craft.ai
Guides

Article 28 RGPD

Le fournisseur d'IA est souvent un sous-traitant. Pas toujours.

L'article 28 n'est pas une clause de confidentialité. C'est le contrat qui dit ce que le fournisseur a le droit de faire de vos données — et surtout ce qu'il n'a pas le droit d'en faire.

Rendez-vous Décrire mon besoin

Page mise à jour le

La réponse courte

Quand vous déterminez les finalités et les moyens d'un traitement réalisé au moyen d'un outil d'IA, vous êtes responsable de traitement ; le fournisseur qui traite des données pour votre compte est sous-traitant au sens de l'article 4, point 8, et de l'article 28 du RGPD. Un contrat écrit est alors obligatoire. Il doit notamment fixer l'objet, la durée, la nature et la finalité du traitement, le type de données, les catégories de personnes, et les obligations du sous-traitant — dont celle de ne traiter les données que sur instruction documentée. Si le fournisseur réutilise les données d'usage pour entraîner ses propres modèles, il n'est plus seulement sous-traitant pour cette finalité : il devient responsable, et c'est un autre traitement, qui exige une autre base.

Ce que l'article 28, paragraphe 3, exige dans le contrat

Le contrat — ou un autre acte juridique — est obligatoire. Les stipulations minimales sont listées : instructions documentées du responsable, y compris pour les transferts ; confidentialité des personnes autorisées ; mesures de sécurité de l'article 32 ; recours à un sous-traitant ultérieur seulement avec autorisation écrite, générale ou spécifique ; aide pour répondre aux demandes des personnes ; aide pour la sécurité, la notification de violation, l'AIPD ; suppression ou restitution des données en fin de prestation ; mise à disposition des informations nécessaires et éventuellement audits. Un DPA d'éditeur américain recopié tel quel, qui autorise « l'amélioration du service » sans borner cette phrase, n'est pas un contrat d'article 28 : c'est une autorisation de réutilisation. La Q-R CNIL du 18 juillet 2024 sur l'IA générative demande précisément de s'interroger sur le rôle de chacun et, le cas échéant, de s'opposer à la réutilisation des données d'usage.

Le moment où le fournisseur cesse d'être sous-traitant

Un sous-traitant traite pour le compte du responsable, selon ses instructions. Le jour où il décide d'entraîner son modèle, d'améliorer un produit générique, de constituer une base d'exemples, il détermine une finalité : il est responsable pour cette finalité. Les deux rôles peuvent coexister, pour des traitements distincts, et c'est fréquent. Ce qu'il faut alors, ce n'est pas « un DPA plus long », c'est une information claire des personnes, une base légale pour cette seconde finalité, et souvent un opt-out réel. Beaucoup d'offres grand public l'enterrent dans une case pré-cochée. Pour un usage professionnel, la seule position tenable est de l'interdire par contrat, ou de n'envoyer que des données qui peuvent légitimement servir à entraîner un modèle tiers — ce qui, pour un dossier client, est rarement le cas.

Sous-traitants ultérieurs, transferts, audits : trois clauses qui se vérifient

L'autorisation générale de recourir à des sous-traitants ultérieurs n'est pas interdite, mais elle s'accompagne d'une information et d'un droit d'objection (article 28, paragraphe 2). Demandez la liste, pas la promesse. Les transferts hors UE relèvent du chapitre V : décision d'adéquation, clauses types, mesures complémentaires le cas échéant. Un « hébergé en Europe » dans la plaquette n'épuise pas la question si le support, les logs ou les sous-traitants d'inférence sont ailleurs, ou si le fournisseur est soumis à un droit tiers d'accès. L'audit, enfin, est souvent réduit à un rapport SOC 2 annuel. L'article 28 prévoit la mise à disposition des informations nécessaires et, le cas échéant, les audits. Un refus total d'audit sur un traitement de données clients n'est pas anodin : c'est un signal, pas une formalité manquée.

