Fuite DGFiP : pourquoi les cabinets d'avocats sont une cible prioritaire

Si la Direction générale des Finances publiques — l'une des administrations les mieux dotées en moyens de cybersécurité de l'État français — peut voir les données de 678 000 contribuables compromises par un collectif cybercriminel, quelle est réellement la probabilité qu'un cabinet d'avocats de 50, 150 ou 300 collaborateurs résiste à une attaque équivalente ? La question n'est pas rhétorique. Elle est au cœur de ce que révèle l'affaire ZeroBytes, et elle devrait figurer en tête de l'ordre du jour de tout comité de direction de cabinet qui envisage de confier ses dossiers les plus sensibles à une IA générative hébergée à l'étranger.

Ce que l'affaire DGFiP révèle vraiment

Le collectif ZeroBytes a revendiqué la compromission du système d'information de la DGFiP, exposant les données de 678 000 contribuables. Dans son analyse de l'incident, Actu-Juridique souligne un point souvent négligé dans le débat public sur la cybersécurité : le lien entre cybercriminalité et criminalité organisée est largement sous-estimé. Il ne s'agit plus d'adolescents isolés testant des failles pour le sport, mais de filières structurées qui monétisent systématiquement les données volées — revente sur des marchés spécialisés, chantage ciblé, usurpation d'identité à des fins de fraude bancaire ou fiscale.

Ce constat change la nature du risque pour trois raisons.

Premièrement, une donnée volée n'est jamais un événement isolé : elle entre dans un écosystème de revente où elle est croisée avec d'autres bases pour construire des profils complets et des scénarios de fraude sophistiqués. Deuxièmement, la professionnalisation implique une persistance de l'attaque : un acteur organisé ne cherche pas une faille ponctuelle, il cartographie une cible dans la durée, teste plusieurs vecteurs, revient après un premier échec. Troisièmement — et c'est le point le plus inconfortable pour les directions de cabinets — si une administration dotée de budgets de sécurité étatiques, d'équipes SOC dédiées et d'obligations réglementaires strictes peut être compromise, l'argument « nous sommes trop petits pour intéresser les attaquants » ne tient plus.

Pourquoi un cabinet d'avocats est une cible plus rentable qu'un fichier fiscal

Un fichier de contribuables contient des données personnelles exploitables en masse mais de valeur unitaire relativement faible. Un dossier de cabinet d'avocats, lui, concentre une densité d'information stratégique sans équivalent dans l'économie privée :

• Un dossier de fusion-acquisition en cours contient des informations susceptibles de générer un délit d'initié si elles fuitent avant l'annonce publique.
• Un dossier de due diligence révèle les vulnérabilités financières, juridiques et opérationnelles d'une entreprise cible — une information monnayable auprès d'un concurrent ou d'un fonds activiste.
• Un dossier contentieux expose la stratégie de défense d'un client, ses points de faiblesse, ses marges de négociation — une information qui vaut cher pour la partie adverse.
• Un dossier de restructuration ou de procédure collective contient des données qui peuvent être utilisées pour anticiper des mouvements de marché.

Contrairement à une fuite de données fiscales qui alimente un marché de fraude relativement standardisé, une fuite de données de cabinet ouvre la porte à du chantage ciblé : un acteur organisé n'a pas besoin de revendre la donnée en masse, il peut directement monnayer son silence auprès du cabinet ou de son client. C'est un modèle économique plus rentable, avec un nombre de victimes potentielles plus restreint mais une valeur par cible beaucoup plus élevée.

Or les cabinets d'avocats, y compris ceux de taille significative, disposent en moyenne de moyens de cybersécurité très inférieurs à ceux d'une administration centrale : pas de SOC dédié, des équipes IT réduites, une dépendance croissante à des outils SaaS externes dont la sécurité échappe largement au contrôle du cabinet.

La surface d'attaque réelle des outils d'IA juridique

L'essor des assistants IA dans les cabinets — recherche de jurisprudence, rédaction assistée, due diligence automatisée — a multiplié les points d'entrée potentiels. Chaque solution SaaS connectée aux dossiers du cabinet constitue un vecteur d'exfiltration supplémentaire, indépendamment de la qualité intrinsèque du modèle de langage utilisé.

Le sujet n'est pas binaire. Il ne s'agit pas d'opposer « cloud dangereux » et « on-premise sûr » de façon simpliste — un fournisseur cloud sérieux applique des mesures de sécurité robustes. Le sujet est architectural : qu'est-ce qui transite, où, et sous quel contrôle ?

Cette comparaison n'est pas un procès à charge contre les éditeurs SaaS — Harvey revendique aujourd'hui environ 100 000 avocats utilisateurs, 144 M$ d'ARR et une valorisation de 8 Md$ fin 2025, ce qui traduit une adoption réelle et des investissements sécurité significatifs de leur part. Elle pose une question de gouvernance : pour les charges de travail les plus sensibles — dossiers sous embargo, due diligence pré-signature, contentieux stratégiques — le cabinet veut-il que ses documents complets transitent, même temporairement, par l'infrastructure d'un tiers ?

L'architecture RAGbase Legal : séparer ce qui reste et ce qui part

La réponse de RAGbase Legal repose sur une séparation nette entre deux couches.

