IA en cabinet d'expertise comptable : RGPD, secret professionnel et AI Act

· Mis à jour le · Par Aymeric GuyardAymeric Guyard · 7 min de lecture

IA en cabinet d'expertise comptable : RGPD, secret professionnel et AI Act

En bref

  • L'IA s'installe dans les cabinets d'expertise comptable : OCR, révision assistée, prévisionnels, réponses clients. Le cabinet occupe une position particulière au regard du RGPD — une « triple casquette » — et reste tenu au secret professionnel. Encadrer l'IA est une condition de confiance vis-à-vis des clients.

La triple casquette du cabinet face à l'IA

  • Responsable de traitement pour ses propres données (RH, prospects, gestion interne).
  • Sous-traitant lorsqu'il traite les données que ses clients lui confient (paie, facturation).
  • Tiers de confiance soumis à des obligations professionnelles et déontologiques propres.

Chaque casquette emporte des obligations distinctes. Injecter des données clients dans un outil d'IA revient à créer une nouvelle sous-traitance : elle doit être encadrée (art. 28 RGPD), documentée et, souvent, portée à la connaissance du client. C'est le prolongement du sujet du DPO externalisé pour experts-comptables.

Usages de l'IA et niveau de risque

UsageRisque principalÀ mettre en place
OCR / saisie automatiséeSous-traitance non encadrée, transfert hors UEContrat art. 28, hébergement UE, registre
Révision / détection d'anomaliesQualité et biais des donnéesSupervision humaine, traçabilité
Prévisionnel / conseilFiabilité des sorties, responsabilitéValidation par l'expert, mention à la décision
Assistant client (chatbot)Transparence AI Act (art. 50)Information de l'interlocuteur

La clause « IA » à insérer dans la lettre de mission

Pour sécuriser la relation, une clause dédiée précise les outils d'IA utilisés, les finalités, les garanties (hébergement, non-réutilisation des données pour l'entraînement) et la faculté d'information du client. Elle transforme un risque en argument de sérieux.

Obligation souvent oubliée : la formation (art. 4 AI Act)

Depuis le 2 février 2025, toute organisation qui déploie de l'IA doit garantir un niveau suffisant de « maîtrise de l'IA » chez les personnes qui l'utilisent. Un cabinet doit donc sensibiliser ses collaborateurs — et pouvoir le prouver. Voir notre article sur l'obligation de formation de l'article 4.

Passez à l’action

Formez vos équipes à un usage conforme de l'IA et cartographiez vos systèmes d'IA avec Data Comply One.

Découvrir le logiciel AI Act →Tester ma conformité gratuitement

Questions fréquentes

Puis-je mettre les données de mes clients dans une IA ?

Uniquement si l'usage est encadré : outil avec hébergement dans l'UE, engagement de non-réutilisation des données pour l'entraînement, contrat de sous-traitance conforme à l'article 28 du RGPD, et information du client lorsque c'est nécessaire.

L'IA remet-elle en cause le secret professionnel du comptable ?

Non si elle est correctement encadrée. Le risque naît de l'usage d'outils grand public qui réutilisent ou exposent les données. Le secret impose de choisir des solutions maîtrisées et d'éviter tout partage non contrôlé.

Un cabinet comptable doit-il désigner un DPO ?

La désignation n'est pas systématiquement obligatoire, mais elle est fortement recommandée compte tenu du volume et de la sensibilité des données traitées pour le compte des clients. De nombreux cabinets optent pour un DPO externalisé.

Faut-il informer le client de l'usage d'une IA ?

C'est recommandé, et parfois requis au titre de la transparence. Une clause dans la lettre de mission et une information claire renforcent la relation de confiance.