IA en cabinet d'expertise comptable : 6 cas d'usage et les règles de conformité à respecter (2026)

Vous dirigez un cabinet d'expertise comptable de 3 à 50 collaborateurs. Vos équipes utilisent déjà ChatGPT ou Copilot pour reformuler un courriel client ou résumer une instruction fiscale. Votre logiciel de production propose les imputations. L'IA est entrée dans le cabinet, souvent sans que personne ne l'ait décidé.

Le problème n'est pas l'outil. C'est ce qu'on y met. Un cabinet manipule, pour chaque client, des bulletins de paie, des liasses, des relevés bancaires et la situation personnelle des dirigeants. Vous êtes tenu au secret professionnel, vous êtes responsable ou sous-traitant au sens du RGPD selon la mission, et vous êtes « déployeur » d'IA au sens de l'AI Act.

Six usages passés en revue, avec pour chacun ce que l'outil apporte, ce que la réglementation demande et l'action minimale. En fin d'article, un plan de mise en conformité en une journée.

Ce qui s'applique à un cabinet qui utilise l'IA

Trois corps de règles se superposent.

Le secret professionnel. L'expert-comptable y est tenu par l'article 21 de l'ordonnance du 19 septembre 1945, et sa violation est réprimée par l'article 226-13 du Code pénal. Coller la balance d'un client dans un outil grand public qui réutilise les données pour l'entraînement est une transmission à un tiers. Le livre blanc « IA et data » publié en 2025 par l'Ordre des experts-comptables de Paris le rappelle et recommande des outils professionnels, de préférence européens, et une charte IA dans chaque cabinet.

Le RGPD. Vous traitez les données de vos clients, mais aussi celles des salariés de vos clients (paie) et de leurs propres clients et fournisseurs (factures). Selon la mission, vous êtes responsable de traitement ou sous-traitant ; la lettre de mission doit le préciser. Toute IA qui touche ces données figure dans votre registre des traitements, avec un éditeur lié par un contrat conforme à l'article 28.

L'AI Act. Le Règlement (UE) 2024/1689 s'applique à toute entreprise qui utilise un système d'IA à titre professionnel. Trois blocs comptent pour un cabinet :

Article 4, maîtrise de l'IA, applicable depuis le 2 février 2025 : vos collaborateurs doivent être formés au fonctionnement, aux limites et à vos règles internes, et vous devez pouvoir le prouver.
Article 50, transparence, applicable depuis le 2 août 2026 : un client qui échange avec un assistant IA doit en être informé.
Haut risque, annexe III, applicable le 2 décembre 2027 après le report décidé par l'omnibus numérique : tri de CV et évaluation de collaborateurs entrent dans cette catégorie.

Les sanctions prévues vont jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial, le montant le plus bas des deux s'appliquant aux PME. Pour un cabinet, le risque immédiat est ailleurs : un manquement au secret professionnel se règle devant la chambre de discipline et coûte des clients bien avant toute amende. Le calendrier complet est dans AI Act : ce qui s'applique à votre PME en 2026 (et après).

Cas 1 : collecte, pré-comptabilisation et lettrage

Ce que fait l'IA. Lire les factures et les relevés, proposer le compte d'imputation, lettrer les règlements, signaler les pièces manquantes. Avec la facturation électronique, obligatoire en réception pour toutes les entreprises depuis le 1er septembre 2026 et en émission pour les PME au 1er septembre 2027, ces fonctions deviennent le cœur de la production.

Le risque. Faible côté AI Act : risque minimal. Réel côté RGPD et secret professionnel si un collaborateur exporte des écritures vers un outil extérieur pour « faire le tri plus vite ». La fonction intégrée à votre logiciel de production, elle, s'inscrit dans un contrat existant.

Ce que vous devez faire. Inscrivez la fonction IA de votre logiciel dans votre registre des systèmes IA, demandez à l'éditeur où les données sont hébergées et si elles servent à entraîner ses modèles. Conservez la validation du collaborateur sur les imputations : c'est lui qui signe les comptes. Interdisez par écrit l'export de données de production vers un outil non validé.

