Est-il sûr de faire passer des données clients
par des outils de documents gratuits ?

Importer le fichier d'un client modifie votre rôle juridique

Confier le document d'un client à un outil gratuit change votre rôle : vous cessez d'être un simple détenteur de documents pour devenir une personne qui divulgue des informations, et c'est précisément ce changement que la plupart des conseils sur les outils gratuits passent sous silence. Ce document n'est pas votre donnée. Vous le détenez dans le cadre d'une obligation professionnelle de confidentialité, et dès l'instant où vous le placez sur le serveur d'un tiers, vous effectuez une divulgation que les règles vous imposent de justifier.

L'American Institute of Certified Public Accountants trace la ligne dans le Code de conduite professionnelle de l'AICPA. La règle 1.700.001, la règle sur les informations confidentielles des clients, stipule qu'un membre en exercice public ne doit pas divulguer d'informations confidentielles d'un client sans le consentement exprès de celui-ci. L'interprétation qui régit votre question est la 1.700.040, relative à la divulgation d'informations à un prestataire de services tiers. Elle part du principe que le recours à un tel prestataire peut menacer la conformité, et n'offre que deux issues : conclure un accord contractuel qui oblige le prestataire à préserver la confidentialité des informations, ou obtenir le consentement exprès du client avant la divulgation. Un outil web gratuit avec lequel vous n'avez jamais signé de contrat est précisément le cas que cette interprétation met en garde.

Les données fiscales sont encore plus restrictives. En vertu de l'article 7216 de l'Internal Revenue Code, un préparateur de déclarations fiscales qui divulgue sciemment ou par négligence des informations fournies pour la préparation d'une déclaration est coupable d'un délit, passible d'une amende pouvant atteindre 1 000 $ ou d'un an d'emprisonnement. Une pénalité civile en vertu de l'article 6713 ajoute 250 $ pour chaque divulgation non autorisée, plafonnée à 10 000 $ par année civile. La catégorie est large : elle couvre les informations fournies dans le cadre de la préparation d'une déclaration, et les documents d'identité et de revenus d'un client entrent exactement dans cette catégorie.

La relation est également réglementée. Le Gramm-Leach-Bliley Act et la Safeguards Rule de la Federal Trade Commission classent les professionnels de la fiscalité et de la comptabilité comme des institutions financières, ce qui les oblige à maintenir un plan écrit de sécurité de l'information, connu sous le nom de WISP. L'IRS précise que le plan doit faire plus que sécuriser votre propre bureau. Il exige que vous sélectionniez des prestataires de services capables de maintenir des garanties appropriées et que vous vous assuriez que votre contrat exige du prestataire qu'il les maintienne. Le choix de l'outil fait partie du plan, et non une décision distincte.

Les enjeux ne sont pas théoriques. En août 2025, l'IRS et ses partenaires du Security Summit ont signalé que le premier semestre de l'année avait vu près de 300 violations de données touchant jusqu'à 250 000 clients (IRS IR-2025-88). Les petits cabinets sont des cibles précisément parce que les données y sont concentrées et les protections minces.

Les praticiens sentent déjà le compromis. Lorsqu'un comptable a partagé un convertisseur gratuit de relevés bancaires sur r/quickbooksonline, la réponse a été directe : « Attention à nourrir les informations privées de vos clients dans des applications "gratuites". Elles coûtent quelque chose et probablement les données des utilisateurs » (r/quickbooksonline). L'instinct est juste. La question utile est de savoir comment le remplacer par quelque chose que l'on peut réellement vérifier.

Les cinq questions qui déterminent si un outil gratuit est sûr pour les données clients

Cinq questions séparent un outil gratuit dans lequel on peut faire passer des documents clients d'un outil à éviter, et chacune a une réponse que l'on peut trouver avant de téléverser quoi que ce soit. Ce sont les questions qu'un régulateur, un client ou votre propre assureur de responsabilité poserait, et elles correspondent aux divulgations sur le traitement des données que chaque outil publie.

• 1. Où les fichiers sont-ils stockés et traités ? Une copie sur un serveur dans une juridiction où l'on devrait signaler une violation est un risque différent d'une copie sur un serveur au coin de la rue.
• 2. Combien de temps le fichier est-il conservé ? Une fenêtre mesurée en minutes et une mesurée en mois comportent des risques très différents, et la fenêtre est généralement indiquée dans la politique de confidentialité, pas sur la page produit.
• 3. Le contenu téléversé est-il utilisé pour entraîner ou améliorer des modèles ? Pour les données fiscales, toute utilisation au-delà de la préparation de la déclaration est un objectif que les règles ne permettent pas sans consentement.
• 4. Qui sont les sous-traitants ? Un sous-traitant est toute entreprise à laquelle l'outil transmet votre fichier pour traitement, comme un fournisseur d'inférence ou un hébergeur de stockage. Sa durée de conservation s'applique au document de votre client autant que celle de l'outil lui-même.
• 5. Quelle est votre relation juridique avec le fournisseur ? Les conditions d'utilisation ne sont pas un contrat de confidentialité. Seul un accord de traitement des données, ou le consentement écrit du client, satisfait à la norme AICPA.

