En une semaine, le SPF Finances, AVOCATS.BE et des dizaines de supermarchés belges ont été touchés par des cyberattaques. Pour un avocat, choisir un outil d’IA sécurisé et le paramétrer correctement relève de la même prudence élémentaire que celle qui a manqué dans plusieurs de ces dossiers. Les lignes directrices d’AVOCATS.BE et de l’OVB demandent d’ailleurs d’examiner les conditions d’utilisation de chaque outil avant de s’en servir. Voici ce qui s’est passé, ce que disent ces lignes directrices et les réglages à vérifier dès aujourd’hui.
Que s’est-il passé ces deux dernières semaines ?
Entre le 28 octobre et le 2 novembre 2026, la Belgique a connu une cyberattaque contre les services numériques du SPF Finances, la mise en vente de données d’avocats piratées chez AVOCATS.BE et une attaque contre les installations frigorifiques de dizaines de supermarchés, trois semaines après une vague identique en France. Aucune de ces attaques ne visait l’IA, mais toutes parlent de sécurité de base.
Le 28 octobre, le SPF Finances a annoncé qu’une cyberattaque touchait ses services numériques. Par précaution, plusieurs plateformes ont été rendues temporairement inaccessibles, dont MyMinfin et Tax-on-web, à quelques jours de l’échéance du 31 octobre qui concernait notamment les indépendants et les contribuables ayant des revenus étrangers. L’administration a annoncé un délai supplémentaire pour certaines déclarations et indiquait n’avoir détecté, à ce stade, aucun indice de fuite de données.
Le 29 octobre, AVOCATS.BE a confirmé par communiqué que des données d’avocats avaient été piratées et étaient proposées à la vente en ligne par des personnes non encore identifiées. L’OBFG indique avoir identifié la source de l’incident et sécurisé la faille. Selon les informations relayées par la RTBF, la plupart des données volées sont des informations professionnelles déjà publiques (nom, statut, coordonnées professionnelles), mais des données de contact privées de certains avocats sont aussi concernées : adresses e-mail, adresses postales privées ou numéros de téléphone. AVOCATS.BE ajoute : « Nous prenons cette situation très au sérieux ». Le site spécialisé cyberattaque.org rapporte qu’un pirate se présentant sous le pseudonyme RedStone revendiquait 122 116 fiches, tout en précisant que ce nombre d’enregistrements ne correspond pas à autant d’avocats distincts. Le même site rappelle qu’AVOCATS.BE avait déjà alerté, le 19 octobre, sur une campagne d’hameçonnage usurpant l’identité d’un service numérique destiné aux avocats.
Dans la nuit du 1er au 2 novembre enfin, les réfrigérateurs et congélateurs d’une quarantaine de magasins Delhaize se sont mis à chauffer, en particulier des Proxy et des Shop & Go. Carrefour, Intermarché et Spar ont signalé des incidents comparables, des chaînes du Luxembourg et de Suède ont été touchées, et le parquet fédéral a ouvert une enquête. Le scénario reprenait celui qui avait frappé des centaines de supermarchés français dans la nuit du 11 au 12 octobre.
Qu’ont en commun ces cyberattaques ?
Pour l’attaque française des frigos, l’explication officielle est d’une grande simplicité : des équipements exposés directement sur internet, administrés sans protection particulière et protégés par des mots de passe faibles. Aucune technique avancée n’a été nécessaire, et c’est précisément ce qui doit interpeller chaque cabinet.
Entendu par le Sénat français le 21 octobre, Vincent Strubel, directeur général de l’ANSSI, a parlé de « défauts de sécurisation élémentaire ». Il a cité l’exposition directe sur internet des équipements frigorifiques, leur administration sans sécurisation et des mots de passe faibles, en rappelant que son agence recommande depuis 2014 de ne pas exposer directement ces systèmes sur internet. Pour les incidents belges, rien ne permet encore d’affirmer que le même matériel ou la même méthode sont en cause : les enquêtes sont en cours.
Le parallèle avec un cabinet d’avocat est direct. Chaque outil connecté, qu’il s’agisse d’une messagerie, d’un logiciel de gestion ou d’un assistant d’IA, est une porte. La plupart des incidents passent par un compte mal protégé, un réglage resté par défaut ou un lien cliqué trop vite, bien plus souvent que par une faille spectaculaire.
Pourquoi les avocats doivent-ils redoubler de prudence avec leurs outils d’IA ?
Parce que la fuite de données chez AVOCATS.BE rend les tentatives d’hameçonnage ciblé plus crédibles, et que les assistants d’IA reçoivent souvent des textes de dossiers. Un compte d’IA compromis ou mal paramétré expose alors des informations couvertes par le secret professionnel.
Le risque ne se limite pas aux attaques contre l’outil lui-même. Début octobre, Clubic rapportait la découverte d’une vaste plateforme d’hameçonnage déguisée en faux services ChatGPT, Gemini, Claude ou Perplexity, conçue pour voler les identifiants des utilisateurs. Un avocat qui se connecte à son assistant à partir d’un lien reçu par courriel pourrait donc offrir ses accès sans le savoir.
Le marché des outils d’IA destinés aux avocats se développe vite, et les arguments commerciaux suivent. Une mention « sécurisé » ou « conforme au RGPD » sur une page de présentation reste une promesse tant qu’elle n’a pas été vérifiée dans les conditions générales, la politique de confidentialité et l’accord de traitement des données. Un outil spécialisé peut être un excellent choix, à condition de passer le même examen qu’un assistant généraliste.
