Utilisation de l'IA dans l'arbitrage: confidentialité, cybersécurité et risques juridiques

Par Ilia Kolochenko pour Commercial Dispute Resolution Magazine
Mardi 5 mai 2026

• 266
• Plus

Le Dr Ilia Kolochenko d'ImmuniWeb partage son expérience interdisciplinaire en cybersécurité, en criminalistique numérique et en cyberdroit sur les risques émergents liés à l'utilisation de l'IA dans le règlement extrajudiciaire des litiges.

Les avocats et les cabinets d'avocats sont depuis des années dans le collimateur des cybercriminels [1] ; cependant, avec la prolifération des technologies d'IA dans nos vies personnelles et professionnelles, les entreprises légitimes du monde entier génèrent plus de problèmes de cybersécurité et de risques pour la vie privée pour les professionnels de l'arbitrage que les cybercriminels malveillants et même les gangs cyber soutenus par des États.

Depuis début 2023, les risques techniques et juridiques liés à l’utilisation de l’IA dans la pratique juridique, que ce soit dans les procédures judiciaires ou arbitrales, sont bien connus [2]. Trois ans plus tard, la plupart d’entre eux ont explosé en termes de quantité et de complexité. Dans le domaine de l’arbitrage en particulier, une utilisation imprudente de l’IA par les arbitres peut entraîner des conséquences graves, allant jusqu’à l’annulation de la sentence arbitrale. Quant aux avocats représentant les parties dans les procédures de règlement extrajudiciaire des litiges (ADR), ils risquent des mesures disciplinaires et des sanctions subséquentes, qui deviennent de plus en plus sévères à mesure que l’IA devient la nouvelle normalité et que les erreurs associées ne sont plus tolérées. Même les experts-comptables, mandatés pour témoigner devant les tribunaux arbitraux, s’exposent à une multitude de risques induits par l’IA en stockant ou en manipulant des données sensibles d’une partie sans les précautions d’usage. Cet article propose un aperçu concis des pièges et écueils les plus fréquents liés à l’utilisation de l’IA dans la pratique de l’arbitrage.

Il existe aujourd'hui un consensus général selon lequel les outils et solutions d'IA peuvent assister les arbitres et les autres participants aux procédures d'arbitrage en automatisant intelligemment des tâches fastidieuses. L'automatisation par l'IA va de l'analyse de grands volumes de données de Discovery et de la synthèse de documents judiciaires à l'assistance en matière de recherche juridique lorsque, par exemple, les règles d'arbitrage ou de preuve applicables sont muettes sur une question de procédure complexe ou un détail technique inédit. Cependant, cette automatisation a un coût et n'est pas sans risques ni écueils.

Pour atténuer certains de ces risques sous-jacents, de nombreuses institutions d'arbitrage de premier plan ont déjà publié des orientations concernant l'utilisation éthique de l'IA dans les procédures d'arbitrage. Les *Guidelines* du Chartered Institute of Arbitrators (CIArb) ou les directives du Silicon Valley Arbitration and Mediation Center (SVAMC) constituent d'excellents exemples d'approche globale visant à prévenir les principales lacunes liées à l'utilisation de l'IA en RSD. Toutefois, même les professionnels de l'arbitrage techniquement avertis tombent régulièrement victimes d'incidents de sécurité et de confidentialité, de fuites de données sensibles et même de brèches de données, en raison de la complexité croissante des environnements techniques et de la prolifération rapide des risques invisibles de l'IA pour la confidentialité des données.

Les assistants AI: nouveaux amis ou ennemis déguisés?

