ChatGPT pour les cabinets d'avocats : outil utile ou risque pour la confidentialité ?

Les cabinets d'avocats ont de bonnes raisons de s'intéresser à ChatGPT. Un avocat peut s'en servir pour résumer de la documentation publique, améliorer un projet de texte, faire émerger des questions, expliquer un concept technique ou produire une première liste de vérification. Le même outil devient un problème de confidentialité dès que la requête contient des noms de clients, une stratégie juridique, des éléments de preuve, des communications privilégiées ou d'autres renseignements que le cabinet a l'obligation de protéger.

Cela ne rend pas ChatGPT automatiquement inapproprié pour le travail juridique. Cela signifie que les cabinets doivent distinguer les usages à faible risque du travail qui met en jeu des renseignements confidentiels ou privilégiés, puis s'assurer que le personnel connaît la différence.

Commencez par le devoir de confidentialité

Pour un avocat, la question n'est pas simplement de savoir si un fournisseur d'IA affirme que son produit est sécurisé. Les obligations déontologiques continuent de s'appliquer.

Le Code de déontologie du Barreau de l'Ontario exige des avocats qu'ils gardent strictement confidentiels les renseignements concernant les affaires de leurs clients, sous réserve d'exceptions limitées. Les règles précisent aussi que l'avocat doit comprendre les avantages et les risques des technologies pertinentes pour sa pratique.

Les orientations de l'Association du Barreau canadien sur l'intelligence artificielle font directement le lien avec l'IA générative. Elles avertissent que saisir des renseignements confidentiels ou propres à un dossier dans des systèmes d'IA tiers peut créer des risques de confidentialité, et précisent que l'avocat doit raisonnablement s'assurer de la sécurité d'un système d'IA avant de l'utiliser.

Une politique de cabinet efficace devrait donc partir d'une règle simple : ne pas verser de renseignements confidentiels dans un outil d'IA simplement parce que la tâche paraît courante.

Toutes les tâches juridiques ne comportent pas le même risque

Demander à ChatGPT de produire une liste de vérification générique pour un interrogatoire n'a rien à voir avec lui demander de résumer la déclaration d'un témoin.

Les usages à faible risque comprennent la recherche d'idées à partir d'information publique, la réécriture de textes non confidentiels, la création de modèles génériques ou l'explication de concepts généraux. Les usages à risque élevé comprennent le téléversement de contrats, d'éléments de communication de la preuve, de courriels de clients, de dossiers médicaux, de documents financiers, d'avis juridiques ou de la stratégie interne d'un dossier.

Un cabinet n'a pas à choisir entre l'usage sans restriction et l'interdiction totale. Il peut approuver des catégories de travail précises tout en exigeant un examen supplémentaire dès qu'il est question de données de clients ou de dossiers.

Vérifiez quel compte ChatGPT est utilisé

Le type de compte compte également.

OpenAI indique qu'il n'utilise pas par défaut les entrées ni les sorties de ChatGPT Business et de ChatGPT Enterprise pour entraîner ses modèles. Les données d'entreprise sont également chiffrées au repos et en transit.

Un cabinet qui approuve ChatGPT devrait préciser l'espace de travail exact que le personnel doit utiliser. Il ne faut pas présumer qu'un avocat utilisant un compte personnel bénéficie des mêmes contrôles organisationnels.

Même dans un environnement d'entreprise géré, « non utilisé pour l'entraînement » ne doit pas être interprété comme la permission de soumettre n'importe quel renseignement client. Le cabinet doit toujours tenir compte de la confidentialité, du secret professionnel, des obligations contractuelles, de la conservation, des accès et de la question de savoir si l'IA a réellement besoin de cette information.

Retirez les détails du client dont la tâche n'a pas besoin

La minimisation des données est l'une des mesures de protection les plus faciles à appliquer.

Supposons qu'un avocat veuille améliorer la formulation d'une mise à jour destinée à un client. ChatGPT peut avoir besoin de la structure et du ton du texte, mais probablement pas du nom réel du client, de sa raison sociale, de la valeur de la transaction, de la partie adverse ou du numéro de dossier.

Remplacer ces éléments par des espaces réservés neutres préserve l'utilité de la tâche tout en réduisant l'exposition.

