Lunettes connectées : la faille qui menace le secret professionnel

Un associé reçoit un client pour négocier les termes d'un pacte d'actionnaires sensible. Son collaborateur, qui prend des notes, porte des lunettes connectées achetées trois mois plus tôt — un cadeau, un gadget, un outil de productivité personnel. Personne au cabinet n'a validé cet usage, personne n'a interdit cet usage. Pendant toute la réunion, l'assistant IA embarqué dans les lunettes capte l'audio ambiant pour alimenter ses fonctions de transcription et de traduction en temps réel, et envoie ces flux vers les serveurs du fabricant, hors Union européenne, par défaut. Aucun document n'a quitté le cabinet. Aucun email n'a été mal adressé. Et pourtant, une partie substantielle du secret professionnel vient de transiter vers une infrastructure que ni l'associé, ni le DSI, ni l'Ordre ne contrôlent.

C'est exactement ce scénario que le Comité européen de la protection des données (CEPD) vient de formaliser dans sa dernière déclaration sur les lunettes connectées, assortie d'un rapport sociologique sur leurs usages. Pour les cabinets d'avocats français, ce texte n'est pas une alerte technologique abstraite : c'est le signal qu'un angle mort de gouvernance, jusqu'ici théorique, devient un risque opérationnel immédiat.

Ce que dit réellement le CEPD

Le CEPD a adopté une déclaration officielle sur les lunettes connectées lors de sa dernière session plénière, accompagnée d'un rapport sociologique documentant les usages et les défis posés par ces dispositifs. Deux constats structurent le texte. D'abord, ces objets intègrent une captation audio et vidéo quasi permanente, couplée à une IA embarquée qui traite ces flux pour offrir des fonctions de traduction instantanée, de reconnaissance d'objets ou de résumé de conversation. Ensuite, et c'est le point que le CEPD souligne comme problématique, le traitement par défaut de ces flux s'effectue le plus souvent dans le cloud des fabricants — Meta, Google et consorts — sans que l'utilisateur ait toujours une visibilité claire sur la localisation des serveurs, la durée de conservation, ni les finalités secondaires (entraînement de modèles, par exemple).

Le CEPD ne vise à ce stade aucune règle sectorielle spécifique pour les professions soumises à un secret professionnel renforcé. Ce vide n'est pas une bonne nouvelle pour les cabinets : il signifie qu'aucun cadre contraignant externe ne viendra, à court terme, border ce risque à leur place. La charge de la gouvernance repose entièrement sur le cabinet lui-même.

Pourquoi le secret professionnel change la nature du risque

Pour une entreprise classique, un wearable mal configuré est un problème RGPD : une question de base légale, de registre des traitements, de notification en cas de violation. Pour un cabinet d'avocats, le même incident active un second niveau de responsabilité, bien plus lourd : l'article 66-5 de la loi du 31 décembre 1971, qui pose que toutes les consultations, correspondances, notes, et échanges entre un avocat et son client sont couverts par le secret professionnel, sans exception ni dans le temps ni dans l'espace.

La jurisprudence de la Cour de cassation a constamment réaffirmé le caractère général et absolu de ce secret, applicable aussi bien à l'activité de conseil qu'à celle de défense. Un flux audio capté par un wearable pendant un entretien et traité par un serveur tiers n'est, à ce stade, couvert par aucune exception : ce n'est ni une communication nécessaire à la défense, ni un transfert encadré par une convention d'assistance. C'est une fuite.

La Cour de justice de l'Union européenne, dans l'arrêt Schrems II (16 juillet 2020, affaire C-311/18), a par ailleurs rappelé que les transferts de données personnelles vers des pays tiers n'offrant pas un niveau de protection équivalent exposent le responsable de traitement — ici le cabinet, pas seulement le fabricant du wearable — à un risque juridique direct. Un cabinet qui tolère implicitement l'usage de ces dispositifs en réunion client cumule donc deux expositions distinctes et non mutuellement exclusives : un manquement RGPD (articles 28, 32, 44-49) et une violation potentielle du secret professionnel, avec des conséquences disciplinaires devant l'Ordre qui peuvent être plus sévères, pour la réputation du cabinet, qu'une sanction CNIL.

