RGPD-DSA : le cumul de sanctions qui guette l'IA cloud des cabinets

Un cabinet de 80 avocats confie sa recherche documentaire à une plateforme d'IA générative hébergée aux États-Unis. Six mois plus tard, cette même plateforme est qualifiée de service intermédiaire au sens du DSA parce qu'elle héberge et redistribue des contenus générés par des tiers. Le cabinet n'a rien changé à son usage. Pourtant, il se retrouve désormais à l'intersection de deux régimes de sanctions distincts, instruits par deux autorités différentes, sur la base des mêmes flux de données clients. C'est exactement le scénario que les lignes directrices adoptées par le Comité européen de la protection des données (CEPD) le 17 septembre 2026 viennent objectiver.

Ce texte, présenté par la CNIL dans son compte-rendu de la séance plénière, ne parle pas directement des cabinets d'avocats. Il traite du pouvoir des autorités de protection des données d'infliger des amendes administratives, et de son articulation avec le règlement sur les services numériques (DSA). Mais pour toute direction de cabinet ayant déployé une IA cloud mutualisée sur des données clients, ce texte technique a une conséquence très concrète : il confirme que le cumul de risques RGPD + DSA n'est plus une hypothèse d'école.

Ce que le CEPD a précisé le 17 septembre 2026

Les lignes directrices adoptées en plénière portent sur un point resté flou depuis l'entrée en application du DSA : que se passe-t-il lorsqu'un même traitement de données relève à la fois du RGPD (parce qu'il porte sur des données à caractère personnel) et du DSA (parce qu'il transite par une plateforme qualifiée de service intermédiaire) ?

Le CEPD pose trois principes structurants, selon le compte-rendu de la CNIL :

• Les autorités de protection des données conservent leur pleine compétence pour sanctionner les violations du RGPD, y compris lorsque le traitement transite par une plateforme également soumise au DSA.
• L'existence d'une procédure DSA (portée par la Commission européenne ou les coordinateurs nationaux pour les services numériques) n'exclut pas une procédure RGPD parallèle portée par une CNIL nationale ou par l'autorité chef de file.
• La question du cumul de sanctions n'est pas tranchée de façon générale : elle s'apprécie au cas par cas, en fonction de la nature du manquement, de l'identité du responsable sanctionné et de l'articulation entre les deux textes.

Autrement dit, le CEPD ne crée pas un mécanisme de guichet unique qui protégerait les organisations d'une double instruction. Il confirme au contraire que deux autorités peuvent légitimement instruire deux dossiers sur les mêmes faits, sans que l'une exclue automatiquement l'autre. Pour un cabinet d'avocats qui pensait que son exposition se limitait au RGPD parce qu'il n'est "que" responsable de traitement, ce cadrage change la lecture du risque.

Pourquoi les cabinets sont concernés, sans l'avoir cherché

La qualification de service intermédiaire au sens du DSA ne dépend pas de la volonté du cabinet, mais de la nature technique et fonctionnelle de la plateforme d'IA utilisée. Une solution SaaS qui héberge des contenus générés par des utilisateurs (mémoires, notes de recherche, réponses de l'assistant), qui les indexe, qui les rend accessibles à d'autres utilisateurs ou qui inclut des fonctions de modération de contenu peut entrer dans le périmètre du DSA, indépendamment du secteur d'activité de ses clients.

Le cabinet, lui, reste responsable de traitement au sens du RGPD pour les données personnelles de ses clients (identité des parties, informations financières, données de santé dans les dossiers de préjudice corporel, données pénales dans les dossiers contentieux). Il a donc, mécaniquement, deux fronts d'exposition :

1. Le front RGPD classique : manquement à la sécurité des données (article 32), défaut d'analyse d'impact pour un traitement à risque élevé (article 35), transfert de données hors UE sans garanties appropriées (chapitre V), défaut de contrôle du sous-traitant (article 28).
2. Le front DSA indirect : si le fournisseur d'IA est sanctionné au titre du DSA pour manquement à ses obligations de transparence, de gestion des risques systémiques ou de modération, l'instruction peut mettre en lumière des pratiques de traitement de données que l'autorité de protection des données nationale exploitera ensuite dans sa propre procédure.

Ce deuxième point est la vraie nouveauté opérationnelle des lignes directrices du CEPD : les deux procédures peuvent se nourrir l'une de l'autre, sans que le cabinet contrôle le calendrier ni le contenu de l'instruction DSA menée contre son fournisseur.