Le même principe vaut pour les documents. Si une seule clause doit être analysée, ne téléversez pas automatiquement l'entente complète. Si l'IA peut travailler à partir d'un exemple fictif, il n'y a peut-être aucune raison de fournir de vraies données de client.

Soyez particulièrement prudent avec le secret professionnel

Confidentialité et secret professionnel de l'avocat sont liés, mais ne se confondent pas.

Le Barreau de l'Ontario explique que la confidentialité couvre un éventail plus large de renseignements sur le client, tandis que le secret professionnel protège généralement les communications confidentielles entre l'avocat et son client aux fins de demander ou de donner un avis juridique. Ce privilège appartient au client, et l'avocat a l'obligation positive de le protéger.

L'usage désinvolte de l'IA devient donc particulièrement risqué lorsque les requêtes contiennent des avis juridiques, des instructions du client, une stratégie de litige ou des communications nées de la relation avocat-client.

La question de savoir si une divulgation donnée porte atteinte au secret professionnel dépend des faits et de la juridiction. Un avocat ne devrait pas s'en remettre à une politique générale d'IA pour trancher une question qui exige une analyse juridique.

Vérifiez le résultat avant qu'il n'entre au dossier ou devant le tribunal

La confidentialité n'est qu'un aspect de l'usage sécuritaire de l'IA.

L'IA générative peut produire des propositions juridiques erronées, des sources inventées, des nuances manquantes ou une formulation plus catégorique que ne le justifie l'information sous-jacente. L'Association du Barreau canadien rappelle que l'avocat demeure responsable de sa compétence, de sa supervision et de son jugement professionnel indépendant lorsqu'il utilise l'IA générative.

Une bonne règle interne : le résultat de l'IA est un brouillon, pas une autorité. Les citations doivent être vérifiées à la source. Les propositions juridiques doivent être validées de façon indépendante. Tout avis important destiné à un client doit être revu par l'avocat responsable avant d'être transmis ou invoqué.

C'est particulièrement vrai pour les actes de procédure, les notes de recherche, les lettres d'opinion et tout ce qui pourrait modifier substantiellement la position d'un client.

Donnez au personnel une courte démarche de décision

Avant d'utiliser ChatGPT, posez-vous ces questions :

1. Est-ce que j'utilise le compte d'IA approuvé par le cabinet ?
2. La requête ou le fichier contient-il des renseignements de client, de dossier, confidentiels ou privilégiés ?
3. Puis-je accomplir la tâche avec de l'information publique, caviardée ou fictive ?
4. Ce type d'usage a-t-il été approuvé par le cabinet ?
5. Ai-je vérifié de façon indépendante tout résultat juridique ou factuel important ?

Les mêmes règles devraient s'appliquer aux avocats, aux stagiaires, aux parajuristes, aux adjoints et à tout autre membre du personnel ayant accès aux renseignements des clients.

ChatGPT peut être utile dans un cabinet, mais l'utilité n'efface pas les obligations professionnelles. Les cabinets en tirent le plus de valeur lorsqu'ils définissent clairement l'usage sécuritaire, gardent les renseignements clients non nécessaires hors des requêtes, utilisent des environnements d'entreprise approuvés et exigent une vérification humaine là où le jugement juridique importe. L'objectif est de faire en sorte que la commodité ne devienne jamais la raison pour laquelle des renseignements confidentiels sont traités à la légère.

La difficulté d'une démarche de décision, c'est qu'elle repose sur une personne pressée qui doit s'arrêter au bon moment. Une fois la requête envoyée, elle ne peut plus être rappelée, et son contenu devient assujetti aux conditions d'utilisation du fournisseur. C'est le principe sur lequel repose Sanitized AI : les détails du client et du dossier sont détectés et caviardés avant que la requête n'atteigne l'outil d'IA, et la personne reçoit une note en langage clair expliquant ce qui a été signalé, alors qu'il est encore temps de faire autrement.

L'étape à franchir ce trimestre est plus étroite qu'une politique d'IA à l'échelle du cabinet. Choisissez un groupe de pratique, demandez ce qui a réellement été collé dans un outil d'IA le mois dernier, et voyez si vos contrôles actuels l'auraient intercepté. Si vous souhaitez voir concrètement comment cela s'arrête au moment de la requête, demandez une démonstration.