Page mise à jour le
La réponse courte
Il n'existe pas de « clause IA » officielle, ni de modèle imposé par l'AI Act pour un contrat de prestation ordinaire. Ce qui est imposé, le cas échéant, c'est l'article 28 du RGPD si des données personnelles sont traitées, et ce qui est prudent, c'est de traiter cinq objets que le droit commun ne tranche pas tout seul : le rôle de chacun (responsable / sous-traitant / fournisseur au sens de l'AI Act), l'interdiction de réutiliser les données et les prompts pour entraîner, la jouissance des sorties (droit d'auteur ou garantie d'usage), le secret des affaires, et la réversibilité (export, suppression, délai). Une phrase « le prestataire pourra recourir à des outils d'IA » sans ces cinq objets n'encadre rien. Elle autorise tout.
Nommer l'outil, la finalité, le rôle
« IA » ne veut rien dire dans un contrat. On nomme : quel système, pour quelle tâche, sur quelles catégories de données, avec ou sans envoi hors de l'infrastructure du client. On qualifie : le client responsable de traitement, le prestataire sous-traitant — ou l'inverse, si le prestataire fournit un outil en propre. On anticipe l'article 25 de l'AI Act : si le prestataire livre en marque blanche, ou détourne un modèle généraliste vers un usage d'annexe III, il peut basculer fournisseur en décembre 2027. Cette bascule se prépare dans le contrat (qui porte le nom, qui fournit la notice, qui tient les journaux), même si l'obligation n'est pas encore applicable. Un contrat qui ignore l'existence de l'outil, parce que « c'est juste un Copilot du prestataire », laisse le client sans instruction à opposer.
Données, entraînement, secret, sorties
Quatre phrases qui manquent souvent. Une : le prestataire ne traite les données (y compris les prompts, les fichiers, les sorties réinjectées) que pour la mission, à l'exclusion de tout entraînement, amélioration de modèle, constitution de dataset. Deux : il s'interdit de les transférer hors UE sans instruction écrite, et liste ses sous-traitants. Trois : les informations du client, personnelles ou non, sont des secrets au sens de L.151-1, avec des mesures (accès, chiffrement, pas de compte personnel). Quatre : les livrables humains sont cédés selon le droit d'auteur classique ; les sorties brutes d'IA font l'objet d'une garantie de jouissance et de non-revendication, pas d'une cession magique. Ces quatre phrases recoupent l'article 28, le CPI et le secret des affaires. Elles tiennent dans une page.
Preuve, incident, humain dans la boucle
Qui relit avant qu'un livrable parte chez un tiers. Qui journalise (prompt, modèle, version, horodatage, identifiant de l'opérateur). Combien de temps. Que se passe-t-il si une sortie erronée est publiée : correction, notification, qui paie. L'article 26 de l'AI Act, pour le haut risque, imposera plus tard un contrôle humain compétent et des journaux d'au moins six mois ; rien n'interdit de l'écrire maintenant pour un usage critique (recrutement, crédit, contenus publics). L'article 50, déjà applicable, peut imposer de signaler un hypertrucage ou un texte d'intérêt public : le contrat dit qui appose la mention. Sans ça, le jour de l'incident, chacun accuse l'outil.
Sortie et ce que cette clause n'est pas
À la fin de la mission : restitution ou suppression des données, des prompts, des réglages, des journaux, dans un format lisible, sous un délai nommé, avec une attestation. Pas « sur demande, selon disponibilités ». Cette réversibilité est détaillée dans un autre guide. Ce que la présente page n'est pas : un modèle à coller. Un contrat de développement d'un outil RH n'est pas un contrat de rédaction de pages web. Les cinq objets restent ; leur intensité change. Un avocat, sur un contrat qui engage vos clients ou vos salariés, reste la bonne dépense. Cette page sert à arriver à ce rendez-vous en sachant quelles cases sont vides.
