IA sur vos données : les clauses à exiger d'un prestataire avant de signer

Le sujet est traité par L'Usine Digitale, qui indique que Singapour s'en remet à Mistral AI pour soutenir des opérations critiques, dans le cadre d'un partenariat avec son agence des sciences et technologies de la défense. Pour une entreprise française qui envisage de confier un projet d'intelligence artificielle à une agence ou à un intégrateur, l'enseignement est simple : la question de savoir où sont traitées les données, et par qui, se pose avant celle du modèle utilisé.

Première étape, avant tout appel d'offres : cartographiez ce que vous vous apprêtez à exposer. Distinguez les données personnelles de clients ou de salariés, les données confidentielles de l'entreprise (prix, marges, contrats, méthodes), les données reçues de vos propres clients sous engagement contractuel, et les données publiques. Toutes n'appellent pas le même niveau d'exigence, et cette cartographie évite de surdimensionner ou de sous-dimensionner le cahier des charges.

Exigez ensuite des réponses écrites sur l'hébergement et le traitement : dans quels pays les données sont stockées, dans quels pays elles sont traitées, quels sous-traitants ultérieurs interviennent, comment vous êtes informé d'un changement de sous-traitant, quelle est la durée de conservation, et comment la suppression est effectuée en fin de contrat, avec une attestation à l'appui. Une réponse vague sur ce point suffit à écarter un candidat.

Ajoutez une clause explicite sur l'entraînement des modèles : vos données ne doivent pas être utilisées pour entraîner, affiner ou améliorer un modèle, sauf accord écrit et distinct de votre part. Cette clause doit figurer noir sur blanc dans le contrat, et pas seulement dans une réponse commerciale par courriel. Faites-la couvrir également les prompts, les documents transmis et les journaux d'utilisation.

Côté conformité, si des données personnelles sont concernées, un contrat de sous-traitance conforme au règlement général sur la protection des données est nécessaire, avec inscription du traitement au registre, information des personnes concernées et, selon le niveau de risque, une analyse d'impact. Les ressources publiées par la CNIL constituent le point de départ, et une relecture par un juriste reste préférable à une validation par le prestataire lui-même.

Sur la sécurité, demandez des engagements vérifiables plutôt que des adjectifs : chiffrement en transit et au repos, gestion nominative des accès avec revue périodique, journalisation des consultations, délai contractuel de notification en cas d'incident, politique de sauvegarde et restauration effectivement testée. Demandez la dernière date à laquelle une restauration a été testée : la réponse est instructive.

Prévoyez la sortie dès l'entrée. La réversibilité doit couvrir l'export des données dans un format exploitable, la documentation des paramétrages et des prompts métier construits pendant la mission, l'absence de verrouillage propriétaire empêchant de changer de fournisseur, et un plan de bascule si le fournisseur modifie ses conditions ou cesse son service. Ce sont ces éléments qui déterminent votre marge de manœuvre dans deux ans.

Enfin, quelques signaux d'alerte constants : impossibilité d'obtenir la liste des sous-traitants, conditions générales modifiables unilatéralement sans préavis, absence totale de mention de la sécurité dans le devis, promesses de conformité sans document contractuel, et refus de désigner un interlocuteur responsable des questions de protection des données. Un prestataire sérieux considère ces questions comme normales, pas comme une marque de défiance.