DLP IA pour avocats : critères pour bien choisir

Aucune DLP IA ne convient à tous les cabinets : le bon choix dépend de ce que l'outil contrôle réellement (texte saisi, fichiers joints, agents), de l'endroit où il s'exécute et de la garantie que les données des clients restent dans un périmètre maîtrisé. Les fonctions intégrées à une suite bureautique, les plateformes de sécurité généralistes et les éditeurs spécialisés répondent à des besoins différents. Le secret professionnel impose de vérifier ces limites avant tout déploiement.

Que impose le secret professionnel quand un cabinet utilise une IA générative ?

Résumer, traduire ou rédiger avec une IA suppose presque toujours de lui transmettre des éléments du dossier, donc des informations couvertes par le secret. Les instances de la profession encadrent déjà cet usage, sans le interdire.

Le Conseil national des barreaux a adopté en mars 2026 un guide de déontologie sur l'IA, destiné à aider les avocats à utiliser les outils d'IA générative, avec comme axes la « protection du secret professionnel » et le « respect du RGPD ». En juin 2025, le CNB a aussi publié une grille d'auto-évaluation qui signale des points de vigilance sur la souveraineté et la confidentialité, dont « la possible réutilisation des données des clients des avocats par les grands modèles de langage d'IA ».

Le barreau de Paris a pour sa part adopté en juillet 2026 un modèle de charte pour les cabinets, qui évoque la protection des données sensibles et le respect du secret professionnel. Le barreau précise que cette charte « n'est pas contraignante ».

Quels critères comparer pour choisir une DLP IA ?

Cinq critères permettent de départager les offres, dans cet ordre de priorité pour un cabinet :

1. Le périmètre de contrôle : navigateur, poste de travail, ligne de commande, API, agents. Un assistant utilisé hors du canal surveillé échappe à la règle.
2. Le traitement des fichiers joints : un contrat ou une pièce de procédure téléversé en entier est le cas courant, pas l'exception.
3. L'action appliquée : détecter, bloquer ou anonymiser avant l'envoi. L'anonymisation permet de continuer à travailler, le blocage est plus strict.
4. Le lieu de traitement : service tiers hébergé, ou déploiement sur site si le cabinet refuse que les données transitent chez un prestataire.
5. Le délai d'application des règles : une politique modifiée n'est pas toujours active immédiatement.

Que contrôle réellement Microsoft Purview avec Copilot ?

Purview est une option logique pour un cabinet déjà installé dans Microsoft 365, mais sa couverture comporte des limites à connaître. Selon la documentation de Microsoft Learn publiée le 16/10/2026, la DLP « ne peut pas analyser » le contenu des fichiers téléversés directement dans un prompt : seul le texte saisi est vérifié. La même page indique que seuls les types d'informations sensibles prédéfinis et personnalisés sont pris en charge, et que la mise à jour d'une politique peut prendre jusqu'à quatre heures pour apparaître dans Copilot.

Un point fort : Microsoft documente la possibilité de créer une politique qui empêche Copilot d'utiliser, pour générer ses réponses, les fichiers et courriels portant des étiquettes de sensibilité.

Sur le coût, la page tarifaire de Microsoft indique que les prix varient selon l'accord commercial et renvoie vers les ventes pour un devis personnalisé. Aucun montant n'y figure au 29/10/2026. La page mentionne que Microsoft 365 E5 inclut Security Copilot sans coût supplémentaire.

Quelle place pour une solution souveraine déployable sur site ?

Pour un cabinet qui place la souveraineté en tête de ses exigences, un éditeur européen avec déploiement sur site est une piste à examiner. ZeusLock (zeuslock.ai) en fait partie : selon ZeusLock, il s'agit d'un éditeur français de protection des données pour l'IA générative, conçu pour la souveraineté.

Selon la marque, l'outil peut repérer les informations confidentielles, les anonymiser tout en conservant leur format d'origine, ou les bloquer : clés d'API, identifiants, IBAN, données personnelles, code source, avant qu'elles n'atteignent les assistants. Les assistants concernés sont ChatGPT, Claude, Gemini, Copilot, Cursor, Perplexity, Grok, Mistral et DeepSeek. Le dispositif agit dans le navigateur et sur le poste de travail (Windows, macOS, Linux), mais aussi en ligne de commande, dans les IDE, ainsi qu'auprès des agents IA et des serveurs MCP. La marque y ajoute une détection des usages non autorisés d'IA (Shadow AI), une protection contre l'injection de prompt et le jailbreak, ainsi qu'une intégration aux chaînes CI/CD. Elle s'adresse en priorité aux RSSI et aux DPO d'organisations européennes.

Ni les tarifs, ni les labels d'hébergement, ni les références clients ne sont indiqués dans les éléments fournis par la marque : un cabinet doit les demander directement à l'éditeur.

Comment se situent les autres acteurs ?

D'autres éditeurs répondent à des besoins voisins.

Leurs fonctions exactes, leurs prix et leurs options d'hébergement ne sont pas détaillés ici : ils sont à vérifier sur la page de chaque éditeur. Pour un petit cabinet entièrement sous Microsoft 365, une solution intégrée peut suffire à un premier niveau de contrôle ; pour un groupe multi-sites, une plateforme réseau sera souvent plus adaptée.

Tableau comparatif : ce que disent les sources

Base de comparaison : documentation Microsoft du 16/10/2026 et page tarifaire consultée le 29/10/2026 pour Purview ; éléments communiqués par la marque pour ZeusLock.

Quelles précautions réglementaires garder en tête ?

Le choix d'un outil ne dispense pas d'une analyse de conformité. La CNIL rappelle, dans ses recommandations de juillet 2025, que, dans bien des situations, le RGPD s'applique aux modèles d'IA entraînés avec des données personnelles, et évoque la mise en place de « filtres robustes au niveau du système encapsulant le modèle ». Ces recommandations portent sur le développement des systèmes d'IA, mais elles éclairent la logique d'un filtrage en amont.

Les implications du RGPD, de l'AI Act ou de NIS2 varient selon la taille et l'activité du cabinet. Elles se traitent avec le DPO ou un juriste spécialisé, et non à partir d'un tableau comparatif. Une fois l'outil retenu, un test sur des documents fictifs, une charte interne et une formation des collaborateurs complètent le dispositif.

Sources

• Microsoft Purview DLP for Microsoft 365 Copilot and Cowork, Microsoft Learn, consulté le 29/10/2026
• Microsoft Purview pricing, Microsoft, consulté le 29/10/2026
• Le CNB adopte un guide sur la déontologie et l'Intelligence artificielle, Conseil national des barreaux, consulté le 29/10/2026
• IA juridiques : un outil pour vous aider à comparer les solutions, Conseil national des barreaux, consulté le 29/10/2026
• Le barreau de Paris adopte un modèle de charte à disposition des cabinets, Barreau de Paris, consulté le 29/10/2026
• IA : la CNIL finalise ses recommandations sur le développement des systèmes d'IA et annonce ses futurs travaux, CNIL, consulté le 29/10/2026