Les projets d’intelligence artificielle intègrent largement des fournisseurs externes et des modèles pré-entraînés. Cette dépendance oblige les directions juridiques et achats à sécuriser clauses, flux et responsabilités contractuelles.
Le RGPD et le nouveau AI Act imposent des obligations précises sur la transparence et la responsabilité. Pour faciliter la négociation, voici des points pratiques et contractuels à garder en mémoire.
A retenir :
- Maîtrise des flux et responsabilités RGPD hors UE
- Interdiction réutilisation données pour entraînement sans accord écrit
- Audit fournisseurs régulier et droits d’accès contrôlés internes
- Clauses spécifiques AI Act et obligations de transparence
Cartographier les fournisseurs IA et impacts RGPD
Pour appliquer ces priorités, commencez par cartographier les fournisseurs IA et leurs rôles contractuels. Ce travail distingue hébergeurs, fournisseurs de modèles, APIs et prestataires d’annotation. La cartographie alimente ensuite les clauses RGPD et les règles d’audit contractuel.
Type de fournisseur
Exemples fréquents
Risque principal
Mesure contractuelle
Modèle pré-entraîné
Microsoft, Google Cloud, open source
Réutilisation non autorisée des données
Interdiction écrite d’entraînement sans accord
API IA en SaaS
AWS (Amazon Web Services), IBM, Oracle
Traitement transfrontalier non contrôlé
Clauses CCT et localisation des logs
Hébergeur / plateforme
OVHcloud, SAP, Salesforce
Localisation des données et accès tiers
Garanties Tiers et audits sur site
Prestataire d’annotation
Capgemini, Atos, spécialistes du labelling
Exposition opérateurs et fuites de données
Contrôle des sous-traitants et NDA strictes
Types de fournisseurs :
- Fournisseur de modèle pré-entraîné
- Prestataire d’annotation et labelling
- Hébergeur et plateforme d’entraînement
- API IA en mode SaaS
« J’ai constaté qu’un fournisseur utilisait des jeux de données clients pour améliorer un modèle public. »
Alice D.
Fournisseurs de modèles et obligations contractuelles
Ce point précise les obligations quand un modèle traite des données personnelles pour le compte du client. Selon la CNIL, il faut clarifier la propriété des jeux de données et l’interdiction de réutilisation. Les contrats doivent prévoir registre des traitements et preuve de consentement lorsque nécessaire.
- Définition claire des finalités de traitement
- Interdiction explicite d’entraînement sans accord écrit
- Registre des traitements et responsabilités partagées
« J’exige désormais une clause qui interdit toute réutilisation pour entraînement sans mon accord écrit. »
Marc P.
Hébergeurs, données et localisation
La localisation des données influence directement le risque juridique et les mesures à prendre. Selon la Commission européenne, les transferts hors EEE exigent des garanties adaptées. Il faut inscrire dans le contrat les clauses types ou mécanismes équivalents applicables pour les flux transfrontaliers.
- Localisation des traitements et accès administratifs
- Clauses contractuelles types pour transferts hors EEE
- Journalisation et conservation des logs chiffrés
Clauses RGPD essentielles pour contrats IA générative
La cartographie conduit à définir des clauses RGPD précises adaptées aux usages de l’IA générative. Il convient d’énoncer la finalité, la nature des données traitées et la durée de conservation. Ces clauses servent de base aux audits et à la vérification de la due diligence.
Clauses RGPD prioritaires :
- Objet et finalités du traitement précisées
- Nature des données et catégories de personnes concernées
- Durée de conservation et modalités de réversibilité
- Interdiction de réutilisation sans accord explicite écrit
Clauses de traitement et réutilisation des données
Ce paragraphe relie la liste précédente à la formulation contractuelle recommandée. Il faut prévoir des formulations claires sur l’usage des données pour l’entraînement ou l’amélioration des modèles. Selon la CNIL, la transparence sur la provenance des données doit être contractuelle et vérifiable.
- Formulation précise d’interdiction d’entraînement
- Obligation de conservation limitée et réversibilité
- Engagement de non-divulgation et de minimisation
Sécurité, notification d’incident et audit
Cette section précise les garanties techniques et organisationnelles attendues du fournisseur. Il convient d’exiger notification rapide des incidents et tests réguliers de sécurité. Selon le CEPD, les contrats doivent permettre des audits et vérifications indépendantes.
Clause
Objectif
Formulation suggérée
Interdiction d’entraînement
Empêcher réutilisation non autorisée
« Données client interdites pour entraînement sans accord écrit »
Notification d’incident
Réduire impact des fuites
Obligation de notification sous délai contractuel convenu
Audit et accès
Vérifier conformité opérationnelle
Accès aux logs et possibilité d’audit sur site
Transferts hors EEE
Assurer garanties légales
Transferts soumis à clauses contractuelles types
- Mesures techniques et organisationnelles exigées
- Registre des traitements tenu par le prestataire
Audit fournisseur, due diligence et erreurs à éviter
Une fois les clauses définies, l’étape suivante consiste à auditer fournisseurs et contrôles opérationnels. Les outils de due diligence permettent d’objectiver les garanties et de détecter risques cachés liés aux transferts. Ce contrôle conduit naturellement aux services d’accompagnement et aux modèles de clause proposés par des spécialistes.
Checklist due diligence :
- Questionnaire RGPD et conformité AI Act rempli par le fournisseur
- Vérification des jeux de données et provenance
- Audit des journaux et versionnage des modèles
- Preuve des protections anti-fuite et des accès
Outils pratiques et rôle des audits
Ce point relie la checklist aux méthodes opérationnelles d’audit et de vérification. Les outils incluent questionnaires standardisés et contrôles techniques sur l’environnement d’exécution. Selon la Commission européenne, l’audit doit rester documenté et accessible au client pour garantir traçabilité.
- Questionnaire fournisseur IA adapté RGPD et AI Act
- Contrôle des datasets et politique de droits
- Audit des logs, versioning et protection anti-fuite
« Notre audit a révélé des transferts hors UE non documentés, ce qui a déclenché des clauses correctives. »
Claire N.
Erreurs fréquentes et remédiations contractuelles
Ce segment relie erreurs pratiques et solutions contractuelles concrètes à mettre en œuvre. Evitez d’utiliser une API sans définir clairement les rôles et évitez d’accepter la réutilisation des données sans limitation. Les solutions incluent clauses d’interdiction, audits périodiques et assistance juridique spécialisée.
- Ne pas analyser le rôle (sous-traitant/responsable distinct)
- Ne pas restreindre la réutilisation des données client
- Omettre la transparence sur les données d’entraînement
- Ignorer les transferts hors UE dans l’analyse de risque
« Mon équipe a gagné du temps en utilisant un modèle de clause prêt à l’emploi pour négocier. »
Paul L.
« Recommander systématiquement d’exiger audits et preuves documentées aux fournisseurs. »
Équipe juridique
Source : CNIL, « Clauses contractuelles IA », CNIL, juillet 2025 ; Commission européenne, « Règlement (UE) 2024/1689 (AI Act) », Union européenne, 2024 ; CEPD, « Recommandations contrats IA », CEPD, 2024.
