Où partent vos emails quand une IA les traite ? Les six garanties à exiger

Modèle européen, hébergement UE, sous-traitants, zéro rétention, aucun entraînement, périmètre borné : la grille de contrôle avant de connecter un outil.

2026-10-14 — Équipe VoxNow — 8 min de lecture

Connecter un outil d'intelligence artificielle à une boîte mail d'avocat pose une question simple, et rarement posée franchement : combien d'entreprises voient passer ces données, et sous quel droit se trouvent-elles ? Tout le reste — les certifications affichées, les mentions rassurantes — découle de cette réponse.

Garantie 1 : un modèle soumis au droit européen

Le choix du modèle de langage détermine la juridiction applicable. Un modèle édité par une entreprise américaine expose au CLOUD Act, quelle que soit la localisation annoncée des serveurs : le droit américain permet à ses autorités d'exiger des données détenues par une entreprise soumise à sa juridiction.

Un modèle développé par une entreprise européenne échappe à ce régime. C'est le raisonnement qui conduit à privilégier un éditeur comme Mistral AI, société française, plutôt qu'une solution d'outre-Atlantique — non par préférence technique, mais par cohérence juridique avec le secret professionnel.

Garantie 2 : un hébergement dans l'Union

Le code qui fait tourner l'automatisation doit lui-même être hébergé quelque part. Un hébergeur européen comme OVHcloud, dont les centres de données se trouvent en France, maintient l'ensemble de la chaîne sous droit européen.

C'est un point que beaucoup de fournisseurs traitent par une formule vague — « données hébergées en Europe » — sans préciser si le traitement, lui, sort de l'Union.

Garantie 3 : compter les sous-traitants

C'est la garantie la plus révélatrice et la moins mise en avant. Chaque service supplémentaire dans la chaîne est une surface d'exposition, un contrat à vérifier, un maillon qui peut changer de propriétaire.

Un dispositif sobre repose sur deux ou trois acteurs identifiables nominativement. Dans le système décrit lors d'un webinaire consacré à l'IA au cabinet, ils sont exactement trois : le modèle de langage, l'hébergeur, et la messagerie professionnelle elle-même (rediffusion du webinaire).

Demandez la liste. Un fournisseur qui ne peut pas la produire en une phrase ne l'a pas conçue comme une contrainte.

Garantie 4 : la rétention zéro, qui se demande

Point mal connu : la plupart des fournisseurs de modèles conservent les requêtes trente jours par défaut, à des fins de maintenance et de détection d'abus. C'est légitime pour un usage grand public et inacceptable pour un cabinet.

Cette conservation se désactive — mais il faut le demander explicitement, généralement par une démarche auprès de l'éditeur. Dans le dispositif présenté lors du webinaire, l'activation de cette option a nécessité une demande motivée expliquant le contexte du secret professionnel des avocats.

La question à poser est donc précise : « la rétention est-elle désactivée sur mon flux, et pouvez-vous me le confirmer par écrit ? »

Garantie 5 : aucun entraînement sur vos données

C'est une clause distincte de la confidentialité, et c'est la confusion la plus courante. Un fournisseur peut s'engager à ne pas divulguer vos données tout en les utilisant pour améliorer son modèle.

Pour un cabinet, l'entraînement sur des emails clients est une brèche dans le secret professionnel, même sans divulgation directe. La clause doit figurer au contrat.

Garantie 6 : un périmètre d'action borné

La dernière garantie n'est pas technique mais fonctionnelle. Un système qui accède à votre boîte doit avoir un périmètre écrit : trier, classer, accuser réception. Rien d'autre.

Concrètement, il ne confirme jamais une ouverture de dossier, n'annonce pas de délai, ne prend pas position sur le fond, n'engage pas le cabinet sur une audience. Les réponses restent juridiquement neutres.

Le règlement européen (UE) 2024/1689 impose en outre une obligation de transparence lorsqu'une personne interagit avec un système d'intelligence artificielle.

Ce que dit le cadre général

Le RGPD impose des mesures de sécurité proportionnées au risque (Règlement (UE) 2016/679). Les emails d'un cabinet contiennent régulièrement des données sensibles — santé, situation familiale, procédures pénales — ce qui place le curseur haut. L'Autorité de protection des données est l'interlocuteur belge.

Le secret professionnel, rappelé par AVOCATS.BE comme fondement de la relation de confiance, s'étend à tout prestataire qui traite ces contenus. Ce n'est pas une obligation que vous transférez : c'est la vôtre, que le prestataire doit vous permettre de tenir.

La question à poser en premier

Avant les certifications et les schémas d'architecture, une seule question sépare les fournisseurs sérieux des autres : que se passe-t-il si je change mon mot de passe maintenant ?

Si la réponse est « vous perdez l'accès immédiatement », le contrôle vous appartient réellement. Si elle suppose une démarche auprès du prestataire, il ne vous appartient pas.

Questions fréquentes

Une certification ISO suffit-elle ?

Non. Une certification atteste d'un processus, pas d'une architecture. Deux fournisseurs également certifiés peuvent faire transiter vos données par des juridictions très différentes.

Faut-il un contrat de sous-traitance ?

Oui. Le RGPD l'exige dès qu'un tiers traite des données pour votre compte, et c'est le document qui matérialise les garanties évoquées ici.

Mes emails sont-ils stockés par l'outil ?

Ils ne doivent pas l'être. Dans une architecture correcte, l'email transite quelques secondes pour être analysé, puis rien n'est conservé côté prestataire : seule votre messagerie garde le message.

Que répondre à un client qui s'inquiète ?

Les faits : le nombre de sous-traitants, leur localisation, l'absence de rétention et d'entraînement. Un cabinet qui peut répondre précisément à ces quatre points inspire davantage confiance qu'un cabinet qui n'utilise aucun outil sans savoir pourquoi.

Le système, présenté à 150 avocats belges

Les garanties énumérées ici ne valent que vérifiées. Chiffrement dans le navigateur, hébergement chez OVH en France, aucun stockage de vos emails sur nos serveurs, accès révoqué à la seconde où vous changez votre mot de passe ContactOffice : ce sont des points à faire confirmer, pas à croire sur parole.

En juin 2026, nous avons présenté ce dispositif au cours d'un webinaire réunissant 150 avocats belges. Des confrères qui l'utilisent au quotidien y expliquent ce qui a changé concrètement dans leur boîte de réception, et ce qui n'a pas changé du tout.