Contrats avec les fournisseurs d'IA et achats d'IA en entreprise : guide juridique

L'intelligence artificielle pénètre dans les sociétés par de multiples portes.

Certains outils d'IA sont approuvés par la direction. D'autres sont introduits par les services informatiques. D'autres encore sont intégrés à des logiciels existants. Certains sont utilisés par les équipes marketing, les services des ressources humaines, les développeurs, les équipes du service client, les consultants ou des salariés qui expérimentent des outils d'IA générative. Il en résulte un problème juridique inédit : une société peut faire usage de l'IA avant d'en avoir dûment examiné le contrat.

Le risque n'a rien de théorique. Un fournisseur d'IA peut traiter des données à caractère personnel, conserver les requêtes, utiliser les données saisies pour améliorer ses modèles, limiter sa responsabilité, exclure toute garantie d'exactitude, restreindre la titularité des résultats, faire intervenir des sous-traitants ultérieurs étrangers, se réserver un droit de suspension, modifier le produit, intégrer des modèles tiers ou exiger du client qu'il assume une responsabilité étendue à raison du comportement des utilisateurs. Pour un logiciel ordinaire, ces questions sont importantes ; pour l'IA, elles peuvent devenir centrales.

Les achats d'IA devraient dès lors être traités comme un processus juridique stratégique, et non comme un simple achat d'abonnement de routine. Le présent guide explique ce que les sociétés devraient examiner avant d'acquérir, de déployer ou de déployer à plus grande échelle des outils d'IA.

1. L'achat d'IA n'est pas un achat de logiciel ordinaire

L'achat de logiciel traditionnel porte souvent sur la fonctionnalité, l'étendue de la licence, le prix, les niveaux de service, l'assistance, la sécurité et la résiliation. L'achat d'IA suppose tout cela, mais davantage encore. La société devrait comprendre quelles données le système d'IA utilise, si des données à caractère personnel sont traitées, si des informations confidentielles peuvent être saisies, si les requêtes et les résultats sont conservés, si les données du client servent à entraîner le modèle, si les résultats peuvent être exploités commercialement, si le fournisseur prend des engagements d'exactitude, si l'outil peut produire un contenu contrefaisant, si un examen humain est requis, si le système affecte des personnes physiques, si des obligations réglementaires s'appliquent, qui est responsable si un résultat cause un préjudice, et si la société est en mesure d'expliquer le système à des autorités de régulation, à des clients ou à des investisseurs.

La différence essentielle tient à ce que les systèmes d'IA peuvent produire des résultats plutôt que se borner à exécuter des fonctions prédéfinies. Cela rend l'attribution de la responsabilité juridique plus délicate. Une société ne devrait pas signer un contrat d'IA comme s'il s'agissait de l'achat d'un logiciel de bureautique ordinaire.

2. Commencer par le cas d'usage

Avant d'examiner le contrat, la société devrait définir le cas d'usage. Un même outil d'IA peut présenter un risque différent selon la manière dont il est utilisé. Un outil d'IA employé pour résumer des comptes rendus de réunions internes n'est pas comparable à un outil utilisé pour présélectionner des candidats à l'embauche, apprécier un risque de crédit, recommander un traitement médical, appuyer une analyse juridique, examiner des sinistres d'assurance, produire des conseils à la clientèle, surveiller la performance des salariés, analyser les données d'enfants, traiter des informations sensibles relatives à la santé, automatiser des décisions de conformité ou interagir directement avec des consommateurs.

L'examen juridique devrait commencer par cinq questions : que fera le système d'IA ? Quelles données traitera-t-il ? Qui s'appuiera sur le résultat ? Qu'est-ce qui pourrait mal tourner ? Et qui sera responsable si tel est le cas ? Sans un cas d'usage clairement défini, le contrat ne peut être apprécié correctement.

3. Identifier le rôle du fournisseur d'IA

Une société devrait identifier le rôle du fournisseur avant de signer. Le fournisseur peut être un fournisseur de modèle, une plateforme SaaS, un fournisseur d'API, un intégrateur de systèmes, un revendeur, un fournisseur d'informatique en nuage (cloud), un sous-traitant, un responsable de traitement indépendant, un sous-traitant ultérieur, le développeur d'un modèle sur mesure, ou le fournisseur d'un modèle tiers intégré à son propre produit.

