L'IA entre dans les usages critiques : quelles exigences imposer à votre prestataire IA ?

D'après L'Usine Digitale, le français Mistral AI a noué un partenariat avec l'agence des sciences et technologies de la défense de Singapour afin de soutenir des opérations critiques. Sans extrapoler sur le contenu de cet accord, la dépêche illustre une tendance de fond : l'intelligence artificielle n'est plus cantonnée aux usages d'appoint, elle entre dans des environnements où la sécurité et la maîtrise des données sont des conditions non négociables.

Pour une entreprise qui cherche aujourd'hui un prestataire IA, qu'il s'agisse d'une agence, d'une ESN ou d'un intégrateur, ce contexte change la nature des questions à poser. Le sujet n'est plus seulement « que sait faire l'outil ? », mais « où passent mes données, qui y accède, et que se passe-t-il si je veux partir ? ».

Commencez par classer vos données selon leur sensibilité : données publiques, données internes, données personnelles de clients ou de salariés, secrets d'affaires. Ce classement détermine ce que vous pouvez confier à un service d'IA, sous quelles conditions, et ce qui doit rester hors du périmètre du projet. C'est la première ligne de votre cahier des charges.

Sur l'hébergement, exigez des réponses écrites et précises : où sont hébergées et traitées les données, par quel fournisseur d'infrastructure, sous quelle juridiction ? Les données envoyées au modèle servent-elles à son entraînement ? Existe-t-il des options de déploiement plus maîtrisées, par exemple sur votre propre infrastructure ou dans un environnement dédié ? Un prestataire sérieux répond à ces questions sans détour.

Sur la sécurité, demandez la description des mesures mises en œuvre : contrôle des accès, chiffrement, journalisation, gestion des incidents, éventuelles certifications des hébergeurs ou du prestataire. Si vos données incluent des données personnelles, le respect du RGPD s'impose : le contrat doit prévoir les clauses de traitement adaptées, et votre éventuel délégué à la protection des données doit être associé en amont.

La réversibilité est le troisième pilier, souvent négligé. Faites préciser au contrat : la restitution de vos données et dans quel format, la propriété des développements réalisés (prompts, paramétrages, éventuels modèles adaptés), les conditions de sortie et l'assistance à la migration vers un autre prestataire. Une solution dont on ne peut pas sortir n'est pas une solution, c'est une dépendance.

Enfin, procédez par étapes : cadrez un cas d'usage limité, demandez des devis comparables à plusieurs prestataires, vérifiez leurs références sur des projets similaires au vôtre et testez sur un pilote avant tout déploiement large. L'actualité montre que des organisations aux exigences très élevées contractualisent avec des acteurs de l'IA ; rien ne vous empêche d'adopter, à votre échelle, le même niveau d'exigence.