Pourquoi les contrats d’IA diffèrent des contrats IT traditionnels
Imaginez : votre chef de projet rédige un cahier des charges avec ChatGPT, contenant des données client confidentielles. Trois mois plus tard, des formulations similaires apparaissent dans une offre concurrente.
Une coïncidence ? Peu probable.
Les contrats d’IA se distinguent fondamentalement des licences logicielles classiques. Avec un CRM, vous savez précisément ce que le système fait ou ne fait pas. Les modèles d’IA, eux, opèrent dans une zone grise de probabilités et d’apprentissage continu.
L’AI Act de l’UE, en vigueur progressivement depuis 2024, élève encore le niveau d’exigences juridiques. Les entreprises doivent désormais évaluer les catégories de risques et mettre en place des mesures de protection adaptées.
Trois grands défis émergent ici :
Transparence des flux de données : Où vont vos saisies ? Sont-elles utilisées à des fins d’entraînement ? Ces questions restent souvent sans réponses dans les CGV standards.
Imprévisibilité des résultats : L’IA peut halluciner, discriminer, ou fournir des résultats tout simplement erronés. Qui assume les préjudices ?
Verrouillage fournisseur : Les modèles spécialement entraînés ne sont pas faciles à migrer. Vos données et personnalisations restent chez le prestataire.
La bonne nouvelle : avec les bonnes clauses contractuelles, vous pouvez grandement limiter ces risques.
Les sept clauses critiques en un coup d’œil
Toutes les implémentations d’IA ne requièrent pas un contrat de 50 pages. Mais vous devez toujours couvrir ces sept piliers :
- Utilisation et protection des données : Règles claires pour les données d’entrée, l’entraînement et le stockage
- Répartition des responsabilités : Qui supporte les risques liés aux sorties erronées de l’IA ?
- Propriété intellectuelle : Statut juridique des contenus générés
- Service Level Agreements : Critères mesurables de qualité et de disponibilité
- Conformité et audit : Preuve du respect des réglementations
- Modalités de résiliation : Restitution et suppression des données en fin de contrat
- Gestion des modifications : Anticiper les mises à jour de modèles et l’évolution des fonctionnalités
Ces points sont techniques, mais leur impact business est direct. L’absence de processus de restitution de données peut vous priver pendant des mois de votre solution d’IA essentielle.
C’est d’autant plus critique dans les déploiements d’envergure : par exemple, pour un chatbot d’entreprise ou un système RAG à grande échelle, tout doit être verrouillé contractuellement.
La raison est simple : l’échec des projets d’IA vient plus souvent d’un manque de clarifications sur les responsabilités que d’un souci technologique.
Protection des données et conformité : le cœur de tout accord d’IA
Ici, les choses se précisent : vos collaborateurs saisissent chaque jour des informations sensibles dans les outils d’IA. Données clients, mémos stratégiques, calculs.
Le RGPD requiert pour chaque traitement une base légale. Avec l’IA, cela se complique : on ignore souvent ce qu’il advient exactement des données.
Définir la finalité du traitement : Obtenez une confirmation écrite de l’usage de vos données. « Pour la fourniture du service » ne suffit pas. Exigez des précisions : utilisation pour l’entraînement ? Profilage ?
Encadrer la sous-traitance : Si le fournisseur d’IA traite des données à caractère personnel, exigez un contrat de sous-traitance conforme à l’article 28 du RGPD. Beaucoup d’acteurs US proposent des contrats types.
Observer la localisation des données : Où vos données sont-elles traitées et stockées ? Avec un prestataire européen, c’est souvent simple. Pour les services US, il faut appliquer les clauses contractuelles types ou le Data Privacy Framework.
Négocier des délais de suppression : Précisez noir sur blanc quand et comment vos données seront supprimées. « Après la fin du contrat » est trop vague. Préférez « 30 jours après résiliation écrite avec confirmation de suppression ».
Un exemple concret : un fabricant s’appuie sur l’IA pour proposer des devis. Informations client, prix, spécifications techniques alimentent le système.
Sans encadrement clair de l’utilisation des données, l’entreprise risque une amende RGPD allant jusqu’à 4 % du chiffre d’affaires annuel. Pour une PME réalisant 50 millions d’euros, cela représente 2 millions d’euros.
La solution : une cartographie détaillée des flux de données, annexée au contrat. Chaque type de donnée a ses propres règles de stockage, de traitement et de suppression.