L'angle mort BYOD : ce que les DSI de cabinet n'ont pas encore cartographié

La plupart des politiques BYOD (Bring Your Own Device) des cabinets, quand elles existent, couvrent les smartphones et parfois les tablettes personnelles. Très peu intègrent une catégorie "wearables" distincte, alors que ces dispositifs ont des caractéristiques de captation fondamentalement différentes d'un téléphone : ils sont portés en continu, invisibles pour l'interlocuteur, et leur activation ne nécessite souvent aucune action explicite détectable.

| Dispositif | Captation | Traitement par défaut | Visibilité pour l'interlocuteur | |---|---|---| | Smartphone personnel | Ponctuelle, sur action | Variable selon l'app | Élevée (objet visible, tenu en main) | | Montre connectée | Vocale ponctuelle | Cloud fabricant | Moyenne | | Lunettes connectées + IA | Audio/vidéo quasi continue | Cloud fabricant par défaut, hors UE | Très faible, quasi nulle | | Assistant vocal de salle de réunion | Audio sur activation | Cloud, parfois configurable | Moyenne (objet identifiable) |

Ce tableau résume le problème structurel : plus le dispositif est intégré au corps et discret, moins il est soumis à un contrôle visuel ou procédural naturel, et plus la probabilité qu'il capte des échanges confidentiels sans que personne n'y pense augmente. Un associé qui dirait explicitement "je sors mon téléphone pour enregistrer" déclencherait une réaction immédiate chez son client ou la partie adverse. Des lunettes connectées, non.

Cartographier les flux avant de rédiger une charte

Avant toute charte, un DSI ou RSSI de cabinet doit pouvoir répondre à une question simple : quels appareils personnels, portés par qui, dans quels contextes, captent quoi, et où vont ces données ? Cette cartographie des flux est le préalable technique à toute gouvernance crédible, et elle s'articule directement avec l'obligation de tenir un registre des traitements au titre du RGPD.

Trois catégories de contextes à risque élevé se dégagent naturellement pour un cabinet :

• Entretiens clients en présentiel, où le contenu est par nature couvert par le secret professionnel et où la présence d'un wearable actif constitue le risque le plus direct.
• Négociations et réunions multipartites, où un wearable porté par un collaborateur du cabinet peut capter les propos de la partie adverse ou de tiers n'ayant donné aucun consentement, ajoutant une dimension RGPD vis-à-vis de personnes extérieures au cabinet.
• Salles de réunion équipées d'assistants IA tiers (visioconférence avec résumé automatique cloud), qui posent un problème structurellement identique mais plus visible, donc souvent déjà traité — contrairement aux wearables personnels.

L'architecture qui compte réellement : documents complets vs extraits minimisés

Le réflexe naturel face à ce risque serait de bannir toute IA du cabinet. C'est une erreur stratégique : les outils d'IA juridique apportent un gain de productivité réel sur la recherche documentaire, la rédaction et la synthèse, documenté par des acteurs comme Harvey AI, qui revendique environ 100 000 avocats utilisateurs et un ARR de 144 millions de dollars pour une valorisation de 8 milliards de dollars fin 2025. Le sujet n'est pas "IA oui ou non", mais où s'arrête le périmètre de contrôle du cabinet.

C'est précisément là que se joue la différence architecturale entre les plateformes SaaS juridiques par siège et une infrastructure on-premise. Dans un modèle SaaS classique — qu'il s'agisse d'un assistant IA généraliste en mode entreprise, d'un SaaS juridique par siège ou d'une IA cloud mutualisée — les documents clients complets, l'index de recherche, l'historique des requêtes et les logs d'usage résident chez le fournisseur. Le cabinet loue un accès, pas une infrastructure.

Cette dernière ligne mérite une lecture honnête : RAGbase Legal n'interdit pas le recours à un LLM américain ou européen. L'orchestration agentique, les connecteurs documentaires, l'indexation vectorielle, les permissions par dossier et les journaux d'audit restent sous le contrôle de l'infrastructure du cabinet — mais le modèle de langage choisi par le cabinet ne reçoit, pour répondre à une requête, que des extraits minimisés et pertinents, jamais le dossier complet ni l'historique brut des échanges. C'est cet écart — document complet et agent sous contrôle du cabinet d'un côté, chunks minimisés envoyés au fournisseur LLM de l'autre — qui constitue la réponse architecturale cohérente au risque que décrit le CEPD pour les wearables : réduire au strict minimum ce qui sort du périmètre du cabinet, quel que soit le canal.

