Vos clients passent leur déclaration à l’IA : que leur dire

Quand un client passe sa déclaration fiscale dans ChatGPT ou Gemini, dites-lui simplement ce qu’il a partagé et comment utiliser l’IA en s’exposant moins la prochaine fois, et répondez à chaque « correction » avec une source qu’il peut consulter. Si vous utilisez vous-même l’IA sur les déclarations de vos clients, c’est vous, et non le client, que visent les règles de confidentialité : aux États-Unis, la section 7216 et les recommandations de l’IRS sur l’IA ; au Royaume-Uni et dans l’UE, le RGPD.

Ce que partage un client qui envoie sa déclaration

Une déclaration remplie contient plus de données personnelles que presque tout autre document d’un client. Un Form 1040 américain comporte les numéros de sécurité sociale du contribuable, du conjoint et de chaque personne à charge, ainsi que le code bancaire et le numéro de compte pour un remboursement par virement. Une déclaration britannique Self Assessment (SA100) comporte l’Unique Taxpayer Reference, le numéro de National Insurance et la date de naissance. Dans l’UE, les déclarations portent l’identifiant fiscal national.

Un client qui envoie « ma déclaration » envoie généralement tout le dossier :

• Identifiants : SSN ou ITIN, numéro de National Insurance et UTR, identifiant fiscal national.
• D’autres personnes : le conjoint, les enfants et les autres personnes à charge, souvent avec leur date de naissance.
• Revenus : salaires et employeurs, revenus de placements et revenus locatifs, remboursement ou montant dû.
• Coordonnées bancaires : numéros de compte pour les remboursements et les paiements.
• Pièces jointes : W-2, 1099, P60, et parfois une photo de passeport ou de permis de conduire.

L’essentiel, ce sont les données du client lui-même. Le conjoint et les enfants, eux, n’ont pas décidé de partager les leurs.

Que dire à un client qui l’a déjà fait

Épargnez-lui la leçon de morale. Le client cherchait à comprendre sa propre déclaration. Donnez-lui trois étapes :

1. Supprimer la conversation. Dans ChatGPT, une conversation supprimée disparaît aussitôt du compte et est programmée pour un effacement définitif sous 30 jours, sauf si OpenAI doit la garder plus longtemps pour des raisons de sécurité ou des raisons juridiques (en octobre 2026). La suppression n’annule pas l’envoi. Elle raccourcit la durée de conservation des données.
2. Désactiver l’entraînement pour les conversations futures. Dans les offres ChatGPT personnelles, « Improve the model for everyone » est activé par défaut et peut être désactivé dans « Settings », « Data controls ». Notre article est-il sûr d’envoyer des documents à ChatGPT explique ce que devient un fichier avec une offre personnelle ou professionnelle.
3. Aux États-Unis, obtenir un Identity Protection PIN. Un IP PIN empêche quelqu’un d’autre de déposer une déclaration fédérale avec le SSN ou l’ITIN du client. Toute personne capable de vérifier son identité peut en obtenir un, et les parents peuvent en demander un pour les personnes à charge. Les professionnels de la fiscalité ne peuvent pas l’obtenir pour un client ; c’est au client d’en faire la demande.

Quand le client revient avec des « corrections » de l’IA

Le fil r/Accounting sur le sujet commence par un client qui a passé un projet de déclaration dans ChatGPT et Gemini et est revenu avec des demandes de modification que le préparateur juge « complètement fausses ». Dans une réponse, un client demandait pourquoi la nouvelle déduction des intérêts d’un prêt automobile manquait. La voiture avait été achetée en 2024, et la déduction ne s’applique qu’aux prêts souscrits après le 31 décembre 2024.

Un chatbot peut énoncer une règle fiscale avec assurance et se tromper malgré tout, être dépassé, ou avoir raison pour les faits de quelqu’un d’autre. L’IRS Office of Professional Responsibility cite les résultats inventés, ou « hallucinations », parmi les limites de l’IA générative dans ses recommandations de juin 2026 aux professionnels de la fiscalité. Le modèle ignore aussi ce qui ne figure pas sur la page : la date d’achat, un départ à l’étranger, une option exercée une année antérieure.

Une réponse qui fonctionne :

• Demandez la question exacte que le client a tapée et la réponse complète, pas un résumé.
• Répondez à chaque point avec une source que le client peut consulter : une page de l’IRS ou du HMRC, la notice du formulaire, le texte de loi. « Voici la page de l’IRS » règle plus de choses que « ChatGPT se trompe ».
• Si l’IA a trouvé quelque chose de réel, dites-le et corrigez.
• Gardez l’échange dans le dossier du client. Si le client maintient une position que vous lui avez déconseillée, la trace montre ce que vous avez dit.
• Si ces vérifications prennent un vrai temps, prévoyez-les dans la lettre de mission de l’année suivante.