Garantir un droit d’audit : Demandez une clause d’audit. Les grands fournisseurs proposent souvent des rapports SOC-2.
Responsabilité et répartition des risques : qui assume quoi ?
L’IA fait des erreurs. Ce n’est pas un dysfonctionnement, mais un constat.
Les grands modèles de langage hallucinent par nature, selon l’usage. La vision par ordinateur peut mal classifier. Les algorithmes prédictifs sortent parfois des résultats farfelus.
La question : qui est responsable des dommages causés par une sortie erronée de l’IA ?
Comprendre les exclusions standard : La plupart des fournisseurs excluent toute responsabilité pour les dommages indirects. Exemple : si une offre générée entraîne une perte de marché, le prestataire ne compensera pas.
Négocier des plafonds de responsabilité : Exigez des limites cohérentes avec le risque réel. Pour les usages critiques, les plafonds doivent couvrir l’étendue possible des dommages, pas seulement le prix de la licence.
Définir les obligations de documentation : L’AI Act de l’UE impose une documentation rigoureuse pour les IA à haut risque. Spécifiez qui fournit la preuve de conformité.
Cas concret : une société RH utilise l’IA pour présélectionner les candidats. Le système discrimine systématiquement les personnes de plus de 50 ans.
Résultat : plainte pour discrimination, atteinte à la réputation, arrêt du recrutement.
En l’absence de clauses précises sur la responsabilité, l’entreprise paiera l’addition. Mieux vaut prévoir une clause rendant l’équité algorithmique impérative pour le prestataire.
Vérifier la couverture assurantielle : Votre assurance responsabilité civile ne couvre souvent pas les dommages liés à l’IA. Des polices cyber spécifiques ou des modules IA sont de plus en plus essentiels.
Prévoir un plan de gestion d’incidents : Que se passe-t-il en cas d’erreur IA ? Organisez la remontée, la prise en charge et la correction des incidents.
Ici, le réalisme prime sur l’utopie. Aucun fournisseur n’assumera une responsabilité illimitée pour l’IA. Mais vous pouvez imposer des standards minimaux et une répartition équitable des risques.
Propriété intellectuelle : à qui appartiennent les contenus générés par l’IA ?
La question divise les juristes du monde entier : une IA peut-elle créer des œuvres protégées ? En Allemagne, la réponse est claire : non.
Le droit d’auteur ne couvre que les créations humaines. Les productions d’IA tombent, en principe, dans le domaine public — mais en théorie seulement.
Dans la pratique, c’est plus complexe :
Respectez les droits sur les contenus d’entrée : Si vous saisissez des textes protégés, vous risquez des violations de droits. Certains modèles ont été entraînés sur des contenus protégés.
Clarifiez l’usage des résultats : Même si les textes produits ne sont pas protégés, le fournisseur peut limiter contractuellement leur usage. Lisez les petites lignes du contrat.
Obtenez un droit de modification : Pouvez-vous modifier ou revendre librement les productions de l’IA ? Cela doit être stipulé noir sur blanc.
Exemple pratique : une agence marketing génère des visuels pour ses clients via DALL-E. L’image ressemble fort à une œuvre préexistante.
Conséquence : mise en demeure, demande d’indemnisation, campagne stoppée.
La solution : des clauses qui imposent au fournisseur d’IA une obligation de vérification et une indemnisation en cas de violation des droits de tiers.
Protéger vos secrets d’affaires : Les contenus générés par IA reposent souvent sur vos informations confidentielles. Assurez-vous qu’elles ne soient jamais intégrées à l’entraînement d’autres clients.
Prudence côté marques : L’IA pourrait utiliser accidentellement des marques tierces. Spécifiez qui en assume la responsabilité.
Il n’y a pas de règle universelle sur la PI. Chaque situation requiert des dispositions spécifiques.
SLA et garanties de performance pour les systèmes d’IA
Un logiciel classique fonctionne ou pas. L’IA, c’est plus nuancé.
Un chatbot peut être techniquement disponible, mais donner des réponses inutilisables. Un traducteur automatique fonctionne, mais avec une qualité inacceptable.
Rendre la disponibilité mesurable : 99,9 % d’uptime est un standard. Mais définissez aussi ce que « disponible » signifie. Une réponse en plus de 30 secondes rend le service inutilisable pour de nombreux cas.