Ce que le contrat ne remplace pas

Un DPA impeccable ne dispense pas d'informer les personnes (articles 13 et 14), de choisir une base (article 6), de minimiser (article 5), de faire une AIPD si elle est due (article 35). Il ne transforme pas non plus un usage interdit par l'article 5 de l'AI Act en usage licite. Le contrat est le maillon qui relie votre responsabilité à l'exécution technique chez un tiers. Sans lui, vous restez responsable et vous n'avez rien à opposer au fournisseur le jour où les données ont servi à autre chose. Avec un contrat trop large, vous avez signé cette autre chose. La troisième voie — un contrat borné, une option « pas d'entraînement », des données qui ne sortent pas — est celle qu'une PME peut réellement tenir.

À vérifier chez vous

Ce que vous pouvez contrôler vous-même

Des points vérifiables sans expertise juridique. Si l'un d'eux coince, c'est celui-là qu'il faut apporter à votre conseil.

  • Identifier, pour chaque outil, qui est responsable et qui est sous-traitant — par finalité, pas par marque.
  • Exiger un contrat article 28 écrit, pas seulement des conditions générales cliquables.
  • Faire interdire contractuellement l'entraînement et toute réutilisation hors instruction.
  • Obtenir la liste des sous-traitants ultérieurs et des lieux de traitement.
  • Vérifier la clause de fin de contrat : restitution ou suppression, format, délai.

Sources

Chaque affirmation de cette page renvoie au texte qui fait foi. En cas d'écart entre cette page et la source, c'est la source qui a raison.

Vos questions

Un clic sur les conditions générales suffit-il comme contrat article 28 ?

L'article 28 exige un contrat ou un autre acte juridique. Un clic peut, en théorie, former un contrat. En pratique, les conditions d'un assistant grand public sont rédigées pour le fournisseur, autorisent souvent l'amélioration du service, et ne reprennent pas les stipulations minimales. S'en remettre à ce clic pour un traitement de données clients, c'est accepter le rôle que le fournisseur s'est attribué, y compris celui de responsable pour l'entraînement. Les offres professionnelles proposent un DPA distinct, parfois un opt-out d'entraînement. C'est ce document qu'il faut lire, amender, et classer. Un usage « perso » d'un salarié sur un outil grand public, hors contrat, est le cas le plus fréquent — et le moins défendable.

Que faire si le fournisseur refuse de modifier son DPA ?

C'est courant, surtout chez les grands éditeurs. Vous n'êtes pas obligé de signer. Vous pouvez borner l'usage (pas de données clients, pas de données RH), choisir un autre outil, ou n'envoyer que des données déjà publiques. Ce que vous ne pouvez pas faire, c'est signer un DPA qui autorise l'entraînement puis prétendre que vous n'aviez pas le choix. L'article 28, paragraphe 1, impose de ne recourir qu'à des sous-traitants qui présentent des garanties suffisantes. Un refus d'interdire l'entraînement, sur un traitement de dossiers clients, est précisément le genre de garantie qui n'est pas suffisante. Documentez le refus, et tranchez en connaissance de cause.

Le fournisseur peut-il être responsable conjoint ?

Oui, si vous déterminez ensemble les finalités et les moyens (article 26 RGPD). C'est plus rare qu'on ne le dit, et plus fréquent qu'on ne le croit dès que le fournisseur impose la finalité d'amélioration de son modèle. La CNIL, dans ses fiches de 2024, insiste sur la qualification des acteurs dès la conception. Pour un usage d'outil du marché, le schéma le plus honnête est souvent : vous, responsable pour votre usage ; lui, sous-traitant pour cet usage, et responsable distinct s'il entraîne. Un arrangement « responsable conjoint » mal cadré dilue les obligations au lieu de les clarifier. Mieux vaut deux rôles nommés que zéro.

Une idée en tête ?

Réservez un rendez-vous ou écrivez-nous — réponse sous 24 h.

Rendez-vous Écrire un message