Fournisseur IA conforme : 5 critères pour évaluer avant d’adopter

Temps de lecture : 10-12 min

Mis à jour le 25 avril 2026

Choisir un outil IA ne se résume pas à comparer des fonctionnalités ou des tarifs. En 2026, c’est d’abord une décision juridique : ce fournisseur peut-il prouver sa conformité, et vous donner les moyens de prouver la vôtre ?

La plupart des incidents de conformité liés à l’IA ne viennent pas d’un mauvais outil. Ils viennent d’un outil correctement utilisé, mais sans encadrement contractuel, sans vérification du DPA (Data Processing Agreement, ou accord de traitement des données), sans documentation de la décision d’adoption. L’autorité de contrôle ne juge pas l’outil utilisé, mais votre organisation.

Cette page s’adresse aux structures qui ont identifié leurs usages et veulent maintenant sécuriser leurs choix fournisseurs.

Pour en savoir plus sur comment identifier vos usages de l’IA, consultez le dossier Gouvernance IA.

Ce dossier fait partie de notre Guide juridique pour entrepreneurs, votre référence pour sécuriser chaque étape de votre activité. Pour une vue d’ensemble des enjeux juridiques de l’IA, consultez notre page IA & Droit : enjeux et bonnes pratiques.

Pourquoi c’est une décision juridique avant d’être technique

Dès qu’un outil IA traite des données personnelles (c’est précisément le cas de la quasi-totalité des outils professionnels) deux textes s’appliquent simultanément : le RGPD et, selon l’usage, l’AI Act.

Le RGPD vous impose de choisir un sous-traitant présentant des garanties suffisantes (article 28). Ce n’est pas une recommandation, c’est une obligation. Si votre fournisseur ne peut pas vous fournir un DPA conforme, vous êtes en infraction, indépendamment de ce que fait l’outil.

L’AI Act ajoute une couche supplémentaire pour les deployers : vous êtes responsable de vérifier que le système utilisé respecte les exigences applicables à sa catégorie de risque. Cette vérification doit être documentée.

En pratique, cela signifie que la page commerciale d’un fournisseur ne suffit pas. Le contrat engage. Et dans la grande majorité des cas, il n’a pas été lu.

Les 5 critères contractuels à vérifier systématiquement

Le DPA spécifique à l’IA

Un DPA générique conçu avant l’émergence des LLM ne couvre pas les risques propres aux outils IA : entraînement du modèle sur vos données, génération de contenus à partir de vos prompts, conservation des échanges.
Vérifiez que le DPA mentionne explicitement le type d’IA déployé et les finalités du traitement. Un DPA qui ne dit rien sur l’entraînement est un DPA qui ne vous protège pas sur ce point.

La clause d’opt-out training

C’est la clause la plus importante pour protéger vos données confidentielles. Elle doit stipuler que vos données (les prompts, documents, résultats) ne sont jamais utilisées pour améliorer, affiner ou entraîner le modèle du fournisseur.
Cette garantie doit être contractuelle, pas seulement paramétrable dans l’interface. Un paramètre peut être modifié par le fournisseur lors d’une mise à jour. Une clause contractuelle vous donne un recours.

La durée et les conditions de rétention

Combien de temps le fournisseur conserve-t-il vos données après la fin de session ? Après résiliation du contrat ? Ces délais varient considérablement d’un acteur à l’autre.
Le principe de minimisation du RGPD impose de les négocier ou, à défaut, de les documenter et de les intégrer dans votre registre des traitements. « Je ne savais pas » n’est pas une défense en cas de contrôle.

Le droit d’audit et la traçabilité

Conformément aux exigences de l’AI Act pour les systèmes à haut risque et aux obligations de sous-traitance du RGPD (article 28), votre contrat doit vous donner un droit d’audit ou a minima un accès à des rapports de conformité tiers (certifications, SOC 2, ISO 27001).
Sans ce droit, vous ne pouvez pas démontrer que vous avez exercé votre devoir de supervision, et cela devient un problème dès lors qu’un incident survient.

La limitation de responsabilité et la répartition des risques

En cas d’erreur générée par l’outil, comme un contenu inexact, une fuite de données ou une décision automatisée défaillante, quelle est la responsabilité du fournisseur ?
La plupart des CGU limitent leur responsabilité à la valeur du contrat annuel. Si votre usage est critique (conseil, médical, juridique, RH), cette clause doit être négociée ou le risque résiduel doit être documenté et couvert par ailleurs.

