L’IA dans le cadre d’un mandat fiduciaire : celui qui fait travailler la machine reste responsable

L’IA générative fait depuis longtemps partie du quotidien professionnel. En quelques secondes, elle permet de remanier des textes, de résumer des documents volumineux, d’analyser des écritures comptables ou de rédiger des projets de contrats. Certaines tâches qui nécessitaient auparavant plusieurs heures peuvent ainsi être considérablement accélérées.

Pour les fiduciaires, la question n’est donc plus seulement de savoir s’il convient d’utiliser l’IA. L’enjeu principal est le suivant : pour quelles tâches puis-je l’utiliser et comment dois-je contrôler les résultats qu’elle fournit ?

Cette question n’est pas uniquement d’ordre technique. Elle concerne directement le devoir de diligence professionnelle.

 

Sur le plan juridique, de nombreuses prestations fiduciaires relèvent du mandat au sens des art. 394 ss du Code suisse des obligations (CO). L’art. 398 CO constitue une disposition essentielle à cet égard.

Selon l’art. 398, al. 2, CO, le mandataire est responsable envers le mandant de la bonne et fidèle exécution du mandat.

Le degré de diligence requis dépend du mandat concret. Les exigences sont d’autant plus élevées lorsque le mandat est confié à un spécialiste exerçant à titre professionnel. Le Tribunal fédéral l’a notamment formulé clairement à propos d’un conseiller fiscal : celui qui est chargé de traiter des affaires fiscales doit préserver pleinement les intérêts de son mandant et prendre, avec le plus grand soin, toutes les mesures qui s’imposent au regard des circonstances concrètes. On peut notamment attendre d’un conseiller fiscal professionnel qu’il connaisse les lois applicables, la jurisprudence publiée des juridictions suprêmes ainsi que la doctrine de référence.

Le recours à l’IA ne supprime pas cette exigence de diligence professionnelle.

Un fiduciaire ne peut donc, en principe, s’exonérer de sa responsabilité envers son mandant en faisant valoir qu’un renseignement, un calcul ou une appréciation erronés ont été générés par un système d’IA. L’IA est avant tout un outil au service du fiduciaire, et non son substitut.
 

L’art. 398, al. 3, CO fournit un autre point de référence intéressant : le mandataire est en principe tenu d’exécuter personnellement le mandat. Il peut notamment en confier l’exécution à un tiers lorsque le mandant l’y a autorisé, que les circonstances l’exigent ou que le recours à un substitut est admis par l’usage.

Cette disposition ne peut toutefois pas être transposée telle quelle à l’IA. Juridiquement, un système d’IA n’est pas un « tiers » auquel un mandat pourrait être confié au même titre qu’à une personne physique ou morale. Le principe qui sous-tend cette disposition reste néanmoins pertinent pour l’utilisation de l’IA : quelles parties de sa prestation professionnelle le fiduciaire doit-il exécuter lui-même et assumer sous sa propre responsabilité ?

Une gradation en fonction de l’intensité du recours à l’IA permet ici de mieux cerner la question.
 

L’utilisation de l’IA pour des tâches simples d’assistance est la moins problématique.

Il peut s’agir, par exemple :

• De la correction de l’orthographe et de la grammaire ;
• De la planification de rendez-vous ;
• De traductions ;
• De la mise en forme et de la structuration de documents.

Dans ce cas, l’IA n’exécute en principe aucune prestation relevant du cœur de l’activité professionnelle du fiduciaire. Sa fonction s’apparente davantage à celle d’un outil d’assistance technique.

Prenons un exemple : un fiduciaire rédige lui-même une lettre destinée à un client, puis en fait vérifier l’orthographe et le style par une IA. Tant qu’aucune information confidentielle ou donnée personnelle n’est transmise illicitement au fournisseur du système d’IA, cette utilisation ne devrait généralement soulever que peu de difficultés au regard du droit du mandat.

Il reste néanmoins indispensable de contrôler le résultat.

 

La situation devient plus délicate lorsque l’IA ne se limite plus à des tâches administratives, mais contribue au traitement du mandat sur le fond.

Il peut s’agir, par exemple :

• De recherches sur une question de droit fiscal ;
• De l’analyse d’écritures comptables ;
• D’un soutien dans le cadre d’une due diligence ;
• De la synthèse de documents volumineux ;
• De la rédaction d’un premier projet de contrat.

Dans ce cas, l’IA produit déjà des contenus sur lesquels repose la suite du travail spécialisé.

C’est précisément à ce stade qu’apparaît un risque souvent sous-estimé : les modèles de langage peuvent générer des informations formulées de manière convaincante, mais factuellement erronées. Lors de recherches juridiques, ils peuvent par exemple mentionner des décisions inexistantes ou des dispositions légales erronées, ou encore tirer des conclusions inexactes.

Au regard du devoir de diligence professionnelle, cela signifie que l’IA peut effectuer des recherches ou élaborer un projet, mais la responsabilité professionnelle du résultat reste assumée par le fiduciaire.

