01
Le secret professionnel
Les experts-comptables, les salariés autorisés (art. 83 ter et 83 quater), les experts-comptables stagiaires et les professionnels autorisés à exercer partiellement l'activité sont tenus au secret professionnel dans les conditions et sous les peines de l'article 226-13 du Code pénal (ordonnance du 19 septembre 1945, art. 21). Cet article punit d'un an d'emprisonnement et de 15 000 euros d'amende la révélation d'une information à caractère secret par une personne qui en est dépositaire par état ou par profession.
Le code de déontologie y ajoute un devoir de discrétion dans l'utilisation de toutes les informations connues dans le cadre de l'activité (décret du 30 mars 2012, art. 147), et le professionnel s'assure que ses collaborateurs respectent ces règles (art. 148). Les articles cités ne traitent pas de l'outil numérique : au cabinet de pouvoir justifier que ce qu'il confie à un outil reste sous son contrôle.
02
RGPD : responsable de traitement ou sous-traitant
Le responsable du traitement détermine, seul ou avec d'autres, les finalités et les moyens du traitement. Le sous-traitant traite des données personnelles pour le compte du responsable (RGPD, art. 4, points 7 et 8).
Un cabinet peut être l'un ou l'autre selon la mission : la qualification se fait mission par mission, d'après ce que le cabinet décide réellement du traitement. Elle commande ce qui suit, en particulier les contrats à conclure avec le client et avec le fournisseur d'outil.
03
Fournisseurs d'IA, contrat et transferts hors UE
Le responsable ne fait appel qu'à des sous-traitants présentant des garanties suffisantes (art. 28, § 1). Le traitement est régi par un contrat qui prévoit notamment le traitement sur instruction documentée, la confidentialité des personnes autorisées, les mesures de sécurité, la suppression ou la restitution des données en fin de prestation et la possibilité d'audits (art. 28, § 3).
Si les données quittent l'Union, le chapitre V s'applique : un transfert vers un pays tiers n'a lieu que si ses conditions sont respectées (art. 44), sur la base d'une décision d'adéquation (art. 45) ou de garanties appropriées (art. 46).
04
Minimisation, pseudonymisation, analyse d'impact
Les données sont limitées à ce qui est nécessaire à la finalité (art. 5, § 1, c). La pseudonymisation figure parmi les mesures que le RGPD cite pour y parvenir (art. 25, § 1) et pour la sécurité (art. 32, § 1, a). Elle réduit le risque sans sortir les données du RGPD : des données pseudonymisées qui peuvent être attribuées à une personne avec des informations supplémentaires restent des informations concernant une personne identifiable (considérant 26).
Lorsqu'un traitement, en particulier par de nouvelles technologies, est susceptible d'engendrer un risque élevé pour les personnes, le responsable fait une analyse d'impact avant de traiter (art. 35, § 1). L'autorité de contrôle publie la liste des traitements qui en exigent une (art. 35, § 4). Elle n'est donc pas systématique.
05
Règlement sur l'IA : la maîtrise de l'IA
L'article 4 du règlement (UE) 2024/1689 impose aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel et par les autres personnes qui utilisent les systèmes pour leur compte, selon leurs connaissances, leur expérience et le contexte d'usage.
Le règlement (UE) 2026/1744 du 8 juillet 2026, en vigueur depuis le 27 juillet 2026, a remplacé cet article : l'obligation ne contraint plus à garantir un niveau spécifique de maîtrise par un individu. La version initiale, applicable depuis le 2 février 2025, parlait d'un niveau suffisant.
06
Règlement sur l'IA : ce qui vise un cabinet utilisateur
Celui qui utilise un système d'IA sous sa propre autorité, dans un cadre professionnel, est un « déployeur » (art. 3, point 4). Celui qui développe ou fait développer un système et le met en service sous son propre nom est un « fournisseur » (art. 3, points 3 et 11) : à examiner si le cabinet fait construire son outil.
Pour un déployeur, l'article 4 s'applique ; l'article 50 impose une information dans des cas précis (reconnaissance des émotions, hypertrucage, texte publié pour informer le public sur des questions d'intérêt public), applicable depuis le 2 août 2026 ; les obligations de l'article 26 ne visent que les systèmes à haut risque. L'annexe III en liste les domaines, dont le recrutement, les décisions sur les relations de travail et l'évaluation de la solvabilité des personnes physiques. Pour ceux-là, elles s'appliquent à partir du 2 décembre 2027.
07
La responsabilité sur les travaux
Le professionnel exerce avec compétence et conscience professionnelle, et donne son avis avec sincérité en apportant les réserves nécessaires (décret du 30 mars 2012, art. 145). Il doit à son client un devoir d'information et de conseil (art. 155). Pour les missions relevant de l'article 2 de l'ordonnance, le responsable de la mission est le garant de la réalisation de la mission et du rapport émis au nom du cabinet (norme de management de la qualité, NPMQ, § 27), et l'assurance de responsabilité civile couvre l'ensemble de ses travaux et activités (ordonnance de 1945, art. 17).
Aucun de ces textes ne prévoit de régime propre aux travaux produits avec un outil d'IA : le cabinet répond de ses livrables comme auparavant.
08
Une charte d'usage, un outil choisi en connaissance de cause
Aucun texte lu n'impose une charte sous ce nom. La NPMQ demande en revanche que le cabinet définisse des règles et applique des procédures sur ses ressources technologiques, internes ou externes (§ 21), et qu'il s'assure périodiquement de leur efficacité (§ 24). La charte d'usage est le document où ces règles s'écrivent pour l'IA : outils autorisés, données admises, relecture exigée.
Trois familles d'outils, une même série de questions : outil grand public, outil professionnel, solution sur mesure. Quel contrat, quelle conservation des données, quel hébergement, quel usage des contenus saisis, qui administre les accès, qui répond en cas d'incident ?
09
Conduite du changement : former, relire, mesurer
Former : l'article 4 du règlement, mais aussi l'obligation faite au cabinet de s'assurer que ses membres acquièrent et maintiennent les compétences appropriées (NPMQ, § 22). Relire : la NPMQ prévoit des procédures de supervision et de revue des dossiers, et demande aux équipes d'exercer leur jugement professionnel et leur esprit critique (§ 26).
Mesurer : un gain se constate sur des dossiers réels, avant et après, relecture comprise. Sans ce point de départ, l'efficacité de l'outil (§ 24) ne se vérifie pas.
Sources : Code pénal, art. 226-13 ; ordonnance n° 45-2138 du 19 septembre 1945, art. 17 et 21 ; décret n° 2012-432 du 30 mars 2012, art. 145, 147, 148 et 155 ; norme professionnelle de management de la qualité (NPMQ), arrêté du 30 mai 2024 en vigueur depuis le 1er janvier 2025, § 21, 22, 24, 26, 27 ; règlement (UE) 2016/679 (RGPD), art. 4, 5, 25, 28, 32, 35, 44 à 46 et considérant 26 ; règlement (UE) 2024/1689, art. 2, 3, 4, 26, 50, 113 et annexe III ; règlement (UE) 2026/1744 (JO du 24 juillet 2026), art. 1er, points 5 et 40. Textes lus dans leur version en vigueur au 21 octobre 2026.