Le 22 octobre 2026, la CNIL a infligé une sanction de 7 millions d'euros à Fnac Darty Participations et Services et à Fnac Direct pour des manquements aux règles sur les cookies et traceurs de leur application mobile. Ce n'est pas une PME sans service juridique : c'est un groupe coté, doté d'un DPO, d'équipes conformité structurées et de moyens financiers considérables. Et pourtant, la CNIL a constaté un défaut de maîtrise des flux de données et de traçabilité du consentement suffisamment sérieux pour justifier l'une des sanctions les plus lourdes de l'année sur ce terrain (source CNIL).
Ce dossier n'a rien à voir, en apparence, avec l'intelligence artificielle juridique. Mais il dit quelque chose d'essentiel sur la nature du risque data en 2026 : la taille et les moyens de conformité ne protègent pas contre la sanction quand une organisation perd la visibilité sur où vont ses données et qui les traite. Pour un cabinet d'avocats qui envoie des pièces de dossiers, des mémoires ou des correspondances clients vers une IA SaaS hébergée aux États-Unis, la question n'est plus théorique. Elle est structurelle.
Ce que la CNIL a réellement sanctionné chez Fnac Darty
La sanction porte sur les traceurs déposés via l'application mobile, en dehors de tout consentement valable au sens de l'article 82 de la loi Informatique et Libertés et des lignes directrices cookies de la CNIL. Le montant — 7 millions d'euros — place ce dossier parmi les sanctions significatives de 2026, dans la lignée d'une doctrine CNIL déjà éprouvée sur les cookies depuis les sanctions historiques contre Google (150 millions d'euros en 2021) et Meta/Facebook (60 millions d'euros en 2022).
Ce qui frappe dans le cas Fnac Darty, ce n'est pas la nature technique du manquement — relativement classique — mais le fait qu'il révèle un défaut de cartographie interne. Une organisation de cette taille dispose d'outils de gestion du consentement (CMP), d'un registre des traitements, d'un DPO identifié. Malgré cela, la chaîne technique réelle — quels SDK tiers déposent quoi, à quel moment, avec quel consentement effectif — n'était pas maîtrisée au niveau opérationnel attendu par le régulateur.
C'est exactement le point de bascule qui doit alerter un cabinet d'avocats : la conformité documentaire ne suffit pas si elle ne correspond pas à la réalité des flux techniques. Un registre des traitements à jour, une politique de confidentialité conforme, un DPA signé avec un fournisseur SaaS ne valent rien si personne au cabinet ne peut dire précisément quelles données partent, vers quel sous-traitant, hébergées où, et pour combien de temps.
Le standard applicable aux cabinets d'avocats est structurellement plus exigeant
Un cabinet d'avocats cumule deux régimes de protection qui, pris ensemble, créent une exigence de maîtrise des données supérieure à celle d'un distributeur grand public.
Le secret professionnel de l'avocat est protégé par l'article 66-5 de la loi n° 71-1130 du 31 décembre 1971, qui couvre non seulement la correspondance avec le client mais l'ensemble des pièces du dossier. Sa violation expose, sur le plan pénal, à des poursuites sur le fondement de l'article 226-13 du Code pénal (un an d'emprisonnement et 15 000 euros d'amende). Ce secret n'est pas une politique de confidentialité contractuelle : c'est un ordre public professionnel, opposable y compris au client lui-même, et dont le manquement engage la responsabilité disciplinaire de l'avocat devant son bâtonnier.
Le RGPD s'applique en parallèle, avec ses obligations propres sur la sous-traitance (article 28), les transferts hors UE (articles 44 à 49) et la sécurité des traitements (article 32). La jurisprudence de la Cour de justice de l'Union européenne, en particulier l'arrêt Schrems II du 16 juillet 2020, a invalidé le Privacy Shield et complexifié durablement les transferts de données vers les États-Unis, obligeant les responsables de traitement à évaluer, cas par cas, le niveau de protection effectif offert par le droit américain — CLOUD Act compris.
Un cabinet qui envoie des extraits de dossiers vers une IA SaaS américaine n'a donc pas un seul référentiel à respecter, mais deux qui se superposent : s'il échoue sur le RGPD, il s'expose à une sanction CNIL ; s'il échoue sur le secret professionnel, il s'expose en plus à une mise en cause disciplinaire et pénale. La marge d'erreur est plus étroite que pour Fnac Darty.