Ce point importe parce que la responsabilité dépend du contrôle. Un revendeur peut ne pas maîtriser le modèle sous-jacent ; une plateforme peut dépendre d'un autre fournisseur de modèle de fondation ; un intégrateur de systèmes peut configurer un outil sans en être propriétaire ; un fournisseur d'IA en relation directe avec la clientèle peut recourir à plusieurs sous-traitants ultérieurs. Le contrat devrait rendre la chaîne visible. En cas de dysfonctionnement, la société devrait savoir qui est responsable du modèle, de la plateforme, du traitement des données, de l'intégration, de la sécurité et de l'assistance.

4. Diligence raisonnable sur le fournisseur d'IA

Avant de signer, les sociétés devraient mener une diligence raisonnable sur le fournisseur d'IA. Celle-ci n'a pas à être inutilement lourde pour les outils à faible risque, mais pour les cas d'usage critiques ou sensibles, l'examen du fournisseur est indispensable. La société devrait demander qui fournit le modèle sous-jacent, si l'outil est propriétaire ou construit sur un modèle tiers, où les données sont hébergées, si les données du client servent à l'entraînement, si cet usage à des fins d'entraînement peut être désactivé, si les requêtes et les résultats sont conservés, pendant combien de temps les journaux (logs) sont conservés, quelles certifications de sécurité existent, si les sous-traitants ultérieurs sont recensés et s'ils peuvent changer sans préavis, si le fournisseur prend en charge les demandes de suppression, si des droits d'audit ou d'information sont disponibles, si le système a été testé quant aux biais ou à l'exactitude, s'il existe une documentation pour les usages à haut risque ou réglementés, si le fournisseur dispose de procédures de réponse aux incidents, et ce qu'il advient en cas de suspension ou d'arrêt du service.

La diligence raisonnable sur le fournisseur n'est pas une marque de défiance. C'est un achat mené de manière professionnelle.

5. Accord de protection des données

Si l'outil d'IA traite des données à caractère personnel, un accord de protection des données peut être requis. Cet accord devrait traiter des rôles des parties, de la finalité du traitement, des catégories de données à caractère personnel et de personnes concernées, des instructions du client, de la confidentialité, des mesures de sécurité, des sous-traitants ultérieurs, des transferts transfrontaliers, de l'assistance en cas de demandes des personnes concernées, de la notification des violations, de la suppression ou de la restitution des données, des audits, de la conservation, de l'usage à des fins d'entraînement, ainsi que des mesures techniques et organisationnelles.

L'IA soulève des complications particulières, car les données peuvent apparaître dans les requêtes, les documents téléversés, l'historique des conversations, les représentations vectorielles (embeddings), les journaux, les jeux de données d'affinage (fine-tuning), les analyses et les enregistrements de résultats. Le contrat ne devrait pas se borner à indiquer que « le droit de la protection des données s'applique ». Il devrait expliquer comment le système d'IA traite effectivement les données.

6. Données du client et entraînement des modèles

L'une des questions les plus importantes est de savoir si le fournisseur peut utiliser les données du client pour entraîner ou améliorer ses modèles. Ce point mérite un examen attentif. Les données du client peuvent comprendre les requêtes, les documents téléversés, les dossiers internes, les informations relatives aux clients, les données des salariés, les données commerciales, les fichiers confidentiels, le code, les documents juridiques, les données de santé, les données financières, les retours et les résultats.

Le contrat devrait préciser si le fournisseur peut utiliser ces éléments à des fins d'entraînement, d'affinage, d'amélioration du service, d'analyse, de débogage, de surveillance des abus, de sécurité ou de développement de produits. Si la société ne souhaite pas que ses données soient utilisées à des fins d'entraînement, le contrat devrait l'indiquer clairement. Un dispositif d'IA de niveau entreprise devrait idéalement offrir des garde-fous plus solides qu'un outil d'IA grand public.

7. Confidentialité et secret professionnel

Les outils d'IA peuvent créer des risques de confidentialité, en particulier pour les sociétés qui manipulent des dossiers de clients, des documents destinés au conseil d'administration, des documents juridiques, des états financiers, des données à caractère personnel, des dossiers de salariés, des informations médicales, du code source, des secrets d'affaires, des cibles d'acquisition, des pièces de contentieux, des sinistres d'assurance, des droits de propriété intellectuelle ou des plans stratégiques. Le contrat conclu avec le fournisseur devrait comporter des obligations de confidentialité suffisamment solides au regard de la sensibilité des informations.

