Réseaux d'avocats internationaux : quelle gouvernance IA et données ?

Un cabinet parisien de taille intermédiaire vient de rejoindre un réseau de 80 cabinets indépendants répartis dans près de 60 pays. Sur le papier, c'est une bonne nouvelle de développement commercial. Dans les faits, c'est le déclencheur d'un problème que peu de directions de cabinets ont anticipé avec la rigueur qu'il mérite : comment échanger pièces, mémos et données de due diligence avec un confrère de Chicago, de Singapour ou de São Paulo, sans faire sortir les données de ses clients français d'un périmètre de confidentialité qu'aucun texte international ne protège de manière homogène.

C'est exactement la situation de Cloix Mendès-Gil, cabinet français qui vient d'adhérer à Globalaw, comme le rapporte Village Justice. L'article présente l'adhésion sous l'angle, légitime, de l'accompagnement international des clients. Il ne traite pas — ce n'est pas son objet — de la question qui se pose structurellement dès le lendemain de la signature : quel régime de gouvernance des données et de l'IA pour ces dossiers désormais co-traités avec des confrères soumis à d'autres cadres juridiques ?

Un réseau de cabinets indépendants n'est pas un cabinet unique

La première chose à comprendre, c'est que Globalaw — comme Lex Mundi, Meritas ou TerraLex dans un registre comparable — n'est pas une fusion ni une structure capitalistique commune. Ce sont des cabinets juridiquement distincts, avec des politiques de confidentialité, des outils informatiques et des obligations réglementaires propres à chaque juridiction. La coopération se fait dossier par dossier : une opération de M&A transfrontalière, un contentieux multi-juridictions, une structuration fiscale internationale.

Chaque collaboration de ce type génère un flux de documents entre entités : mémos de recherche, pièces de due diligence, projets de contrats, notes de stratégie contentieuse. Ce flux transite historiquement par e-mail, data room partagée ou, de plus en plus, par des outils de travail collaboratif intégrant de l'IA générative. C'est précisément à ce niveau que le régime de protection du client français peut se diluer sans qu'aucune des parties n'ait eu l'intention de l'affaiblir.

RGPD d'un côté, CLOUD Act de l'autre : deux logiques incompatibles

Le RGPD encadre les transferts de données personnelles hors Union européenne via les articles 44 à 50 : clauses contractuelles types, décisions d'adéquation, garanties appropriées. Depuis l'arrêt Schrems II de la Cour de justice de l'Union européenne (CJUE, 16 juillet 2020, aff. C-311/18), on sait que ces garanties contractuelles ne suffisent pas lorsque le droit du pays destinataire — en l'occurrence les États-Unis — permet aux autorités d'accéder aux données indépendamment du consentement du responsable de traitement. Le Comité européen de la protection des données (EDPB) a précisé, dans ses recommandations 01/2020, que des mesures supplémentaires techniques sont nécessaires dans ce cas, et que le chiffrement seul ne protège pas si le fournisseur détient les clés ou l'accès aux données en clair pour les traiter (ce qui est précisément le cas d'un outil d'IA générative qui doit lire le texte pour répondre).

De l'autre côté, le CLOUD Act américain de 2018 autorise les autorités US à exiger d'une entreprise américaine — ou de sa filiale — la communication de données qu'elle détient, où qu'elles soient physiquement stockées dans le monde. Cette extraterritorialité n'est pas théorique : c'est exactement le litige United States v. Microsoft Corp. (2018), où le gouvernement américain réclamait des e-mails stockés sur des serveurs irlandais de Microsoft, qui a été rendu sans objet par l'adoption du CLOUD Act pendant la procédure devant la Cour suprême — le Congrès ayant tranché la question en faveur de l'accès extraterritorial.

Pour un avocat français, l'article 66-5 de la loi du 31 décembre 1971 impose un secret professionnel qualifié d'absolu, général et d'ordre public, couvrant l'ensemble des correspondances, consultations et pièces du dossier. Ce secret n'est pas suspendu parce qu'un document a transité vers un confrère étranger membre du même réseau : la responsabilité déontologique reste celle du cabinet français qui a confié la pièce.

Le Conseil national des barreaux a lui-même rappelé, dans ses recommandations sur l'usage de l'intelligence artificielle générative par les avocats, que le recours à un outil tiers ne dispense jamais l'avocat de son obligation de confidentialité — c'est à lui de s'assurer que l'outil choisi, y compris ceux imposés ou recommandés par un réseau, respecte ce cadre.

Le piège de l'outil IA « mutualisé au niveau du réseau »

C'est là que le sujet devient concret et immédiat pour les cabinets qui rejoignent ce type de réseau. Plusieurs réseaux internationaux poussent, ou pousseront, leurs membres vers un outil d'IA générative commun, par souci de cohérence de marque et de gestion des connaissances partagées. Les options du marché sont connues et légitimes : Harvey (environ 100 000 avocats utilisateurs, 144 M$ d'ARR, valorisé 8 Md$ fin 2025, facturé 1 000 à 1 200 $/utilisateur/mois), CoCounsel de Thomson Reuters (250 à 500 $/utilisateur/mois), Lexis+ Protégé (500 à 1 000+ $/utilisateur/mois), ou encore des assistants généralistes d'entreprise comme Claude Cowork d'Anthropic. Aucun de ces outils n'est intrinsèquement défaillant — Harvey a d'ailleurs fait l'objet d'une étude Stanford mesurant un taux d'hallucination d'environ 1 réponse sur 6, un chiffre à mettre en perspective avec les processus de vérification humaine déjà en place dans les cabinets.