À vérifier chez vous
Ce que vous pouvez contrôler vous-même
Des points vérifiables sans expertise juridique. Si l'un d'eux coince, c'est celui-là qu'il faut apporter à votre conseil.
- Nommer l'outil, la finalité, les données, le rôle de chacun.
- Interdire entraînement et réutilisation « pour améliorer le service ».
- Traiter séparément cession d'oeuvres humaines et jouissance des sorties d'IA.
- Écrire qui relit, qui journalise, qui signale au titre de l'article 50.
- Fixer restitution / suppression, format, délai, attestation de fin.
Sources
Chaque affirmation de cette page renvoie au texte qui fait foi. En cas d'écart entre cette page et la source, c'est la source qui a raison.
- EUR-Lex — règlement (UE) 2016/679 (RGPD) (nouvel onglet)
Articles 5, 6 (base légale), 9, 13-14, 22, 24, 28 (sous-traitant), 32, 35 (AIPD), chapitre V (transferts).
- EUR-Lex — règlement (UE) 2024/1689 consolidé (CELEX 02024R1689-20260727) (nouvel onglet)
Seul texte de l'AI Act à citer depuis le 27 juillet 2026. Article 113 (calendrier), articles 4, 5, 6, 25, 26, 27, 50, 99, annexes I et III.
- Légifrance — code de commerce article L.151-1 (secret des affaires) (nouvel onglet)
Trois critères cumulatifs : information non généralement connue, valeur commerciale du secret, mesures de protection raisonnables.
- Légifrance — CPI article L.111-1 (nouvel onglet)
L'auteur d'une oeuvre de l'esprit jouit d'un droit de propriété incorporelle du seul fait de sa création. Auteur = personne physique.
- CNIL — réutilisation des données pour entraîner un modèle (nouvel onglet)
Fiche du 8 avril 2024. Trois cas : données déjà collectées (test de compatibilité art. 6.4), données publiques, données acquises auprès d'un tiers.
Vos questions
Une clause « conformément à l'AI Act » suffit-elle ?
Non. L'AI Act est un règlement long, dont la plupart des articles ne visent pas votre prestation. Renvoyer « à l'AI Act » sans dire lesquels, c'est renvoyer à rien. Mieux vaut citer l'article 28 du RGPD, l'interdiction d'entraînement, l'article 50 s'il y a du contenu publié, et, si l'usage est d'annexe III, la préparation de l'article 26. Le reste est du cosmétique. Un donneur d'ordre qui impose une clause générale « conformité AI Act » vous demande, en réalité, de garantir un texte qu'il n'a pas lu. Demandez-lui de préciser les articles. Souvent, la discussion s'arrête là, ou elle devient enfin utile.
Le prestataire peut-il sous-traiter l'IA à un tiers sans me le dire ?
Pas si l'article 28 s'applique et que vous n'avez donné qu'une autorisation spécifique, ou une autorisation générale avec information et droit d'objection. Dans tous les cas, un secret des affaires collé chez un sous-traitant inconnu n'est pas une mesure raisonnable. Le contrat peut exiger une liste à jour, un flux d'information avant tout nouveau sous-traitant d'inférence, et un droit de refus pour les pays hors UE. Un prestataire qui « utilise ChatGPT » sans l'écrire, sur vos dossiers, est précisément le cas que la clause doit rendre impossible — ou, à tout le moins, visible.
Dois-je imposer un modèle plutôt qu'un autre ?
Pas dans la clause, en général. Imposer un nom de modèle, c'est figer un choix qui vieillit. Imposer des propriétés — pas d'entraînement, localisation, export, licence compatible avec la réversibilité — survit au changement de modèle. C'est le même raisonnement que sur le reste de ce site : le critère durable n'est pas le classement du mois, c'est ce que vous pouvez encore faire le jour où le fournisseur change les règles. Une clause qui nomme un modèle sans nommer ces propriétés vous marie deux fois.
Une idée en tête ?
Réservez un rendez-vous ou écrivez-nous — réponse sous 24 h.