De nombreux professionnels de l’arbitrage travaillent au sein de grandes entreprises équipées de multiples outils et assistants d’IA. Beaucoup de ces assistants, tels que Microsoft Copilot, sont intégrés par défaut à l’environnement informatique et nécessitent beaucoup de temps et d’efforts pour être entièrement désactivés. Avez-vous déjà tenu une audience d’arbitrage sur, par exemple, Zoom? Connectez-vous alors à votre compte Zoom personnel et vérifiez les paramètres de sa nouvelle fonctionnalité ‘AI Companion’: vous seriez surpris par certaines des options qui s’y trouvent. Aujourd’hui, les audiences d’arbitrage ont lieu couramment à distance sur Zoom, Microsoft Teams ou d’autres plateformes de visioconférence. Lorsqu’ils sont correctement configurés et gérés, ces environnements numériques sont relativement sûrs. Cependant, le piège réside dans divers assistants IA que certains participants aux réunions en ligne utilisent à leur insu. L’auteur a récemment participé à une réunion Zoom confidentielle, au cours de laquelle deux des quatre avocats ont rejoint la séance avec leurs assistants de transcription basés sur l’IA, qui prenaient des notes. Fait remarquable, les deux avocats ignoraient totalement la présence de ces bots IA sur leurs appareils professionnels, et encore moins que les transcriptions de leurs réunions Zoom avaient été enregistrées et envoyées vers le cloud pour y être stockées et analysées. Des problèmes similaires liés aux assistants IA commencent à entraîner une augmentation galopante des poursuites judiciaires pour diverses violations de la vie privée de part et d’autre de l’Atlantique.

Alors que les fournisseurs d’IA pour entreprises commencent progressivement à offrir des garanties contractuelles assurant que vos données seront isolées et non utilisées intentionnellement pour l’entraînement de leurs modèles d’IA commerciaux, la rédaction de leurs conditions d’utilisation et des annexes intégrées peut, parfois, suggérer tout le contraire. Par exemple, pour protéger leurs solutions d’IA hébergées dans le cloud, la plupart des fournisseurs d’IA ont mis en place des systèmes de cyberdéfense multicouches afin d’éviter les prompt injections, l’empoisonnement des données et autres cyberattaques spécifiques à l’IA. En conséquence, tout ce que vous envoyez à un serveur d’IA distant sera d’abord intercepté et analysé par des fournisseurs tiers de cybersécurité pour détecter toute malveillance potentielle et tout risque cyber, avant d’atteindre le grand modèle de langage (LLM) pour un traitement final sans risque pour le modèle. Vous êtes-vous déjà demandé ce que ces fournisseurs de cybersécurité, légitimes mais souvent non divulgués voire non documentés, font, ont déjà fait ou pourraient faire de vos données, y compris de toutes vos invites de chat, de vos enregistrements audio et vidéo, de vos documents numérisés et autres informations sensibles partagées avec des solutions d’IA hébergées dans le cloud?

Pour réduire les risques susmentionnés, prenez le temps de lire attentivement et d'analyser les conditions d'utilisation de vos fournisseurs d'IA, ainsi que tous les documents qui y sont intégrés: vous pourriez repérer des exceptions nuancées concernant la non-utilisation ou la non-divulgation de vos données les plus sensibles. L'auteur a récemment constaté qu'une entreprise technologique avait intégré de manière créative une exception de partage de données trop large dans son Service Level Agreement (SLA) relatif à la maintenance et à la disponibilité de sa solution d'IA. Étant donné que les juristes d'entreprise ont déjà suffisamment de travail à faire, les SLAs échappent souvent à leur examen attentif, tandis que les équipes techniques, tout aussi occupées, sont peu susceptibles de repérer quoi que ce soit de suspect dans ce jargon juridique élégant. Même si la validité et l'exécutabilité éventuelles de tels changements sont discutables, cela illustre la tendance générale à obtenir vos données par tous les moyens disponibles, éthiques ou non.

Le pire est que ce type de préjudice est quasi irréversible: même si vous disposez de preuves solides que vos données ont quitté l’enclave sécurisée suite à une violation contractuelle par le fournisseur, un litige sur cette question hautement technique et inédite prendra probablement des années pour aboutir, le cas échéant, à un jugement symbolique qui couvrira à peine vos frais de justice. Sans parler de l’atteinte durable à la réputation de votre pratique en arbitrage. Ainsi, lorsque la loi le permet, essayez de négocier des pénalités forfaitaires pour violation des clauses de protection des données de votre contrat avec les fournisseurs de technologies et d’IA, tout en prêtant attention à la solvabilité du fournisseur et à son assurance pour ce type de réclamations.

