⚖️
La frontière
du secret
du secret
PSEUDONOMIA est la référence de la pseudonymisation locale — et pour un dépositaire du secret, être la référence, c'est une architecture où la question « qui d'autre a vu ce dossier ? » a une réponse en un mot : personne.
Un an d'emprisonnement et 15 000 € d'amende : c'est ce que prévoit l'article 226-13 du Code pénal pour la révélation d'une information à caractère secret. À l'heure où chaque outil « pratique » est un cloud et chaque IA une API, la question n'est plus « cet outil est-il performant ? » mais « où passe le dossier ? ». Pseudonomia répond par l'architecture : le traitement est 100 % local, le document couvert par le secret ne quitte jamais votre poste, et seule une version pseudonymisée peut en sortir — si vous le décidez.
Le secret professionnel n'est pas une politique interne ni une bonne pratique : c'est une infraction pénale définie par le Code pénal, renforcée par des textes propres à chaque profession, et doublée d'un régime spécial pour tous ceux qui concourent à une procédure pénale.
Trois mots comptent ici. « Révélation » : le délit n'exige ni publication, ni préjudice, ni intention de nuire — porter l'information à la connaissance d'un tiers non autorisé suffit, et la jurisprudence constante de la chambre criminelle retient qu'un seul destinataire suffit, même s'il est lui-même tenu au secret. « Mission temporaire » : l'expert judiciaire, le traducteur, le médiateur commis par un juge sont couverts au même titre que l'avocat ou le médecin. « Dépositaire » : vous ne possédez pas le secret, vous le gardez pour autrui — c'est précisément pour cela qu'un contrat signé par vous ne peut pas en disposer.
On dit souvent « l'article 11 » tout court : c'est le secret de l'enquête et de l'instruction, à ne pas confondre avec le secret professionnel général de l'article 226-13. Depuis la loi du 22 décembre 2021 « pour la confiance dans l'institution judiciaire », sa violation n'est plus renvoyée aux peines de l'article 226-13 mais à celles, nettement plus lourdes, de l'article 434-7-2 du Code pénal : trois ans d'emprisonnement et 45 000 € d'amende pour la révélation à des tiers — le triple du secret général —, portés à cinq ans et 75 000 € lorsque la révélation vise des personnes susceptibles d'être impliquées afin d'entraver les investigations, et jusqu'à sept ans et 100 000 € en matière de criminalité organisée.
Trois régimes sont donc à tenir distincts : le secret professionnel général (art. 226-13 du Code pénal) ; l'obligation du technicien en matière civile (art. 244 du Code de procédure civile, qui lui interdit de révéler les informations étrangères à ce qu'il doit faire connaître dans son avis) ; et le secret de l'enquête et de l'instruction (art. 11 du CPP, sous les peines de l'art. 434-7-2). Ils se cumulent pour qui concourt à une procédure pénale : l'expert judiciaire commis au pénal, l'interprète, le technicien portent à la fois le secret de leur mission et celui de l'instruction. Déposer une pièce d'instruction dans un outil en ligne, c'est les exposer d'un même geste.