Il ne suffit pas de reprendre simplement le contenu généré par l’IA. Les sources, les affirmations essentielles et les calculs doivent au minimum faire l’objet d’un contrôle de plausibilité et, lorsqu’ils sont déterminants pour le mandat, être vérifiés à l’aide de sources primaires fiables.

Dans le cas d’un conseiller fiscal, par exemple, le Tribunal fédéral continuerait d’attendre de celui-ci qu’il maîtrise les bases légales applicables ainsi que la jurisprudence publiée des juridictions suprêmes. Le recours à un modèle de langage n’y change rien.
 

Les exigences sont nettement plus élevées lorsqu’un système d’IA ne se limite plus à préparer des informations, mais influence les décisions professionnelles.

Il peut s’agir, par exemple :

• D’évaluations automatisées en matière de conformité ;
• De la classification des clients en fonction des risques ;
• D’analyses de solvabilité ;
• De recommandations fiscales automatisées ;
• De la validation d’opérations commerciales assistée par l’IA.

L’IA passe alors du rôle d’assistant à celui d’outil d’aide à la décision.

Le risque augmente en conséquence. Un projet de texte erroné peut être corrigé relativement facilement. En revanche, une classification incorrecte des risques peut conduire directement à une décision professionnelle inappropriée.

Le fiduciaire doit donc être en mesure de comprendre sur quelles bases le système parvient à son résultat, quelles en sont les limites et si ce résultat est professionnellement défendable dans le cas concret.

La règle générale est la suivante :

Plus l’IA intervient directement dans une décision relevant du cœur de l’activité professionnelle, plus le contrôle humain doit être approfondi.

Pour les applications étroitement liées à la prise de décision, un contrôle superficiel de plausibilité ne suffit donc plus. Une personne disposant des qualifications requises doit procéder à sa propre appréciation professionnelle.
 

La situation devient problématique lorsque l’IA traite le mandat de manière largement autonome et que le fiduciaire n’est plus lui-même en mesure d’en évaluer le résultat.

Il peut s’agir, par exemple :

• Du traitement spécialisé entièrement automatisé d’un mandat ; 
• D’opérations autonomes sur des actifs ; 
• De décisions automatisées concernant des positions juridiques essentielles d’un client ; 
• De l’utilisation d’un système dont le fiduciaire responsable n’est plus en mesure de vérifier les résultats sur le plan professionnel.

La question n’est alors plus de savoir comment le fiduciaire contrôle l’IA, mais s’il existe encore un véritable contrôle humain.

Le phénomène dit du biais d’automatisation (automation bias) joue ici un rôle important : les individus ont tendance à accorder une confiance excessive aux recommandations produites automatiquement. Le législateur européen a expressément reconnu ce problème. Le règlement européen sur l’IA exige ainsi une surveillance humaine effective pour les systèmes d’IA à haut risque. Les personnes responsables doivent notamment comprendre les capacités et les limites du système, interpréter correctement ses résultats et, si nécessaire, être en mesure de les ignorer, de passer outre ou de les annuler.

On peut en déduire un principe de diligence pertinent pour le droit suisse du mandat : quiconque n’est pas en mesure d’évaluer professionnellement le résultat fourni par une IA ne devrait fonder sur celui-ci aucune décision essentielle relative au mandat.
 

La Suisse ne dispose pas encore d’une législation générale sur l’IA comparable au règlement européen sur l’IA. Le Conseil fédéral privilégie une approche davantage sectorielle et a chargé le DFJP de préparer, d’ici à fin 2026, un projet de nouvelles règles destiné à la consultation. Celui-ci devra notamment porter sur la transparence, la protection des données, la non-discrimination et la surveillance.

Le Règlement Européen sur l’IA – Règlement (UE) 2024/1689 n’en demeure pas moins pertinent pour les entreprises suisses.

D’une part, ce règlement peut s’appliquer directement à des entreprises suisses. Selon l’art. 2 du règlement européen sur l’IA, les fournisseurs et les déployeurs établis dans des pays tiers peuvent également relever de son champ d’application sous certaines conditions, notamment lorsque les sorties produites par le système d’IA sont utilisées dans l’Union européenne. L’état des lieux officiel publié par la Suisse souligne donc expressément que, si le règlement européen sur l’IA ne s’applique en principe pas à la Suisse, il peut néanmoins concerner des acteurs suisses lorsque leurs activités sur le marché intérieur de l’Union européenne relèvent de son champ d’application.

D’autre part, le règlement européen sur l’IA fournit un cadre de référence utile pour une utilisation professionnelle de l’IA.

L’art. 4 du règlement européen sur l’IA, consacré à la maîtrise de l’IA (« AI Literacy »), présente un intérêt particulier pour les entreprises fiduciaires. Les fournisseurs et les déployeurs doivent prendre des mesures afin de garantir un niveau suffisant de maîtrise de l’IA aux collaborateurs qui utilisent des systèmes d’IA. Il convient notamment de tenir compte de leurs connaissances techniques, de leur expérience, de leur formation ainsi que du contexte concret dans lequel les systèmes sont utilisés.

