Ce qu'il faut retenir
- Le DPA (Data Processing Agreement) est obligatoire légalement — un fournisseur qui refuse de le signer viole le RGPD et vous expose
- La clause d'interdiction d'entraînement est la plus critique pour protéger vos données stratégiques : vérifiez qu'elle couvre aussi les modèles "améliorés" en aval
- Sans clause de portabilité avec format ouvert garanti, votre exit plan est théorique — et votre dépendance est totale
- Les pénalités SaaS standard (crédit de service) ne compensent pas réellement les dommages causés par une indisponibilité — négociez des pénalités cash
Clause 1 — Data Processing Agreement (DPA) : obligation légale et levier de négociation
L'article 28 du RGPD impose que tout responsable de traitement (votre entreprise) qui fait appel à un sous-traitant (votre fournisseur SaaS IA) formalise cette relation dans un contrat écrit incluant des mentions obligatoires. Ce contrat est le DPA — et son absence ou son insuffisance expose le responsable de traitement à une sanction CNIL.
Ce que le DPA doit obligatoirement couvrir
L'article 28.3 du RGPD liste les mentions obligatoires :
- Objet, durée, nature et finalité du traitement
- Type de données personnelles traitées et catégories de personnes concernées
- Obligations et droits du responsable de traitement
- Engagement du sous-traitant à ne traiter les données que sur instruction documentée du responsable
- Engagement de confidentialité des personnes autorisées à traiter les données
- Mesures de sécurité appropriées (article 32)
- Conditions d'autorisation de sous-traitance ultérieure
- Assistance au responsable pour les droits des personnes concernées
- Suppression ou restitution des données en fin de contrat
- Mise à disposition de toutes les informations nécessaires à la démonstration de conformité
Formulation recommandée pour les clauses-clés du DPA
Exigez que le DPA précise explicitement : « Le Sous-traitant s'engage à ne traiter les Données Personnelles que sur instruction documentée du Responsable de traitement, y compris en ce qui concerne les transferts de Données Personnelles vers un pays tiers ou à une organisation internationale. Si le Sous-traitant est tenu de procéder à un tel transfert en vertu du droit de l'Union ou du droit de l'État membre auquel il est soumis, il en informe le Responsable de traitement préalablement au traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public. »
Clause 2 — Interdiction d'entraînement sur vos données
C'est la clause la plus souvent absente des contrats SaaS IA standards — et la plus critique pour protéger votre propriété intellectuelle et vos données stratégiques. De nombreux fournisseurs incluent dans leurs CGV des formulations qui leur permettent d'utiliser vos données pour améliorer leurs modèles. Cette pratique est souvent présentée comme bénigne (« anonymisation préalable »), mais elle crée des risques réels de fuite d'information stratégique via les modèles du fournisseur.
Formulation recommandée
« Le Prestataire s'interdit formellement et irrévocablement :
- D'utiliser les Données du Client (données chargées, requêtes soumises, réponses générées, métadonnées d'usage) pour entraîner, fine-tuner, évaluer, ou améliorer tout modèle de machine learning ou d'intelligence artificielle ;
- De partager, louer, vendre ou céder lesdites données à des tiers à quelque fin que ce soit, y compris à des fins d'entraînement de modèles tiers ;
- D'utiliser des techniques d'anonymisation ou de pseudonymisation comme prétexte au contournement de la présente interdiction.
Cette interdiction s'applique à toute la durée du contrat et à titre perpétuel après sa résiliation. »
Vigilance sur les formulations ambiguës
Méfiez-vous des formulations du type « vos données ne sont pas utilisées pour entraîner nos modèles fondateurs » — la nuance « fondateurs » laisse entendre que des modèles dérivés ou spécialisés pourraient être entraînés. Exigez une interdiction absolue et sans nuance, couvrant tous types de modèles.
Clause 3 — Localisation des données
Sans clause de localisation explicite, vos données peuvent migrer vers n'importe quel datacenter mondial du fournisseur au gré de ses optimisations techniques. Pour les données soumises au RGPD, un transfert hors UE/EEE sans mécanisme de protection adéquat est illégal.
Formulation recommandée
« Le Prestataire garantit que l'intégralité des Données du Client est hébergée et traitée exclusivement sur le territoire de [la France / l'Union Européenne], dans des infrastructures dont le Prestataire a la maîtrise opérationnelle et juridique. Aucune Donnée du Client ne peut être traitée, stockée, ou transmise à des sous-traitants situés hors du territoire garanti, même temporairement (y compris pour des opérations de sauvegarde, de réplication, de monitoring ou d'analyse). Le Prestataire notifiera le Client dans un délai de [5 jours ouvrés] de tout changement susceptible d'affecter la localisation des Données. »
Cas particulier des transferts Cloud Act
Pour les fournisseurs dont la maison mère est américaine, ajoutez : « Le Prestataire certifie qu'aucune entité soumise au Clarifying Lawful Overseas Use of Data Act (Cloud Act, 18 U.S.C. § 2713) ou à toute loi étrangère de portée extraterritoriale équivalente n'a accès aux Données du Client dans le cadre du présent contrat. Le Prestataire s'engage à notifier immédiatement le Client de toute demande gouvernementale portant sur ses données, dans la mesure permise par la loi. »
Clause 4 — Portabilité des données et procédure de sortie
La clause de portabilité est votre assurance contre le vendor lock-in. Elle doit couvrir non seulement vos données brutes, mais aussi les éléments IA créés à partir de vos données : bases vectorielles, modèles fine-tunés, configurations personnalisées.
