Intelligence artificielle et secret professionnel : ce qu’un notaire doit vérifier avant de confier un dossier à un outil
Utiliser une IA dans un dossier notarial soulève une question qui dépasse la cybersécurité : que reçoit réellement l’outil, qui peut y accéder et quelles garanties permettent au notaire d’évaluer son utilisation?
À lire avant. Ce guide présente des questions de vérification à considérer lorsqu’un outil d’intelligence artificielle traite des renseignements provenant d’un dossier notarial. Il ne constitue pas un avis juridique. Le secret professionnel, la protection des renseignements personnels et les obligations professionnelles doivent être évalués selon le contexte propre à chaque utilisation.
L’intelligence artificielle peut reformuler un texte, résumer un document, extraire des informations d’un acte ou répondre à des questions sur un dossier. Pour une étude notariale, ces usages n’ont toutefois pas tous la même portée.
La première question n’est donc pas simplement : « cet outil d’IA est-il sécuritaire? »
Elle est plus précise : quelles informations lui sont réellement communiquées, à qui deviennent-elles accessibles et dans quelles conditions sont-elles traitées?
Cette distinction est importante parce que l’utilisation d’une technologie ne fait pas disparaître les obligations professionnelles du notaire. La Loi sur le notariat prévoit que le notaire doit conserver le secret des confidences reçues en raison de sa profession, et le Code de déontologie des notaires contient une section consacrée au secret professionnel et à la confidentialité.
Le secret professionnel demeure lorsque le travail devient numérique
L’article 14.1 de la Loi sur le notariat impose au notaire de conserver le secret des confidences reçues en raison de sa profession. Le Code de déontologie énonce également que le notaire est tenu au secret professionnel et encadre les circonstances dans lesquelles il peut en être relevé.
Le passage d’un document papier à un logiciel ne modifie donc pas, à lui seul, la nature de l’obligation.
La Chambre des notaires rappelle d’ailleurs que l’utilisation d’outils technologiques ne change pas l’obligation du notaire d’assurer la confidentialité et la protection des données personnelles qu’il recueille. Elle demande également aux notaires d’évaluer les solutions technologiques utilisées dans leur pratique et de s’assurer qu’elles répondent aux exigences applicables en matière de sécurité et de protection de l’information.
Pour un outil d’IA, cela signifie qu’il faut regarder ce qui se passe avec l’information, et non seulement les fonctionnalités visibles à l’écran.
Secret professionnel, renseignements personnels et sécurité : trois questions différentes
Ces notions se recoupent, mais elles ne sont pas interchangeables.
Le secret professionnel concerne notamment les renseignements protégés obtenus dans le cadre de la relation professionnelle.
La protection des renseignements personnels encadre la collecte, l’utilisation, la communication, la conservation et la protection des renseignements permettant de concerner ou d’identifier une personne.
La sécurité technologique concerne les mesures utilisées pour empêcher notamment l’accès non autorisé, la divulgation ou la perte de données.
Un fournisseur peut donc annoncer que ses communications sont chiffrées sans que cette seule information permette d’évaluer l’ensemble des enjeux liés au secret professionnel.
De la même manière, savoir qu’un document est stocké au Canada répond à une question de localisation, mais pas nécessairement aux autres : qui traite le document? À quelles fins? Pendant combien de temps? Quels sous-traitants interviennent? Le contenu peut-il être réutilisé?
C’est pourquoi notre guide sur la Loi 25 et les questions à poser à un fournisseur d’IA complète, mais ne remplace pas, l’analyse liée au secret professionnel.
Commencez par déterminer ce que l’IA reçoit réellement
L’expression « utiliser l’IA » recouvre des situations très différentes.
Comparer ces trois scénarios permet de le voir :
| Utilisation | Ce qui est transmis | Première question à examiner |
|---|---|---|
| Demander la reformulation d’un texte générique | Aucun renseignement propre à un dossier | Le contenu transmis contient-il néanmoins une information confidentielle? |
| Faire résumer un document préalablement anonymisé | Une version modifiée du document | L’anonymisation empêche-t-elle réellement d’identifier les personnes ou le dossier? |
| Téléverser un acte ou interroger le contenu d’un dossier | Tout ou partie du document professionnel | Qui reçoit et traite cette information, et sous quelles conditions? |
Le nom de l’outil ne suffit donc pas à déterminer le risque.
