Rédiger un courrier de relance, résumer une note fiscale, préparer un commentaire de bilan, comprendre une écriture atypique : les usages de l’IA générative dans un cabinet d’expertise comptable sont nombreux et souvent pertinents. Mais un cabinet manipule aussi, chaque jour, certaines des données les plus sensibles de ses clients : comptabilité détaillée, paie, coordonnées bancaires, situation fiscale. Avant de coller un fichier dans ChatGPT ou un autre assistant, deux cadres juridiques se superposent : le secret professionnel propre à la profession, et le RGPD.
Le secret professionnel de l’expert-comptable
L’ordonnance n° 45-2138 du 19 septembre 1945, qui organise la profession, prévoit que les experts-comptables, les experts-comptables stagiaires et certains salariés des cabinets sont tenus au secret professionnel, dans les conditions et sous les peines fixées par l’article 226-13 du Code pénal (article 21).1 L’article 226-13 du Code pénal punit la révélation d’une information à caractère secret par une personne qui en est dépositaire en raison de sa profession d’un an d’emprisonnement et de 15 000 euros d’amende.2
La question qui se pose avec l’IA générative est donc simple à formuler : transmettre les données d’un client à un service tiers, qui les traite et les conserve sur ses serveurs, est-il compatible avec ce secret ? Il n’existe pas, à notre connaissance, de jurisprudence tranchant ce point pour les assistants IA, et la réponse dépend des conditions concrètes (contrat, conservation, accès, nature des données). Ce qui est certain, c’est que des données que l’on n’envoie pas ne posent pas la question. D’où l’intérêt de la minimisation, présentée plus bas.
Ce qu’ajoute le RGPD
Les dossiers clients contiennent des données personnelles : celles des dirigeants, des salariés dont le cabinet établit la paie, des fournisseurs et des clients qui figurent dans les écritures. Selon les missions, le cabinet peut agir comme responsable de traitement ou comme sous-traitant de son client ; chaque situation appelle une analyse.
Lorsqu’il agit comme sous-traitant, par exemple pour la paie, le RGPD lui interdit de recruter un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable de traitement (article 28, paragraphe 2).3 Un service d’IA qui traite les bulletins de paie pour le compte du cabinet entre potentiellement dans ce cadre. Dans tous les cas, les principes de minimisation (article 5) et de sécurité (article 32) s’appliquent.3
La CNIL recommande, pour l’IA générative, d’encadrer les usages par une charte, d’associer le délégué à la protection des données et de former les utilisateurs.6 Nous détaillons ces étapes dans notre article ChatGPT et RGPD en entreprise.
Les données en jeu : FEC, paie, IBAN, NIR
- Le fichier des écritures comptables (FEC) : lorsque la comptabilité est informatisée, l’entreprise vérifiée en remet une copie dématérialisée à l’administration fiscale (article L47 A du Livre des procédures fiscales).4 Il reprend toutes les écritures de l’exercice, avec les libellés et les comptes de tiers, souvent nominatifs.
- La paie : salaires, primes, absences, saisies sur salaire, parfois des indications liées à la santé (arrêts maladie) qui relèvent des catégories particulières de l’article 9 du RGPD.3
- Le numéro de sécurité sociale (NIR), que les employeurs utilisent pour la paie mais dont l’usage, rappelle la CNIL, est limité à des cas bien précis, le plus souvent liés à la protection sociale.5
- Les coordonnées bancaires : IBAN des clients, des fournisseurs et des salariés, relevés bancaires.
- Les informations stratégiques : prévisionnels, projets de cession, difficultés financières, qui relèvent aussi du secret des affaires du client.
matricule ; salarié ; NIR ; IBAN ; brut
0142 ; Mme Julie Garnier[NOM_1] ; 2 91 03 69 123 456 53[NIR_1] ; FR76 1820 6000 4512 3456 7890 189[IBAN_1] ; 2 850,00
0157 ; M. Thomas Leroy[NOM_2] ; 1 88 11 13 055 789 08[NIR_2] ; FR76 3000 3035 4000 0501 2345 607[IBAN_2] ; 3 120,00
Compte personnel ou offre professionnelle
Le type de compte change le cadre contractuel. Pour ses services grand public, OpenAI indique pouvoir utiliser les contenus soumis pour améliorer ses modèles, sauf désactivation par l’utilisateur.8 Pour ChatGPT Business, Enterprise et l’API, l’éditeur indique ne pas entraîner ses modèles sur les données des clients par défaut, et propose un avenant de traitement des données.7 Microsoft, Anthropic et Google publient aussi des engagements pour leurs offres professionnelles, dont l’absence d’entraînement des modèles sur les données des clients par défaut.10,11,12
- Utilisation pour améliorer les modèles
- Possible, désactivablePour les services grand public, OpenAI indique pouvoir utiliser les contenus pour améliorer ses modèles, sauf si l’utilisateur le désactive.
- Contrat de sous-traitance (RGPD)
- AucunLe compte appartient au collaborateur : aucun accord ne lie le cabinet à l’éditeur.
- Le secret professionnel
- Non traitéRien n’encadre la confidentialité des dossiers clients vis-à-vis de l’éditeur.
Une offre professionnelle est donc un prérequis raisonnable. Elle ne dispense pas de réfléchir à ce qui est envoyé : un contrat encadre le traitement par l’éditeur, il ne supprime pas la transmission elle-même.
