Cabinet d'expertise comptable : encadrer l'IA générative avec la checklist de l'Ordre francilien et la CNIL

En une phrase : Avant d'utiliser un assistant d'IA générative au cabinet, l'Ordre des experts-comptables de Paris Île-de-France et la CNIL recommandent de classer les données, de choisir un outil dont on connaît les conditions de traitement, d'écrire une charte et de faire relire par un humain tout ce que l'IA produit.

Ce guide s'adresse aux experts-comptables, à leurs collaborateurs et aux responsables de cabinet. La rédaction n'a testé aucun outil : le guide reprend deux documents de référence et en tire une méthode. Le premier est le livre blanc « L'IA et la data dans les cabinets d'expertise comptable », publié par le Conseil régional de l'Ordre des experts-comptables de Paris Île-de-France à l'issue de la quatrième saison de ses « Ateliers de la transformation ». Il s'agit d'un document régional, pas d'une norme du Conseil supérieur de l'Ordre. Le second est la série de questions-réponses de la CNIL sur l'IA générative, publiée le 18 juillet 2024. Les autres guides métier sont dans Outillés, et ceux consacrés à la comptabilité dans Outillés Comptables.

Ce que dit l'Ordre des experts-comptables d'Île-de-France

Le livre blanc rappelle que les professionnels de l'expertise comptable sont « soumis à la fois au Règlement général sur la protection des données (RGPD), et au secret professionnel, obligation déontologique fondamentale ». Il juge que l'IA générative introduit « des risques significatifs » dans ce domaine, pour deux raisons : certaines solutions généralistes « n'offrent pas toujours une conformité au RGPD », et certaines exploitent les données des utilisateurs pour entraîner leurs modèles.

Ses recommandations pratiques sont les suivantes :

• privilégier les solutions professionnelles conçues pour la profession ; pour les IA généralistes, le document encourage les cabinets à se tourner vers des solutions françaises ou européennes et à « vérifier les conditions d'exploitation et de stockage des données » ;
• anonymiser : le livre blanc qualifie l'anonymisation d'« étape indispensable avant toute soumission d'informations sensibles à un système d'IA qui n'offrirait pas de garanties de confidentialité suffisantes ». Il prévient que certains documents, comme la déclaration sociale nominative (DSN), sont difficiles voire impossibles à anonymiser : les usages correspondants « devront donc être proscrits » faute de contexte de sécurité suffisant ;
• envisager des modèles installés sur les serveurs du cabinet, sans transfert de données vers l'éditeur, en sachant que la confidentialité dépend alors de la configuration du réseau et des sauvegardes ;
• vérifier systématiquement : le document demande de « ne jamais considérer l'IA comme une source de vérité absolue ».

Le livre blanc contient une checklist « pour une utilisation sécurisée et responsable de l'IA en cabinet ». On y lit notamment : « Je m'assure que l'éditeur s'engage à ne pas exploiter mes données », « Je n'utilise JAMAIS de données clients non anonymisées dans les IA qui n'offrent pas les garanties de confidentialité suffisantes » et « Je ne copie-colle jamais directement un résultat d'IA sans relecture ».

Ce que recommande la CNIL

Dans ses questions-réponses, la CNIL indique que la mise en œuvre d'un système d'IA générative « doit être précédée d'une analyse des risques et d'une stratégie de gouvernance claire ». Elle recommande à tout organisme de l'encadrer « par des politiques ou chartes internes, définissant clairement les usages autorisés et les usages interdits ».

Sur le mode de déploiement, la CNIL distingue trois cas. Pour des usages non confidentiels, un service grand public peut être envisagé avec des adresses électroniques professionnelles dédiées, en évitant les comptes personnels et en désactivant si possible la réutilisation des données d'usage par le fournisseur. Pour des données de clients ou de collaborateurs, il lui semble « généralement plus opportun et plus sécurisé » de privilégier un déploiement « sur site ». Avec un hébergement externe, elle demande un contrat de sous-traitance avec l'hébergeur et, le cas échéant, avec le fournisseur ; avec une API, elle souligne que la maîtrise du système est « quasi exclusivement dans les mains du fournisseur ».

Côté utilisateurs, la CNIL conseille de « ne jamais partager d'informations confidentielles telles que des données personnelles » dans un service grand public, en particulier lorsqu'elles sont couvertes par un secret ou des obligations de déontologie. Elle rappelle aussi que ces systèmes « peuvent générer des résultats inexacts qui peuvent, pourtant, paraître plausibles », ce qu'on appelle des hallucinations. France Num, le service de la Direction générale des Entreprises, ajoute dans sa fiche « Prendre les précautions indispensables » : « Vous êtes une profession réglementée, vérifiez le cadre juridique applicable. »

Le guide pas à pas

1. Lister les besoins et désigner un référent. La checklist du livre blanc commence par trois cases : identifier précisément les besoins et cas d'usage, évaluer les risques pour le cabinet et les clients, désigner un référent IA. La CNIL suggère d'y associer le délégué à la protection des données s'il existe.

