La situation
Un cabinet de propriété intellectuelle de 25 personnes à Vancouver met à jour ses lettres de mandat. Un client du secteur des sciences de la vie veut savoir si le cabinet utilise l'IA générative et, le cas échéant, ce qui empêche ses recherches confidentielles d'aboutir dans le modèle de quelqu'un d'autre. Le directeur des opérations a rédigé une politique qui dit : « Aucun renseignement de client dans les outils d'IA publics. » L'associé directeur veut savoir si cela correspond aux attentes du Barreau de la Colombie-Britannique, et si une seule phrase suffit.
La réponse du Barreau est que les obligations habituelles s'appliquent, avec un accent particulier : garder les renseignements confidentiels des clients hors de l'outil, à moins d'avoir une raison valable et, au besoin, le consentement éclairé du client. Le plus difficile, c'est de faire respecter ce principe dans un bureau occupé.
Ce que disent réellement les règles
La ressource pratique
La ressource du Barreau, Guidance on Professional Responsibility and Generative AI, a été préparée en octobre 2023 et n'existe qu'en anglais. Elle traite de la compétence, de la confidentialité, de la franchise, de la responsabilité à l'égard du travail produit, de la sécurité de l'information, des exigences des tribunaux, des honoraires, du droit d'auteur, de la fraude et des biais. Le Barreau a depuis inscrit l'IA parmi ses priorités stratégiques, et cette page demeure l'endroit où vérifier les nouveautés.
La compétence (règle 3.1-2)
La règle 3.1-2 du BC Code exige que l'avocat fournisse tous ses services juridiques selon la norme d'un avocat compétent. En mars 2024, le Code a ajouté les commentaires [4.1] et [4.2] : la compétence comprend la compréhension des avantages et des risques de la technologie pertinente, compte tenu de l'obligation de protéger les renseignements confidentiels. Les lignes directrices ajoutent que l'avocat qui confie des tâches à l'IA générative doit bien connaître le fonctionnement de cette technologie.
La confidentialité (règle 3.3-1)
La règle 3.3-1 impose une stricte confidentialité, sauf exceptions très limitées. Les lignes directrices suggèrent qu'idéalement, les renseignements confidentiels du client, y compris tout ce qui permet de l'identifier, soient exclus de ce qui est fourni à un outil d'IA générative. Si le caviardage est impossible, l'avocat peut envisager le consentement éclairé du client, en s'appuyant sur les définitions de consentement et de divulgation de la règle 1.1-1. Les lignes directrices signalent deux risques que l'avocat doit pouvoir expliquer : l'outil peut réutiliser ce qu'il reçoit à des fins échappant à son contrôle, et son utilisation pourrait donner lieu à des arguments de renonciation au privilège. Notre article sur la façon dont une seule requête d'IA peut faire perdre le privilège examine ce second risque.
La supervision (règle 6.1-1)
La règle 6.1-1 confère à l'avocat l'entière responsabilité professionnelle des affaires qui lui sont confiées et l'oblige à superviser directement le personnel et les adjoints. Les lignes directrices reconnaissent que la règle visait la supervision humaine, mais y voient un rappel que l'avocat est responsable de tout le travail qu'il supervise, qu'il soit produit par du personnel ou par la technologie.
La sécurité des dossiers (règles 10-3 et 10-4)
Les lignes directrices renvoient aussi aux Law Society Rules. La règle 10-4 exige des mesures de sécurité raisonnables contre l'accès, l'utilisation ou la communication non autorisés des dossiers de la pratique, ainsi qu'un avis écrit immédiat au directeur général (Executive Director) si l'avocat a des raisons de croire qu'il a perdu la garde ou le contrôle de dossiers. Selon les lignes directrices, les outils d'IA méritent le même examen que tout autre logiciel.
Les tribunaux
La directive de dépôt de la Cour d'appel de la C.-B. rappelle aux parties qu'elles sont responsables de l'authenticité et de l'exactitude de tout ce qu'elles déposent.