Appliquez ces cinq questions à quatre outils réels que les gens utilisent pour les documents clients, en vous basant sur la politique publiée de chaque outil. L'écart est le point.

Lisez la dernière colonne et la deuxième ensemble. Un outil supprime le fichier en deux heures, un autre peut conserver une correspondance de sécurité du contenu pendant 180 jours, et un troisième vous renvoie l'obligation de confidentialité dans ses propres conditions. Les quatre sont gratuits, et ils ne sont pas interchangeables pour les documents d'un client. Les sources sont les pages des outils eux-mêmes, et chacune peut changer : la page de sécurité d'iLovePDF, la politique de confidentialité d'OCR.space, les conditions d'utilisation de PDF24 et la politique de confidentialité de FreeOCR.AI. Vérifiez-les à nouveau avant de vous fier à l'un de ces éléments.

Comment vérifier un outil en une dizaine de minutes

Les réponses sont déjà publiées, et les lire prend environ dix minutes par outil. Le travail consiste à savoir quelle page ouvrir et quelle phrase compte comme une réponse.

Si un outil échoue à l'étape 3, arrêtez-vous là. Selon l'interprétation de l'AICPA concernant les prestataires de services tiers, vos deux options sont un contrat de confidentialité ou le consentement spécifique du client, et un outil grand public gratuit pour lequel vous ne pouvez obtenir ni l'un ni l'autre n'est pas utilisable pour les données clients, quel que soit son bon fonctionnement sur votre document de test. Pour les clients de l'UE, les obligations du prestataire en tant que sous-traitant sont définies dans ce que le RGPD exige d'un prestataire d'extraction.

Le risque se situe dans ce qui n'est pas documenté, pas dans le prix

Le prix ne vous apprend rien sur le traitement des données. Deux des outils ci-dessus publient de courtes durées de conservation et une certification ISO/IEC 27001, et ils sont gratuits. Une plateforme d'entreprise payante n'est pas non plus automatiquement plus sûre, et les cabinets qui en achètent une doivent quand même vérifier la durée de conservation, la juridiction et la piste d'audit, ce qui constitue l'évaluation que ces cabinets mènent dans notre comparaison des outils pour les cabinets comptables.

Méfiez-vous du réconfort que procure une courte durée de conservation. Deux heures réduisent l'exposition sans l'éliminer. Une politique est une promesse qu'un fournisseur peut réviser, et ce sont les conditions que vous avez acceptées au moment du téléchargement qui s'appliquent. PDF24 le dit en toutes lettres, plaçant la responsabilité de la protection des données et de toute obligation de confidentialité professionnelle sur l'utilisateur (la même page de conditions citée ci-dessus). Une certification comme ISO 27001 atteste du système de gestion du fournisseur, pas de votre relation client spécifique, et elle ne dit rien sur la durée de conservation de votre fichier ni sur son éventuelle utilisation pour l'entraînement d'un modèle.

C'est pourquoi l'option la plus sûre est généralement un flux de travail où le fichier ne quitte jamais la machine, plutôt qu'un meilleur outil gratuit. Lorsque la relation client elle-même est la contrainte, la durée de conservation des dossiers par la suite est une question distincte, traitée dans les exigences américaines de conservation des documents.

Quand le niveau gratuit cesse d'être viable

Il arrive un moment où la bonne réponse n'est pas un meilleur outil gratuit, mais une relation que vous pouvez formaliser par écrit. Ce moment survient lorsque vous traitez des données fiscales de clients pour de nombreux clients, où la clause de fournisseur de la Safeguards Rule et l'interprétation de l'AICPA exigent ensemble un contrat ou un consentement documenté, une séparation par client, et une trace de ce qui a été fait. Un formulaire web anonyme et gratuit ne peut fournir aucun de ces éléments.

Deux voies honnêtes subsistent à cette échelle. La première est de rester en local, en utilisant un traitement sur ordinateur ou dans le navigateur, et en acceptant le coût de configuration et de précision. La seconde est de passer à un outil qui signera un accord de traitement des données et s'engagera par écrit à ne pas entraîner ses modèles sur vos documents. Cette conversation se situe généralement dans un niveau payant ou contractuel, et c'est le moment où un outil gratuit cesse de convenir au travail client.