Chatbots IA: nager en eaux infestées de requins

Chaque fois que vous partagez des documents confidentiels ou privilégiés via la prolifération de chatbots IA, gratuits ou commerciaux, se vantant de capacités impressionnantes, l'ensemble de vos données – y compris les invites de conversation et les historiques détaillés – peut être exploité à votre insu pour l'entraînement de modèles d'IA nationaux et étrangers, ainsi qu'à de nombreuses autres fins inattendues. Lorsque ces données sont recoupées avec d'autres issues de sources tierces, à l'instar de l'affaire BrowserGate en cours concernant LinkedIn, les géants de la tech risquent de tout savoir sur vous et votre pratique juridique. Un examen minutieux de leurs conditions d'utilisation aura peu de valeur, car celles-ci évoluent constamment, souvent sans information claire pour les utilisateurs finaux.

Les chatbots IA fournis par les petites entreprises technologiques et les startups IA, qui disposent généralement d'aucun budget pour acquérir un volume suffisant de données d'entraînement de haute qualité et actualisées pour leurs modèles, sont particulièrement dangereux. Pour survivre dans une concurrence féroce sur le marché mondial de l'IA, les petites entités commencent à former les soi-disant pools de données d'entraînement avec d'autres petites et moyennes entreprises à travers le monde. Cela signifie que toute entreprise qui contribue au volume de données convenu au pool de données communautaire peut utiliser certaines, voire toutes les autres données, de ce pool. Étant donné que le contrôle approprié de l'utilisation légitime, légale et éthique des données dans de telles circonstances est une tâche ardue, tout prompt, document ou image – une fois ingéré par un tel pool à travers vos interactions innocentes avec un chatbot en ligne – risque tôt ou tard de finir entre de mauvaises mains de l'autre côté du globe. À noter, même les plus grands fournisseurs de technologies peuvent également déployer des pratiques similaires pour réduire leurs coûts d'acquisition de données qui explosent.

Certains professionnels de l’arbitrage utilisent diverses techniques pour nettoyer et anonymiser les documents confidentiels – y compris les sentences arbitrales ou même des matériaux contenant les secrets d’affaires des parties – avant de les charger dans des chatbots IA et des outils en ligne similaires. Malheureusement, ces mesures préventives échouent souvent. La plupart des modèles LLM possèdent désormais des capacités impressionnantes pour déduire les noms masqués des parties en confrontant les faits, événements et prétentions contenus dans le document avec des informations publiques: les arbitrages à enjeux élevés se déroulent rarement sans communiqués de presse, fuites ou rumeurs dans les médias, ou au moins quelques révélations ou indices anonymes sur les réseaux sociaux. Vous pouvez même mener une expérience – à vos risques et périls – en soumettant un long document aux noms des parties méticuleusement masqués à un LLM, puis en lui demandant de déduire l’identité des parties. Vous serez probablement surpris par le résultat. Sans parler du fait que la plupart des documents contiennent des métadonnées invisibles, spécifiques au format, qui restent souvent présentes. Par conséquent, à moins de disposer d’une solution IA sur site avec des flux de données rigoureusement documentés et surveillés en continu, vous prenez un risque énorme d’exposer involontairement les données les plus sensibles de vos clients en sollicitant l’aide de chatbots IA en ligne.

Appareils mobiles et objets connectés: vos murs ont des oreilles

La popularité croissante des objets connectés et des appareils IoT amplifie les risques liés à l’utilisation de l’IA dans l’ADR. Avez-vous déjà vérifié, par exemple, les paramètres de confidentialité et d'IA de l'application de messagerie de votre téléphone portable? Si vous ne l'avez pas fait, tous vos e-mails pourraient être utilisés à des fins d’entraînement de l’IA par le fabricant de votre smartphone, dans le meilleur des cas, ou partagés avec ses nombreux fournisseurs étrangers et d’autres tiers, dans le pire des cas.