Formulation recommandée
« À la demande du Client, et au plus tard dans les [30 jours calendaires] suivant la notification de résiliation ou d'expiration du contrat, le Prestataire s'engage à :
- Fournir l'intégralité des Données du Client dans des formats ouverts et documentés ([JSON, CSV, XML, Parquet selon la nature des données]) ;
- Transférer les poids des modèles entraînés ou fine-tunés sur les Données du Client, qui sont et restent propriété exclusive du Client ;
- Exporter les bases vectorielles, index de documents, et configurations personnalisées dans des formats compatibles avec les principales plateformes du marché ;
- Assister le Client pendant [15 jours ouvrés] dans la migration vers une solution alternative, à tarif réduit de [X]% ;
- Détruire l'intégralité des copies des Données du Client dans un délai de [15 jours] après confirmation de bonne réception par le Client, et fournir une attestation de destruction certifiée. »
Clause 5 — Transparence algorithmique
L'EU AI Act impose des obligations de transparence pour les systèmes IA à haut risque. Mais même pour les systèmes hors haut risque, la transparence algorithmique est une bonne pratique qui facilite votre conformité et protège vos utilisateurs.
Formulation recommandée
« Le Prestataire s'engage à fournir au Client, sur demande et dans un délai de [15 jours ouvrés] :
- Une documentation technique décrivant la nature des modèles utilisés (architecture générale, données d'entraînement, capacités et limitations connues) ;
- Pour les décisions automatisées affectant des personnes : une explication compréhensible des facteurs ayant conduit à la décision, permettant l'exercice du droit à l'explication prévu par l'article 22 du RGPD ;
- Les résultats des tests d'évaluation des biais (benchmarks équité, tests de robustesse) réalisés sur le système ;
- Notification dans un délai de [10 jours ouvrés] de toute modification significative du système IA susceptible d'affecter ses performances, ses biais, ou sa classification de risque EU AI Act. »
Clause 6 — Notification de faille de sécurité
L'article 33 du RGPD impose au responsable de traitement de notifier la CNIL dans les 72 heures d'une violation de données. Si c'est votre sous-traitant IA qui découvre la faille, vous devez en être informé immédiatement pour respecter ce délai.
Formulation recommandée
« En cas de violation de données personnelles au sens de l'article 4(12) du RGPD, impliquant les Données du Client, le Prestataire s'engage à :
- Notifier le Client dans un délai maximum de [24 heures] à compter de la détection de la violation, par notification prioritaire au DPO et au responsable sécurité désignés par le Client ;
- Fournir dans un délai de [48 heures] un rapport préliminaire incluant : la nature de la violation, les catégories et le volume approximatif de données concernées, les mesures prises ou envisagées, et le point de contact du Prestataire pour le suivi ;
- Coopérer pleinement avec le Client pour l'établissement du rapport complet destiné à la CNIL dans le délai de 72 heures prévu à l'article 33 du RGPD ;
- Prendre en charge, à ses frais exclusifs, les coûts de notification aux personnes concernées si la violation est imputable à un manquement du Prestataire à ses obligations contractuelles. »
Clause 7 — Sous-traitance et interdiction des sous-sous-traitants US
Un fournisseur IA qui semble français peut sous-traiter l'essentiel de son infrastructure à AWS, ses outils de monitoring à Datadog (américain), son CDN à Cloudflare (américain), et son support à une entité offshore. Chaque sous-traitant est un vecteur potentiel d'exposition au Cloud Act et de non-conformité RGPD.
Formulation recommandée
« Le Prestataire ne peut faire appel à un sous-traitant ultérieur pour le traitement des Données du Client qu'avec l'accord écrit préalable du Client. Le Prestataire soumet tout projet de sous-traitance au Client avec un préavis minimum de [30 jours]. Le Client peut s'opposer à ce changement pour tout motif légitime, y compris la localisation du sous-traitant, la juridiction applicable, ou la nature des traitements concernés. En tout état de cause, le Prestataire s'interdit de faire appel à tout sous-traitant :
- Soumis au Cloud Act américain ou à toute loi étrangère de portée extraterritoriale équivalente ;
- Hébergeant des Données du Client hors du territoire garanti à l'article [X] du présent contrat ;
- N'ayant pas signé un contrat de sous-traitance imposant des obligations au moins équivalentes à celles du présent DPA. »
Clause 8 — SLA et pénalités réelles
Un SLA sans pénalités financières réelles est une déclaration d'intention sans valeur contractuelle. Les pénalités sous forme de crédit de service (déductions sur la prochaine facture) ne compensent pas le coût d'une indisponibilité : perte de production, heures de gestion de crise, impact client. Négociez des pénalités en espèces et un droit de résiliation en cas de manquement répété.