| Profession | Textes | Ce que couvre le secret |
|---|---|---|
| ⚖️ Avocat | Art. 66-5, loi du 31 déc. 1971 · art. 2 RIN · art. 226-13 CP | Général, absolu et illimité dans le temps : consultations, correspondances, notes d'entretien et, plus généralement, toutes les pièces du dossier — en conseil comme en défense. |
| 🔬 Expert judiciaire | Art. 226-13 CP (mission) · art. 244 CPC · art. 11 CPP (peines : art. 434-7-2 CP) | Tout ce qui est appris à l'occasion de la mission et n'a pas à figurer dans l'avis (art. 244 CPC) ; au pénal s'y ajoute le secret de l'enquête et de l'instruction, puni plus sévèrement que le secret général (3 ans / 45 000 €). |
| 🩺 Médecin & professions de santé | Art. L.1110-4 CSP · art. R.4127-4 CSP · art. 226-13 CP | Tout ce qui est confié, mais aussi tout ce qui est vu, entendu ou compris. Le secret survit au patient. L'hébergement numérique pour compte de tiers exige en outre la certification HDS (art. L.1111-8 CSP). |
| 📜 Notaire & commissaire de justice | Art. 226-13 CP (dépositaire par état) · règlements professionnels | Actes, successions, situations patrimoniales et familiales — l'officier public est le cas d'école du dépositaire « par état ». |
| 🧾 Expert-comptable & commissaire aux comptes | Art. 21, ord. n°45-2138 du 19 sept. 1945 · code de commerce (CAC) | Comptes, situations, rémunérations, faits appris en mission — y compris les données des salariés du client traitées pour la paie. |
| 🏦 Banquier & assureur | Art. L.511-33 CMF · art. 226-13 CP | Informations confidentielles sur les clients et leurs opérations : dossiers de crédit, sinistres, patrimoine. |
| 🏛️ Agents publics & magistrats | Art. L.121-6 et L.121-7 CGFP · statuts particuliers | Secret professionnel et discrétion professionnelle : dossiers d'usagers, informations détenues en service — dans les conditions des articles 226-13 et 226-14. |
Ce n'est pas une préférence technique ni un réflexe souverainiste. C'est une conséquence mécanique de la définition pénale du secret, que quatre réalités du cloud viennent percuter — dans l'ordre.
Révéler, c'est porter à la connaissance d'un tiers. Or confier un dossier à un service en ligne, c'est le remettre à une personne morale qui n'est ni votre client, ni votre juridiction, ni votre confrère : un tiers — qui s'appuie lui-même sur des sous-traitants, lesquels en ont d'autres. La liste des sous-traitants d'un SaaS courant compte des dizaines d'entrées, révisables par simple notification. Le secret que la loi vous confie personnellement se retrouve distribué le long d'une chaîne que vous ne connaissez pas et que vous ne pouvez pas auditer.
L'objection classique — « le prestataire promet de ne pas lire » — inverse la logique du texte : l'article 226-13 ne punit pas la lecture par le tiers, il punit la remise par le dépositaire. La promesse du destinataire ne change rien à l'acte de celui qui remet.
DPA article 28, clauses de confidentialité renforcées, engagements d'audit : ces instruments organisent la sous-traitance au sens du RGPD. Ils sont utiles — côté RGPD. Mais l'article 226-14 du Code pénal réserve les exceptions au secret aux « cas où la loi impose ou autorise la révélation » : la loi, pas l'annexe 3 d'un contrat de service. Un outil peut être parfaitement « RGPD-compatible » et laisser entière la question du secret : ce sont deux corps de règles cumulatifs, et le second ne connaît pas la signature électronique de votre prestataire.
Le CLOUD Act américain (2018) permet aux autorités des États-Unis d'exiger d'un fournisseur soumis au droit américain la remise des données qu'il contrôle, où qu'elles soient stockées — Francfort et Paris compris. La section 702 du FISA organise l'accès du renseignement. C'est exactement ce qui a conduit la Cour de justice de l'UE à invalider le Privacy Shield (arrêt Schrems II, 16 juillet 2020) ; le Data Privacy Framework qui l'a remplacé en 2023 reste contesté devant les juridictions européennes. Pour un dépositaire du secret, cela signifie une chose simple : chez un fournisseur exposé à ces lois, la confidentialité de votre dossier dépend d'une procédure étrangère à laquelle ni vous, ni votre client, ni votre juge ne serez parties.
L'État français en a tiré la conséquence pour lui-même : sa doctrine « cloud au centre » réserve les données sensibles à des offres qualifiées SecNumCloud par l'ANSSI, précisément parce que cette qualification exige une immunité aux législations extraterritoriales. Si l'État ne confie pas ses dossiers sensibles à un cloud non qualifié, le dépositaire d'un secret pénalement protégé a peu de raisons de faire moins.
Une IA en ligne ajoute ses propres étages : requêtes journalisées, contenus parfois réutilisés pour l'entraînement selon l'offre et les réglages, relecture humaine d'échantillons, hébergement et sous-traitance hors Union. C'est pourquoi les institutions professionnelles convergent — le Conseil national des barreaux pour les avocats, les ordres du secteur santé, les compagnies d'experts — vers la même recommandation : ne pas soumettre de données couvertes par le secret à une IA générative grand public. La CNIL, de son côté, rappelle dans ses recommandations sur l'IA que le régime des données confiées à ces services reste celui du RGPD — sans préjudice, donc, des secrets professionnels qui s'y superposent.