Cet avertissement ne concerne pas seulement les e-mails, mais aussi toutes les autres applications mobiles, y compris celles qui pourraient écouter subrepticement vos conversations, un phénomène qui a récemment coûté à Google un règlement de 68 millions de USD. Même si votre smartphone est configuré et protégé de manière sécurisée, certaines applications tierces qui s’y trouvent – y compris celles préinstallées – peuvent comporter des risques intolérables et des menaces dévastatrices pour les professionnels de l’ADR. Bien qu’Apple et de nombreux fabricants d’appareils Android (tels que Samsung) permettent une gestion fine des autorisations des applications mobiles – telles que l’accès au microphone, à l’appareil photo ou à vos contacts –, la plupart des utilisateurs négligent fréquemment ou ignorent tout simplement les autorisations excessives, inutiles ou inutilisées des applications, qu’elles soient légitimes ou douteuses.

Par exemple, l’auteur a récemment eu affaire à une application d’assurance qui, lors de son installation, demandait presque la totalité des autorisations, y compris l’accès aux photos et aux contacts. Après un examen approfondi de cet ensemble incompréhensible d’autorisations par défaut pour ce type d’application mobile, il est apparu que, selon la documentation de la compagnie d’assurance, l’accès aux photos et aux contacts était nécessaire pour lutter contre la fraude à l’assurance. Bien que la prévention de la fraude constitue un intérêt légitime pour le traitement des données à caractère personnel en vertu, par exemple, du RGPD ou d’autres lois et réglementations en matière de protection des données, ce cas spécifique relevait manifestement d’un excès et aurait difficilement résisté à l’examen d’un tribunal. Cela dit, au moins certains utilisateurs non avertis de cette application ont accordé mécaniquement toutes ces autorisations. Par conséquent, pour éviter de compromettre votre vie privée personnelle et professionnelle, assurez-vous que toutes les applications mobiles inutiles ou inutilisées soient supprimées de votre smartphone, et veillez à ce que les autres ne conservent que les autorisations nécessaires au bon fonctionnement de l’application.

Malheureusement, les applications pour smartphones trop curieuses ne sont que la partie émergée de l’iceberg des problèmes de confidentialité des données auxquels les arbitres devront faire face en 2026. Portez-vous une montre numérique, un bracelet ou une bague connectés, ou des lunettes de réalité augmentée, désormais à la mode? Dans ce cas, vous devriez suivre attentivement l’actualité des litiges visant les fabricants de vos gadgets afin de voir qui pourrait vous espionner en douce, vous et votre environnement professionnel.

Avez-vous Amazon Alexa, Google Home ou d’autres objets connectés dans votre bureau à domicile ou votre salon, d’où vous passez parfois des appels téléphoniques confidentiels ou participez à des vidéoconférences? Attention: tout ce que vous dites, faites ou regardez pourrait être enregistré sans préavis, comme le montre récemment un procès intenté par le procureur général du Texas contre cinq fabricants de téléviseurs intelligents.

Pour éviter de tels risques et leurs conséquences durables, veillez à ce que votre espace de travail – qu'il s'agisse du siège social de votre entreprise ou de votre bureau à domicile – ne contienne aucun objet connecté, sauf s'ils ont été configurés rigoureusement et installés de manière sécurisée par votre service informatique après l'achèvement d'une évaluation globale des risques liés à la confidentialité. Si vous estimez que certains objets dans vos locaux, tels que des machines à café et des réfrigérateurs intelligents (oui, vous avez bien lu) ou des projecteurs connectés, pourraient introduire des risques de confidentialité inconnus ou non documentés, il est judicieux d'en informer la personne chargée de la confidentialité et de la protection des données.

Conclusion et prochaines étapes

En arbitrage, l'IA peut être une alliée fidèle, mais elle peut aussi être votre ennemi juré. Pour éviter les risques importants abordés dans cet article, suivez les meilleures pratiques de protection des données [3], en prêtant une attention particulière à la mise en place d'un inventaire complet et à jour de toutes les technologies et outils d'IA que vous utilisez, de leurs conditions d'utilisation avec toutes leurs annexes, ainsi que des flux de données entre tous les systèmes. Autrement, utiliser l'IA dans le cadre d'un ADR revient à danser sur un champ de mines ou à s'asseoir sur une bombe à retardement. Lire l'article complet