LexisNexis rachète Doctrine :
vos données juridiques sont-elles soumises au Cloud Act ?

Rédigé avec Lex, relu et validé par Anis Aidoudi

En avril 2026, RELX — maison mère de LexisNexis — a annoncé l’acquisition de Doctrine, le principal moteur de recherche juridique français. Depuis, une question revient dans les barreaux : mes données sont-elles soumises au Cloud Act américain ? Voici ce que tout avocat français doit savoir pour protéger ses clients.

1. Le rachat de Doctrine par RELX/LexisNexis — ce qui change concrètement

Doctrine était une entreprise française, fondée à Paris, hébergeant ses données en Europe. Depuis son acquisition par RELX Group — groupe britannique coté aux États-Unis, maison mère de LexisNexis —, la chaîne de contrôle a changé. RELX est soumis à la juridiction américaine, notamment au CLOUD Act (Clarifying Lawful Overseas Use of Data Act) de 2018.

Concrètement, le Cloud Act autorise les autorités américaines à exiger d’une entreprise américaine — ou d’une filiale d’un groupe américain — la communication de données stockées n’importe où dans le monde, y compris en Europe, sans passer par les voies d’entraide judiciaire internationale habituelles.

2. Ce que dit le CNB — et pourquoi la pseudonymisation ne suffit pas toujours

Le CNB a publié en septembre 2024 un guide pratique sur l’IA générative, puis en juin 2025 une grille de lecture des outils d’IA juridique. Points clés :

• Le guide pratique conseille de pseudonymiser les données avant de les soumettre à une IA générative, en restant vigilant sur les recoupements qui peuvent encore identifier un client
• La grille signale que les modèles d’origine américaine peuvent multiplier les biais de droit anglo-saxon
• La grille cite deux moyens d’éliminer les risques de souveraineté : l’anonymisation totale préalable des données, ou l’installation du modèle en local dans le cabinet

C’est la logique de LexPrivacy : la pseudonymisation a lieu sur la machine de l’avocat, avant tout envoi. Le serveur — qu’il soit en France ou ailleurs — reçoit des codes à la place des identités.

3. Tableau de risque — où se situent vos outils actuels

4. Ce que vous devez faire maintenant

• Auditer les outils IA utilisés dans votre cabinet, y compris par les collaborateurs (le CNB a mené une enquête sur l’usage de l’IA générative auprès des avocats et de leurs clients)
• Vérifier que chaque prestataire IA dispose d’un DPA (Data Processing Agreement) conforme RGPD art. 28
• Mettre en place une pseudonymisation vérifiable avant tout envoi vers un serveur externe
• Documenter vos choix techniques pour pouvoir démontrer votre diligence en cas de contrôle ou de litige