Les sociétés relevant des services professionnels, des services juridiques, de la finance, de l'assurance, de la santé, de la technologie et du conseil devraient être particulièrement vigilantes. Une société devrait également déterminer en interne ce qui ne pourra jamais être téléversé dans des outils d'IA en l'absence de garanties approuvées. La confidentialité contractuelle et la politique interne en matière d'IA devraient fonctionner de concert.

8. Sécurité de l'information

Les outils d'IA devraient être examinés sous l'angle de la sécurité : chiffrement en transit et au repos, contrôles d'accès, authentification, contrôles d'administration, journalisation, cloisonnement des données, gestion des vulnérabilités, tests d'intrusion, réponse aux incidents, accès du personnel du fournisseur et des sous-traitants, sauvegarde et restauration, suppression des données, certifications de sécurité, notification au client, rapports d'audit, sécurité des API, limites de débit et prévention des abus.

L'examen de sécurité devrait être proportionné au risque. Un assistant de rédaction par IA public utilisé pour des projets de textes marketing non confidentiels ne requiert pas nécessairement le même examen qu'un outil utilisé pour des dossiers médicaux, des données financières, la surveillance des salariés ou des documents juridiques, mais la société devrait opérer cette distinction de manière délibérée.

9. Transferts transfrontaliers et hébergement en nuage

Les outils d'IA sont souvent hébergés dans le nuage, et les données peuvent être hébergées, consultées ou traitées dans plusieurs juridictions. Ce point importe pour les sociétés qui exercent en Türkiye, à Chypre du Nord, au Royaume-Uni, dans l'Union européenne ou sur d'autres marchés transfrontaliers. Le contrat devrait identifier le lieu d'hébergement, les lieux d'accès pour l'assistance, les sous-traitants ultérieurs, le mécanisme de transfert transfrontalier et les garanties associées, le risque d'accès des autorités publiques, les options de résidence des données, ainsi que les lieux de sauvegarde et de reprise après sinistre.

Les sociétés ne devraient pas présumer que les données demeurent locales du seul fait que le service est commercialisé localement. Un utilisateur peut accéder à la plateforme depuis la Türkiye alors que les données sont hébergées en Europe, traitées par un fournisseur de modèle établi aux États-Unis et prises en charge par une équipe internationale. Une telle structure peut être acceptable, mais elle doit être comprise.

10. Titularité des résultats et exploitation commerciale

Les sociétés acquièrent des outils d'IA en partie parce qu'elles en attendent des résultats : textes, code, images, conceptions, rapports, traductions, résumés, recommandations, analyses, plans d'affaires, réponses aux clients, descriptions de produits, projets d'ordre juridique ou de conformité et supports marketing. Le contrat devrait préciser si la société peut exploiter commercialement les résultats.

Les questions clés sont notamment les suivantes : à qui appartient le résultat, le fournisseur cède-t-il ou conserve-t-il les droits, quelles restrictions d'usage s'appliquent, des résultats similaires peuvent-ils être générés pour d'autres utilisateurs, les résultats sont-ils protégés par le droit de la propriété intellectuelle, le client est-il tenu d'examiner les résultats, le fournisseur consent-il une garantie d'éviction en matière de propriété intellectuelle, et qu'advient-il si un résultat porte atteinte aux droits de tiers. Une société devrait faire preuve de prudence avant d'utiliser un résultat généré par l'IA pour des actifs de marque de grande valeur, du code logiciel, des campagnes publicitaires, des conseils réglementés ou des livrables destinés aux clients sans examen préalable. Un résultat d'IA devrait être traité comme un simple projet tant qu'il n'a pas été vérifié sur le plan juridique et commercial.

11. Risque d'atteinte à la propriété intellectuelle de tiers

Les systèmes d'IA peuvent produire un contenu qui ressemble à des éléments protégés par des tiers ou qui les incorpore, ce qui peut susciter des litiges portant sur le droit d'auteur, les marques, les secrets d'affaires, les droits sur les bases de données, les licences de logiciel, le droit à l'image, les informations confidentielles ou les droits sur les dessins et modèles. Le contrat devrait préciser si le fournisseur garantit l'absence de contrefaçon, s'il consent une garantie d'éviction, si cette garantie exclut les requêtes des utilisateurs, s'il existe des plafonds par réclamation, si certains cas d'usage sont exclus, si le client doit respecter la documentation, s'il existe un filtrage des résultats et si le fournisseur prête son concours à la défense contre les réclamations.

