Guide
Choisir un prestataire IA : les questions à poser par écrit
Contrat, données, réversibilité, sécurité : les questions à poser par écrit avant de signer avec un prestataire ou un fournisseur d'IA. Grille à remplir.
Mis à jour le
Choisir un prestataire d'intelligence artificielle (IA), c'est choisir où vont les données de l'entreprise, qui les lit, et comment on en sort. La démonstration, le prix et l'interface comptent, mais ils ne disent rien de ces trois points. Ce guide donne la liste des questions à poser par écrit, avant de signer, et la grille de réponse à remplir.
Le guide n'indique aucun éditeur ni aucun produit. Il ne dit pas qu'un fournisseur est meilleur qu'un autre. Il décrit ce qu'il faut vérifier, quel que soit le fournisseur.
Pourquoi l'écrit compte
Une réponse orale ne protège pas. Ce que le fournisseur dit en rendez-vous peut ne pas figurer dans ses conditions générales. Demandez les réponses par écrit, et rangez-les avec le contrat. Si le fournisseur refuse de répondre par écrit, c'est déjà une information.
La CNIL est claire sur le cadre : lorsqu'un prestataire traite des données pour le compte de l'entreprise, sa page sur le sous-traitant indique que ce traitement s'inscrit dans un service ou une prestation, et que le contrat doit prévoir des obligations précises.
Les questions à poser
| Thème | Question écrite | Réponse attendue |
|---|---|---|
| Données | Quelles données sont envoyées au service, et lesquelles sont conservées ? | Liste précise, durée de conservation indiquée |
| Usage | Les données servent-elles à entraîner un modèle utilisé par d'autres clients ? | Oui ou non, avec la clause du contrat |
| Lieu | Où les données sont-elles traitées et stockées ? | Pays ou région, et sous-traitants ultérieurs |
| Sécurité | Quelles mesures protègent les données, et comment êtes-vous alerté d'une fuite ? | Mesures décrites, délai de notification écrit |
| Responsabilité | Qui répond d'une erreur de la sortie, et dans quelles limites ? | Clause du contrat, plafond de responsabilité |
| Réversibilité | Comment récupère-t-on ses données et ses documents à la fin du contrat ? | Format, délai, coût de l'export |
| Support | Qui répond en cas d'incident, dans quel délai ? | Délai écrit, contact nommé |
| Tarif | Quels coûts changent au renouvellement, et quand ? | Conditions de hausse écrites |
Le tableau sert de trame. Un prestataire sérieux doit pouvoir répondre à chaque ligne ou dire précisément ce qu'il ne fait pas.
Le mode de déploiement
La CNIL recommande de choisir le mode de déploiement selon la sensibilité des données, et indique que le « sur site » est privilégié pour les données personnelles ou sensibles. Pour une très petite entreprise, cela veut souvent dire : ne pas mettre de données personnelles dans un service grand public, et demander une version professionnelle avec un contrat.
La CNIL recommande aussi de vérifier le sort des données hors de l'Union européenne. Si le fournisseur ne répond pas clairement, considérez que la réponse est non.
Le contrat de sous-traitance
Quand le prestataire traite des données personnelles de l'entreprise, la CNIL indique que le contrat doit prévoir :
- une obligation de transparence et de traçabilité ;
- la prise en compte de la protection des données dès la conception et par défaut ;
- une obligation de garantir la sécurité des données ;
- une obligation d'assistance, d'alerte et de conseil, avec une procédure de notification des violations.
Si l'un de ces points manque, demandez-le par écrit avant de signer. La liste ne remplace pas la lecture du contrat par un juriste.
Les signaux d'alerte
- Pas de réponse écrite sur les données.
- Des conditions générales modifiables sans préavis.
- Aucune possibilité d'exporter ses documents.
- Une promesse de conformité sans texte à l'appui.
Liste de vérification
- Les questions du tableau ont été envoyées par écrit.
- Les réponses figurent dans le contrat, ou en annexe signée.
- Les données personnelles sont exclues de l'essai, tant que le contrat n'est pas signé.
- La procédure d'export des données a été testée.
- Un juriste a relu le contrat pour les points de responsabilité.
Ce qui reste au dirigeant
Le choix d'un prestataire engage l'entreprise pour la durée du contrat. C'est une décision de direction, à prendre après la décision sur l'usage lui-même. Pour l'étape précédente, voir décider d'utiliser l'IA. Pour le risque de dépendance après le choix, voir dépendance à un fournisseur d'IA.
Questions fréquentes
Faut-il un contrat écrit avec un fournisseur d'IA qui traite des données de l'entreprise ?
Oui. La CNIL recommande d'encadrer le fournisseur par un contrat de sous-traitance et de clarifier les responsabilités. Sa page sur le sous-traitant indique que ce contrat doit comporter des obligations de transparence, de sécurité et d'assistance.
Une démonstration suffit-elle pour juger un prestataire ?
Non. Une démonstration montre un cas choisi. Il faut des réponses écrites sur les données, la sécurité, la sortie du service et les responsabilités, et un essai sur un cas réel de l'entreprise.
Doit-on vérifier où les données sont traitées ?
Oui. La CNIL recommande de choisir le mode de déploiement selon la sensibilité des données et de vérifier le sort des données hors de l'Union européenne. Demandez l'information par écrit.
Sources
Pages consultées pour écrire cet article :