Gains :
- Capacité à transférer les concepts de secret professionnel et de documents confidentiels à l'utilisation de l'IA
- Capacité à déterminer quels documents peuvent être traités dans quels outils avec un système de classification
- Capacité à mettre en œuvre des garanties techniques et contractuelles qui empêchent que le privilège ne soit porté atteinte
L’un des principes du droit les plus sensibles est peut-être la confidentialité des communications entre l’avocat et son client. Cette confidentialité permet au client de tout dire sans hésitation à son avocat et constitue la base d’une bonne défense. À l’ère de l’intelligence artificielle (IA), ce principe fait face à une nouvelle menace : la saisie d’un document privilégié ou confidentiel dans un outil d’IA non sécurisé peut porter atteinte à la confidentialité, voire conduire dans certains cas à la perte du secret professionnel de l’avocat. Dans cette unité, nous apprendrons à classer les documents confidentiels et privilégiés, à déterminer quel document peut être traité sur quel support et à établir des garanties techniques et contractuelles qui protègent le privilège.
Clarifions les termes. Un document confidentiel est un document qui doit rester confidentiel par l'institution ou le client et ne doit pas être partagé avec des personnes non autorisées. Le secret professionnel de l’avocat est le principe selon lequel la communication entre un avocat et son client à des fins de conseil juridique est protégée et selon laquelle sa divulgation ne peut pas être forcée en cas de litige. La renonciation correspond à la perte de cette protection en divulguant des communications confidentielles à un tiers. L'assurance des données correspond aux engagements contractuels d'un outil tels que ne pas utiliser les données en formation, ne pas les stocker, ne pas les partager avec des tiers. La classification des documents consiste à étiqueter les documents en fonction de leur niveau de sensibilité.
Pourquoi le privilège est-il en danger ?
Le fondement du privilège réside dans la protection de la confidentialité. Lorsqu'une communication privilégiée est divulguée à un tiers, un tribunal peut décider que la communication n'est plus considérée comme confidentielle et que le privilège est donc perdu. Saisir un document privilégié dans un outil d'IA non sécurisé revient techniquement à transférer ce document vers le système d'un tiers (fournisseur d'outils). Si l'outil stocke, traite ou utilise des données dans la formation du modèle, cela peut être considéré comme une divulgation et le privilège peut devenir sans objet.
Le deuxième risque est celui de la confidentialité contractuelle : les engagements de confidentialité signés avec le client ou la contrepartie interdisent la saisie du document dans des systèmes non autorisés. Le troisième risque concerne le KVKK et les obligations en matière de protection des données (voir unité 9). Ces trois risques sont souvent regroupés dans un même document.
Attention : Chiffrer un document ou supprimer une discussion ultérieurement ne garantit pas le privilège. Ce qui est décisif, c'est l'outil dans lequel le document est saisi et si cet outil offre une garantie des données. Le privilège est maintenu avant d’entrer dans le véhicule sans documents.
Système de classification des documents
La bonne décision ne se prend pas en traitant chaque document de la même manière, mais en le classant selon sa sensibilité. Un simple diagramme en trois ou quatre étapes clarifie la question « quel document va où ? »
classe
exemple
utilisation de l'IA
Public/Public
Législation publiée, texte de presse
Gratuit dans chaque véhicule
Interne/Confidentiel
Politique intérieure, projet de contrat
Véhicule homologué et assuré uniquement
Secret client/Personnel
Dossier client, données personnelles
Outil homologué + masquage
privilégié
Avis juridique, stratégie de défense
En règle générale, il n'est pas saisi ; seul environnement certifié entièrement sécurisé
Votre rôle : un consultant en sécurité de l'information/confidentialité.Étiquetez le document suivant selon un schéma de classification :Classes : Public / Interne-Confidentiel / Client secret-Personnel / Privilégié.Résultat : (1) classe proposée et sa justification, (2) règle d'utilisation de l'IA pour cette classe, (3) balisage des sections du document qui peuvent être privilégiées (avis juridique, stratégie). En cas de doute, appliquez le principe de « l’arrondi à la classe supérieure » ; ne sous-estimez pas le document.<document>[texte ou description du document]</document>
Établir des assurances
La protection du privilège et de la confidentialité nécessite des mesures à la fois techniques et contractuelles. L’IA est utile pour compiler ces mesures dans une liste de contrôle et examiner les clauses pertinentes dans les contrats des fournisseurs.