De nombreux contrats de fournisseurs d'IA limitent la responsabilité relative aux résultats. Une société ne devrait pas présumer que le fournisseur la protégera intégralement si un tiers invoque une contrefaçon.

12. Exactitude, hallucinations et confiance accordée

Les systèmes d'IA peuvent produire des résultats affirmatifs mais inexacts. On parle souvent d'hallucination, mais, sur le plan juridique, il s'agit de bien plus qu'une question technique : cela peut conduire à des décisions erronées, à des déclarations trompeuses, à des services défectueux, à une faute professionnelle, à un préjudice pour le consommateur ou à une inexécution contractuelle. Le contrat devrait préciser si le fournisseur prend des engagements d'exactitude, si les résultats sont fournis « en l'état », si un examen humain est requis, si l'outil est adapté à l'usage prévu, si le fournisseur exclut tout usage réglementé ou professionnel, si le système n'est destiné qu'à une fonction d'assistance, si les journaux de résultats sont conservés et si les erreurs doivent être signalées.

La société devrait définir quand les résultats de l'IA peuvent être tenus pour fiables et quand un examen humain est obligatoire. Pour les décisions à haut risque, l'IA ne devrait pas devenir un décideur invisible.

13. Supervision humaine

La supervision humaine devrait être intégrée à la fois au contrat et au processus interne. Les questions pertinentes sont les suivantes : qui examine les résultats de l'IA ? L'examen est-il obligatoire ou facultatif ? Quelles qualifications l'examinateur doit-il posséder ? L'examinateur peut-il passer outre le système ? L'examinateur dispose-t-il d'informations suffisantes ? Les résultats sont-ils signalés comme étant générés par l'IA ? Existe-t-il une voie d'escalade ? Les décisions sont-elles documentées ? Et les personnes concernées peuvent-elles contester les résultats ?

La supervision humaine n'a aucune portée réelle si l'humain se contente d'entériner le système d'IA. Pour les cas d'usage réglementés ou sensibles, la supervision devrait être structurée, consignée et auditable.

14. Clauses de responsabilité

Les contrats d'IA comportent souvent de fortes limitations de responsabilité du fournisseur. Un fournisseur peut exclure ou limiter sa responsabilité au titre de l'inexactitude des résultats, de la perte de données, des dommages indirects, du manque à gagner, de l'interruption d'activité, des réclamations en matière de propriété intellectuelle, des amendes réglementaires, du mésusage par l'utilisateur, de la défaillance d'un modèle tiers, des incidents de sécurité, des fonctionnalités en version bêta, de l'usage professionnel et des décisions prises sur le fondement des résultats. La société devrait examiner si le plafond de responsabilité est approprié : une redevance d'abonnement modeste peut s'accompagner d'un plafond dépourvu de toute portée commerciale au regard du risque.

Pour une IA critique pour l'activité, la société devrait envisager de négocier des plafonds plus élevés ; une responsabilité non plafonnée en cas de violation des obligations de confidentialité et de protection des données ; une garantie d'éviction en matière de propriété intellectuelle ; une responsabilité en cas de violation de sécurité ; une coopération sur le plan réglementaire ; des avoirs de service ; des droits de résiliation ; et des exigences d'assurance. Le risque devrait suivre le contrôle : si le fournisseur maîtrise le modèle, la sécurité et le traitement des données, il devrait assumer une responsabilité appropriée.

15. Garanties d'indemnisation

Les garanties d'indemnisation revêtent une importance particulière dans les contrats d'IA. La société devrait déterminer si elle a besoin de garanties d'indemnisation au titre de la contrefaçon de propriété intellectuelle d'un tiers, d'une violation de la protection des données imputable au fournisseur, d'une violation de la confidentialité, d'un incident de sécurité, d'un manquement réglementaire causé par le système du fournisseur, de la violation des garanties du fournisseur, de l'usage non autorisé des données du client à des fins d'entraînement, des réclamations découlant des éléments fournis par le fournisseur, et des réclamations résultant des actes des sous-traitants. Le fournisseur peut également exiger des garanties d'indemnisation de la part du client au titre de données saisies illicites, du mésusage de la plateforme, de la violation de la politique d'usage acceptable, de l'atteinte aux droits de tiers, de l'usage dans des secteurs interdits et du défaut d'examen des résultats.