Une note à envoyer à vos clients

Faites court et n’interdisez pas l’IA : les clients l’utiliseront de toute façon. Dites-leur comment l’utiliser en s’exposant moins, et invitez-les à vous envoyer ce qu’elle répond. Adaptez la formulation à votre cabinet.

Objet : Utiliser des outils d’IA avec vos documents fiscaux

Beaucoup de clients interrogent désormais ChatGPT, Gemini ou d’autres
outils d’IA sur leur déclaration. Aucun problème, et nous regarderons
volontiers ce qu’il en ressort. Quelques conseils :

1. Posez une question sur la règle, pas sur votre déclaration.
   « Puis-je déduire les intérêts d’un prêt automobile souscrit en 2025 ? »
   vous donne une réponse sans vos informations.
2. Si vous collez des chiffres, retirez d’abord votre numéro de sécurité
   sociale, de National Insurance ou d’identification fiscale, les noms
   et dates de naissance de votre conjoint et de vos enfants, vos numéros
   de compte bancaire, votre adresse et le nom de votre employeur.
3. N’envoyez pas de photos de votre passeport, de votre permis de conduire
   ou de votre carte d’identité.
4. Vérifiez d’abord les réglages de données de l’outil, par exemple
   si vos conversations servent à entraîner ses modèles.
5. Les outils d’IA peuvent se tromper ou être dépassés sur les règles
   fiscales, et ils ne connaissent pas les éléments que vous nous avez
   transmis. Envoyez-nous la question et la réponse : nous les vérifierons
   au regard des textes officiels avant toute modification de votre déclaration.

Si vous avez déjà envoyé votre déclaration, supprimez cette conversation
et prévenez-nous. Nous vous expliquerons comment protéger votre compte fiscal.

Si vous utilisez l’IA sur des déclarations : règles américaines

Un client peut partager sa propre déclaration avec qui il veut. Un préparateur, non. La section 7216 de l’Internal Revenue Code fait un délit (misdemeanor) du fait, pour toute personne exerçant l’activité de préparation de déclarations, de divulguer sciemment ou par imprudence des informations fournies pour une déclaration, ou de les utiliser à toute autre fin. La peine est une amende pouvant aller jusqu’à 1 000 $ (100 000 $ lorsque la section 6713(b) s’applique), jusqu’à un an d’emprisonnement, ou les deux. La section 6713 ajoute une sanction civile.

Les règlements définissent largement les termes. Les « tax return information » comprennent le nom, l’adresse et le numéro d’identification du contribuable ainsi que toute information fournie pour la déclaration, et la « disclosure » consiste à les faire connaître « à toute personne de quelque manière que ce soit » (§301.7216-1). Les divulgations que les règlements n’autorisent pas expressément (§301.7216-2) exigent au préalable le consentement écrit du contribuable, dans la forme prévue par le §301.7216-3.

Ni la loi ni les règlements ne mentionnent l’IA. L’IRS Office of Professional Responsibility le fait, dans ses recommandations de juin 2026. Il cite les sections 6713 et 7216 parmi les règles applicables, avertit que les plateformes d’IA « peuvent présenter des risques de divulgation non autorisée d’informations sensibles sur les contribuables », et indique que les professionnels doivent traiter les données des clients « en utilisant uniquement une IA sécurisée et approuvée au niveau de l’entreprise ». Il précise aussi que « les professionnels ne peuvent pas s’en remettre uniquement à l’IA » et que les résultats de l’IA doivent être vérifiés avant de parvenir à un client ou à l’IRS.

Savoir si l’envoi d’informations de déclaration à un fournisseur d’IA donné constitue une divulgation soumise à consentement dépend de l’outil et des faits. Des recommandations publiées par l’AICPA suggèrent d’évaluer précisément ce point au regard des §301.7216-2 et §301.7216-3. Prenez conseil auprès d’un avocat fiscaliste ou de votre organisation professionnelle avant d’intégrer l’IA à votre processus de préparation des déclarations.

