À transmettre à un associé
IA en cabinet comptable : les questions légales
Neuf questions qu'un associé signataire, un confrère, un commissaire aux comptes ou un client finit toujours par poser à un cabinet qui fait intervenir une IA sur des dossiers. Avec, pour chacune, ce que le registre permet d'y répondre.
Ce que cette page n'est pas. Elle n'est pas une consultation juridique, et HOLCO n'atteste d'aucune conformité : la responsabilité reste au cabinet et l'analyse à son conseil. Elle ne reproduit pas non plus de calendrier réglementaire. Le règlement européen sur l'IA a été modifié le 27 juillet 2026 et plusieurs échéances ont bougé ; un tableau de dates figé dans une page serait faux avant d'être lu. Chaque réponse renvoie donc au texte officiel, à vérifier à la date qui vous concerne.
01 Qui est responsable de ce que l'IA a proposé ?
Le professionnel qui signe. Une proposition faite par un outil n'engage personne tant qu'une personne ne l'a pas retenue, et la responsabilité de l'expert-comptable sur le dossier n'est pas transférable à un fournisseur de logiciel.
La question pratique n'est donc pas « qui est responsable » mais « peut-on montrer qui a décidé ». C'est exactement ce que le registre enregistre : la personne qui a proposé, celle qui a validé, la date.
Chez HOLCO. Chez HOLCO, une proposition non validée reste à l'état de proposition et ne s'applique pas au passage suivant. La mémoire du cabinet ne se remplit que par une décision humaine explicite : rien n'est déduit d'une conversation.
02 Le secret professionnel est-il rompu si les données passent par une IA ?
C'est la question la plus sérieuse, et elle ne se règle pas par une consigne écrite dans un prompt. Le secret professionnel de l'expert-comptable est pénalement sanctionné, et confier des informations couvertes à un tiers sans cadre est un risque propre au cabinet, pas au fournisseur.
Ce qui compte est donc : quelles données sortent réellement, vers qui, sous quel contrat, et pour combien de temps. Ces quatre réponses doivent être écrites avant le premier dossier, pas après.
Chez HOLCO. HOLCO relit les données à la source par l'API de l'éditeur et ne stocke pas les écritures ; le jeton du cabinet est chiffré au repos et n'est jamais transmis au modèle ; l'hébergement est en France, chez Scaleway. À dire avec exactitude : l'hébergement est français, mais le modèle appelé ne l'est pas nécessairement, et l'anonymisation des tiers est une option à activer, pas un réglage par défaut.
Source : Article 226-13 du Code pénal
03 Notre cabinet est-il concerné par le règlement européen sur l'IA, et à quel titre ?
Un cabinet qui utilise un outil d'IA en est le déployeur, pas le fournisseur. Les deux rôles ne portent pas les mêmes obligations, et c'est la première chose à établir avant toute discussion de conformité.
Attention au calendrier : il a bougé. Un règlement dit « digital omnibus » sur l'IA est entré en vigueur le 27 juillet 2026 et a décalé plusieurs échéances. Nous ne reproduisons pas de tableau de dates ici, parce qu'un tableau figé serait faux dans quelques mois devant les personnes qui signent. La source fait foi, à la date qui vous concerne.
04 Sommes-nous sur un usage « à haut risque » ?
La qualification de haut risque dépend de l'usage listé par le règlement, pas de la technologie employée ni du sentiment qu'on en a. La révision comptable assistée ne figure pas parmi les usages listés, ce qui n'autorise pas à s'en réclamer à l'envers : l'analyse se fait sur votre usage réel, y compris les usages voisins que le cabinet pourrait développer.
Un exemple de frontière à surveiller : un outil qui évaluerait la solvabilité de personnes physiques ne relève pas du même régime qu'un outil qui relit des écritures.
Chez HOLCO. HOLCO relit des dossiers et fait remonter ce qui mérite une décision humaine. Rien ne s'exécute sans un collaborateur, et il n'y a pas d'agent autonome.
05 Devons-nous former nos collaborateurs ?
Indépendamment de la lettre du texte, un collaborateur qui ne sait pas ce que l'outil sait faire ni où il se trompe est le vrai risque du cabinet. La formation se justifie par la qualité du travail avant de se justifier par la réglementation.
Sur le plan réglementaire, l'obligation dite de maîtrise de l'IA a été modifiée par le règlement du 27 juillet 2026, dans un sens qui en change la portée. Sa formulation applicable se lit dans le texte, à la date concernée.
Source : Règlement (UE) 2024/1689, article 4
06 Que doit-on pouvoir montrer en cas de contrôle ou de mise en cause ?
Trois choses, et elles sont toujours les mêmes, quel que soit le demandeur : ce qui a été consulté et par qui, quelles décisions ont été prises et par qui, et sur quelle base elles ont été prises.
Le point aveugle habituel n'est pas l'absence de trace, c'est l'absence d'attribution : un journal qui dit « l'outil a lu ce dossier » sans dire quelle personne l'a déclenché ne répond à aucune de ces trois questions.
Chez HOLCO. Une clé par collaborateur rend le registre attribuable : qui a consulté quoi, quand, sur quel dossier, en lecture seule. Le registre s'exporte en CSV, en rapport PDF et en registre de preuve par dossier. Chaque décision se révoque et cesse alors d'être rejouée.
07 Faut-il informer le client que l'IA intervient sur son dossier ?
La transparence vis-à-vis du client se traite dans la lettre de mission, comme le reste des moyens mis en œuvre. C'est un arbitrage du cabinet avec son conseil, pas une case à cocher dans un logiciel.
En pratique, les cabinets qui l'écrivent en amont s'évitent la conversation difficile au moment où un client découvre la chose par un tiers.
08 Qui est responsable de traitement au sens du RGPD ?
Le cabinet détermine les finalités et les moyens du traitement des données de ses clients : il est responsable de traitement. Le fournisseur de la couche logicielle agit sur instruction, en sous-traitant.
Cela implique un contrat écrit entre les deux, et une information tenue à jour sur les destinataires, les durées et les lieux d'hébergement.
Chez HOLCO. HOLCO intervient en sous-traitant au sens de l'article 28 du RGPD ; un accord de traitement est disponible sur demande. La mémoire du cabinet est exportable dans des formats ouverts, avec sa provenance : l'objectif est qu'il n'y ait aucune dépendance, pas même à HOLCO.
Source : Article 28 du RGPD
09 Et si l'IA se trompe ?
Elle se trompera. La question utile n'est pas de l'empêcher, c'est de faire en sorte qu'une erreur soit visible avant la signature et rattrapable après.
Visible avant : l'outil montre la pièce et le compte sur lesquels il s'appuie, de sorte que la vérification coûte quelques secondes plutôt qu'une reprise complète. Rattrapable après : la décision qui a été prise sur une base fausse doit pouvoir être retirée, et cesser d'être rejouée sur les passages suivants.
Chez HOLCO. Une décision révoquée dans le registre n'est plus appliquée au dossier. La révocation est tracée comme la décision elle-même.
Le registre, concrètement
Dans la console du cabinet, l'onglet Registre porte les usages, les incidents et les décisions, à partir des journaux réellement observés. Chaque décision indique qui l'a proposée, qui l'a validée, quand, et de quel contrôle elle est née. Tout s'exporte, et tout se révoque.