Les garanties d'indemnisation devraient être équilibrées et rattachées au contrôle. Un client ne devrait pas assumer la responsabilité de risques créés exclusivement par le système du fournisseur.

16. Politiques d'usage acceptable

Les fournisseurs d'IA joignent souvent des politiques d'usage acceptable susceptibles d'interdire l'usage aux fins d'activités illicites, de discrimination, d'identification biométrique, de surveillance, d'armement, de tromperie, de conseils réglementés, de décisions à haut risque, de conseils médicaux ou juridiques, de notation de crédit, de décisions en matière d'emploi, de persuasion politique, de traitement de données relatives aux enfants, d'aspiration de données (scraping), de courrier indésirable automatisé ou de contenus préjudiciables. La société devrait examiner ces politiques avec soin.

Une entreprise peut, sans le savoir, utiliser un outil d'IA d'une manière qui contrevient à la politique d'usage acceptable du fournisseur, entraînant une suspension, une résiliation, une perte d'accès ou un refus d'assistance. Si l'usage envisagé par la société s'approche d'un domaine restreint, il conviendrait d'obtenir une clarification écrite avant tout déploiement.

17. Niveaux de service et continuité d'activité

Les outils d'IA peuvent acquérir une importance opérationnelle. Si une société intègre l'IA au service client, à l'examen documentaire, au développement, à la logistique, à la conformité ou à l'analyse de données, une interruption peut affecter l'activité. Le contrat devrait traiter des engagements de disponibilité, des fenêtres de maintenance, des délais de réponse de l'assistance, des niveaux de gravité des incidents, des procédures de sauvegarde, de la reprise après sinistre, de la disponibilité des API, des limites de débit, de la disponibilité des modèles, des modifications des modèles, de l'obsolescence des fonctionnalités, des avoirs de service et de la résiliation en cas de défaillances répétées.

Une société devrait également se demander si elle peut continuer à fonctionner en cas d'indisponibilité du service d'IA. Les achats d'IA devraient intégrer une planification de la continuité d'activité.

18. Modifications des modèles et modifications des produits

Les systèmes d'IA évoluent. Le fournisseur peut mettre à jour ses modèles, supprimer des fonctionnalités, modifier les filtres de sécurité, altérer le comportement des résultats, modifier la tarification, changer les limites des API, introduire de nouveaux sous-traitants ultérieurs ou interrompre certaines fonctions, et ces modifications peuvent affecter l'activité du client. Le contrat devrait traiter du préavis en cas de modifications substantielles, de la faculté de refuser les modifications, de la gestion des versions, des mises à jour de la documentation, des tests préalables aux modifications majeures, de la rétrocompatibilité, des droits de résiliation du client, de l'exportation des données et de l'assistance à la migration.

Pour un usage à faible risque, les modifications de modèle peuvent être acceptables. Pour une IA réglementée, intégrée ou en relation directe avec la clientèle, des modifications incontrôlées peuvent créer un risque juridique et opérationnel.

19. Droits d'audit et documentation

Les sociétés peuvent avoir besoin de documentation pour satisfaire leurs clients, leurs investisseurs, les autorités de régulation ou leur gouvernance interne. Le contrat devrait examiner si le fournisseur remet une documentation de sécurité, des informations sur le traitement des données, une documentation sur le modèle, des évaluations des risques, des rapports d'audit, des certifications de conformité, la liste des sous-traitants ultérieurs, l'historique des incidents, des informations sur les tests de biais, une documentation relative au règlement sur l'IA le cas échéant, des spécifications techniques et des journaux des modifications.

Les grands fournisseurs d'IA n'offriront pas nécessairement des droits d'audit complets, mais la société devrait néanmoins rechercher des informations suffisantes pour apprécier le risque. Un client incapable d'expliquer sa chaîne d'approvisionnement en IA pourra rencontrer des difficultés lors d'une diligence raisonnable, d'un examen réglementaire ou d'un contentieux.

20. Exposition au règlement européen sur l'IA dans les contrats de fournisseurs

Le règlement européen sur l'IA crée des obligations pour différents acteurs selon leur rôle et le niveau de risque du système d'IA. Une société établie hors de l'Union européenne peut néanmoins devoir tenir compte de son exposition au règlement sur l'IA si elle fournit des systèmes d'IA, des services fondés sur l'IA ou des résultats sur les marchés de l'Union. Les contrats conclus avec des fournisseurs d'IA devraient dès lors examiner si le système d'IA peut être à haut risque, si la société est fournisseur ou déployeur, si le fournisseur remet la documentation requise, si des outils de supervision humaine sont disponibles, si les journaux sont conservés, si des instructions d'utilisation sont fournies, si des informations sur la gestion des risques sont disponibles, si le fournisseur coopère aux demandes de conformité, et si l'outil est adapté à l'usage envisagé à destination de l'Union.