Cette logique s'applique directement aux deux usages les plus sensibles d'un cabinet : la transcription d'entretiens clients et la recherche de jurisprudence IA, où le volume de documents interrogés est large mais où seule une poignée d'extraits pertinents doit réellement quitter l'environnement sécurisé pour être traitée par le modèle.

Checklist de gouvernance : BYOD, wearables, cartographie des flux

Un cabinet qui veut traiter ce risque sérieusement, sans attendre une règle sectorielle qui n'existe pas encore, peut déployer une gouvernance en quatre volets dès maintenant.

1. Politique BYOD actualisée avec une catégorie wearables explicite

• Lister nommément les catégories de dispositifs concernés : lunettes connectées, montres à IA embarquée, oreillettes à transcription, assistants vocaux portables.
• Préciser que ces dispositifs sont interdits, ou soumis à autorisation préalable, dans tout contexte d'entretien client, de négociation ou de réunion impliquant des informations couvertes par le secret professionnel.
• Prévoir une clause de sanction disciplinaire interne en cas de non-respect, en cohérence avec les obligations déontologiques de l'avocat.

2. Charte wearables spécifique, signée par chaque collaborateur

• Engagement explicite de désactivation ou de retrait du dispositif en entretien client.
• Information sur la localisation réelle des traitements cloud par défaut des principaux fabricants, afin que chaque collaborateur comprenne concrètement ce qui est en jeu, pas seulement une règle abstraite.
• Procédure de déclaration en cas d'usage accidentel, avec traitement comme un incident de sécurité au sens du RGPD si des données personnelles de tiers sont concernées.

3. Cartographie des flux documentée et mise à jour

• Registre des traitements incluant explicitement les dispositifs personnels susceptibles de capter des échanges professionnels, conformément aux recommandations générales de la CNIL sur le BYOD.
• Identification des responsables de traitement et sous-traitants pour chaque flux (fabricant du wearable, fournisseur de l'IA juridique utilisée, hébergeur).
• Revue trimestrielle par le RSSI, alignée sur le cycle d'audit de sécurité existant du cabinet.

4. Architecture IA interne cohérente avec la politique wearables

• Vérifier que les outils d'IA juridique utilisés en interne respectent le même principe de minimisation que celui exigé des wearables personnels : pas de document complet transmis sans nécessité, logs d'accès conservés en interne.
• Documenter, pour chaque outil IA déployé au cabinet, ce qui reste on-premise et ce qui transite vers un tiers — exactement la grille de lecture appliquée plus haut aux wearables.
• Former les associés et collaborateurs à ce principe de minimisation dans le cadre du guide IA pour cabinets, pour qu'ils appliquent la même vigilance à leurs outils professionnels qu'à leurs objets personnels.

Ce que les DSI doivent évaluer dans les six prochains mois

Le vide réglementaire identifié par le CEPD ne durera pas indéfiniment : une déclaration de ce niveau précède généralement des lignes directrices plus contraignantes, voire des recommandations sectorielles. Les cabinets qui auront déjà cartographié leurs flux et formalisé une charte wearables seront en position de conformité anticipée plutôt que de rattrapage réglementaire — un avantage non négligeable face à un contrôle de l'Ordre ou de la CNIL.

Le sujet des lunettes connectées n'est, en réalité, qu'un cas particulier révélateur d'un problème plus large : la confusion entre commodité individuelle et périmètre de contrôle collectif. Un wearable personnel non géré et un outil IA professionnel mal architecturé posent, du point de vue du secret professionnel, exactement la même question — qui contrôle la donnée une fois qu'elle quitte la bouche de l'avocat ou de son client ?

Pour les DSI et associés qui souhaitent avancer concrètement : commencez par auditer, dispositif par dispositif et outil par outil, ce qui reste réellement sous le contrôle du cabinet versus ce qui transite vers un tiers — qu'il s'agisse d'une paire de lunettes connectées ou d'une plateforme d'IA privée pour cabinet d'avocats. C'est cette cartographie, et non la technologie choisie en elle-même, qui déterminera votre exposition réelle au titre de l'article 66-5 et du RGPD.