Le problème n'est pas la qualité du modèle, c'est l'architecture de contrôle. Lorsqu'un réseau déploie un de ces outils « globalement », le contrat est généralement signé par l'entité réseau ou par le cabinet pilote, pas par chaque cabinet membre individuellement. Les documents complets uploadés pour indexation, l'historique des requêtes, les permissions d'accès et les journaux d'usage se trouvent alors sur l'infrastructure du fournisseur, avec un responsable de traitement qui n'est pas nécessairement le cabinet français lui-même. Pour un dossier purement domestique, c'est déjà une question de gouvernance. Pour un dossier transfrontalier co-traité avec un confrère américain membre du réseau, le cabinet français perd la capacité de démontrer, pièce par pièce, où sont passées les données de son client.

Ce que change une architecture agent + index on-premise

La réponse structurelle n'est pas de refuser tout usage de LLM externe — ce serait à la fois irréaliste et contre-productif, les modèles les plus performants restant pour l'instant proposés par un nombre restreint de fournisseurs. La réponse consiste à séparer ce qui doit rester sous contrôle du cabinet de ce qui peut, ponctuellement et de façon minimisée, être envoyé à un modèle externe.

C'est le principe d'une IA privée pour cabinet d'avocats comme RAGbase Legal : l'agent d'orchestration, l'index vectoriel, les documents clients complets, les permissions par dossier et les journaux d'accès restent sur l'infrastructure du cabinet — serveur on-premise ou cloud privé maîtrisé. Seuls des extraits minimaux de texte, strictement nécessaires pour générer une réponse à une requête donnée, sont transmis au LLM choisi, selon les conditions contractuelles négociées directement par le cabinet avec ce fournisseur.

Concrètement, pour un dossier co-traité dans le cadre d'un réseau international :

• Le dossier complet — pièces de due diligence, correspondances, notes stratégiques — est indexé localement, jamais uploadé en bloc chez un tiers.
• Le cabinet décide, matière par matière, quel LLM interroger : un modèle européen pour les aspects les plus sensibles au regard du secret professionnel, un modèle plus performant pour des tâches de synthèse moins critiques, avec les clauses contractuelles afférentes documentées.
• Les logs d'accès permettent de reconstituer, en cas de contrôle de l'ordre ou de demande de la CNIL, qui a consulté quelle pièce, quand, et quel extrait a effectivement quitté l'infrastructure du cabinet.
• La recherche de jurisprudence IA et les mémos générés restent exploitables même si le cabinet change de fournisseur LLM ou si le réseau change d'outil recommandé — l'index et les connaissances capitalisées ne dépendent pas du vendeur de modèle.

L'écart coût est également structurant : les licences SaaS par siège (Harvey, CoCounsel, Protégé, Cowork) se facturent en centaines à plus de mille dollars par utilisateur et par mois, sur une base récurrente indéfinie, tandis qu'une architecture on-premise comme RAGbase Legal se déploie typiquement pour un investissement initial de 20 à 50 k$, sans dépendance à un abonnement par poste qui croît avec les effectifs du cabinet — un paramètre non négligeable pour un cabinet qui s'apprête à multiplier les collaborateurs impliqués dans des dossiers réseau.

Gouvernance pratique : ce qu'il faut documenter avant de collaborer

Rejoindre un réseau international comme Globalaw ne devrait pas être une décision uniquement commerciale. Elle implique, côté associé gérant et DSI, de formaliser quelques points avant le premier dossier partagé :

• Cartographier les flux par type de dossier : contentieux, M&A, conseil réglementaire n'ont pas le même niveau de sensibilité ni les mêmes contraintes de confidentialité.
• Clarifier si l'outil IA du réseau est optionnel ou imposé et, s'il est imposé, négocier une clause d'exception pour les dossiers purement domestiques ou particulièrement sensibles.
• Exiger une clause contractuelle de localisation précisant où sont hébergées les données partagées et qui est responsable de traitement au sens RGPD vis-à-vis du client final.
• Conserver une capacité d'audit propre, indépendante du réseau, sur les accès aux pièces transmises — un prérequis pour répondre à un contrôle ordinal ou à la CNIL.
• Prévoir une clause de réversibilité garantissant la suppression ou la restitution des données en cas de sortie du réseau ou de fin de collaboration sur un dossier.

Ce travail de cartographie est également celui que couvre notre guide IA pour cabinets, à mettre à jour dès qu'un cabinet franchit une étape d'internationalisation de ce type.

Une tendance de fond, pas un cas isolé

L'adhésion de Cloix Mendès-Gil à Globalaw n'est pas un événement isolé : la consolidation du marché juridique pousse un nombre croissant de cabinets français de taille intermédiaire à chercher dans les réseaux internationaux une alternative à la fusion ou à l'implantation directe à l'étranger. Mécaniquement, le volume de dossiers co-traités avec des juridictions hors RGPD va augmenter, tout comme la pression pour harmoniser les outils de travail au niveau du réseau — IA générative comprise.

Les cabinets qui auront anticipé une architecture de données et d'IA sous leur propre contrôle pourront participer pleinement à ces réseaux — gagner en vitesse de collaboration, en qualité de mémos partagés, en réactivité sur les due diligences transfrontalières — sans sacrifier l'argument qui justifie souvent le choix d'un cabinet français par un client exigeant : la garantie que son dossier reste protégé par un secret professionnel que le cabinet maîtrise de bout en bout, quel que soit le nombre de confrères impliqués dans l'affaire.

Avant de signer l'adhésion à un réseau international ou de déployer l'outil IA qu'il recommande, voici ce qu'il faut évaluer : qui héberge réellement les documents partagés, quelles clauses contractuelles encadrent l'accès par le fournisseur, et si votre cabinet conserve la capacité d'auditer, dossier par dossier, ce qui a quitté son infrastructure.