Répondre au questionnaire client sur la sécurité de l'IA : ce que l'avocat externe doit pouvoir démontrer

Un conseiller juridique principal vous retourne votre lettre de mandat avec une pièce jointe : un questionnaire de quatorze questions sur la sécurité de l'IA, à remplir avant qu'il ne débloque le dossier. On y demande quels outils d'IA votre cabinet autorise, comment vous empêchez que les données du client soient saisies dans des outils publics, et ce qui se passe lorsque quelqu'un le fait quand même. L'associé qui a remporté l'appel d'offres doit maintenant répondre à des questions sur des contrôles que personne au cabinet n'a jamais documentés — et « nous demandons à nos avocats de ne pas le faire » ne survivra pas à la question suivante.

Cela arrive plus vite que la plupart des cabinets ne l'avaient prévu. Les clients — surtout les équipes juridiques internes des entreprises technologiques, des institutions financières et des organisations de santé réglementées — ont commencé à traiter leurs avocats externes comme n'importe quel autre fournisseur ayant accès à leurs informations les plus précieuses. Si un client applique déjà un programme de gouvernance de l'IA à l'interne, il s'attendra à ce que le cabinet détenant ses dossiers privilégiés en applique un aussi. Le questionnaire est le moment où votre posture informelle devient une déclaration contractuelle, susceptible d'être produite en preuve.

Ce que le questionnaire teste réellement

Les questions de surface portent sur les outils et les politiques. La véritable question sous-jacente est de savoir si le cabinet a une visibilité et un contrôle sur la destination des données du client une fois qu'elles entrent dans le navigateur d'un avocat. Un client assez averti pour envoyer le questionnaire sait que la réponse n'est pas une liste d'outils — c'est un compte rendu de la façon dont le cabinet gère l'écart entre la politique et le comportement.

Cet écart est bien documenté. Le sondage 2026 de Gartner a révélé que 88 % des employés ayant accès à une IA d'entreprise utilisent aussi des outils d'IA personnels pour le travail, et l'analyse 2025 de Cyberhaven a constaté que 82,8 % des documents juridiques saisis dans des outils d'IA aboutissent sur des comptes non professionnels. Alors quand un client demande « votre personnel utilise-t-il ChatGPT avec nos données », la réponse honnête pour la plupart des cabinets est : quelqu'un l'a probablement fait, sur un compte personnel que le cabinet ne peut pas voir, et le cabinet n'en a aucune trace dans un sens ou dans l'autre. Une réponse au questionnaire qui prétend le contraire sans preuve est une déclaration que le cabinet risque de ne pas pouvoir assumer.

Les meilleures réponses reformulent la question, la faisant passer de la prévention par l'interdiction à la diligence démontrable. Les clients ne croient pas réellement que vous pouvez empêcher chaque avocat de jamais toucher à un outil d'IA. Ils veulent savoir que, lorsque cela se produit, les données sensibles ont été interceptées avant de quitter le contrôle du cabinet — et que vous pouvez le prouver.

Le scénario que le questionnaire cherche à débusquer

Imaginez le dossier une fois que vous l'avez remporté. Une avocate en litige est sous pression pour une révision documentaire. Elle colle un lot de courriels internes du client dans un outil d'IA public afin d'obtenir rapidement un résumé de qui savait quoi et quand. La requête fonctionne à merveille. Elle vient aussi de déplacer les communications confidentielles du client hors du contrôle du cabinet — vers un outil où, une fois soumis, le contenu devient assujetti aux conditions d'utilisation du fournisseur, lesquelles peuvent accorder de larges droits de conservation et de traitement. Il n'y a pas de bouton de rappel. L'avocate n'a jamais perçu cela comme « envoyer des données du client à un fournisseur », parce qu'il n'y avait aucune boîte de dialogue de téléversement, aucune pièce jointe, aucune invite de sécurité. Juste un champ de texte.

Maintenant, faites le lien avec le questionnaire. Le client a demandé comment vous empêchez précisément cela. Si votre réponse est un document de politique, le collage de l'avocate l'a déjà contourné. Si votre réponse est une interdiction, elle a utilisé son compte personnel et le cabinet n'a aucun journal de l'événement. La seule réponse qui correspond réellement à ce qui s'est passé est celle où le contenu sensible a été identifié et caviardé avant que la requête n'atteigne l'outil — car après la soumission, il ne reste plus rien à contrôler.

C'est pourquoi les interdictions paraissent faibles sur un questionnaire et pourquoi elles échouent en pratique. Une interdiction que les gens contournent ne produit ni trace ni protection. Ce qu'un client averti recherche, c'est un contrôle qui agit au point d'entrée et qui laisse une piste prouvant qu'il a agi.

Construire une réponse que vous pouvez réellement assumer

Trois éléments transforment un questionnaire d'exercice embarrassant en avantage concurrentiel.

D'abord, la visibilité. Vous ne pouvez pas déclarer ce que vous ne pouvez pas voir. Un cabinet capable de décrire son usage de l'IA — où vont les requêtes, où se concentrent les violations de politique, quels groupes de pratique portent le plus d'exposition — répond à partir de preuves plutôt que d'espoirs. Notez la limite qui compte pour le privilège : le registre devrait consigner l'événement de politique, et non le contenu de ce que l'avocat a saisi. Vous voulez la preuve qu'un contrôle s'est déclenché, pas une seconde copie du matériel confidentiel du client dans un journal.

Ensuite, une protection au niveau des données qui résiste au comportement réel. Le contrôle doit intercepter les renseignements personnels, les données financières et le contenu privilégié du client à travers les outils que les gens utilisent réellement et les fichiers qu'ils téléversent, et il doit le faire avant la soumission. Point crucial : il devrait laisser passer la requête assainie — en caviardant les éléments sensibles tout en gardant la réponse utile — afin que les avocats obtiennent leur résultat et ne se sentent pas poussés vers un compte personnel pour accomplir leur travail.

Enfin, la formation sur le moment. Chaque fois qu'une requête risquée est arrêtée avec une explication en langage clair de ce qui a été signalé et pourquoi, l'avocat apprend la limite au moment exact où elle comptait. Avec le temps, cela produit quelque chose qu'un questionnaire adore : une trace mesurable montrant que vos gens s'améliorent dans l'usage sécuritaire de l'IA. Cette trace est aussi utile, à titre indicatif, si un cabinet doit un jour démontrer qu'il a pris des mesures raisonnables pour prévenir une divulgation — une preuve de garde-fous, présentée comme de la diligence, et non comme une garantie d'un résultat particulier.

C'est le principe sur lequel Sanitized AI est bâti : protéger les données au moment de la requête, former la personne pendant que cela se produit, et conserver une trace de l'événement de politique afin que le cabinet puisse démontrer son travail — quel que soit l'outil vers lequel l'avocat s'est tourné.

La question à se poser avant l'arrivée du prochain questionnaire

N'attendez pas qu'un client définisse votre posture en matière d'IA à votre place. Ce trimestre, sortez le questionnaire que vous redouteriez le plus de recevoir et répondez-y honnêtement, par écrit. Si l'une des réponses est « nous avons une politique » sans moyen de démontrer qu'elle a été suivie, c'est l'écart qu'un client trouvera en premier. Les cabinets qui traitent le questionnaire de sécurité de l'IA comme un signal de confiance client — quelque chose qu'ils peuvent remettre à un client de manière proactive — remporteront les dossiers que les cabinets s'appuyant encore sur une interdiction perdront discrètement.

Si vous voulez voir à quoi ressemble en pratique une réponse démontrable et étayée par des preuves, demandez une démonstration ou un échange préliminaire.