Documentation technique - Conformité IA

1. Description générale du système

1.1 - Identification

1.2 - Destination et finalité

Plaidex est une plateforme SaaS d'analyse documentaire par intelligence artificielle destinée exclusivement aux avocats exerçant en droit de la famille en France. Le système assiste l'avocat dans la structuration de ses dossiers en analysant les pièces juridiques, en identifiant les faits pertinents, en générant des synthèses et en produisant des premiers jets d'actes juridiques.

Le système n'est pas destiné à : remplacer le raisonnement juridique de l'avocat, prendre des décisions automatiques, fournir un conseil juridique aux justiciables, ou se substituer à l'intervention humaine dans l'administration de la justice.

1.3 - Classification AI Act

Par mesure de précaution et de transparence, Plaidex se conforme aux exigences applicables aux systèmes d'IA à haut risque, en application de l'Annexe III, point 8(a) du Règlement (UE) 2024/1689, qui vise les systèmes d'IA destinés à être utilisés pour aider à la recherche juridique, à l'interprétation des faits et du droit, ainsi qu'à l'application du droit à des cas concrets.

Bien que Plaidex soit un outil d'assistance destiné aux avocats (et non une autorité judiciaire), et que les conditions d'exemption de l'article 6(3) pourraient potentiellement s'appliquer (tâche préparatoire sans remplacement du jugement humain), le choix a été fait de se conformer volontairement aux exigences du haut risque afin de garantir le niveau maximal de protection et de transparence.

1.4 - Modèle d'IA utilisé

Plaidex utilise un système d'IA à usage général (GPAI) fourni par Anthropic, déployé via le service AWS Bedrock au sein de l'Union européenne, au moyen des profils d'inférence européens.

2. Système de gestion des risques (article 9)

Un système de gestion des risques continu est établi, documenté et maintenu à jour. Il couvre l'ensemble du cycle de vie du système d'IA.

2.1 - Risques identifiés et mesures d'atténuation

3. Gouvernance des données (article 10)

Les données d'entrée du système sont les documents juridiques fournis par les avocats utilisateurs. Plaidex ne procède à aucun entraînement de modèle et utilise un GPAI existant. La gouvernance des données porte donc sur les données d'entrée et de sortie.

• Qualité des entrées : vérification des formats acceptés (PDF, images, texte), extraction de texte avec gestion des erreurs OCR, détection de la cohérence du classement client/adverse
• Pseudonymisation : traitement systématique avant toute requête IA, remplacement des données identifiantes par des identifiants génériques
• Non-réutilisation : les données ne sont jamais utilisées pour entraîner ou améliorer des modèles d'IA, ni par Plaidex ni par AWS Bedrock
• Cloisonnement : les données de chaque utilisateur sont cloisonnées au niveau applicatif, chaque requête étant filtrée par l'identifiant du titulaire du dossier ; la base de données n'est pas exposée sur le réseau public

4. Documentation technique (article 11)

Le présent document constitue la documentation technique du système Plaidex. Il est complété par :

• L'Analyse d'Impact Protection des Données (AIPD)
• L'Accord de sous-traitance (DPA)
• La Politique de confidentialité
• Les Conditions Générales de Vente

Architecture technique : application Next.js auto-hébergée sur serveur OVH en France, base de données PostgreSQL locale non exposée, pièces stockées chiffrées (AES-256-GCM) sur le disque du même serveur, sauvegardes chiffrées chez Scaleway en France, traitement IA via AWS Bedrock au sein de l'Union européenne. Pas de CDN ni de serveur tiers pour l'application elle-même.

5. Journalisation automatique (article 12)

Le système enregistre automatiquement les événements suivants :

• Chaque analyse de pièce par l'IA : horodatage, identifiant de l'utilisateur, identifiant du dossier, identifiant du document
• Chaque synthèse de dossier générée : horodatage, identifiant de l'utilisateur, identifiant du dossier
• Chaque acte généré : horodatage, identifiant de l'utilisateur, identifiant du dossier, type d'acte
• Les tentatives de connexion échouées, au niveau du serveur, avec blocage automatique de l'adresse après cinq échecs

Le journal ne contient jamais le contenu des pièces ni celui des résultats produits. Il ne conserve que la trace de l'opération.

Durée de conservation des journaux : 12 mois, conformément aux recommandations de la CNIL et à l'article 26 de l'AI Act qui prévoit une durée minimale de 6 mois.

6. Transparence et information (article 13)

Les utilisateurs (avocats) sont informés de la nature et des limites du système d'IA par les moyens suivants :

• CGV (article 10) : description précise du système d'IA, mention de l'utilisation d'un GPAI Anthropic, avertissement sur les erreurs possibles, obligation de vérification
• Interface utilisateur : tous les résultats de l'IA sont présentés avec la mention « Premier jet » et un avertissement que l'avocat doit vérifier le contenu
• Actes générés : contiennent systématiquement des mentions [A COMPLETER] pour que l'avocat intervienne activement
• FAQ landing page : réponse détaillée sur la conformité IA et le traitement des données
• Clause type pour convention d'honoraires : modèle fourni aux avocats pour informer leurs propres clients de l'utilisation de l'IA