2. Classer les données. Le modèle de charte du livre blanc, fourni « à titre purement indicatif », range les informations en quatre niveaux. Les données publiques (textes réglementaires, doctrine) sont autorisées partout. Les données internes (procédures, modèles) le sont dans une IA publique « après validation ». Les données clients (comptabilité, données personnelles) n'y entrent qu'anonymisées, et seulement dans un outil validé par le cabinet sous leur forme réelle. Les données sensibles (stratégies, litiges) sont interdites dans tous les outils.

3. Choisir et paramétrer l'outil. Lisez les conditions générales d'utilisation, vérifiez la conformité au RGPD et l'engagement de l'éditeur à ne pas exploiter vos données. Ouvrez des comptes professionnels, désactivez la réutilisation des conversations quand l'option existe, et faites signer un contrat de sous-traitance si des données personnelles transitent par l'outil, comme le recommande la CNIL.

4. Rédiger la charte. Reprenez les « règles d'or » du modèle : pas de données clients dans les IA publiques, pas d'usage sans formation préalable, pas de compte personnel pour le travail ; anonymiser, vérifier, signaler les incidents. Ajoutez la liste des usages autorisés (courriers types sans données clients, supports de formation, synthèse de textes publics) et la conduite à tenir en cas de fuite : arrêter l'usage, prévenir le référent, documenter l'incident.

5. Graduer la relecture. Le modèle prévoit un autocontrôle pour les brouillons internes, une double vérification pour les documents techniques et, pour les livrables clients, une « Validation responsable + relecture approfondie ».

6. Former et réviser. La CNIL recommande « de former les utilisateurs de façon adaptée et de mener des contrôles réguliers ». Le modèle du livre blanc propose une révision trimestrielle de la charte.

Trois modèles de prompts à adapter

Ces modèles ne contiennent aucune donnée de client : ils portent sur des textes publics ou des documents internes. Pour la méthode générale, voir l'entrée prompt du glossaire.

Modèle de prompt à adapter, non testé par Le Latent, pour un projet de charte :

Tu aides un cabinet d'expertise comptable de [nombre] personnes à rédiger un projet de charte d'utilisation de l'IA générative.
Reprends uniquement les éléments suivants, sans en ajouter : outils autorisés [liste] ; référent IA [fonction] ; classement des données [publiques / internes / clients / sensibles, avec la règle pour chacune] ; usages autorisés [liste] ; niveaux de relecture [liste] ; procédure en cas d'incident [étapes].
Structure : objet, règles, classement des données, usages autorisés, validation des contenus, incidents, révision.
Signale les points qui devraient être validés par un juriste ou par le délégué à la protection des données.

Modèle de prompt à adapter, non testé par Le Latent, pour expliquer une règle publique à un client :

Voici un extrait de texte officiel : [coller le passage, avec sa référence et sa date].
Rédige une note de 200 mots au plus destinée au dirigeant d'une petite entreprise, en langage simple, qui explique ce que ce texte lui impose et à partir de quand.
N'utilise que l'extrait fourni. Cite entre guillemets les passages sur lesquels tu t'appuies. Si l'extrait ne permet pas de répondre à une question, écris-le au lieu de compléter.

Modèle de prompt à adapter, non testé par Le Latent, pour une procédure interne :

À partir de ces notes internes, sans nom de client ni donnée chiffrée réelle : [coller les notes], rédige une procédure en étapes numérotées pour [tâche du cabinet].
Pour chaque étape : qui la réalise, avec quel outil, quel contrôle est fait.
Termine par la liste des points à faire valider par l'expert-comptable responsable.

Les limites de ces recommandations

Le livre blanc est un document d'un conseil régional de l'Ordre, et son modèle de charte est présenté comme indicatif : il revient à chaque cabinet de l'adapter « en fonction de ses besoins spécifiques, de son organisation et du cadre réglementaire applicable ». Il cite des outils et des éditeurs que la rédaction n'a pas évalués. Les questions-réponses de la CNIL datent de juillet 2024 ; la CNIL y annonçait d'autres recommandations à venir. Avant de généraliser un usage, vérifiez les publications les plus récentes de la CNIL et de votre conseil régional de l'Ordre.

Dans la même rubrique : Trier des candidatures avec l'IA : ce qu'imposent la CNIL et l'AI Act aux recruteurs et IA générative et secret professionnel : appliquer au cabinet le guide de déontologie du CNB.