impose aux organisations qui déploient ces outils d'assurer un niveau suffisant de maîtrise de l'IA par leur personnel. Les obligations de transparence, elles, entrent en application le 2 août 2026, dans quelques semaines. Former les collaborateurs n'est plus une bonne pratique, c'est une obligation.

Sur la méthode, nous ne croyons pas au grand basculement. On commence par laisser l'agent proposer sans rien exécuter, le temps de mesurer la qualité sur de vrais dossiers, puis on lui délègue les tâches à faible risque, et on élargit au fil de la confiance. C'est ce que nous décrivons dans notre article sur la façon de former une équipe à l'IA, et c'est la même logique qui gouverne un second cerveau documentaire alimenté par vos propres pièces.

Pour les cabinets du Gard, de l'Hérault et d'ailleurs

La France comptait 75 681 avocats au 1er janvier 2024, répartis en cent soixante-quatre barreaux, selon les statistiques du ministère de la Justice. À l'échelle de notre territoire, le barreau de Nîmes en réunit 392 et celui d'Alès 50, pour une cour d'appel de Nîmes qui en compte 936. Le barreau de Montpellier en rassemble 1 249, dans une cour d'appel qui en totalise 2 002. Près de trois mille confrères sur les deux ressorts.

Nous sommes installés à Alès et nous travaillons avec des structures qui, comme les cabinets d'avocats, portent une obligation de confidentialité forte. Notre conviction est simple : la contrainte déontologique n'interdit pas l'IA, elle en dicte l'architecture. Un cabinet de trois associés à Nîmes n'a pas besoin d'un service juridique dédié pour se mettre en conformité, il a besoin que la question de la rétention soit tranchée avant le premier dossier confié à la machine, pas après.

Questions fréquentes

La Zero Data Retention suffit-elle à respecter le secret professionnel ?

Non. Elle règle la question de la conservation, pas celle de la juridiction. Le guide du CNB de mars 2026 demande de vérifier en plus le lieu d'hébergement, la nationalité de l'éditeur et l'absence de dispositions extraterritoriales. Autre limite : la ZDR est le plus souvent adossée aux accès par interface de programmation et aux offres professionnelles, pas aux interfaces grand public.

Peut-on utiliser ChatGPT ou Claude en version grand public au cabinet ?

C'est l'angle mort le plus fréquent, parce que c'est justement là que travaillent les collaborateurs. Les engagements de non-conservation et de non-entraînement portent d'abord sur les accès techniques et les contrats professionnels ; une offre grand public applique des règles différentes, parfois avec réutilisation des échanges activée par défaut. Vérifiez le contrat qui couvre l'interface réellement ouverte au cabinet, pas la réputation du modèle.

Faut-il informer le client que son dossier passe par une IA ?

Aucun texte n'impose à ce jour une mention systématique. Mais 79 % des Français déclarent vouloir en être informés, et le RGPD vous impose déjà une information loyale sur les traitements que vous mettez en œuvre. Prendre les devants coûte moins cher que d'avoir à s'en expliquer.

Un hébergement en Europe met-il les données à l'abri du droit américain ?

Pas à lui seul. Lorsque l'éditeur est une société soumise au droit des États-Unis, une injonction peut viser des données qu'elle contrôle, quel que soit le pays où elles sont stockées. C'est précisément pour cela que le CNB demande d'examiner la nationalité de l'entreprise en plus de la localisation des serveurs.

Par où commencer dans un cabinet de trois avocats ?

Par l'inventaire de l'existant : quels outils sont déjà utilisés, sous quel contrat, avec quelle durée de rétention. Ensuite seulement, laisser l'agent proposer sans rien exécuter, sur de vrais dossiers, le temps de mesurer la qualité. La délégation vient après, tâche par tâche, en commençant par celles où une erreur ne coûte rien.

Vous voulez savoir ce que votre outil actuel conserve réellement, et ce qu'une IA agentique pourrait absorber dans votre cabinet sans exposer un seul nom de client ? Découvrez notre prestation de bot agentique d'entreprise, ou écrivez-nous : nous commençons toujours par regarder vos contrats en cours avant de proposer quoi que ce soit.