Même là où le règlement sur l'IA ne s'applique pas directement, il peut devenir une norme commerciale dans les achats transfrontaliers. Des clients internationaux peuvent attendre une documentation de gouvernance de l'IA dans le cadre de la diligence raisonnable sur les fournisseurs.

21. Achats propres à certains secteurs

Les achats d'IA devraient être plus rigoureux dans certains secteurs : la santé, la finance, l'assurance, l'emploi, l'éducation, les services juridiques, l'immobilier, les transports, la cybersécurité, le secteur public, les infrastructures critiques, les services à l'enfance et les plateformes en relation directe avec les consommateurs. Dans ces secteurs, le contrat devrait traiter des obligations propres au secteur.

Ainsi, une IA de santé peut requérir un examen clinique, en matière de vie privée et de sécurité ; une IA financière peut exiger explicabilité, équité et pistes d'audit ; une IA d'assurance peut avoir une incidence sur la tarification, les sinistres et le risque de discrimination ; une IA d'emploi peut requérir transparence et évaluation des biais ; une IA juridique peut requérir confidentialité et examen professionnel ; et une IA éducative peut concerner des mineurs et des données sensibles relatives aux élèves. Des conditions génériques d'IA sont rarement suffisantes pour les cas d'usage réglementés.

22. Politique interne d'achat d'IA

Les sociétés devraient adopter une politique interne d'achat d'IA définissant qui peut approuver les outils d'IA, quels outils sont interdits, quand un examen juridique, de protection des données, de sécurité et de direction est requis, quand un questionnaire fournisseur est nécessaire, quand la supervision humaine est obligatoire, quelles données ne peuvent être téléversées, comment les salariés signalent les incidents liés à l'IA, comment les contrats sont conservés, et à qui incombe l'inventaire de l'IA.

En l'absence de politique interne, les achats d'IA se fragmentent : différents services peuvent acquérir différents outils, accepter des conditions hétérogènes et créer un risque caché. Un processus centralisé d'achat d'IA n'a pas à freiner l'innovation ; il protège la société tout en permettant une adoption responsable.

23. IA fantôme et usage par les salariés

Les salariés peuvent utiliser des outils d'IA avant même que la direction en ait connaissance, ce qui constitue l'un des risques les plus courants. À titre d'exemples : téléverser des documents de clients dans des outils d'IA publics, recourir à l'IA pour résumer des contrats, générer du code présentant un risque de licence inconnu, utiliser l'IA pour rédiger des réponses aux clients, traduire des documents confidentiels, analyser des données de salariés, créer des contenus marketing au statut de propriété intellectuelle incertain, et utiliser des comptes personnels pour des travaux de la société.

La société devrait aborder l'IA fantôme de front. Une politique réaliste devrait recenser les outils approuvés, interdire certaines saisies de données, expliquer les règles de confidentialité, imposer un examen humain, prévoir une formation, créer un canal de signalement, éviter les interdictions générales irréalistes et offrir aux salariés des solutions de remplacement sûres. Les salariés utilisent généralement l'IA parce qu'elle les aide à travailler plus vite ; la solution juridique n'est pas le déni, mais une adoption maîtrisée.

24. Stratégie de sortie et restitution des données

Les sociétés devraient envisager la fin de la relation avec le fournisseur d'IA avant de signer. Le contrat devrait traiter des droits de résiliation, de l'exportation des données, de l'exportation des résultats, de la suppression des données du client, des certificats de suppression, de l'assistance à la transition, de la survie des obligations de confidentialité, de l'usage continu des résultats, d'une période de retrait progressif, du retrait des jeux de données d'entraînement lorsque cela est possible, de la clôture du compte, de la conservation des journaux par le fournisseur et de la suppression chez les sous-traitants.

La sortie revêt une importance particulière lorsque le système d'IA s'intègre aux opérations. Une société ne devrait pas se retrouver captive d'un fournisseur sans pouvoir récupérer ses données, préserver la preuve et effectuer une transition en toute sécurité.