Cas 2 : rédaction client, veille fiscale et commentaires de bilan

Ce que fait l'IA. Reformuler une relance, résumer une instruction du BOFiP, rédiger le commentaire d'une plaquette à partir des chiffres clés, préparer la trame d'un rendez-vous bilan. C'est l'usage le plus répandu, souvent avec un compte personnel.

Le risque. Double. Le secret professionnel d'abord : pour que l'IA commente le bilan, il faut lui donner le bilan, donc le client. L'exactitude ensuite : un modèle de langage n'est pas une base de documentation fiscale. Il peut citer un seuil périmé ou inventer une référence d'article, et l'erreur engage votre responsabilité civile professionnelle.

Ce que vous devez faire. Règle à écrire dans votre politique d'usage : jamais de nom de client, de SIREN ou de chiffres identifiants dans un outil grand public. Décrivez la situation de façon anonyme (« une SARL du bâtiment, 12 salariés, résultat en baisse de 15 % ») ou utilisez un outil professionnel sous contrat. Toute référence fiscale ou sociale produite par une IA est vérifiée dans la documentation du cabinet avant envoi. Le cadre complet est dans RGPD et IA générative : utiliser ChatGPT, Copilot ou Gemini en PME sans enfreindre le RGPD.

Ce que fait l'IA. Répondre aux questions de convention collective, pré-rédiger un contrat de travail, contrôler la cohérence d'un bulletin, préparer la DSN.

Le risque. C'est le pôle le plus sensible du cabinet. Un bulletin et une DSN contiennent des données impossibles à anonymiser : identité, numéro de sécurité sociale, salaire, arrêts de travail. Le livre blanc de l'Ordre de Paris cite précisément la DSN comme document qui ne doit pas transiter par un outil non sécurisé. Côté AI Act, la paie est à risque minimal ; mais un outil qui sert à évaluer ou surveiller des salariés de vos clients relève de l'annexe III, avec les obligations haut risque au 2 décembre 2027.

Ce que vous devez faire. Réservez l'IA du pôle social aux fonctions intégrées à votre logiciel de paie, couvertes par le contrat de sous-traitance. Pour le droit social, l'IA est une aide à la recherche, avec vérification dans la convention collective à jour. Si un client vous demande un outil d'évaluation de ses salariés, dites-lui ce que cela implique : cas haut risque, consultation du CSE et contrôle humain documenté.

Cas 4 : assistant client 24 h/24 et comptes rendus de rendez-vous

Ce que fait l'IA. Répondre aux questions courantes sur le portail du cabinet (« où en est ma TVA ? », « quelles pièces envoyer ? »), prendre les rendez-vous, transcrire et résumer les entretiens bilan.

Le risque. Un assistant conversationnel doit annoncer qu'il est une IA dès le premier échange : article 50, en vigueur depuis le 2 août 2026. Un outil qui transcrit un rendez-vous traite les données du client et de tiers qu'il évoque ; les participants doivent en être informés, et les enregistrements ne doivent pas servir à entraîner le modèle de l'éditeur.

Ce que vous devez faire. Vérifiez le premier message de l'assistant, prévoyez un accès simple à un collaborateur, limitez ses réponses aux informations factuelles du dossier. Pour la transcription, une phrase en début de rendez-vous et une mention dans la lettre de mission suffisent ; choisissez un outil avec hébergement européen et clause de non-entraînement. Détail dans Article 50 de l'AI Act : transparence des contenus IA en PME.

Cas 5 : analyse financière, prévisions et vigilance LCB-FT

Ce que fait l'IA. Détecter les écritures atypiques, comparer un client à son secteur, construire un prévisionnel de trésorerie, aider à qualifier le risque d'un nouveau client à l'acceptation de mission.