Par ailleurs, au titre de la FTC Safeguards Rule, les professionnels de la fiscalité et de la comptabilité sont considérés comme des institutions financières et doivent tenir un plan écrit de sécurité de l’information, ou WISP. L’IRS publie un modèle dans la Publication 5708 et des recommandations de sécurité dans la Publication 4557, Safeguarding Taxpayer Data. Les recommandations de l’OPR demandent aux cabinets de fixer des procédures pour l’IA : formation du personnel, traitement sécurisé des données et évaluation des outils d’IA externes. Le WISP est l’endroit où consigner les outils que le personnel peut utiliser et ce qu’on peut y mettre.

Royaume-Uni et UE : le RGPD

Les données fiscales d’un client particulier sont des données personnelles au sens du RGPD de l’UE et du UK GDPR. Un nom et un numéro d’identification sont tous deux cités comme identifiants. Quand un fournisseur d’IA traite ces données pour le compte de votre cabinet, il est généralement sous-traitant, et l’article 28 exige un contrat comportant des clauses précises. Vérifiez si l’offre d’IA que vous utilisez s’accompagne d’un accord de traitement des données avant d’y mettre des données clients. Remplacer les noms par des marqueurs réduit le risque, mais les données pseudonymisées restent des données personnelles.

La méthode de la copie sûre pour les préparateurs

La plupart des questions qu’un préparateur pose à un outil d’IA n’ont pas besoin de l’identité du client : expliquer une ligne d’un K-1, rédiger en langage clair une lettre sur les acomptes, résumer un avis du HMRC ou de l’IRS, vérifier un tableau d’amortissement.

1. Posez la question sur la règle en termes généraux quand c’est possible. Rien concernant le client ne sort du cabinet.
2. Quand le document lui-même est nécessaire, travaillez sur une copie. Remplacez les noms, SSN, numéros de National Insurance et identifiants fiscaux, adresses, numéros de compte bancaire et dates de naissance par des marqueurs tels que Person_1, ID_1, Account_1. Gardez les montants, les années et les numéros de ligne : c’est sur eux que porte la question. La liste de ce qu’il faut retirer avant d’envoyer un document à l’IA couvre les détails indirects, comme un employeur dans une petite ville.
3. Utilisez le même marqueur pour la même personne partout. Le conjoint est Person_2 sur la déclaration, sur le W-2 et dans la lettre.
4. Vérifiez la réponse par rapport à la source, puis remettez les vrais noms sur votre propre ordinateur.

Une copie sûre réduit ce qui sort de votre cabinet. Elle ne règle pas à elle seule la question de la section 7216 : la définition réglementaire des tax return information ne se limite pas aux noms et aux numéros. Soumettez ce point à votre conseil, en même temps que la question du consentement.

ClientSafe s’occupe des étapes 2 et 3 sur votre PC. Mettez les documents du client dans un même dossier, vérifiez ce qu’il a trouvé, décochez les correspondances qui ne sont pas des données personnelles et marquez ce qui a été oublié, puis copiez la copie sûre ou enregistrez-la dans un fichier Markdown. Collez la réponse de l’IA dans le même dossier pour restaurer les noms. Pour les relevés bancaires et les états financiers derrière une déclaration d’entreprise, voir l’IA pour les experts-comptables.

Questions fréquentes

Dois-je dire à mes clients de ne pas utiliser l’IA pour leurs impôts ?

Une interdiction fonctionne rarement, et les données leur appartiennent. Une note sur la façon d’utiliser l’IA en s’exposant moins, avec une offre de vérifier les réponses, fait que les questions continuent d’arriver chez vous.

Une déclaration peut-elle être envoyée sans risque si le client retire son nom ?

Non. Le SSN ou le numéro de National Insurance, les noms des personnes à charge, les numéros bancaires, l’adresse et l’employeur figurant sur un W-2 ou un P60 identifient aussi le client. Retirez-les tous, ou posez la question sur la règle sans le document.

Ai-je besoin du consentement du client pour utiliser l’IA sur ses déclarations ?

Aux États-Unis, peut-être : la section 7216 exige un consentement écrit pour les divulgations que ses règlements n’autorisent pas par ailleurs, et son application dépend de l’outil et de ce que vous envoyez. Au Royaume-Uni et dans l’UE, il vous faut une base légale au titre du RGPD et un contrat de sous-traitance avec le fournisseur d’IA. Interrogez un conseil sur votre propre situation.

ClientSafe remplace sur votre PC, dans une copie sûre de documents fiscaux, les noms des clients, leurs numéros d’identification, adresses et numéros de compte bancaire, et remet les vrais noms dans la réponse de l’IA. La détection n’est pas parfaite : vérifiez ce qu’il a trouvé avant de copier.

Informations générales, pas un conseil juridique ou fiscal.