Deux fonctions offertes dans la même application peuvent aussi fonctionner différemment. Une fonction de correction grammaticale et une fonction permettant d’interroger l’intégralité d’un dossier n’impliquent pas nécessairement le même traitement des données.
Avant d’utiliser une fonction d’IA, il faut donc pouvoir répondre à une question très concrète :
qu’est-ce qui quitte l’environnement immédiat de l’étude lorsque j’appuie sur « envoyer »?
Quatre questions à poser avant de transmettre le contenu d’un dossier
1. Quelles informations sont envoyées?
Commencez par identifier précisément les données transmises.
S’agit-il d’une phrase isolée, d’un extrait, d’un acte complet, d’un certificat de localisation, d’une chaîne de titres ou de tout le dossier?
Il faut également distinguer le fichier original du texte qui peut en être extrait pour être traité par un modèle d’IA.
Une interface peut donner l’impression qu’un document « reste » dans un espace de travail alors qu’un traitement particulier exige qu’une partie de son contenu soit transmise à un autre service.
2. Qui peut recevoir cette information?
Le fournisseur visible n’est pas nécessairement le seul intervenant.
Une solution technologique peut dépendre de fournisseurs d’hébergement, de traitement documentaire ou d’autres services technologiques.
La Chambre des notaires indique que les fournisseurs de solutions technologiques utilisés dans la pratique notariale sont soumis à des obligations et responsabilités en matière de protection de l’information et de respect des normes professionnelles.
Pour une étude, la question utile est donc moins « quel est le nom du logiciel? » que :
quelles organisations peuvent avoir accès aux données nécessaires à son fonctionnement?
3. À quelles fins les données peuvent-elles être utilisées?
Un document confié à un logiciel peut servir uniquement à fournir le service demandé, mais les conditions applicables doivent être vérifiées.
Il faut notamment distinguer :
- le traitement nécessaire pour répondre à la demande de l’utilisateur;
- la conservation du contenu;
- l’analyse aux fins d’exploitation ou d’amélioration du service;
- l’utilisation éventuelle des données pour entraîner ou améliorer des modèles.
Une affirmation générale comme « vos données sont sécurisées » ne répond pas à ces questions.
Le fournisseur devrait être capable d’expliquer par écrit ce qui est fait des documents et des renseignements soumis au système.
4. Pouvez-vous vérifier les garanties annoncées?
Une promesse commerciale n’est pas la même chose qu’une information permettant une vérification professionnelle.
Pour chaque outil qui reçoit des données de dossier, cherchez des réponses précises sur :
- la localisation des données;
- les personnes ou fournisseurs susceptibles d’y accéder;
- les usages autorisés des documents;
- la conservation;
- les mesures de sécurité;
- les modalités applicables à la fin de la relation avec le fournisseur.
La Chambre des notaires recommande aux notaires d’évaluer les solutions technologiques utilisées dans leur pratique afin de s’assurer qu’elles répondent à leurs besoins et aux principales obligations applicables à la protection de l’information.
« Hébergé au Canada » ne répond pas à toutes les questions
La localisation des données est importante, mais elle ne devrait pas être utilisée comme raccourci pour répondre à toutes les questions de confidentialité.
Prenons un exemple.
Un fournisseur pourrait conserver un fichier sur un serveur canadien. Il reste alors pertinent de savoir si le contenu du fichier est transmis à un autre service pour être analysé, où ce traitement se produit et quelles conditions encadrent cette communication.
Inversement, connaître précisément les traitements réalisés permet de distinguer le lieu où un document est conservé du lieu où son contenu est traité.
Il faut donc poser séparément les questions suivantes :
- Où les documents sont-ils stockés?
- Où sont traitées les informations envoyées au modèle?