7. Contrôle humain (article 14)

Le système intègre des mécanismes de contrôle humain à chaque étape :

• Conception « outil d'assistance » : Plaidex est explicitement conçu comme un assistant. Il ne prend aucune décision autonome et ne produit aucun document final sans intervention de l'avocat.
• Résultats non-définitifs : toutes les sorties de l'IA sont étiquetées « Premier jet » et ne peuvent être directement utilisées comme acte juridique sans vérification.
• Mentions [A COMPLETER] : les actes générés contiennent des lacunes volontaires que l'avocat doit renseigner, empêchant une utilisation sans intervention.
• Pas de décision automatique : le système ne refuse aucun dossier, ne tranche aucun litige et ne classe aucune demande sans supervision humaine.
• Possibilité d'intervention : l'avocat peut relancer une analyse, corriger le classement des pièces, ignorer les résultats de l'IA ou modifier librement tout document généré.

8. Exactitude, robustesse et cybersécurité (article 15)

8.1 - Exactitude

Le modèle d'IA utilisé (Claude Sonnet via AWS Bedrock) est un GPAI dont les performances dépendent du contexte d'utilisation. Les résultats peuvent contenir des erreurs, des approximations ou des omissions. C'est pourquoi le contrôle humain est au coeur de la conception du système.

8.2 - Robustesse

Le système est conçu pour gérer les défaillances de manière gracieuse : en cas d'erreur du service d'IA, un message d'erreur clair est affiché et l'utilisateur peut relancer le traitement. Les documents originaux ne sont jamais altérés par le traitement IA. Les sauvegardes quotidiennes garantissent la récupération en cas de défaillance système.

8.3 - Cybersécurité

• Chiffrement des pièces au repos en AES-256-GCM (chiffrement authentifié), la clé étant détenue sur le serveur et accessible au seul compte d'exécution du service
• Chiffrement en transit : TLS 1.2 au minimum, TLS 1.3 supporté, versions antérieures désactivées
• Pseudonymisation systématique des données avant tout traitement par intelligence artificielle
• Hachage des mots de passe par bcrypt
• Cloisonnement des données entre utilisateurs assuré au niveau applicatif : chaque requête est filtrée par l'identifiant du titulaire du dossier
• Base de données non exposée sur le réseau public, accessible depuis le serveur applicatif uniquement
• Répertoire de stockage des pièces restreint au seul compte d'exécution du service
• Portail client protégé par jeton unique et mot de passe
• Journal des traitements par intelligence artificielle horodaté, conservé 12 mois puis purgé automatiquement
• Sauvegardes quotidiennes chiffrées en AES-256, conservées 30 jours chez un hébergeur français, procédure de restauration testée
• Protection contre les attaques par force brute et application automatique des mises à jour de sécurité du système

Le détail est exposé sur la page sécurité.

9. Obligations de l'avocat déployeur

Conformément à l'article 26 du Règlement (UE) 2024/1689, l'avocat utilisant Plaidex en tant que déployeur d'un système d'IA à haut risque doit :

• Utiliser le système conformément aux instructions d'utilisation (CGV et présent document)
• Vérifier systématiquement les résultats de l'IA avant toute utilisation
• Informer ses clients de l'utilisation de l'IA dans le traitement de leur dossier (clause type disponible dans les CGV)
• Signaler sans délai au Prestataire tout dysfonctionnement ou résultat manifestement erroné
• Conserver les journaux générés par le système pendant au moins 6 mois : la conservation est assurée automatiquement par Plaidex pendant 12 mois, sans action de l'avocat
• Suspendre l'utilisation si le système présente un risque identifié

10. Conformité déontologique CNB

Plaidex est conçu en conformité avec le Guide du Conseil National des Barreaux (CNB) sur la déontologie et l'intelligence artificielle :

• Pseudonymisation : conformément à la recommandation du CNB de ne jamais utiliser dans l'IA des données couvertes par le secret professionnel, Plaidex pseudonymise systématiquement toutes les données identifiantes avant traitement
• Non-entraînement : les données ne sont jamais utilisées pour entraîner des modèles, conformément à l'exigence du CNB d'un engagement contractuel de non-réutilisation
• Hébergement UE : conformément à la recommandation du CNB de privilégier les solutions hébergées en Union européenne
• Vérification humaine : le système impose une vérification par l'avocat, conformément à l'obligation de compétence (article 21 du Code de déontologie)
• Information du client : une clause type est fournie pour la convention d'honoraires, conformément à l'obligation de transparence (article 28 du Code de déontologie)
• Maîtrise intellectuelle : l'avocat reste seul maître de son raisonnement juridique, le système étant un outil d'assistance

11. Clause type pour conventions d'honoraires

Plaidex met à disposition des avocats la clause suivante, à intégrer dans leurs conventions d'honoraires pour informer leurs clients de l'utilisation de l'IA :

12. Mises à jour

La présente documentation est mise à jour en cas de changement significatif du système (nouveau modèle d'IA, nouveau sous-traitant, nouvelle fonctionnalité, évolution réglementaire) et au minimum une fois par an. Les modifications substantielles sont notifiées aux utilisateurs par email.

Contact : Sophie Karam, Référent protection des données -contact@plaidex.fr