Panorama des IA juridiques SaaS et de leurs flux de données
Le marché de l'IA juridique s'est professionnalisé rapidement. Harvey revendique environ 100 000 avocats utilisateurs, 144 millions de dollars d'ARR et une valorisation de 8 milliards de dollars fin 2025 — des chiffres qui traduisent une adoption réelle, pas un effet de mode. Mais l'adoption massive ne dit rien de la maîtrise des flux de données par chaque cabinet client.
| Solution | Modèle de tarification | Hébergement / flux | Ce que le cabinet maîtrise directement | |---|---|---| | Harvey | ~1 000-1 200 $/utilisateur/mois | Infrastructure cloud US, sous-traitance LLM tierce | Interface et usage, pas les flux techniques sous-jacents | | CoCounsel (Thomson Reuters) | ~250-500 $/utilisateur/mois | Infrastructure cloud, intégration LLM propriétaire | Paramétrage fonctionnel, visibilité limitée sur la chaîne technique | | Lexis+ Protégé | ~500-1 000+ $/utilisateur/mois | Infrastructure cloud, sous-traitants multiples | Idem : dépendance au DPA et aux SCC du fournisseur | | Claude Cowork (Anthropic, entreprise) | Ordre de grandeur estimé 200-400 $/utilisateur/mois | Cloud Anthropic, API | Contrôle via conditions d'entreprise, mais flux sortants par construction | | RAGbase Legal | 20-50 k$ one-time | Infrastructure du cabinet, extraits minimaux envoyés au LLM choisi | Agent, index, documents complets, permissions, logs — tout en local |
Ce tableau appelle une précision honnête : toutes ces solutions, RAGbase Legal compris, peuvent faire appel à un fournisseur LLM externe. La différence ne se joue pas sur « qui envoie des données dehors » versus « qui n'en envoie jamais ». Elle se joue sur l'architecture : que quitte-t-il réellement l'infrastructure du cabinet, et sous le contrôle de qui ?
Dans les solutions SaaS classiques, le cabinet transmet des documents entiers — mémoires, pièces, correspondances — à une plateforme tierce qui orchestre l'indexation, l'agent, le stockage vectoriel et les journaux d'usage sur ses propres serveurs. Le cabinet dépend alors intégralement du DPA, des sous-traitants en cascade et des conditions de transfert négociées par l'éditeur, qu'il ne contrôle ni ne peut auditer en détail.
Dans une architecture comme IA privée pour cabinet d'avocats, l'agent, l'index vectoriel, les documents complets, les permissions par dossier et les journaux d'activité restent hébergés sur l'infrastructure du cabinet. Seuls des extraits minimaux — des chunks de quelques centaines de mots, strictement nécessaires pour générer une réponse précise — sont, le cas échéant, transmis au fournisseur LLM choisi par le cabinet, selon ses propres conditions d'API contractualisées. Le document source, lui, ne quitte jamais le périmètre du cabinet.
Ce qu'un contrôle CNIL chercherait réellement dans un cabinet
La méthodologie de contrôle de la CNIL, telle qu'elle transparaît du dossier Fnac Darty, ne se limite pas à vérifier l'existence de documents de conformité. Elle reconstitue la réalité technique des flux. Appliquée à un cabinet utilisant une IA juridique, cette grille de lecture poserait des questions précises :
| Point de contrôle CNIL (type) | Réponse attendue avec un SaaS tiers | Réponse attendue avec une architecture on-premise |
|---|---|---|
| Quels sous-traitants reçoivent des données personnelles ? | Chaîne de sous-traitance de l'éditeur, parfois en cascade, difficile à auditer intégralement | Le cabinet connaît et contrôle chaque destinataire, y compris le fournisseur LLM final |
| Où sont stockées les données (localisation) ? | Souvent hors UE, ou UE avec reprise possible par la maison-mère US (CLOUD Act) | Sur l'infrastructure du cabinet ; seuls des extraits transitent vers le LLM |
| Le consentement/la base légale du traitement est-elle traçable techniquement ? | Dépend des logs fournis par l'éditeur, non modifiables par le cabinet | Logs natifs, conservés et auditables par le cabinet lui-même |
| Le responsable de traitement peut-il démontrer la minimisation (art. 5 RGPD) ? | Documents entiers transmis dans de nombreux cas d'usage | Chunks minimisés par construction, documentés par requête |
| Le secret professionnel est-il préservé en cas d'incident chez le sous-traitant ? | Dépendance totale à la sécurité et à la notification du fournisseur | Risque structurellement réduit : la donnée sensible reste locale |
Ce que révèle ce tableau, c'est que la conformité ne se joue pas au moment de la signature du contrat avec l'éditeur SaaS, mais au moment où un contrôleur CNIL — ou un adversaire dans un contentieux — demande : « montrez-moi précisément où va cette donnée, qui la traite, et comment vous le savez ». Fnac Darty avait, sur le papier, des réponses. Elle n'avait pas, dans les faits, une maîtrise suffisante pour les étayer techniquement.
Le coût de la non-maîtrise dépasse le montant de l'amende
Sept millions d'euros représentent un montant significatif, mais pour un cabinet d'avocats, le risque réel ne se limite pas au quantum d'une éventuelle sanction CNIL. Il inclut :
- Le risque disciplinaire devant l'Ordre, pour manquement au secret professionnel, cumulable avec une procédure pénale.
- Le risque contractuel vis-à-vis des clients grands comptes, qui intègrent de plus en plus des clauses de sécurité et de localisation des données dans leurs conventions d'honoraires.