Que disent les lignes directrices d’AVOCATS.BE et de l’OVB sur le choix d’un outil d’IA ?
Les lignes directrices communes d’AVOCATS.BE et de l’Orde van Vlaamse Balies, publiées le 31 janvier 2025, demandent à l’avocat d’examiner les conditions d’utilisation de l’outil d’IA avant de s’en servir. Elles énumèrent six points d’attention, de la conservation des données jusqu’à la responsabilité de la plateforme et aux droits de propriété intellectuelle.
Le texte, dans sa version francophone, est le suivant :
« L’avocat(e) examine attentivement les conditions d’utilisation de l’outil d’IA qu’il/elle souhaite utiliser. »
« Points d’attention :
Conditions relatives à la formation, à la transmission et au stockage ;
Conditions relatives au traitement ultérieur des données appliquées par la plateforme ;
Localisation des opérations de traitement ;
La nature ouverte ou fermée du système ;
Conditions de responsabilité de la plateforme ;
Les droits de propriété intellectuelle et les conditions d’octroi de licences. »
Sur le secret professionnel, les lignes directrices posent ce principe : « L’avocat(e) ne communique jamais de documents ou d’informations couverts par le secret professionnel ou une obligation de confidentialité dans un outil d’IA ». Elles prévoient une seule exception : « Une exception à ce principe s’applique uniquement si l’avocat est absolument certain qu’il/elle travaille dans un environnement fermé avec des garanties adéquates. »
Ces extraits ne couvrent pas l’ensemble des lignes directrices, qui traitent aussi de la pseudonymisation, de la vérification des résultats et de la responsabilité de l’avocat.
Comment choisir et paramétrer un outil d’IA sécurisé en pratique ?
Un outil d’IA sécurisé se choisit en lisant ses conditions avec les six points d’attention en tête, puis se règle avant le premier usage : compte professionnel, entraînement sur vos conversations désactivé, double authentification et données pseudonymisées. Ces réglages réduisent fortement le risque.
Le type de compte vient en premier. Les offres gratuites ou personnelles et les offres destinées aux professionnels n’ont pas toujours les mêmes conditions de conservation, d’entraînement et de responsabilité. C’est dans ces conditions, et non sur la page tarifaire, que se lit la différence.
Viennent ensuite les réglages. Vérifiez dans les paramètres de confidentialité si vos conversations peuvent servir à entraîner les modèles et désactivez cette option lorsqu’elle est proposée. Activez la double authentification, utilisez un mot de passe propre à ce service et ouvrez votre assistant depuis son adresse officielle enregistrée dans vos favoris, jamais depuis un lien reçu par courriel. Limitez aussi les connecteurs et autorisations accordés à l’outil à ce dont vous avez réellement besoin.
Enfin, ce qui n’est pas nécessaire au raisonnement juridique n’a pas à quitter le cabinet. Pseudonymiser avant d’envoyer réduit l’exposition, quel que soit l’outil. C’est le rôle d’AvoPseudo, l’extension Chrome gratuite d’AvoTempo qui pseudonymise ou bloque les données à caractère personnel et sensibles dans les prompts envoyés aux assistants d’IA, et d’AvoDocs, l’application de bureau qui pseudonymise vos documents en local.
Ce qu’il faut retenir
Les attaques de ces derniers jours n’ont demandé aucun génie technique : elles ont profité de portes mal fermées. Avant d’adopter un outil d’IA, prenez le temps de lire ses conditions à la lumière des lignes directrices, puis de le régler correctement. C’est le moyen le plus simple de gagner du temps avec l’IA sans exposer vos clients.
Questions fréquentes
Mes données font-elles partie de la fuite chez AVOCATS.BE ?
AVOCATS.BE indique que la plupart des données concernées sont des informations professionnelles déjà publiques (via l’annuaire), et que des coordonnées privées de certains avocats sont également touchées. L’OBFG dit assurer le suivi des obligations qui en découlent avec son délégué à la protection des données. Suivez ses communications et redoublez de vigilance face aux courriels qui vous demandent vos identifiants.
Un outil d’IA juridique spécialisé est-il plus sûr qu’un assistant généraliste ?
Pas par principe. Les lignes directrices ne distinguent pas les outils selon leur public mais selon leurs conditions : stockage, traitement ultérieur, localisation, nature ouverte ou fermée du système, responsabilité et propriété intellectuelle. Un outil spécialisé comme un assistant généraliste doit passer ce même examen.
Dois-je informer mon client que j’utilise l’IA ?
Les lignes directrices prévoient : « L’avocat(e) n’a pas à communiquer sur l’utilisation qu’il/elle fait de l’IA, tout comme il/elle n’a pas à communiquer sur l’utilisation qu’il/elle fait d’autres applications informatiques. » Nous détaillons la question dans un article dédié.
Vous voulez choisir et régler vos outils d’IA en toute sécurité ?
Le 6 janvier 2027, de 9 h à 17 h 30, à la Maison de l’avocat à Bruxelles, Sophie Everarts de Velp et Geoffroy Blondiau animent une journée de formation concrète et pratique pour améliorer et sécuriser l’utilisation de l’IA dans votre cabinet. Nous y choisissons ensemble les outils adaptés à votre pratique, le bon type de compte et les réglages de sécurité, et vous repartez avec vos outils déjà installés. La journée donne droit à 8 points de formation juridique AVOCATS.BE (agrément LGO). Réserver ma place
Ressource : Boutique | Avotempo
Prendre rendez-vous : https://calendly.com/avotempo-info/30min
E-mail : info@avotempo.be