Pour l'étape d'extraction elle-même, le mécanisme mérite d'être distingué de la question du traitement des données. ImageToTable.ai est un outil d'extraction de données par IA dans la même catégorie que les outils ci-dessus : vous saisissez les noms de colonnes souhaités, et il remplit un tableau en lisant chaque document. Cette approche, appelée Extraction de colonnes personnalisées, signifie que la sortie contient les colonnes que vous avez nommées plutôt que le document entier transformé en lignes, ce qui maintient les champs sans rapport hors du fichier que vous devez ensuite protéger. Une fois qu'un outil répond aux cinq questions ci-dessus, l'extraction elle-même est la partie facile, ce qui est le flux de travail derrière la transformation d'un relevé bancaire en feuille de calcul. Les mêmes cinq questions s'appliquent toujours à ImageToTable.ai, et vous devez les poser. Ce que cela donne à un volume réel de tenue de livres est détaillé dans ce que coûte l'extraction au volume d'un indépendant.

Questions fréquemment posées

Est-il illégal d'utiliser un outil gratuit pour traiter des documents clients ?

Pas en soi. La loi et la profession restreignent ce que vous pouvez divulguer sans consentement. L'IRC Section 7216 fait de la divulgation non autorisée d'informations de déclaration de revenus un délit avec une pénalité civile, et la règle AICPA sur les informations clients confidentielles interdit la divulgation sans consentement spécifique. L'outil lui-même ne viole aucune règle. L'exposition provient d'une divulgation que vous ne pouvez pas documenter, c'est pourquoi le traitement des données par l'outil devient votre responsabilité.

Qu'est-ce qu'un sous-traitant et pourquoi est-ce important ?

Un sous-traitant est toute entreprise à laquelle l'outil transmet votre fichier pour accomplir son travail, comme un fournisseur d'inférence IA, une société d'hébergement ou un service de stockage. Sa politique de conservation s'applique au document de votre client en même temps que celle de l'outil. Un outil peut annoncer une suppression en deux heures tandis qu'un sous-traitant qu'il utilise conserve le contenu pendant 180 jours, comme l'un des outils ci-dessus le déclare dans sa propre politique. Lisez toujours la divulgation des sous-traitants, pas seulement le chiffre principal de conservation.

Les outils OCR gratuits sont-ils jamais sûrs pour les données clients ?

Oui, lorsque trois conditions sont réunies. L'outil publie une période de conservation spécifique et courte ; il déclare que le contenu téléchargé n'est pas utilisé pour l'entraînement ou l'amélioration du modèle ; et vous pouvez réduire ou éviter entièrement le téléchargement grâce à un traitement local sur ordinateur ou navigateur. Le prix n'est pas le signal. Un outil gratuit bien géré avec une politique claire peut être plus sûr qu'un outil payant opaque, et les quatre outils du tableau ci-dessus montrent à quel point les réponses publiées diffèrent.

Une certification SOC 2 ou ISO/IEC 27001 rend-elle un outil sûr ?

C'est une preuve, pas une garantie. Une certification montre qu'un auditeur a examiné les contrôles du fournisseur en matière de sécurité et de confidentialité, ce qui a de la valeur. Elle ne vous dit pas combien de temps le fichier de votre client est conservé, si le contenu entraîne un modèle ou dans quel pays se trouvent les serveurs. Traitez-la comme une entrée requise parmi les cinq questions, pas comme un substitut aux quatre autres.

Ai-je besoin du consentement d'un client avant de téléverser ses documents dans un outil ?

Selon l'interprétation de l'AICPA concernant les prestataires de services tiers, vous devez soit disposer d'un accord contractuel qui oblige le prestataire à la confidentialité, soit obtenir le consentement spécifique du client pour la divulgation. La section 7216 va dans le même sens pour les informations contenues dans les déclarations de revenus. Un outil grand public gratuit avec lequel vous n'avez aucun contrat ne satisfera presque jamais la première voie ; pour ces outils, la réponse pratique est donc le consentement écrit, ou un autre outil.

J'ai déjà téléversé les documents d'un client dans un outil gratuit. Que dois-je faire maintenant ?

Lisez la politique de conservation et de suppression publiée par l'outil afin de savoir ce qu'il est advenu du fichier et de pouvoir le décrire avec précision. Si l'outil l'a conservé ou l'a transmis à un sous-traitant, et que votre relation avec le client exige un consentement pour ce type de divulgation, c'est une conversation à avoir avec le client plutôt qu'un détail à laisser sans documentation. Ensuite, appliquez les mêmes cinq questions avant le prochain téléversement. Pour tout ce qui touche aux informations des déclarations de revenus, soumettez la situation spécifique à un conseiller professionnel plutôt que de vous fier à un guide général.

Choisissez un type de document que vous traitez chaque semaine, évaluez-le à l'aide des cinq questions et décidez en fonction des réponses plutôt que du prix. Essayez avec vos propres documents.