- Le risque réputationnel, nettement plus coûteux pour un cabinet que pour un distributeur : la confidentialité est le cœur du produit vendu par un avocat.
- Le risque d'audit interne non anticipé : un cabinet qui ne peut pas répondre en quelques heures à la question « quels documents clients ont transité par quel outil IA, et sous quelle forme » se met en difficulté dès la première demande d'un client ou d'un assureur RC professionnelle.
C'est précisément cette dernière dimension — l'auditabilité immédiate — que la sanction Fnac Darty met en lumière. La CNIL ne sanctionne pas l'usage de cookies en soi, elle sanctionne l'incapacité à démontrer, techniquement et documentairement, la maîtrise du traitement. Un cabinet qui s'appuie sur une IA SaaS tierce pour traiter des pièces de dossiers hérite de cette même vulnérabilité : il peut avoir un DPA signé, une clause de conformité RGPD dans le contrat de licence, et malgré cela ne pas être en mesure de reconstituer, en cas de besoin, le parcours exact d'une donnée sensible.
Une architecture pensée pour l'auditabilité, pas pour la promesse commerciale
La réponse structurelle à ce risque n'est pas de renoncer à l'IA — les gains de productivité documentés, notamment sur la recherche de jurisprudence et la rédaction d'actes, sont réels et mesurables. Le cas El Murshid, avec 26 000 dossiers indexés et un gain de temps de rédaction compris entre 5 et 70 % selon les tâches, illustre que l'enjeu n'est pas d'éviter l'IA mais de choisir une architecture dont la surface de risque est connue et maîtrisée.
RAGbase Legal s'inscrit dans cette logique : l'agent, l'index documentaire, les permissions par dossier et par utilisateur, et les journaux d'activité sont déployés sur l'infrastructure du cabinet, pour un investissement de 20 à 50 000 dollars en licence one-time — sans abonnement par siège qui s'accumule avec le nombre d'avocats. Pour un cabinet de 50 avocats, le différentiel face à des licences Harvey ou Lexis+ Protégé facturées par utilisateur et par mois se compte rapidement en centaines de milliers de dollars sur trois ans, en plus de la question de maîtrise des flux.
Sur le terrain de la recherche de jurisprudence IA, cette architecture permet d'indexer l'intégralité de la base documentaire du cabinet — jurisprudence interne, mémoires, actes types — sans jamais transmettre ces documents complets à un tiers. Seuls des extraits ciblés, nécessaires à la génération d'une réponse, sont envoyés au LLM retenu par le cabinet, qu'il s'agisse d'un modèle propriétaire ou d'un fournisseur comme Anthropic ou OpenAI selon les conditions contractuelles négociées directement par le cabinet.
Ce que cela change pour les décisions d'infrastructure en 2026-2027
L'évolution réglementaire ne va pas dans le sens d'un assouplissement. La CNIL multiplie les contrôles sur les flux de données mobiles et cloud, et les cabinets d'avocats, en tant que responsables de traitement particulièrement exposés (secret professionnel + RGPD), seront logiquement scrutés avec au moins autant de rigueur que les acteurs du commerce en ligne. La sanction Fnac Darty n'est pas un signal isolé : elle confirme une doctrine désormais constante, où la taille et les moyens de l'organisation ne constituent pas une excuse, mais au contraire une attente renforcée de maîtrise technique.
Pour un comité de direction ou un DSI de cabinet, la question à se poser n'est donc plus « cette IA SaaS est-elle conforme sur le papier ? » mais « pouvons-nous reconstituer, en moins d'une journée, le parcours exact de n'importe quelle donnée client transmise à cet outil, et démontrer la minimisation appliquée ? ». Si la réponse est non, l'exposition existe, indépendamment du montant de l'abonnement payé à l'éditeur.
Avant de signer ou de renouveler un contrat IA en 2026, trois vérifications concrètes s'imposent : demander à l'éditeur la liste exhaustive de ses sous-traitants et leur localisation, vérifier si les documents complets ou seulement des extraits minimisés transitent vers le modèle, et tester en interne la capacité à produire, en quelques heures, un journal complet des traitements effectués sur un dossier donné. Le guide IA pour cabinets détaille la grille d'évaluation à appliquer, poste par poste, avant tout déploiement à l'échelle du cabinet.
Questions fréquentes
La sanction CNIL contre Fnac Darty concerne-t-elle directement les cabinets d'avocats ?
Les IA juridiques comme Harvey ou CoCounsel sont-elles illégales au regard du RGPD ?
Qu'est-ce qu'une architecture on-premise comme RAGbase Legal change concrètement ?
RAGbase construit des systèmes d'IA privés pour les cabinets d'avocats : déployés sur l'infrastructure du cabinet, zéro rétention de données, propriété complète.
Voyez RAGbase sur vos propres données
30 minutes en visio. Nous cadrons votre besoin et montrons le système en direct.