Cette exigence rejoint le principe de diligence du droit suisse : une entreprise ne devrait pas simplement mettre un outil d’IA à la disposition de ses collaborateurs sans définir en parallèle à quelles fins il peut être utilisé, quels risques il présente et comment ses résultats doivent être contrôlés.
 

Une distinction importante s’impose à cet égard. Le règlement européen sur l’IA suit certes une approche fondée sur les risques. Cela ne signifie toutefois pas que toute application revêtant une importance professionnelle pour un fiduciaire constitue automatiquement un « système d’IA à haut risque » au sens juridique.

La classification d’un système d’IA comme étant à haut risque dépend des conditions concrètes prévues à l’art. 6 et dans les annexes du règlement européen sur l’IA. Celui-ci prévoit par ailleurs des pratiques interdites à l’art. 5 ainsi que des obligations particulières en matière de transparence à l’art. 50. Certains contenus générés ou manipulés par l’IA ainsi que les hypertrucages (deepfakes) sont, par exemple, soumis à des exigences de transparence, sans pour autant constituer automatiquement des systèmes d’IA à haut risque.

Pour les fiduciaires, il est donc judicieux de procéder à deux examens distincts :

Premièrement : quelles exigences légales s’appliquent au système d’IA concerné ?
La seconde question nous ramène précisément à l’art. 398 CO.

Deuxièmement : indépendamment de ces exigences, quel risque l’utilisation de l’IA présente-t-elle pour l’exécution diligente de mon mandat concret ?

 

Le devoir de diligence ne se limite pas à l’exactitude professionnelle des résultats obtenus.

Les fiduciaires traitent régulièrement des informations relatives aux revenus, à la fortune, aux impôts, aux chiffres d’une entreprise, aux collaborateurs ou encore aux relations contractuelles. La saisie de telles informations dans des systèmes d’IA externes peut donc se révéler particulièrement délicate.

Le PFPDT souligne expressément que la loi suisse sur la protection des données s’applique aux traitements de données reposant sur l’IA. Lorsque des données personnelles sont traitées, les principes de transparence, de proportionnalité, de finalité, de bonne foi et d’exactitude des données doivent notamment être respectés.

Avant de saisir des données relatives à un mandant dans un système d’IA, il convient donc de clarifier les questions suivantes :
Où les données sont-elles traitées ? Les données saisies sont-elles enregistrées ? Sont-elles réutilisées pour entraîner le modèle ? Qui peut y accéder ? Sont-elles communiquées à l’étranger ? Peuvent-elles être anonymisées ou pseudonymisées ?

Le PFPDT recommande expressément aux utilisateurs de vérifier, avant de saisir des textes ou de téléverser des images, à quelles fins ces données seront traitées. De leur côté, les entreprises doivent veiller au respect des exigences en matière de protection des données.

Une requête en apparence anodine peut donc entraîner un risque de non-conformité.
 

Toute utilisation d’un outil d’IA ne doit pas nécessairement être communiquée au mandant. Il existe une différence considérable entre une correction orthographique assistée par l’IA et un système qui établit une évaluation des risques concernant le mandant et susceptible d’avoir d’importantes conséquences économiques.

Plus l’IA influence la prestation professionnelle elle-même ou une décision, plus la question de la transparence gagne en importance.

Il est donc recommandé aux entreprises fiduciaires d’adopter une approche différenciée. L’utilisation courante de l’IA à des fins d’assistance peut, par exemple, être encadrée dans les conditions du mandat ou dans des directives internes. En revanche, les applications ayant des conséquences importantes pour le mandant ou impliquant le traitement de données particulièrement sensibles peuvent nécessiter une information plus détaillée ou, selon la situation juridique concrète, le consentement du mandant.

Ici encore, ce n’est pas l’étiquette « IA » qui est déterminante, mais l’usage concret qui en est fait.

 

Dans la pratique, le devoir de diligence peut se résumer à quatre questions de contrôle :

1. Quelles données vais-je saisir ?
   La requête contient-elle des données personnelles, des informations fiscales, des secrets d’affaires ou d’autres informations confidentielles relatives au mandat ?
    
2. Suis-je en mesure d’expliquer ce que fait l’IA ?
   Plus le résultat est important pour le mandant, plus il est essentiel de pouvoir comprendre et retracer le traitement effectué.
    
3. Suis-je en mesure de contrôler le résultat sur le plan professionnel ?
   Quiconque ne peut pas déterminer si un résultat généré par l’IA est exact ou erroné ne devrait pas s’en servir pour prendre une décision importante dans le cadre du mandat.
    
4. Qui prend la décision finale ?
   Pour les décisions présentant une importance professionnelle, la réponse devrait être sans équivoque : une personne disposant des qualifications requises, et non la machine.
    

Ces réflexions correspondent également au principe qui sous-tend le règlement européen sur l’IA. Pour les systèmes à haut risque, l’art. 26 exige par exemple que la surveillance humaine soit confiée à des personnes physiques disposant des compétences, de la formation et de l’autorité nécessaires.
 

Vous ne voulez pas manquer d'articles de blog ? Abonnez-vous à notre blog ici.