25. Signaux d'alerte dans les contrats d'IA

Les sociétés devraient faire preuve de prudence lorsque les conditions du fournisseur prévoient que les données du client peuvent être utilisées à des fins d'entraînement sans possibilité claire de refus (opt-out) ; que le fournisseur dispose de droits étendus d'utilisation des données saisies et des résultats ; que la responsabilité est presque intégralement exclue ; qu'aucune garantie d'éviction en matière de propriété intellectuelle n'est consentie ; que les obligations de confidentialité sont faibles ; que la suppression des données est imprécise ; que les sous-traitants ultérieurs peuvent changer sans préavis ; que les transferts transfrontaliers ne sont pas expliqués ; que les engagements de sécurité sont vagues ; que le fournisseur exclut toute responsabilité au titre de l'exactitude ; que les résultats ne peuvent être exploités commercialement ; que le service peut être suspendu de manière large ; que la politique d'usage acceptable est trop large ou imprécise ; qu'aucune assistance ni réponse aux incidents n'est prévue ; que des modifications unilatérales sont autorisées sans préavis significatif ; que le droit applicable et le for sont inadaptés ; ou qu'un usage de niveau entreprise repose sur des conditions de niveau grand public.

Un signal d'alerte ne signifie pas toujours que le contrat ne peut être signé. Il signifie que le risque devrait être compris, négocié ou géré en interne.

26. Une check-list pratique pour les achats d'IA

Avant d'acquérir un outil d'IA, les sociétés devraient se poser les questions suivantes : quel est le cas d'usage envisagé, et l'outil est-il à usage interne ou en relation directe avec la clientèle ? Traite-t-il des données à caractère personnel ou des informations confidentielles ? Les données du client peuvent-elles servir à entraîner le modèle ? Où les données sont-elles hébergées, et des sous-traitants ultérieurs et des transferts transfrontaliers sont-ils en cause, et sont-ils licites ? À qui appartiennent les données saisies et les résultats, et les résultats peuvent-ils être exploités commercialement ? Existe-t-il une protection contre la contrefaçon de propriété intellectuelle ? Les limites d'exactitude sont-elles claires et un examen humain est-il requis ? Les plafonds de responsabilité sont-ils acceptables et les garanties d'indemnisation équilibrées ? La documentation de sécurité est-elle suffisante, et des droits d'audit ou d'information sont-ils disponibles ? L'outil est-il utilisé dans un secteur réglementé, et une exposition au règlement européen sur l'IA pourrait-elle en résulter ? Existe-t-il une politique interne en matière d'IA, les salariés sont-ils formés, et l'IA fantôme est-elle maîtrisée ? Qu'advient-il en cas de suspension du service, et les données peuvent-elles être restituées ou supprimées à la sortie ? Et un examen juridique, de protection des données et de sécurité a-t-il été mené à terme ?

Les réponses devraient ensuite orienter la décision d'achat : signer, négocier, restreindre le cas d'usage ou refuser.

Foire aux questions

En quoi les contrats avec les fournisseurs d'IA diffèrent-ils des contrats de logiciel ordinaires ?

Les outils d'IA peuvent traiter des données sensibles, produire des résultats imprévisibles, utiliser les données du client pour améliorer le modèle, créer un risque de propriété intellectuelle, affecter des personnes physiques et reposer sur des chaînes de sous-traitants complexes. Ces questions exigent un examen juridique plus approfondi qu'un achat de logiciel ordinaire.

Un fournisseur d'IA peut-il utiliser les données de notre société pour entraîner son modèle ?

Cela dépend des conditions du fournisseur. Les sociétés devraient vérifier si les requêtes, les documents téléversés, les résultats ou les retours peuvent être utilisés à des fins d'entraînement ou d'amélioration du service, et si des options de refus (opt-out) ou des protections de niveau entreprise sont disponibles.

À qui appartiennent les résultats générés par l'IA ?

La titularité dépend des conditions de l'outil d'IA, du droit applicable et de la nature du résultat. Les sociétés ne devraient pas présumer qu'elles sont propriétaires des résultats ou qu'elles peuvent les exploiter commercialement sans examiner le contrat.

Quels sont les principaux risques juridiques liés aux achats d'IA ?

Les risques essentiels comprennent la protection des données, la confidentialité, la contrefaçon de propriété intellectuelle, l'inexactitude des résultats, les limitations de responsabilité du fournisseur, les transferts transfrontaliers, la sécurité, l'IA fantôme (shadow AI), l'exposition dans les secteurs réglementés, la pertinence du règlement européen sur l'IA et l'imprécision des droits de sortie.