Le dossier reste entre les mains du seul dépositaire désigné par la loi : vous. Pas de tiers, pas de chaîne de sous-traitants, pas de législation étrangère. La question de la révélation ne se pose pas — il n'y a personne à qui révéler.
Un prestataire, ses sous-traitants, leurs juridictions. Des contrats qui organisent le RGPD mais ne peuvent pas déroger au Code pénal. Et pour les offres exposées au droit américain, un accès possible que ni vous ni votre client ne contrôlez.
Pseudonomia ne « gère » pas le risque de révélation : elle le supprime à la racine, en déplaçant la frontière. Tout le traitement s'exécute sur votre poste, et la seule chose qui puisse franchir la frontière — si vous le décidez — est une version dont les identités ont été retirées.
Détection, pseudonymisation, k-anonymité, exports : tout s'exécute sur le poste. Le moteur n'effectue aucune communication réseau — pas de cloud, pas d'API, pas de télémétrie. Vérifiable à l'audit, y compris pare-feu coupé : l'application fonctionne sur un poste déconnecté.
Le lien entre pseudonymes et identités réelles est conservé localement, chiffré, séparé des documents. Sans cette table, la version qui sort ne désigne personne — exactement la séparation qu'exigent l'article 4(5) du RGPD et les lignes directrices EDPB 01/2025.
L'export est un acte volontaire, explicite et journalisé. L'original couvert par le secret ne franchit jamais la frontière : ce qui part vers un confrère, un juge ou une IA est la version dont les identités ont été retirées — et c'est vous qui appuyez sur le bouton.
Chaque document traité, chaque export, chaque échange avec une IA est tracé dans des journaux locaux lisibles. Face à votre ordre, un auditeur ou un contradicteur, vous ne racontez pas ce que vous avez fait : vous le montrez.
PDF, Word, images océrisées : les pièces sont analysées sur le poste. Rien ne part, rien ne s'inscrit ailleurs.
Noms, adresses, NIR, SIREN, IBAN, identifiants étrangers via les packs pays — avec des rappels mesurés et publiés, pack par pack.
Chaque identité devient un pseudonyme stable ; la correspondance reste locale et chiffrée. La k-anonymité mesure ce que la version sortante permettrait encore de deviner.
Export d'une version pseudonymisée, copie via PseudoExpress avant un passage par une IA, ou couloir IA où l'assistant ne reçoit que des documents pseudonymisés sous noms neutres. Au retour, la dé-pseudonymisation se fait sur le poste, avec votre table.
Ce geste — retirer les identités avant toute diffusion — n'a rien d'exotique : c'est celui que la République applique à ses propres décisions de justice, pseudonymisées avant leur mise à disposition du public (art. L.111-13 du code de l'organisation judiciaire). Pseudonomia le met entre vos mains, pour vos dossiers, sans qu'ils quittent votre bureau.
Le RGPD ne lève pas le secret professionnel — il le reconnaît et s'y superpose. La même décision d'architecture répond aux deux régimes d'un seul geste.