Négocier des métriques de qualité : Voilà le plus délicat. Comment jauger la qualité d’une traduction ou d’un texte généré par l’IA ?
Pistes possibles :
- Scores d’évaluation humaine sur un échantillon
- Comparatif avec des systèmes de référence
- Seuils de satisfaction client
- Justesse métier sur scénarios tests standardisés
Anticiper la dégradation de performance : Les modèles d’IA peuvent régresser après une mise à jour. Négociez la possibilité de revenir à une version antérieure.
Sujet concret : une entreprise pilote l’extraction documentaire par IA. Après mise à jour du fournisseur, le taux de reconnaissance chute de 94 % à 78 %.
Sans clause SLA, aucun recours. Avec des stipulations intelligentes, vous pouvez obtenir recours ou compensation.
Exiger des garanties sur la montée en charge : Que se passe-t-il si vos usages augmentent de 500 % ? Pour les succès, vous devez connaître les limites de capacité.
L’essentiel : restez réaliste sur vos exigences. La qualité IA est variable par essence. Mais des standards minimaux sont parfaitement négociables.
Clauses de sortie et portabilité des données
Le pire scénario : votre fournisseur d’IA est racheté, triple ses tarifs ou cesse son service.
Sans clause de sortie, le piège : des années de travail sur vos données restent bloquées en interne.
Imposer des formats d’export : Sous quel format récupérez-vous vos données ? CSV ? JSON ? Les formats propriétaires ne servent à rien.
Négocier les délais de transfert : Combien de temps prendra l’export ? Avec un gros volume, cela peut prendre des semaines. Prévoyez une période de transition suffisante.
Clarifier la portabilité des modèles : Pouvez-vous repartir avec un modèle custom développé pour vous ? Souvent, c’est impossible ; mais les données d’entraînement doivent être récupérables.
Exemple concret : une entreprise industrielle forme un chatbot IA pendant deux ans avec sa FAQ interne. Le fournisseur double ses prix.
Avec de bonnes clauses : export des données d’entraînement, 90 jours en fonctionnement parallèle, migration chez un concurrent.
Sans stratégie de sortie : des mois sans chatbot ou paiement de la hausse.
Exiger une confirmation de suppression : Après l’export, toutes vos données doivent être effacées chez le fournisseur sortant. Demandez une attestation écrite.
Négocier un accompagnement à la migration : Les grands fournisseurs offrent souvent un support de migration vers un concurrent. Cela semble paradoxal, pourtant c’est courant dans le B2B sérieux.
Les clauses de sortie sont une assurance : on espère ne jamais en avoir besoin, mais elles sauvent votre projet en cas de crise.
Checklist pratique pour vos négociations
Avant d’entrer en négociation, préparez ces points :
Avant la négociation :
- Lister les catégories de données : quelles informations alimentent le système ?
- Évaluer les risques : quels sont les pires scénarios imaginables ?
- Prévoir un budget juridique : dès 50 000 € annuels, un conseil spécialisé est pertinent
- Comparer des offres alternatives : une stratégie B vous donne un vrai pouvoir de négociation
Clauses incontournables :
- Règles détaillées d’utilisation des données
- Sous-traitance conforme RGPD
- Plafonds réalistes de responsabilité
- Exigences SLA mesurables
- Portabilité complète des données
Atouts à négocier :
- Période d’essai gratuite lors de mises à jour
- Sequestre pour les systèmes sensibles
- Support prioritaire
- Rapports de conformité réguliers
N’oubliez pas : un contrat est fait pour se négocier. Les CGV standard servent de point de départ, pas d’ultimatum.
Pour les gros contrats, vous disposez de plus de marge de manœuvre que pour un achat de licence classique. Profitez-en.
Conclusion : sécurité juridique sans freiner l’innovation
Les contrats d’IA sont plus complexes que des licences logicielles classiques. Mais ils restent parfaitement gérables.
L’essentiel à retenir : ne vous laissez pas intimider par la technique. Priorisez les risques business majeurs.
La protection des données, la responsabilité et la portabilité doivent impérativement être traitées. Le reste se négocie.
Les obstacles juridiques peuvent être levés – à condition d’anticiper et d’agir avec pragmatisme.
Votre prochaine étape : identifiez vos situations d’usage IA les plus critiques et élaborez un modèle contractuel réutilisable avec tous vos fournisseurs.
Vous gagnerez en rapidité et en cohérence dans vos investissements IA.