Tableau : critères d’évaluation d’un fournisseur IA conforme (2026)

AIPD : Analyse d’Impact relative à la Protection des Données
GPAI : modèles d’IA à usage général

Point de vigilance : la sous-traitance en cascade

Un outil européen peut utiliser des infrastructures AWS us-east ou des modèles hébergés hors UE. L’article 28.4 du RGPD impose que les obligations s’appliquent à chaque sous-traitant ultérieur.

Vérifiez systématiquement la liste des sous-traitants de votre fournisseur et les garanties de transfert applicables (clauses contractuelles types, décision d’adéquation). Cette vérification doit être documentée dans votre registre.

Évaluer vos outils IA : les critères juridiques en 2026

Le marché des outils de GRC (Governance, Risk, Compliance) s’est rapidement adapté à l’AI Act. Voici un panorama honnête des solutions accessibles, avec leurs forces et leurs limites réelles.

Ce que ce tableau ne dit pas (et qui est essentiel) : aucune de ces solutions ne vous rend conforme automatiquement. Elles structurent la documentation, centralisent le suivi et facilitent les audits. La conformité reste une responsabilité organisationnelle et juridique, pas une fonctionnalité logicielle.

Pour la majorité des PME, indépendants et petites structures, aucune de ces solutions ne répond au vrai problème : disposer d’un cadre opérationnel construit sur une base juridique solide, sans la complexité ni le coût d’une plateforme enterprise.

C’est ce manque qu’adresse le Pack Gouvernance IA : la rigueur d’une méthode construite par une juriste, dans un outil conçu pour être utilisé immédiatement.

Cas d’usage : la traduction juridique

La traduction de documents juridiques est l’un des usages IA les plus répandus dans les directions juridiques, cabinets et services RH. C’est aussi l’un des plus exposés : les données traitées sont souvent confidentielles, couvertes par le secret professionnel, parfois soumises à des obligations sectorielles.

Le choix de l’outil ne peut pas reposer uniquement sur la qualité de la traduction. Il doit intégrer les critères juridiques ci-dessus.

Tableau comparatif (début 2026)

Le conseil tech

Pour garantir cette étanchéité, privilégiez l’usage des outils via API privée (comme Azure OpenAI ou l’API DeepL Pro) plutôt que via les interfaces web grand public. Les API offrent une garantie d’exclusion de vos données du cycle d’entraînement du modèle, ainsi qu’une rétention minimisée des données.

Ces éléments reflètent les engagements publics des fournisseurs début 2026 et doivent être confirmés dans les contrats au moment de la mise en œuvre.

Recommandation selon le profil

Freelance ou petite structure juridique : DeepL Pro Enterprise est le standard minimal. Le DPA est solide, suppression immédiate des données, qualité suffisante pour des documents courants. Le plan Enterprise est requis, le plan Pro standard offre des garanties contractuelles moins étendues.

Direction juridique traitant des volumes importants ou des documents hautement sensibles : l’API Azure OpenAI avec GPT-4 offre la meilleure combinaison qualité/contrôle, à condition de disposer des ressources techniques pour l’intégrer. La région Europe peut être imposée contractuellement et l’opt-out training est garanti par défaut sur l’API.

Auto-hébergement : isolation maximale mais qualité insuffisante pour des textes juridiques complexes. À réserver aux cas de contrainte réglementaire extrême ou de données classifiées.

À retenir

Quelle que soit la solution retenue, la conformité RGPD n’est pas garantie par l’outil seul. Elle suppose que votre organisation ait défini les types de documents autorisés à être traités par l’outil, les équipes concernées, et que le DPA du fournisseur ait été vérifié et documenté dans votre registre.

Ce que cette analyse ne peut pas faire à votre place

Les tableaux ci-dessus donnent une grille de lecture. Ils ne remplacent pas une lecture juridique des DPA et une négociation clause par clause.

Les conditions d’utilisation et les DPA des fournisseurs IA évoluent régulièrement : modification des politiques d’entraînement, changement des durées de rétention, évolution des clauses de sous-traitance. Une revue contractuelle annuelle des fournisseurs principaux est le minimum. Pour les outils critiques, cette revue doit être semestrielle.

FAQ – Évaluation de fournisseurs IA

Conclusion