Le risque. Faible côté AI Act pour l'analyse d'une balance. Il monte si l'outil note des personnes physiques, par exemple la « fiabilité » d'un dirigeant. Côté lutte contre le blanchiment, vos obligations de vigilance et de déclaration à Tracfin restent personnelles : une alerte générée par un outil ne remplace pas votre analyse, et l'absence d'alerte ne vous exonère pas.

Ce que vous devez faire. Présentez les analyses générées comme une aide à la décision validée par l'expert-comptable signataire, et dites-le dans le document remis au client. Pour l'acceptation de mission et la vigilance LCB-FT, documentez que la décision est prise par un professionnel. Pour les usages côté entreprise cliente, voyez IA et comptabilité PME : automatiser sa gestion financière.

Cas 6 : recrutement et gestion interne du cabinet

Ce que fait l'IA. Rédiger les offres, trier les candidatures, préparer les entretiens, résumer les entretiens annuels.

Le risque. C'est le cas le plus directement visé par l'AI Act. Un outil qui filtre des CV, classe des candidats ou évalue des collaborateurs relève de l'annexe III, avec les obligations haut risque au 2 décembre 2027 : contrôle humain, information des personnes, tenue de journaux.

Ce que vous devez faire. Rédiger une offre ou des questions d'entretien avec l'IA est de l'aide à la rédaction, à risque minimal. Si l'outil note ou classe les candidats, inscrivez-le dès maintenant dans votre registre en haut risque potentiel, demandez à l'éditeur sa feuille de route de conformité, et prévoyez une décision humaine signée sur chaque candidature. Le détail est dans IA et recrutement en PME.

Tableau récapitulatif : usages IA en cabinet et niveau d'obligation

Usage	Niveau de risque AI Act	Textes applicables	Date clé	Action minimale
Pré-comptabilisation, lettrage	Minimal	Art. 4, RGPD, secret professionnel	2 février 2025	Registre, questions à l'éditeur, validation du collaborateur
Rédaction client, veille fiscale	Minimal	Secret professionnel (art. 21 ord. 1945, art. 226-13 CP), RGPD	En vigueur	Aucun identifiant client dans les outils grand public, vérification des références
Paie et social	Minimal (haut risque si évaluation des salariés)	RGPD, secret professionnel, annexe III le cas échéant	2 décembre 2027 pour l'annexe III	Fonctions intégrées au logiciel de paie, jamais de DSN hors cadre
Assistant client, transcription	Limité	Art. 50, RGPD	2 août 2026	Mention « vous parlez à une IA », information des participants, accès à un humain
Analyse financière, LCB-FT	Minimal	Code monétaire et financier, responsabilité professionnelle	En vigueur	Validation par le signataire, décision LCB-FT documentée
Tri de CV, évaluation des collaborateurs	Haut risque (annexe III)	Art. 6 et chap. III AI Act, RGPD art. 22, Code du travail	2 décembre 2027	Registre, critères écrits, décision humaine, éditeur interrogé

Ce tableau correspond à la colonne « classification » du registre des systèmes IA fourni dans le Kit Conformité IA Act pour PME. La méthode d'inventaire est détaillée dans Registre des systèmes d'IA en PME : modèle, colonnes et méthode.

Les trois erreurs fréquentes en cabinet

Croire que l'anonymisation règle tout. Retirer le nom d'une balance ne suffit pas si le secteur, la ville et le chiffre d'affaires permettent de reconnaître le client. La bonne question n'est pas « ai-je enlevé le nom ? » mais « cet outil est-il contractuellement autorisé à recevoir cette donnée ? ».

Laisser chaque collaborateur choisir ses outils. Dans un cabinet de 15 personnes, on trouve vite trois comptes ChatGPT personnels, un Copilot activé par défaut et une extension de navigateur que personne n'a validée. Sans liste d'outils autorisés, la charte IA ne protège rien. Le modèle commenté est dans Charte IA d'entreprise : modèle, contenu et exemple.

Oublier que vos clients vous regardent. Vos clients PME sont eux-mêmes soumis à l'AI Act et vous demanderont comment vous utilisez l'IA sur leurs données. Charte, registre et attestations de formation deviennent alors un argument commercial.