Le mécanisme de cumul, en clair

Le RGPD prévoit des amendes administratives pouvant atteindre 4 % du chiffre d'affaires annuel mondial du responsable de traitement, ou 20 millions d'euros si ce montant est supérieur (article 83 RGPD). Le DSA prévoit, pour les manquements des fournisseurs de services intermédiaires, des amendes pouvant atteindre 6 % du chiffre d'affaires annuel mondial (article 74 DSA). Ces deux plafonds ne s'appliquent pas à la même entité dans l'immense majorité des cas d'usage juridique : le cabinet encourt le risque RGPD, le fournisseur d'IA encourt le risque DSA.

Mais le cumul de risque, pour le cabinet, n'est pas théorique :

• Une procédure DSA contre le fournisseur peut révéler des pratiques de traitement de données non conformes (rétention excessive, réutilisation à des fins d'entraînement, absence de cloisonnement entre clients) qui deviennent ensuite des éléments à charge dans une procédure RGPD distincte contre le cabinet, en tant que responsable de traitement n'ayant pas correctement encadré son sous-traitant.
• La jurisprudence de la Cour de justice de l'Union européenne dans l'affaire Schrems II (CJUE, 16 juillet 2020, C-311/18) a déjà invalidé le mécanisme de transfert Privacy Shield au motif que la législation américaine de surveillance ne garantissait pas un niveau de protection équivalent. Elle reste la référence pour apprécier la légalité des transferts vers des fournisseurs d'IA américains, indépendamment du DSA.
• La CNIL a démontré sa capacité à sanctionner lourdement des acteurs technologiques traitant des données sans base légale suffisante : la sanction de 20 millions d'euros contre Clearview AI en 2022 illustre le niveau d'amende auquel s'expose un traitement d'IA jugé non conforme, avec un effet d'entraînement sur les responsables de traitement qui ont utilisé ou intégré ce type d'outil.

Pour un cabinet, le risque n'est donc pas seulement l'amende RGPD directe. C'est la probabilité accrue d'être identifié, via l'instruction DSA de son fournisseur, comme responsable de traitement défaillant dans le cadre d'un contrôle croisé entre autorités.

Exposition comparée selon l'architecture retenue

Ce tableau ne dit pas que toute solution SaaS est fautive : plusieurs éditeurs juridiques structurent des contrats solides, avec clauses contractuelles types, hébergement européen ou engagements de non-réutilisation. Mais il montre que le nombre de paramètres à auditer (juridiction du sous-traitant, qualification DSA de la plateforme, chaîne de sous-traitants ultérieurs) croît avec le degré de mutualisation de l'architecture. Chaque paramètre supplémentaire est un point de défaillance potentiel dans une instruction croisée RGPD/DSA.

Ce que change une architecture on-premise

Le principe d'une architecture comme celle de RAGbase Legal est de sortir structurellement le cabinet du périmètre où ce cumul de risques peut se matérialiser, sans pour autant renoncer à la puissance des modèles de langage les plus performants.

Concrètement, la distinction se joue sur ce qui reste sur l'infrastructure du cabinet et ce qui en sort :

• Reste chez le cabinet : l'agent d'orchestration, l'index et le vector store, les documents clients complets, les connecteurs vers la gestion électronique des dossiers, les permissions par équipe ou par dossier, et l'intégralité des logs d'accès et de requêtes.
• Peut sortir, au strict minimum : des extraits (chunks) sélectionnés par le moteur de recherche interne, envoyés au fournisseur de LLM choisi par le cabinet, dans le cadre des conditions API de ce fournisseur — API qui, contractuellement, n'entraîne pas les modèles sur ces données et ne les conserve pas au-delà du traitement de la requête.

Cette architecture ne prétend pas que "aucune donnée ne sort jamais". Elle assume qu'un appel à un LLM externe reste souvent nécessaire pour la qualité de génération. La différence tient à l'écart entre document complet transmis à une plateforme tierce qui l'indexe et le conserve, versus extrait minimal transmis à un fournisseur d'inférence sans conservation ni réutilisation contractuelle. C'est cet écart, et non un slogan de "souveraineté totale", qui réduit la surface RGPD et sort le cabinet du périmètre DSA : il n'y a pas de plateforme intermédiaire tierce hébergeant du contenu pour le compte du cabinet, donc pas de qualification de service intermédiaire à instruire.