Les sociétés devraient-elles se doter d'une politique interne en matière d'IA ?

Oui. Une politique interne en matière d'IA aide à encadrer l'usage par les salariés, les outils approuvés, les données interdites, l'examen humain, la confidentialité, la protection des données, l'approbation des achats et le signalement des incidents.

La conformité au règlement européen sur l'IA est-elle pertinente en dehors de l'Union européenne ?

Elle peut l'être lorsque des systèmes d'IA, des résultats ou des services fondés sur l'IA sont fournis sur le marché de l'Union européenne ou utilisés par des clients de l'Union. Elle peut aussi influencer les attentes commerciales dans les achats internationaux.

Les contrats d'IA devraient-ils prévoir des dispositions de supervision humaine ?

Pour les cas d'usage sensibles ou à fort impact, oui. Le contrat et le processus interne devraient préciser clairement quand un examen humain est requis et qui est responsable de la vérification des résultats.

Que devraient faire les sociétés avant de signer un contrat avec un fournisseur d'IA ?

Elles devraient définir le cas d'usage, mener une diligence raisonnable sur le fournisseur, examiner le traitement des données, la confidentialité, la propriété intellectuelle, la responsabilité, la sécurité, les transferts transfrontaliers, l'usage acceptable, les droits d'audit, l'exposition réglementaire et les modalités de sortie.

Conclusion

Les achats d'IA deviennent une question juridique relevant du conseil d'administration. Une société qui adopte l'IA sans examiner les conditions du fournisseur peut s'exposer à un risque de protection des données, à des violations de la confidentialité, à des réclamations de propriété intellectuelle, à des résultats inexacts, à un mésusage par les salariés, à un contrôle réglementaire, à des réclamations de clients et à une dépendance opérationnelle.

L'approche la plus solide ne consiste pas à éviter l'IA. Elle consiste à en faire l'acquisition avec discipline. Les sociétés devraient comprendre le système, examiner le contrat, maîtriser les données, définir la supervision humaine, répartir la responsabilité, préserver la preuve, former les salariés et planifier la sortie. L'IA ne peut créer de la valeur que si la structure juridique qui la soutient est assez robuste pour en porter le risque.

Comment Terziolu & Partners peut vous accompagner

Terziolu & Partners conseille les entreprises, les investisseurs, les entrepreneurs et les clients privés sur les questions juridiques en Türkiye, à Chypre du Nord et dans un cadre transfrontalier. Nos missions peuvent comprendre l'examen des contrats conclus avec les fournisseurs d'IA ; le conseil en matière d'achats d'IA en entreprise ; l'élaboration de check-lists de diligence raisonnable sur les fournisseurs d'IA ; la rédaction de conditions SaaS d'IA et de conditions applicables à la clientèle ; l'élaboration de politiques internes d'achat d'IA ; le conseil sur les questions de protection des données liées à l'IA ; l'examen des risques de confidentialité et de données d'entraînement ; le conseil sur la titularité des résultats d'IA et l'exposition en matière de propriété intellectuelle ; l'appréciation du risque contractuel lié au règlement européen sur l'IA ; l'appui à la diligence raisonnable juridique liée à l'IA dans le cadre d'investissements et d'acquisitions ; et la coordination avec des conseils techniques, de protection des données et étrangers lorsque cela est nécessaire.

Échangez avec notre équipe au sujet d'un contrat avec un fournisseur d'IA, d'un achat d'IA en entreprise ou d'une question de gouvernance de l'IA.

Le présent article est fourni à des fins d'information générale uniquement et ne constitue pas un conseil juridique. Les risques liés aux achats d'IA et aux contrats de fournisseurs peuvent varier en fonction du système d'IA, des conditions du fournisseur, des données traitées, du secteur, de la juridiction, de la structure contractuelle, de l'exposition réglementaire, de la clientèle, de l'usage envisagé et du moment où le conseil est sollicité. Aucune décision ne devrait être prise ou différée sur le seul fondement de la présente publication. Un conseil juridique, technique, de protection des données, de cybersécurité et commercial spécifique devrait être obtenu avant d'acquérir, de déployer, d'intégrer un système d'IA ou de s'y fier. La soumission d'une demande à Terziolu & Partners ne crée pas de relation avocat-client tant que la mission n'a pas été formellement acceptée par écrit.