Politique d’usage de l’IA en direction juridique : la trame à adapter

Les outils d’IA générative sont accessibles en quelques clics. Dans une entreprise, un juriste ou un commercial peut donc y coller un projet de contrat sans que personne n’ait décidé si cet usage est acceptable. La politique sert d’abord à sortir de cette zone grise.

Deux textes de référence éclairent le sujet. La CNIL, dans ses questions-réponses du 18 juillet 2024 sur l’IA générative, invite à adopter une politique ou une charte interne qui précise les usages autorisés et interdits, et à former les utilisateurs. Le règlement européen sur l’IA, dans son article 4 modifié par le règlement (UE) 2026/1744 publié le 24 juillet 2026, demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l’IA par leur personnel, sans leur imposer de garantir un niveau spécifique.

La direction juridique rédige souvent le texte, mais elle ne peut pas décider seule. La FAQ de la CNIL souligne le rôle du DPO, en articulation avec le responsable de la sécurité des systèmes d’information. Elle évoque aussi un comité ou un référent éthique pour les usages sensibles.

Trois décisions de périmètre sont à prendre dès le départ :

• Les personnes. La politique vise-t-elle la seule équipe juridique, ou aussi les métiers qui manipulent des contrats, comme les achats et les ventes ?
• Les outils. Couvre-t-elle uniquement l’IA générative, ou aussi les fonctions d’IA intégrées aux logiciels déjà en place ?
• Les prestataires. Vos avocats et vos prestataires externes sont-ils concernés lorsqu’ils travaillent sur vos dossiers ?

Il faut enfin articuler ce document avec ce qui existe déjà : charte informatique, politique de sécurité, procédures RGPD. Selon votre organisation, sa mise en place peut aussi appeler une information ou une consultation des représentants du personnel, point à vérifier avec votre conseil.

Une liste à trois niveaux reste lisible et se met à jour facilement. Le classement ci-dessous n’est qu’un exemple de raisonnement : il dépend de vos outils, de vos engagements et de votre appétence au risque.

• Usage libre. Par exemple, reformuler un texte sans donnée confidentielle ou préparer une trame de formation.
• Usage encadré. Par exemple, résumer un contrat ou comparer une clause à une position interne, dans un outil validé et avec une relecture obligatoire.
• Usage exclu. Par exemple, envoyer un avis juridique à un client interne sans relecture, ou prendre seul une décision sur le fondement d’une sortie de l’IA.

Chaque usage encadré gagne à être rattaché à un outil précis, à une catégorie de données et à une règle de vérification. Une ligne de tableau suffit souvent. C’est le format proposé dans la trame.

C’est la rubrique la plus attendue, et souvent la plus difficile à arbitrer. Un contrat réunit fréquemment des données personnelles, des conditions commerciales et parfois un engagement de confidentialité envers un tiers.

La FAQ de la CNIL invite à ne saisir que ce que l’utilisateur est autorisé à partager, et à éviter les données personnelles ainsi que les informations couvertes par un secret. Pour les services grand public, elle mentionne l’usage d’adresses professionnelles dédiées et la désactivation, si possible, de la réutilisation des données par le fournisseur. L’ANSSI va plus loin dans son guide de 2024 sur l’IA générative : sa recommandation 34 proscrit les outils disponibles sur Internet pour un usage professionnel impliquant des données sensibles.

Les questions à trancher sont donc concrètes :

• Quelles catégories de données existent chez vous, et que peut recevoir chaque outil validé ?
• Faut-il anonymiser ou retirer certains éléments avant toute saisie, et qui contrôle ce point ?
• Comment traiter un contrat couvert par un accord de confidentialité avec un partenaire ?
• Des modèles de requêtes validés peuvent-ils réduire les erreurs de saisie ? La CNIL mentionne cette possibilité.

Un point à regarder en 2026 : les consultations des juristes d’entreprise. La loi n° 2026-122 du 23 février 2026 crée, sous conditions, une protection de confidentialité pour ces consultations. Selon l’analyse du cabinet Dechert publiée en mars 2026, elle entrera en vigueur à une date fixée par décret, au plus tard le 1er février 2027, et elle exige notamment une mention et un classement spécifiques. La politique peut donc prévoir comment ces documents sont traités dans les outils d’IA, après avis de votre conseil.

Une sortie d’IA peut être fausse tout en paraissant convaincante. La CNIL invite à ne jamais la reprendre telle quelle et à contrôler notamment son exactitude. Pour un juriste, le risque est connu : une référence inexistante ou une clause mal résumée. L’article sur les hallucinations de l’IA revient sur ce sujet.

Une règle générale de relecture ne suffit pas toujours. Elle devient plus utile lorsqu’elle répond à ces questions :

• Quelles vérifications sont obligatoires : retour au texte source, contrôle des références, contrôle des chiffres et des dates ?
• Qui valide, et à partir de quel niveau d’enjeu un second regard est-il exigé ?
• Faut-il signaler l’usage de l’IA dans un livrable, et à quel destinataire ?
• Quelle trace conserver : la requête, la réponse, la version retenue, le nom du relecteur ?

La politique devrait désigner une liste d’outils autorisés et la procédure pour en ajouter un. Sans cette procédure, les équipes testeront de nouveaux services en dehors de tout contrôle, souvent avec un compte personnel.

La validation d’un outil suppose d’examiner au moins le lieu de traitement, la conservation des données, leur éventuelle réutilisation, les sous-traitants et les garanties contractuelles. Notre article sur l’hébergement et la confidentialité détaille les questions à poser. Lorsque le fournisseur traite des données personnelles pour votre compte, l’article 28 du RGPD s’applique également.

Un document que personne ne lit ne protège pas grand monde. La CNIL recommande une formation adaptée, des contrôles réguliers et le recueil des retours des utilisateurs. Quelques décisions rendent cela praticable :

• Un propriétaire nommé. Une personne répond aux questions et tient la liste des outils à jour.
• Un point de contact. Les utilisateurs savent à qui signaler une erreur, un doute ou une saisie malencontreuse.
• Une date de révision. Les outils et les textes évoluent vite. Le calendrier du règlement sur l’IA a ainsi été modifié en 2026, comme l’explique notre article sur le Digital Omnibus.
• Un format court. Une page de règles pour les utilisateurs, et une annexe détaillée pour ceux qui en ont besoin.

Une politique d’usage peut s’appliquer à Docform comme à tout autre outil. L’IA y est intégrée au cycle contractuel : l’assistant propose, signale les points de vigilance et cite le passage source, et le juriste vérifie et décide. Le playbook traduit vos positions en règles d’analyse. Les droits et les rôles déterminent qui consulte chaque contrat, et les contrats sont hébergés en France. L’IA peut se tromper : la relecture reste nécessaire. Le détail des sous-traitants figure sur la page sécurité.