| Règle | Ce qu'elle exige | Ce que le traitement local y répond |
|---|---|---|
| Art. 4(5) + EDPB 01/2025 | Pseudonymisation = données inexploitables sans informations supplémentaires, conservées séparément, sous mesures techniques et organisationnelles. | Table de correspondance locale, chiffrée, séparée des documents exportés. La séparation n'est pas une promesse : c'est la topologie. |
| Art. 5(1)(c) — minimisation | Ne traiter que les données adéquates, pertinentes, limitées au nécessaire. | Le tiers (confrère, juge, IA) ne reçoit que le nécessaire : le fond du document, identités retirées. |
| Art. 5(1)(f) & 32(1)(a) | Sécurité du traitement — la pseudonymisation est citée noir sur blanc comme mesure de sécurité. | La mesure est appliquée à la source, sur le poste, avant toute circulation — pas en aval chez un prestataire. |
| Art. 9 & 10 — données sensibles et pénales | Régimes renforcés pour la santé et les infractions/condamnations — le quotidien des cabinets, des experts et des juridictions. | Les dossiers médicaux et pénaux ne quittent pas le poste. Les paliers santé de Pseudonomia durcissent la détection quand le dossier l'exige. |
| Art. 25 — protection dès la conception | Le paramétrage le plus protecteur par défaut. | Il n'y a pas d'option cloud à désactiver : le mode le plus protecteur est le seul mode. |
| Art. 28 — sous-traitance | Encadrer contractuellement tout sous-traitant, l'auditer, contrôler sa chaîne. | Pour le traitement des documents : pas de sous-traitant du tout. Personne à auditer, chaîne vide — vous restez l'unique responsable de traitement, et le seul détenteur. |
| Chap. V (art. 44 s.) — transferts | Encadrer tout transfert hors UE : adéquation, clauses types, mesures supplémentaires post-Schrems II. | Aucun transfert — la question ne se pose pas. Pas de clauses types à empiler, pas d'analyse d'impact de transfert à tenir à jour. |
| Art. 35 — AIPD | Analyse d'impact pour les traitements à risque élevé. | Périmètre radicalement réduit et documentable : le module RGPD fournit registre et éléments d'analyse, les journaux fournissent la preuve. |
| Art. 90 & 14(5)(d) | Le RGPD ménage expressément les obligations de secret professionnel — jusque dans les pouvoirs des autorités de contrôle. | La confirmation que secret et protection des données sont deux régimes cumulatifs. L'architecture locale satisfait les deux d'un même geste. |
Le règlement (UE) 2024/1689 sur l'intelligence artificielle est entré en application par étapes — et l'étape qui concerne les professions du secret vient d'arriver.
L'annexe III du règlement classe à haut risque les systèmes d'IA utilisés dans des domaines qui recoupent presque exactement la carte des professions du secret : l'administration de la justice (point 8 — les systèmes destinés à assister une autorité judiciaire dans la recherche et l'interprétation des faits et du droit), l'emploi et la gestion des travailleurs (point 4), l'accès aux services essentiels, privés et publics — crédit, tarification en assurance vie et santé (point 5), la répression pénale (point 6), la biométrie (point 1). Un cabinet, une étude, une compagnie d'experts ou une direction juridique qui outille ses dossiers avec de l'IA entre dans ce paysage — au minimum comme déployeur.
| Obligation (AI Act) | Ce que ça exige | Ce que Pseudonomia apporte |
|---|---|---|
| Art. 4 — maîtrise de l'IA | Un personnel formé à ce que l'IA peut et ne peut pas faire. | Une doctrine d'usage claire — la douane — et un centre d'aide intégré qui l'explique en langage métier. |
| Art. 26(1)-(2) — usage conforme, surveillance humaine | Utiliser les systèmes selon leur notice, sous le contrôle de personnes compétentes (art. 14). | La supervision humaine est structurelle : l'opérateur voit, corrige et valide chaque pseudonymisation avant toute sortie. Rien ne part automatiquement. |
| Art. 26(4) — contrôle des données d'entrée | Veiller à ce que les données d'entrée soient pertinentes au regard de la destination du système. | C'est le cœur du produit : l'IA ne reçoit que des documents pseudonymisés — des données d'entrée minimisées, pertinentes, débarrassées des identités. |
| Art. 26(6) — journaux | Conserver les journaux générés par le système à haut risque. | Le Journal d'activité IA trace localement ce qui a été montré à quelle IA, quand, sous quelle forme — votre pièce à l'appui, conservée chez vous. |
| Art. 50 — transparence | Signaler les contenus générés ou manipulés par IA. | Des journaux qui distinguent ce qui vient de l'opérateur, du moteur et d'une IA tierce — la matière première de vos mentions de transparence. |
Le même mécanisme — un dossier, un outil en ligne, un tiers de trop — se décline différemment selon les métiers. Voici les cas que nous rencontrons, et ce que le couloir local y change.
