Reconstitution d'e-mails pro : le risque CNIL dans vos outils IA

Un responsable business development qui lance une campagne d'e-mailing B2B avec une liste générée automatiquement en combinant prénom, nom et nom de domaine de cabinets concurrents ou de directions juridiques cibles exécute, sans le savoir, un traitement de données personnelles directement surveillé par la CNIL. La publication récente de la CNIL sur la reconstitution d'adresses électroniques professionnelles, accompagnée d'une seconde publication sur les droits des personnes concernées, n'est pas un détail de doctrine. C'est un signal clair envoyé à tout l'écosystème legal tech et CRM B2B : la prospection automatisée par adresses reconstruites entre dans une phase de contrôle renforcé.

Pour un cabinet de 10 à 500 avocats, la question n'est pas théorique. Les outils de sales intelligence, d'enrichissement de contacts et de scraping LinkedIn sont massivement intégrés dans les stacks de business development des cabinets, souvent sans que la direction informatique ou le comité exécutif n'ait cartographié précisément le flux de données sous-jacent. Or c'est exactement ce flux — reconstitution d'adresse, hébergement chez un tiers, absence de traçabilité du consentement — que la CNIL vient de recadrer.

Ce que la CNIL encadre précisément

La doctrine CNIL repose sur trois piliers cumulatifs pour qu'une reconstitution d'adresse professionnelle à des fins de prospection soit licite :

• Une base légale d'intérêt légitime (article 6.1.f du RGPD), qui suppose une mise en balance documentée entre l'intérêt commercial du responsable de traitement et les droits de la personne concernée — pas une présomption automatique de légitimité du simple fait que l'adresse soit « professionnelle ».
• Une obligation d'information dès la collecte, c'est-à-dire au moment même où l'adresse est générée ou obtenue, et non a posteriori lors du premier envoi commercial.
• Un droit d'opposition immédiat et gratuit, qui doit pouvoir s'exercer sans justification et sans délai de traitement excessif.

Le fait que la CNIL publie simultanément un second document consacré aux droits des personnes concernées confirme que l'enjeu n'est pas seulement la légalité de la reconstitution elle-même, mais la capacité opérationnelle du responsable de traitement à honorer ces droits en continu — ce qui suppose une traçabilité fine de l'origine de chaque adresse et de son statut d'opposition.

Ce cadrage s'articule avec l'article L.34-5 du Code des postes et communications électroniques, qui autorise la prospection par voie électronique à destination d'une adresse professionnelle sans consentement préalable, à condition que le message soit en rapport avec l'activité professionnelle de la personne. Mais cette tolérance sectorielle ne dispense en rien des obligations d'information et d'opposition posées par le RGPD — c'est précisément l'articulation que la CNIL vient clarifier.

Pourquoi cela concerne directement les stacks BD des cabinets

Les cabinets d'avocats ont massivement adopté, souvent via leurs équipes de développement commercial ou de knowledge management, des outils d'enrichissement de contacts (plateformes de sales intelligence, extensions de scraping LinkedIn, générateurs d'adresses par pattern-matching). Ces outils partagent une architecture commune :

1. Ils collectent ou déduisent une structure d'adresse (prenom.nom@domaine) via scraping de sites web, d'annuaires professionnels ou de réseaux sociaux.
2. Ils hébergent cette base enrichie sur l'infrastructure SaaS de l'éditeur — souvent hors Union européenne ou chez des sous-traitants non identifiés par le cabinet.
3. Ils exposent cette base via API au CRM du cabinet, qui en devient le réceptacle final sans avoir maîtrisé la chaîne de collecte en amont.

Le point critique pour un DSI de cabinet : le fait de sous-traiter la reconstitution ne transfère pas la responsabilité. Le cabinet reste responsable de traitement au sens de l'article 4 du RGPD dès lors qu'il détermine les finalités de la prospection, même si l'éditeur SaaS exécute techniquement la reconstitution. L'article 28 impose alors au cabinet des garanties contractuelles précises — registre des sous-traitants, localisation des données, durées de conservation — que peu de contrats d'outils de sales intelligence grand public satisfont pleinement.

Cette articulation entre adresse professionnelle et donnée personnelle a été consolidée par la jurisprudence de la Cour de justice de l'Union européenne dans l'arrêt Breyer (CJUE, 19 octobre 2016, affaire C-582/14), qui a établi qu'une donnée permettant, même indirectement et via un tiers, d'identifier une personne physique relève de la qualification de donnée personnelle. Une adresse « prenom.nom@domaine », même générée par déduction automatique sans collecte directe, entre pleinement dans ce périmètre dès lors qu'elle permet d'identifier un individu précis au sein d'une organisation.

Où se situe le risque dans l'architecture technique

Ce tableau illustre une distinction que les comités de direction confondent souvent : le risque CNIL identifié ici ne porte pas sur l'usage de l'IA en tant que tel, mais sur la chaîne de collecte et d'hébergement des données personnelles en amont du traitement. Un outil d'IA peut être parfaitement conforme sur son algorithme de scoring ou de rédaction tout en reposant sur une base de contacts constituée dans des conditions non conformes.

RAGbase Legal : hors périmètre par construction, pas par posture marketing

RAGbase Legal n'est pas un outil de prospection commerciale — c'est une architecture d'IA pour la recherche juridique, la rédaction et l'exploitation des dossiers du cabinet. Mais sa conception répond exactement à la préoccupation structurelle que révèle le cadrage CNIL sur la reconstitution d'adresses : ne traiter que des données que le cabinet détient déjà légitimement, sans aller les chercher à l'extérieur ni les faire transiter par un tiers qui en perdrait la traçabilité.