Transformez les règles « utilisation de documents confidentiels/privilégiés dans les outils d'IA » en une liste de contrôle pour l'équipe juridique de notre organisation. Inclure : - Quelle classe de documents peut être traitée dans quel outil (matrice d'autorisation). - Règle par défaut pour les documents privilégiés : non renseignée. Écrivez chaque élément sous forme de chèque oui/non ; Marquez les zones où « l'approbation légale requise » est requise.
Il est également nécessaire de faire examiner le contrat fournisseur/outil : les conditions d’utilisation de l’outil d’IA que vous avez choisi apportent-elles réellement ces assurances ?
Examinez et déposez les conditions d'utilisation suivantes de l'outil d'IA en matière de confidentialité :| Sujet | Boitier en état (devis) | Est-ce suffisant | Risque | Recherchez : la durée et la finalité de conservation des données, l'utilisation dans la formation de modèles, le partage avec des tiers, la localisation des données, le droit à la suppression, l'engagement de confidentialité. Existe-t-il une assurance adéquate pour un document privilégié/confidentiel ? Dis-le-moi clairement ; Si vous n'êtes pas sûr, dites « examen juridique requis ». Rédaction de conclusions sans clauses/citations.
Le privilège ne concerne pas seulement la saisie du document dans l'outil, mais également l'endroit où les impressions sont stockées et avec qui elles sont partagées. Un résumé ou une analyse généré par l’IA peut également être considéré comme privilégié ; Le déplacer en dehors de l’équipe, vers un canal non sécurisé, pourrait également conduire à une exposition. Par conséquent, le cycle de vie du résultat doit être pris en compte du début à la fin.
Cartographiez le flux de travail suivant basé sur l'IA pour la confidentialité/les privilèges : quel risque pour la vie privée existe à chaque étape (document d'entrée, outil utilisé, sortie produite, où la sortie est stockée, personnes visualisant la sortie) ? Signalez les étapes qui pourraient porter atteinte aux privilèges et suggérez des mesures d’atténuation pour chacune (restriction d’accès, environnement sécurisé, masquage). Fournir une conclusion juridique définitive ; Marquez « approbation légale requise ».
Invite faible/Invite forte
Invite faible : résumez notre article d’avis juridique. [document privilégié apposé sur le véhicule non sécurisé]
Résultat : la stratégie de défense privilégiée est exposée au système d'un tiers non sécurisé. Même si la tâche est accomplie, le privilège devient controversé et la confidentialité est compromise.
Invite forte : [classification du premier document → Si "Privilégié", il n'est pas renseigné en règle générale + uniquement un environnement agréé entièrement sécurisé + les pièces nécessaires sont masquées + l'état du véhicule a été préalablement examiné]
Résultat : Guidé par la sensibilité du document ; Le contenu privilégié n'est soit pas accessible du tout, soit est traité uniquement dans un environnement approuvé avec une sécurité éprouvée.
Flux de décision
Avant de traiter un document avec l'IA, trois questions sont posées dans l'ordre : (1) Dans quelle classe appartient ce document ? (2) Quels moyens et conditions sont requis pour le cours ? (3) Puis-je réduire le risque en masquant ou en minimisant la partie que je dois saisir ? Pour les documents privilégiés, la réponse par défaut est « ne pas entrer » ; Une exception n'est possible qu'avec un environnement agréé par l'établissement et dont l'assurance est prouvée par contrat.
Trois mini-étuis
Cas 1 — Préservation du privilège. Un cabinet d’avocats résumerait sa note de stratégie de défense dans une affaire impliquant AI. L'invite de classification a étiqueté le document « Privilégié » et a montré que la règle par défaut était « aucune entrée ». L'équipe n'a jamais introduit le document dans le véhicule ; au lieu de cela, il a travaillé avec un cadre généralisé et non exclusif. Durant le litige, la partie adverse ne pouvait prétendre à aucune divulgation ; privilège préservé.