Pourquoi les politiques et les interdictions ne suffisent pas
Une phrase de politique comme « aucun renseignement de client dans les outils d'IA publics » énonce correctement l'obligation. Elle ne dit à personne, sur le moment, que le paragraphe qu'on vient de copier contient un nom de client, une structure chimique ou une condition de licence. Les gens collent des blocs de texte entiers, et les détails identifiants suivent. Selon LayerX (2025), 71 % des connexions à l'IA générative passent par des comptes personnels, non liés à l'entreprise, sur lesquels un cabinet n'a généralement aucune visibilité.
Les interdictions déplacent le même comportement vers des appareils et des comptes personnels. L'obligation de supervision prévue à la règle 6.1-1 ne diminue pas parce que l'utilisation est cachée; il devient seulement plus difficile de démontrer qu'elle a été respectée. Et il n'y a pas de retour en arrière. Une fois que des renseignements confidentiels sont soumis à un outil d'IA public, ils ne peuvent pas être récupérés et deviennent assujettis aux conditions du fournisseur, qui peuvent permettre leur conservation, leur traitement par des sous-traitants et, dans certains cas, l'entraînement des modèles.
À quoi ressemble un contrôle pratique
Un cabinet de la C.-B. peut transformer ces lignes directrices en programme concret :
- Rédiger une politique courte et précise. Nommez les outils approuvés, les comptes à utiliser et les données à ne jamais saisir : noms et identifiants de clients, détails d'inventions, avis privilégiés, conditions de transactions et renseignements personnels.
- Évaluer chaque outil comme tout autre logiciel. Examinez les conditions, la conservation des données et la sécurité au regard des règles 10-3 et 10-4 avant l'approbation, et consignez la décision.
- Prévoir un parcours de consentement. Lorsque le caviardage n'est pas réaliste, préparez une divulgation en langage clair et consignez le consentement éclairé du client, comme le décrivent les lignes directrices.
- Former à l'embauche et au moment de la requête. Expliquez pourquoi les détails identifiants comptent, et pas seulement qu'ils sont interdits.
- Définir une réponse aux incidents. Décidez à l'avance qui évalue une exposition, si le client est informé et s'il faut examiner avec un conseiller juridique la nécessité d'un avis au Barreau en vertu de la règle 10-4.
- Vérifier les résultats séparément. La vérification des citations et de l'exactitude des actes de procédure reste l'affaire d'un avocat.
Si votre cabinet a déjà déployé un outil approuvé et que le personnel se tourne encore vers des comptes personnels, notre guide sur le déploiement d'outils approuvés et l'IA fantôme traite de cet écart. Les cabinets qui exercent aussi en Ontario peuvent comparer avec les lignes directrices du Barreau de l'Ontario.
Sanitized Ai est une extension de navigateur qui met en œuvre les étapes 1 et 4 dans le navigateur, là où se trouvent les outils d'IA. Lorsqu'une personne colle ou téléverse des identifiants de clients, des détails d'inventions, des renseignements personnels ou des conditions de transactions dans un assistant d'IA, l'extension détecte ces données, les caviarde ou bloque l'envoi avant la soumission, puis explique à la personne, en langage clair, ce qui a été signalé et pourquoi. Le détail confidentiel n'est pas soumis, et la personne apprend la politique au moment précis où elle s'applique. La couverture s'étend aux principaux assistants d'IA et continue de s'élargir.
Pour les avocats superviseurs, le tableau de bord d'administration présente les métadonnées des événements signalés (quel outil, quel type de données, quelle règle, quand) et n'affiche jamais le contenu des requêtes. Ce registre peut servir de preuve que des mesures de protection raisonnables étaient en place, sans que personne ne lise de texte privilégié. L'extension ne vérifie ni les citations ni l'exactitude juridique. Validez votre démarche auprès d'un conseiller en pratique du Barreau ou de votre conseiller juridique, et voyez comment elle s'intègre au travail d'un cabinet sur notre page consacrée aux cabinets d'avocats.