Plan de mise en conformité en une journée pour un cabinet

Matin, 2 heures : inventaire. Réunissez l'expert-comptable, un chef de mission et le responsable du pôle social. Listez chaque outil d'IA, y compris les fonctions activées dans vos logiciels de production, de paie et votre suite bureautique. Pour chacun : usage, données, éditeur, hébergement, classement selon le tableau.

Fin de matinée, 1 heure : règles. Adaptez une charte IA et une politique d'usage : outils autorisés par niveau de données, interdiction des identifiants clients dans les outils grand public, vérification des références fiscales et sociales, décision humaine sur les candidatures. Nommez le référent IA du cabinet.

Début d'après-midi, 1 heure : lettres de mission et éditeurs. Vérifiez que vos lettres de mission mentionnent le recours à des outils d'IA et le rôle RGPD du cabinet. Demandez à vos trois éditeurs principaux leur clause de non-entraînement et leur localisation d'hébergement.

Après-midi, 45 minutes : sensibilisation. Une session courte pour tout le cabinet : ce que l'IA fait bien et mal, les règles internes, ce qu'on ne saisit jamais, comment signaler un problème. Attestation signée par chacun. C'est votre preuve au titre de l'article 4, détaillée dans Formation AI Act : l'obligation de l'article 4 en PME.

Fin de journée, 30 minutes : assistant client et recrutement. Vérifiez le premier message de votre assistant. Si un outil de tri de candidatures est en place, notez la date de revue avec l'éditeur avant le 2 décembre 2027.

Le soir, vous disposez d'un registre, d'une charte datée, d'une preuve de formation et d'un plan avec les échéances. Le Kit Conformité IA Act pour PME fournit chacun de ces documents à trous, avec un guide qui indique l'ordre des étapes et qui fait quoi ; il sert aussi de base pour accompagner vos propres clients. Pour vérifier d'abord où en est votre cabinet, la checklist de conformité AI Act, gratuite, reprend les points de contrôle de cet article.

Si vos usages sont plus avancés, par exemple un assistant client déjà en production ou plusieurs outils d'IA dans le pôle social, l'Audit IA Express cartographie vos outils, vos risques et vos priorités en une session, avec un plan d'action écrit.

FAQ – IA et conformité en cabinet d'expertise comptable

Un cabinet de 5 personnes est-il concerné par l'AI Act ?

Oui, dès qu'un collaborateur utilise un outil d'IA dans son travail, même gratuit. L'obligation qui s'applique à tous est l'article 4 (maîtrise de l'IA, depuis le 2 février 2025). L'article 50 s'ajoute si vous proposez un assistant conversationnel à vos clients. Les obligations haut risque ne concernent que des usages précis, comme le tri de candidatures, à partir du 2 décembre 2027.

Puis-je utiliser ChatGPT pour rédiger un courriel à un client ?

Oui, à condition de ne pas y saisir ce qui relève du secret professionnel : nom du client, chiffres identifiants, situation personnelle. Décrivez la situation de façon anonyme ou utilisez un outil professionnel sous contrat. Et relisez : vous signez ce que vous envoyez.

L'expert-comptable est-il responsable de traitement ou sous-traitant quand il utilise l'IA ?

Cela dépend de la mission et des termes de la lettre de mission. Dans tous les cas, l'éditeur de l'outil d'IA est votre sous-traitant et doit être lié par un contrat conforme à l'article 28 du RGPD. Faites préciser ce point dans vos lettres de mission.

Pour aller plus loin

Ce document est un modèle générique d'aide à la conformité, il ne constitue pas un conseil juridique. Adaptez-le à votre situation et faites-le valider si nécessaire.

Ces informations sont fournies à titre général et ne constituent pas un conseil juridique. Adaptez-les à votre situation et faites-les valider si nécessaire.

IA en cabinet d'expertise comptable : 6 cas d'usage et les règles de conformité à respecter (2026)