Ce qui reste sur l'infrastructure du cabinet :

• Les documents complets (contrats, mémoires, pièces de procédure, rapports de due diligence)
• L'index et le vector store construits à partir de ces documents
• Les permissions d'accès par utilisateur, par dossier, par muraille de Chine interne
• Les logs d'audit complets — qui a interrogé quel dossier, à quel moment, pour quelle requête
• L'orchestration de l'agent lui-même : les workflows, les connecteurs vers les outils internes du cabinet

Ce qui peut quitter l'infrastructure, de façon strictement encadrée :

• Uniquement les extraits minimaux (chunks) nécessaires pour formuler une réponse précise, envoyés au fournisseur LLM choisi par le cabinet selon les conditions contractuelles négociées avec ce fournisseur.

Cette architecture ne prétend pas supprimer tout flux externe — un modèle de langage performant reste nécessaire pour produire des réponses de qualité, et RAGbase Legal peut s'interfacer avec différents fournisseurs selon les préférences du cabinet. Ce qui change, c'est l'échelle du risque : au lieu de transmettre des documents entiers, souvent avec leurs métadonnées, à un tiers hébergeur externe, seul un fragment ciblé et contextualisé sort de l'infrastructure, pour une requête donnée, avec traçabilité complète côté cabinet.

Pour un DSI de cabinet, cette distinction change la nature de l'audit de sécurité : au lieu de devoir faire confiance à la politique de rétention et de sécurité d'un fournisseur SaaS tiers pour l'intégralité du fonds documentaire, le cabinet audite son propre système pour l'essentiel du périmètre, et ne délègue que l'inférence ponctuelle. C'est la logique déjà appliquée dans des déploiements comme celui d'El Murshid, où 26 000 dossiers ont été indexés en interne avec des gains de temps de rédaction documentés entre 5 % et 70 % selon les typologies de dossiers — sans que l'intégralité du fonds documentaire ne transite en continu vers un tiers.

Cette approche s'applique aussi bien à la recherche de jurisprudence IA qu'aux workflows de due diligence ou de revue contractuelle : l'agent travaille sur l'index local, ne remonte que les extraits strictement nécessaires au modèle, et conserve une traçabilité complète de chaque interaction pour les besoins d'audit ou de contrôle déontologique.

Le vrai calcul : coût d'une fuite versus coût d'une infrastructure maîtrisée

Les avocats ont un rapport particulier au secret professionnel : il n'est pas qu'une obligation déontologique, c'est un pilier de la confiance client. L'article 226-13 du Code pénal sanctionne la violation du secret professionnel, et le Règlement intérieur national de la profession d'avocat (article 2.1) en fait un principe essentiel et général s'imposant en toutes matières. Le Règlement général sur la protection des données, dans son article 32, impose par ailleurs une obligation de sécurité « appropriée au risque » — une formulation qui engage directement la responsabilité du cabinet en tant que responsable de traitement, indépendamment de la faute éventuelle d'un sous-traitant technologique.

Concrètement, une fuite massive de données chez un cabinet d'avocats génère plusieurs lignes de coût qui se cumulent :

• Responsabilité professionnelle : mise en jeu de l'assurance RC pro du cabinet, avec risque de franchise élevée et de hausse de prime les années suivantes.
• Image et perte de clients : un cabinet dont les dossiers M&A ou contentieux fuitent perd un actif difficile à reconstituer — la confiance.
• Sanctions CNIL potentielles en cas de manquement caractérisé aux obligations de sécurité de l'article 32 du RGPD.
• Risque déontologique devant le conseil de discipline du barreau, en cas de manquement avéré au secret professionnel.
• Coût de remédiation : audit post-incident, notification aux clients et à la CNIL, renforcement de l'infrastructure dans l'urgence — souvent à un coût supérieur à celui d'un investissement préventif.

Face à cela, l'investissement dans une architecture on-premise maîtrisée se situe dans une fourchette de 20 000 à 50 000 dollars en coût initial, sans les coûts récurrents par utilisateur qui s'accumulent avec les solutions SaaS premium — Harvey se positionnant entre 1 000 et 1 200 USD par utilisateur et par mois, Lexis+ Protégé entre 500 et plus de 1 000 USD, CoCounsel entre 250 et 500 USD. Sur un cabinet de 50 avocats, l'écart de coût total de possession sur trois ans devient un argument financier à part entière, indépendamment même de l'argument sécurité.

Ce que cela signifie pour les comités de direction de cabinets

L'affaire DGFiP ne doit pas être lue comme un incident isolé propre au secteur public. Elle doit être lue comme un signal : la professionnalisation de la cybercriminalité organisée rend obsolète l'idée qu'une structure de taille moyenne, même sans profil médiatique, est à l'abri. Les cabinets d'avocats, par la densité de valeur stratégique de leurs dossiers, se situent probablement plus haut que la moyenne dans la hiérarchie des cibles rentables pour ces réseaux.

La question que doit se poser chaque associé gérant n'est pas « utilisons-nous l'IA ou pas », mais « quelles données quittent réellement notre infrastructure, vers qui, et sous quelles conditions contractuelles et juridictionnelles ». C'est le point de départ d'une discussion mature sur l'architecture — bien plus pertinente que le choix d'un éditeur plutôt qu'un autre. Pour approfondir ce cadrage, le guide IA pour cabinets détaille les critères d'évaluation à appliquer avant tout déploiement, et les options d'IA privée pour cabinet d'avocats permettent de comparer concrètement les architectures disponibles sur le marché.

Avant de signer le prochain contrat SaaS pour votre cabinet, posez trois questions simples à votre futur fournisseur : où sont hébergés les documents complets de vos clients, quelles juridictions peuvent théoriquement y accéder, et que se passe-t-il concrètement si leur infrastructure est compromise demain comme l'a été celle de la DGFiP. Les réponses détermineront si l'architecture choisie est à la hauteur du secret professionnel que vous vous êtes engagés à protéger.