Le risque type : coller une consultation ou des conclusions dans une IA en ligne « pour améliorer le style » — c'est-à-dire remettre à un tiers des pièces couvertes par l'article 66-5. Le geste juste : PseudoExpress pseudonymise le presse-papiers avant l'IA, le Mode projet garde le dossier complet en local, et la dé-pseudonymisation restitue les identités au retour — chez vous.
Le rapport s'appuie sur des pièces couvertes, au pénal, par le secret de l'enquête et de l'instruction (art. 11 CPP — peines de l'art. 434-7-2, jusqu'à 3 ans et 45 000 €) et, au civil, par l'interdiction de révéler ce qui n'a pas à figurer dans l'avis (art. 244 CPC). Les verser dans un traducteur en ligne, un OCR cloud ou une IA, c'est les exposer d'un même geste. Avec Pseudonomia, l'analyse, l'OCR et la pseudonymisation se font sur le poste ; ce qui circule — si quelque chose doit circuler — ne désigne plus personne, et le journal en garde trace pour la juridiction.
Tout ce qui est vu, entendu ou compris est couvert (art. R.4127-4 CSP), et l'hébergement numérique pour compte de tiers exige la certification HDS (art. L.1111-8). Le traitement local coupe court : pas d'hébergement tiers du tout pour la pseudonymisation — le dossier reste au cabinet, et les paliers santé durcissent la détection quand le document l'exige.
Situations patrimoniales, familiales, successorales : le dépositaire « par état » ne peut pas les confier à un assistant de rédaction en ligne. Le couloir local permet le même usage — trame, reformulation, contrôle — sur des actes pseudonymisés, identités restituées à la fin, sur le poste de l'étude.
L'article 21 de l'ordonnance de 1945 couvre ce que l'expert-comptable apprend en mission — y compris les rémunérations des salariés de ses clients. Analyser une paie ou préparer une note avec une IA se fait sur données pseudonymisées ; les identifiants (NIR, IBAN, SIREN) sont précisément ce que les packs détectent le mieux.
Secret et discrétion professionnels (CGFP), doctrine « cloud au centre », exigence SecNumCloud pour le sensible : l'administration connaît déjà la règle. Le traitement local la dépasse : pour instruire, résumer ou préparer une réponse, le dossier de l'usager ne quitte pas le poste de l'agent — et la banque comme l'assurance (L.511-33 CMF) y retrouvent leur compte.
Une page qui parle de sanctions pénales vous doit une honnêteté totale sur les limites de l'outil. Les voici.
La pseudonymisation retire les identités ; elle ne retire pas la substance de l'affaire. Décider d'envoyer un document, même pseudonymisé, à un confrère, une juridiction ou une IA reste votre acte professionnel, apprécié selon vos règles déontologiques. Pseudonomia rend cette décision considérablement plus sûre — elle ne la prend pas à votre place.
Cette page décrit des textes et une architecture. Votre ordre, votre compagnie, votre déontologue ou votre DPO restent la référence pour votre situation. Nous rédigeons pour être vérifiables : chaque article cité peut être contrôlé sur Légifrance.
Nos rappels sont mesurés et publiés, pack par pack, et la relecture humaine avant toute sortie fait partie de la doctrine — c'est aussi ce qu'exige la supervision humaine de l'AI Act. Un outil qui vous promet l'infaillibilité vous prépare un dossier disciplinaire.
Pas de compte en ligne, pas de télémétrie, pas de « cloud de l'éditeur » : nous ne pouvons pas être le tiers de trop, et nous n'avons pas à vous demander de nous croire. Le moteur fonctionne pare-feu coupé ; votre RSSI peut le constater.
RGPD et AI Act article par article, la chaîne d'audit, le Journal d'activité IA : la conformité par l'architecture, en détail.
Vos collaborateurs utilisent déjà l'IA, souvent sans le dire. Pourquoi l'interdiction ne marche pas, et comment équiper plutôt qu'interdire.
Comment travailler avec un LLM sur des documents pseudonymisés sous noms neutres — sans que l'assistant ne voie jamais une identité réelle.
Ce qui est tracé, où c'est conservé, et comment le produire à un auditeur, un ordre ou une juridiction.