Ce que dit la profession
Le Conseil national de l’ordre des experts-comptables a publié en 2024 une notice pratique, « Comment utiliser ChatGPT ? », destinée aux cabinets. Elle y formule une consigne sans détour : ne pas charger de données personnelles, sensibles ou confidentielles, « pas de mails clients, de FEC, de DSN… non anonymisés » dans des sites non maîtrisés, au nom du respect du RGPD et du secret professionnel.9
La consigne rejoint l’analyse juridique : la donnée la mieux protégée est celle qui ne part pas. Les recommandations de la profession évoluent avec les outils ; avant toute décision, il est utile de consulter les publications les plus récentes de l’Ordre et du conseil régional dont relève le cabinet.
Les bonnes pratiques pour un cabinet
- Cartographier les usagesQuels collaborateurs utilisent quels assistants, pour quelles missions.
- Choisir des outils sous contratOffre professionnelle, avenant RGPD, lieu de stockage vérifié.
- Fixer les données interditesFEC nominatifs, paie, IBAN, NIR, données de santé des salariés.
- Anonymiser par défautBalises à la place des noms, comptes de tiers et coordonnées.
- Vérifier les lettres de missionInformation des clients et, si besoin, autorisation pour la sous-traitance.
- Former et tracerSensibilisation, registre des traitements, analyse d’impact si nécessaire.
La mesure la plus efficace reste la plus simple : remplacer les noms, comptes de tiers, IBAN et NIR par des balises avant l’envoi. Un contrôle des écritures, une explication de variation ou un commentaire de bilan se font très bien sur des données pseudonymisées. Nous comparons les méthodes possibles dans notre guide pour anonymiser ses données avant ChatGPT, et proposons un modèle de charte IA à adapter au cabinet.
Pour outiller cette règle, Tacite-IA repère sur le poste, avant l’envoi aux assistants IA dans Chrome et Edge, les IBAN, numéros de sécurité sociale, e-mails, noms précédés d’une civilité, données de santé et autres données sensibles, et propose une version anonymisée. Les fichiers Excel, Word ou PDF sont lus sur le poste : une copie texte anonymisée est envoyée à la place de l’original, et les PDF scannés, illisibles, sont signalés comme non vérifiables. L’analyse se fait sans IA et sans transmission du contenu à nos serveurs. Les applications de bureau, comme ChatGPT pour ordinateur, ne sont pas couvertes.
Questions fréquentes
Un expert-comptable peut-il utiliser ChatGPT ?
Rien n’interdit l’outil en tant que tel, mais l’expert-comptable est tenu au secret professionnel (article 21 de l’ordonnance du 19 septembre 1945) et au RGPD. Le Conseil national de l’ordre recommande de ne pas y charger de données personnelles ou confidentielles non anonymisées, comme des FEC, des DSN ou des e-mails clients.
Peut-on envoyer un FEC à ChatGPT ?
Un FEC contient l’ensemble des écritures de l’exercice, souvent avec des noms de clients, de fournisseurs ou de salariés. L’envoyer tel quel transmet ces données et des informations couvertes par le secret professionnel. Il est préférable de remplacer les libellés et comptes de tiers nominatifs avant toute analyse.
Le cabinet doit-il demander l’accord de ses clients pour utiliser une IA ?
Lorsque le cabinet agit comme sous-traitant au sens du RGPD, par exemple pour la paie, l’article 28 lui impose d’obtenir l’autorisation écrite préalable du client avant de recourir à un autre sous-traitant. Les lettres de mission et conventions de traitement méritent d’être relues sur ce point.
Quelle sanction en cas de violation du secret professionnel ?
L’article 226-13 du Code pénal prévoit un an d’emprisonnement et 15 000 euros d’amende pour la révélation d’une information à caractère secret par une personne qui en est dépositaire en raison de sa profession.
Sources
- Ordonnance n° 45-2138 du 19 septembre 1945, article 21 (secret professionnel des experts-comptables). Légifrance. Consulté le 8 octobre 2026.
- Code pénal, article 226-13 (atteinte au secret professionnel). Légifrance. Consulté le 8 octobre 2026.
- Règlement (UE) 2016/679 relatif à la protection des données (RGPD). EUR-Lex. Consulté le 5 octobre 2026.
- Livre des procédures fiscales, article L47 A (fichier des écritures comptables). Légifrance. Consulté le 8 octobre 2026.
- Qui peut me demander mon numéro de sécurité sociale (NIR) ?. CNIL. Consulté le 8 octobre 2026.
- Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative. CNIL, 18 juillet 2024. Consulté le 5 octobre 2026.
- Enterprise privacy at OpenAI. OpenAI, page mise à jour le 8 janvier 2026. Consulté le 5 octobre 2026.
- How OpenAI handles data in consumer services. OpenAI Help Center. Consulté le 5 octobre 2026.
- Comment utiliser ChatGPT ? Notice pour les cabinets d’expertise comptable. Conseil national de l’ordre des experts-comptables, 2024. Consulté le 8 octobre 2026.
- Enterprise data protection in Microsoft Copilot and Microsoft Copilot Chat. Microsoft Learn. Consulté le 5 octobre 2026.
- Is my data used for model training?. Anthropic Privacy Center. Consulté le 5 octobre 2026.
- Generative AI in Google Workspace Privacy Hub. Google Workspace. Consulté le 5 octobre 2026.
ChatGPT est une marque d’OpenAI, Copilot de Microsoft, Claude d’Anthropic, Gemini de Google, Cursor d’Anysphere. Les autres noms de produits cités appartiennent à leurs propriétaires respectifs. Tacite-IA n’est affilié à aucun de ces éditeurs. Article informatif, qui ne constitue pas un conseil juridique.