- Quels fournisseurs participent à ce traitement?
- Les informations sont-elles conservées ou réutilisées après la réponse?
Cette distinction évite de réduire toute l’analyse à une seule étiquette comme « données canadiennes ».
L’anonymisation aide, mais il faut vérifier ce qui reste identifiable
Retirer le nom du client ne suffit pas nécessairement à rendre un document anonyme.
Un dossier immobilier peut contenir une adresse, un numéro de lot, des dates précises, des noms de parties, des numéros d’inscription ou d’autres éléments permettant de retrouver l’immeuble ou les personnes concernées.
La bonne question n’est donc pas seulement :
« ai-je retiré le nom? »
mais plutôt :
« les informations restantes permettent-elles encore de rattacher ce contenu à une personne ou à un dossier déterminé? »
Cette réflexion est particulièrement importante lorsqu’un document est envoyé à un outil qui n’a pas été choisi ou évalué pour traiter des dossiers professionnels.
Ce qu’un fournisseur devrait pouvoir expliquer clairement
Avant de confier le contenu réel d’un dossier à un outil d’IA, une étude devrait être en mesure d’obtenir des réponses compréhensibles et suffisamment précises.
| Question | Ce que vous cherchez à établir |
|---|---|
| Que reçoit votre système? | Les documents, extraits et métadonnées réellement transmis |
| Où ces données sont-elles traitées? | Les lieux de stockage et de traitement |
| Qui intervient? | Le fournisseur et les sous-traitants pertinents |
| À quoi servent mes données? | Les usages permis et interdits |
| Servez-vous de mes documents pour entraîner des modèles? | Une réponse explicite sur la réutilisation |
| Combien de temps les conservez-vous? | Les règles de conservation |
| Comment les accès sont-ils protégés? | Les mesures de sécurité pertinentes |
Ces questions ne permettent pas, à elles seules, de conclure qu’un outil peut être utilisé dans toutes les situations. Elles permettent plutôt d’obtenir l’information nécessaire pour effectuer une analyse professionnelle éclairée.
Pour une grille plus détaillée consacrée à la protection des renseignements personnels, consultez les 10 questions à poser à un fournisseur d’IA.
Où se situe NotairIA
Pour les fonctions décrites sur la page Fonctionnalités de NotairIA, les dossiers, documents et comptes sont hébergés sur Microsoft Azure dans des régions canadiennes; les modèles d’IA qui lisent les documents sont hébergés au Canada; et les documents ne servent pas à entraîner des modèles.
Ces caractéristiques répondent à certaines des questions de vérification décrites dans ce guide. Elles ne déplacent pas l’analyse juridique : celle-ci demeure celle du notaire.
Questions fréquentes
Un notaire peut-il utiliser ChatGPT ou une autre intelligence artificielle?
Le nom du produit ne permet pas, à lui seul, de répondre à cette question. Il faut considérer l’usage envisagé, les renseignements transmis, les conditions applicables au service et les personnes ou organisations qui pourront traiter ces renseignements. Utiliser une IA avec un texte entièrement générique n’est pas la même situation que lui transmettre le contenu d’un dossier client.
Une IA hébergée au Canada protège-t-elle automatiquement le secret professionnel?
Non : la localisation répond à une partie de l’analyse seulement. Il faut également déterminer quelles données sont traitées, par qui, à quelles fins, selon quelles conditions de conservation et avec quelles mesures de protection. L’hébergement canadien est une information à vérifier, pas une conclusion juridique à lui seul.
Peut-on transmettre un document anonymisé à une IA?
L’anonymisation réduit certains risques seulement si elle empêche réellement de rattacher le contenu à une personne ou à un dossier. Retirer les noms peut être insuffisant lorsque subsistent une adresse, un numéro de lot, des dates, des numéros d’inscription ou d’autres renseignements permettant une réidentification. L’analyse dépend donc du document et du traitement envisagé.
Pour aller plus loin : Loi 25 et IA : 10 questions à poser à un fournisseur, Sécurité et confidentialité et les fonctionnalités de NotairIA.