Cas 2 — Vérification de l'assurance du véhicule. Une organisation envisageait de traiter des projets de contrats confidentiels dans un outil d’IA. L'examen de l'état du véhicule a montré que le véhicule était capable d'utiliser les données dans la formation du modèle et que la période de conservation était incertaine. L'organisation a rejeté cet outil pour les documents confidentiels et est passée à une version entreprise certifiée pour laquelle elle a signé un accord d'assurance des données. Même travail, mais cette fois réalisé sans risque d’exposition.
Cas 3 — Valeur de la matrice d'autorisation. Dans une équipe juridique, chacun agissait différemment ; Certains saisissaient directement le dossier client, d’autres ne l’utilisaient pas du tout. Une fois la matrice d'autorisation classe de document-véhicule établie, les règles sont devenues claires : aucun document privilégié saisi, secret client seulement masqué et dans le véhicule agréé, document général gratuit. Au premier quart-temps, 3 tentatives illégales ont été interceptées et bloquées d'avance grâce à la matrice ; Un dossier documenté de conformité a été établi.
Erreurs courantes
- Saisir le document privilégié dans un véhicule non sécurisé. L'erreur la plus grave ; peut violer le privilège et la confidentialité.
- Ne pas classer les documents. Traiter chaque document de la même manière laisse les éléments sensibles sans protection.
- Ne pas vérifier l'état du véhicule. L'assurance ne peut être présumée sans connaître la politique de conservation/formation des données de l'outil.
- Penser que le cryptage/suppression suffit. Ce qui est déterminant, c'est l'outil dans lequel le document est saisi ; la suppression ultérieure n’annule pas la divulgation.
- Faire de l'exception la règle. La valeur par défaut dans un document privilégié est « ne pas entrer » ; L'exception ne se produit qu'avec une assurance probante.
- Ne pas institutionnaliser la matrice de consentement. Sans règles écrites, chacun prend ses propres décisions ; Des incohérences et des risques surviennent.
En résumé
Les documents confidentiels et privilégiés sont le domaine qui nécessite la plus grande attention lors de l’utilisation de l’IA. Ce qui est décisif, c'est le véhicule dans lequel le document est déposé : le fait de saisir un document privilégié dans un véhicule non sécurisé peut violer la confidentialité et le secret professionnel de l'avocat. Classez les documents par sensibilité, définissez des règles d'autorisation de l'outil pour chaque classe, définissez par défaut « ne pas saisir » sur les documents privilégiés, vérifiez les protections des données de l'outil à partir du contrat et appliquez ensemble le masquage/la minimisation. L'IA produit des classifications et des listes de contrôle ; Le professionnel compétent décide si un document peut être traité ou non.
Tâche de candidature
Définir trois documents de sensibilité différente (un public, un confidentiel, un privilégié, etc.). (1) Étiquetez chacun avec une invite de classification et déterminez la règle d'utilisation de l'IA. (2) Produisez une matrice d'autorisations de classe de document et une liste de contrôle pour votre équipe. (3) Faites examiner les conditions d'un outil que vous utilisez en termes de confidentialité et évaluez l'adéquation des assurances. (4) Mettre par écrit la règle par défaut « interdiction d'intrusion » pour le document privilégié.
liste de contrôle
- [ ] Le document est-il étiqueté selon sa classe de sensibilité avant traitement ?
- [ ] A-t-on déterminé quel outil peut être utilisé pour chaque classe ?
- [ ] La règle par défaut « interdiction d'intrusion » est-elle appliquée aux documents privilégiés ?
- [ ] Les garanties des données du véhicule utilisé ont-elles été vérifiées à partir des conditions ?
- [ ] Le masquage et la minimisation ont-ils été appliqués ?
- [ ] La matrice d'autorisation classe-outil de document a-t-elle été institutionnalisée ?
- [ ] Des étapes de notification/intervention sont-elles définies en cas de violation ?