| Niveau de SLA | Disponibilité garantie | Pénalité standard (crédit) | Ce que vous devriez négocier |
|---|---|---|---|
| Standard marché | 99% (87,6h indispo/an) | 10% du mois facturé | Insuffisant pour usage critique |
| Premium marché | 99,5% (43,8h indispo/an) | 20% du mois facturé | Acceptable pour usage non critique |
| Objectif à négocier | 99,9% (8,7h indispo/an) | Pénalité cash + droit de résiliation si >3 incidents/an | Standard pour usage critique |
| Haute disponibilité | 99,95%+ (4,4h indispo/an) | Pénalité cash + SLA spécifique par incident | Usage mission-critical |
Formulation recommandée pour les pénalités
« En cas de non-respect du niveau de service garanti ([X]% de disponibilité mensuelle), le Prestataire s'engage à verser au Client, dans un délai de [30 jours] suivant la fin du mois concerné :
- Pour toute indisponibilité entre [X]% et [Y]% : pénalité égale à [1X]% du montant mensuel facturé, payable en espèces ;
- Pour toute indisponibilité en dessous de [Y]% : pénalité égale à [2X]% du montant mensuel facturé, payable en espèces ;
- En cas de [3] incidents de niveau 1 sur une période de [12 mois] consécutifs : droit de résiliation immédiate au bénéfice du Client, sans pénalité de résiliation anticipée et avec mise en œuvre de la procédure de portabilité des données sous [15 jours]. »
Des contrats IA qui vous protègent réellement
Intelligence Privée propose des contrats avec DPA complet, clause d'audit intégrée, interdiction d'entraînement sans équivoque, portabilité garantie et SLA avec pénalités réelles. Transparence totale, négociation possible sur chaque clause.
Obtenir notre modèle de contrat →FAQ : Contrats SaaS IA
Un fournisseur IA peut-il refuser de négocier son DPA standard ?
Légalement, non : l'article 28 du RGPD impose des obligations minimales qui doivent figurer dans le contrat. Un fournisseur peut refuser d'aller au-delà du minimum légal, mais ne peut pas refuser de signer un DPA conforme. En pratique, les grands fournisseurs (OpenAI, Microsoft, Google) ont des DPA standards peu négociables. Les fournisseurs européens de taille moyenne sont généralement plus flexibles. C'est l'un des avantages des fournisseurs souverains français : leurs contrats sont plus personnalisables.
La clause d'interdiction d'entraînement suffit-elle à protéger mes données ?
Elle est nécessaire mais pas suffisante. Elle doit s'accompagner d'une clause de localisation (vos données restent dans un périmètre contrôlé), d'une clause d'auditabilité (vous pouvez vérifier que l'interdiction est respectée), et d'une clause pénale dissuasive en cas de violation. Sans ces compléments, l'interdiction d'entraînement est une promesse sans mécanisme de vérification ni sanction réelle.
Comment vérifier qu'un fournisseur respecte réellement ses engagements contractuels ?
Trois mécanismes complémentaires : l'audit contractualisé (droit d'envoyer un auditeur tiers vérifier les pratiques du fournisseur), les certifications tierces (SOC 2 Type II audite précisément les contrôles de sécurité et de confidentialité), et la revue des logs (si vous avez accès aux logs de traitement, vous pouvez détecter des accès ou des usages anormaux). Sans ces mécanismes, vous ne pouvez que faire confiance — ce qui n'est pas une position de sécurité acceptable pour des données stratégiques.
Les CGV d'un fournisseur IA peuvent-elles être modifiées unilatéralement en cours de contrat ?
C'est une pratique courante chez les SaaS — et particulièrement dangereuse pour les clauses de confidentialité et d'entraînement. Protégez-vous avec une clause de stabilité des conditions : « Toute modification des Conditions Générales, de la Politique de Confidentialité ou de la Politique d'Usage des Données affectant les droits et obligations des parties au titre du présent contrat requiert l'accord écrit préalable du Client. À défaut, le Client peut résilier le contrat sans pénalité dans un délai de [60 jours] suivant la notification du changement. »
Que faire si un fournisseur en production modifie ses CGV pour autoriser l'entraînement sur les données ?
Si votre contrat inclut une clause de stabilité (voir ci-dessus), vous avez le droit de résilier sans pénalité. Si votre contrat ne la prévoit pas, activez la clause de portabilité pour récupérer vos données, puis résiliez. Parallèlement, vérifiez si des données personnelles ont été utilisées pour l'entraînement en violation de l'obligation d'instruction du RGPD — auquel cas une notification CNIL peut être nécessaire. Tirez la leçon pour votre prochain contrat IA.