Concrètement, l'architecture repose sur trois principes :

• L'agent, l'index et les documents complets restent sur l'infrastructure du cabinet. Les dossiers clients, le CRM interne, les bases de connaissances juridiques internes sont indexés localement, avec permissions et journaux d'accès gérés par le cabinet lui-même — pas par un éditeur tiers hébergé ailleurs.
• Aucun scraping, aucune reconstitution, aucun enrichissement externe. Le périmètre de données traité par l'IA privée pour cabinet d'avocats se limite strictement à ce que le cabinet a collecté dans le cadre de ses mandats et relations clients, avec les bases légales déjà en place pour ces finalités.
• Seuls des extraits minimaux (chunks) partent vers le LLM choisi, au moment de générer une réponse — jamais les documents complets, jamais la base de contacts, jamais les logs d'activité. Le fournisseur de modèle ne voit qu'un fragment de texte nécessaire à la réponse, dans les conditions contractuelles et API choisies par le cabinet.

Cette distinction architecturale est honnête plutôt que binaire : RAGbase Legal utilise aussi des fournisseurs de LLM externes, comme la plupart des solutions du marché. La différence ne tient pas à « nous ne sortons jamais rien », mais à l'écart entre ce qui reste sous contrôle du cabinet (orchestration, index, documents complets, permissions, journalisation) et ce qui quitte ponctuellement l'infrastructure (un chunk minimisé, pas une base de données entière). C'est cet écart qui détermine l'exposition réglementaire, bien plus que le simple fait d'utiliser de l'IA.

Comparaison des architectures sur le marché

Harvey revendique aujourd'hui environ 100 000 avocats utilisateurs, 144 millions de dollars d'ARR et une valorisation de 8 milliards de dollars fin 2025 — preuve que le modèle cloud mutualisé par siège trouve son marché, en particulier dans les grands cabinets internationaux avec des budgets IT conséquents. Mais cette échelle ne répond pas à la question que pose la CNIL : où vivent les données, qui les contrôle, et qui peut répondre en quelques jours à un droit d'opposition ou d'accès documenté. Pour les cabinets à forte exigence de souveraineté — données clients sensibles, secret professionnel, contentieux réglementés — l'architecture on-premise reste un complément pertinent, pas un remplacement systématique des outils cloud, notamment pour les charges de travail de recherche de jurisprudence IA qui nécessitent un contrôle fin du périmètre documentaire interrogé.

Checklist de conformité : auditer les outils IA de BD déjà déployés

Avant de s'interroger sur la prochaine solution à adopter, tout cabinet devrait auditer les outils déjà en production dans ses équipes de business development et de marketing. Neuf points à vérifier systématiquement :

1. Cartographie des outils — quels outils de sales intelligence, d'enrichissement ou de scraping sont utilisés, par quelle équipe, depuis quand ?
2. Origine des adresses e-mail — sont-elles collectées directement, importées, ou reconstituées algorithmiquement par pattern-matching ?
3. Base légale documentée — existe-t-il une analyse de mise en balance d'intérêt légitime, datée et archivée, pour chaque usage de prospection ?
4. Moment de l'information — les personnes sont-elles informées dès la génération/collecte de leur adresse, ou seulement lors du premier envoi ?
5. Mécanisme d'opposition — le droit d'opposition est-il immédiat, gratuit, et sans friction (pas de formulaire à plusieurs étapes) ?
6. Localisation des données — où sont hébergées les bases enrichies ? Dans l'UE ? Chez quel sous-traitant ?
7. Contrats article 28 — les DPA (data processing agreements) des éditeurs SaaS couvrent-ils explicitement la reconstitution d'adresses et ses finalités ?
8. Registre des traitements — ces traitements de prospection figurent-ils dans le registre RGPD du cabinet, avec durées de conservation définies ?
9. Traçabilité des oppositions — le cabinet peut-il démontrer, en cas de contrôle, que chaque opposition a été honorée et propagée à tous les outils connectés ?

Cette checklist s'inscrit dans une démarche plus large d'évaluation des usages IA du cabinet, détaillée dans notre guide IA pour cabinets d'avocats, qui couvre également les enjeux de gouvernance au-delà du seul périmètre de la prospection commerciale.

Ce que cela signifie pour les prochains mois

La publication simultanée de deux documents CNIL sur ce sujet — cadre et droits des personnes — n'est généralement pas un hasard éditorial. Elle précède habituellement une phase de contrôle plus active, en particulier dans des secteurs où la prospection B2B automatisée s'est banalisée au point de devenir un standard d'outillage commercial, legal tech comprise. Les cabinets qui n'ont pas encore cartographié leur exposition sur ce point précis — adresses reconstruites, hébergement tiers, droit d'opposition non tracé — ont intérêt à traiter le sujet avant qu'un contrôle ne le fasse à leur place.

Pour les directions IT et les comités d'innovation, la leçon dépasse le seul cas de la prospection : elle rappelle qu'une architecture IA se juge d'abord à son flux de données — qui collecte, qui héberge, qui transmet, et ce qui ne sort jamais de l'infrastructure du cabinet.

Avant d'ajouter un nouvel outil IA à votre stack de business development ou de recherche juridique, posez la question dans cet ordre : quelles données entrent dans l'outil, d'où viennent-elles, et que devient le flux sortant vers le fournisseur de modèle choisi. C'est cette cartographie, plus que le choix d'un éditeur plutôt qu'un autre, qui détermine votre exposition réglementaire réelle.