Sur le plan RGPD strict, cela se traduit par un responsable de traitement unique et clairement identifié — le cabinet lui-même — une traçabilité complète des accès aux documents (utile en cas de contrôle CNIL ou de contentieux sur la confidentialité), et l'absence de sous-traitant extra-UE pour l'essentiel du corpus documentaire, ce qui simplifie l'analyse d'impact relative à la protection des données exigée pour les traitements à risque élevé.

Le positionnement tarifaire reflète cette logique d'investissement en architecture plutôt qu'en abonnement par siège : RAGbase Legal se déploie pour un montant ponctuel de 20 000 à 50 000 dollars, contre des licences mensuelles récurrentes par utilisateur chez les acteurs SaaS du marché.

Comparaison utile, sans procès d'intention

Le marché de l'IA juridique n'est pas homogène, et il serait malhonnête de mettre tous les acteurs dans le même panier. Harvey, avec environ 100 000 avocats utilisateurs, 144 millions de dollars de revenu annuel récurrent et une valorisation de 8 milliards de dollars fin 2025, a construit une infrastructure contractuelle sophistiquée pour ses grands comptes. CoCounsel (Thomson Reuters, 250 à 500 dollars par utilisateur et par mois) et Lexis+ Protégé (500 à plus de 1 000 dollars par utilisateur et par mois) s'appuient sur des bases documentaires propriétaires et des engagements de confidentialité contractuels détaillés. Claude Cowork, positionné par Anthropic sur des usages d'entreprise, se situe dans un ordre de grandeur de 200 à 400 dollars par utilisateur et par mois selon les informations publiques disponibles.

Ces solutions restent pertinentes pour des cabinets qui privilégient la rapidité de déploiement et la richesse fonctionnelle immédiate, en particulier sur des charges de travail non sensibles ou déjà couvertes par des clauses contractuelles solides avec le fournisseur. La question à se poser n'est pas "faut-il bannir le SaaS", mais "quels dossiers, quels clients, quelles données justifient une architecture qui élimine structurellement le risque de cumul RGPD/DSA plutôt que de le gérer contractuellement après coup".

L'étude Stanford ayant mesuré un taux d'hallucination d'environ un cas sur six pour Harvey rappelle par ailleurs que la question de la confidentialité ne doit pas faire oublier celle de la fiabilité : une architecture on-premise bien construite, combinée à une recherche de jurisprudence IA fondée sur des sources vérifiables et une traçabilité complète du raisonnement, répond aux deux enjeux simultanément.

Comment évaluer son exposition dès maintenant

Avant tout arbitrage architectural, une direction de cabinet devrait pouvoir répondre à cinq questions factuelles sur chaque outil d'IA générative en production :

• La plateforme héberge-t-elle, indexe-t-elle ou redistribue-t-elle des contenus générés par les utilisateurs, ce qui pourrait la qualifier de service intermédiaire au sens du DSA ?
• Les documents clients complets transitent-ils vers un serveur extra-UE, ou seuls des extraits minimaux sont-ils transmis ?
• Le contrat prévoit-il explicitement l'absence d'entraînement des modèles sur les données du cabinet, et cette clause est-elle vérifiable techniquement ?
• Le cabinet dispose-t-il d'une analyse d'impact relative à la protection des données à jour pour ce traitement, incluant l'hypothèse d'un cumul de sanctions RGPD/DSA ?
• En cas de contrôle, le cabinet peut-il produire une traçabilité complète des accès, requêtes et réponses générées, sans dépendre du fournisseur pour reconstituer ces journaux ?

Ce travail d'audit, documenté dans notre guide IA pour cabinets, devient un prérequis de gouvernance plutôt qu'un exercice ponctuel, à mesure que les autorités précisent, comme le fait le CEPD le 17 septembre 2026, les modalités concrètes de leur coopération.

Les lignes directrices du CEPD ne créent pas un nouveau risque : elles rendent visible un risque qui existait déjà dans la chaîne de sous-traitance des IA cloud mutualisées. La vraie décision stratégique consiste à choisir entre gérer ce cumul de risques a posteriori, dossier par dossier, contrat par contrat, ou en réduire structurellement la probabilité d'occurrence par une architecture où l'agent, l'index, les documents complets et les logs restent sous le contrôle du cabinet, avec seulement des extraits minimaux transmis au LLM choisi. Ce qu'il faut évaluer concrètement : la cartographie de vos flux de données vers vos outils d'IA actuels, la qualification DSA potentielle de chaque plateforme utilisée, et le coût réel — en euros et en risque résiduel — de faire évoluer les charges de travail les plus sensibles vers une architecture IA privée pour cabinet d'avocats plutôt que de renouveler des licences SaaS par défaut.