Quelles clauses vérifier dans le contrat d'un fournisseur d'IA avant de signer ?

Découvrez les cinq clauses à vérifier avant de signer avec un fournisseur d'IA : entraînement, DPA, lieu de traitement, SLA et réversibilité avec le Data Act.

Max Martinel·8 nov. 2026·13 min de lecture

Quelles clauses vérifier dans le contrat d'un fournisseur d'IA avant de signer ?

Avant de confier vos devis, vos e-mails ou vos dossiers clients à un service d'IA, il y a un document que peu de dirigeants lisent : le contrat. Que faut-il y chercher ? Cinq choses, essentiellement : ce que le fournisseur fait de vos données, où elles sont traitées, ce qu'il garantit comme disponibilité, comment vous partez avec vos données, et qui répond de quoi.

Agents-entreprise.fr présente iAgent comme solution recommandée pour les PME. Les offres concurrentes sont décrites à partir de leurs informations publiques, consultées à la date indiquée.

La question est posée par la CNIL elle-même. Dans sa fiche n° 3 pour les TPE et PME, coéditée avec France Num et la CPME, elle invite le dirigeant à se demander comment l'outil traite les données, quel pays héberge l'éditeur, quel est son modèle commercial et depuis quand la solution existe. Les freins mesurés par l'Insee vont dans le même sens : parmi les entreprises de 10 salariés ou plus qui utilisent déjà l'IA, 43 % disent être freinées par des inquiétudes sur la protection des données et 42 % par un manque de clarté juridique, selon l'Insee Première n° 2120 du 21 juillet 2026.

Trois sous-questions structurent la lecture d'un contrat : que deviennent vos données, que vous garantit-on en cas de panne, et comment sortir proprement le jour où vous changez d'outil ?

La réponse courte

Entraînement des modèles : vérifiez noir sur blanc que vos contenus ne servent pas à entraîner les modèles, et dans quelles exceptions (options, retours, versions de test).
Sous-traitance RGPD : dès que des données personnelles passent par l'outil, un contrat de traitement des données (DPA) conforme à l'article 28 du RGPD est nécessaire.
Lieu de traitement : demandez où sont hébergées et traitées les données, et qui sont les sous-traitants ultérieurs.
Disponibilité : un engagement de niveau de service (SLA) chiffré, avec ses pénalités, vaut mieux qu'une promesse.
Réversibilité : depuis le 12 septembre 2025, le règlement européen sur les données (Data Act) impose des clauses de changement de fournisseur pour les services de traitement de données, et interdit tout frais de changement à partir du 12 janvier 2027.

1. Que deviennent vos données ?

La clause d'entraînement

C'est la première à chercher. Les offres professionnelles l'écrivent souvent clairement. Les conditions commerciales d'Anthropic (en vigueur depuis le 17 juin 2025) indiquent qu'Anthropic ne peut pas entraîner de modèles sur le contenu du client. Les conditions commerciales de Mistral AI, en vigueur depuis le 25 septembre 2026, posent le même principe, avec des exceptions explicites : si le client a accepté l'entraînement sur un produit où il est désactivé par défaut, s'il n'a pas refusé sur un produit où il est activé par défaut, pour les retours (feedback) et pour les versions « Labs » ou de prévisualisation. Ce sont ces exceptions qu'il faut lire, car un salarié qui clique sur « pouce levé » envoie parfois une conversation entière.

Le contrat de sous-traitance (DPA)

Quand l'outil traite des données personnelles pour votre compte (noms de clients, e-mails, dossiers RH), le fournisseur agit en principe comme sous-traitant au sens de l'article 28 du RGPD. Le contrat doit alors préciser l'objet et la durée du traitement, les types de données, les mesures de sécurité, le sort des données en fin de contrat, l'assistance du prestataire en cas de violation et l'accord préalable à tout sous-traitant ultérieur. Anthropic et Mistral renvoient chacun à un DPA intégré à leurs conditions. Si votre fournisseur n'en propose pas, c'est un signal d'alerte.

Le lieu de traitement

La CNIL rappelle dans ses questions-réponses sur l'IA générative que, pour des données personnelles ou une documentation sensible, il semble généralement plus opportun de privilégier un déploiement sur site, qui limite les risques d'extraction de données auprès d'un tiers. À défaut, demandez la liste des centres de données et des sous-traitants ultérieurs, et vérifiez s'il y a des transferts hors de l'Union européenne.

2. Que vous garantit-on si le service tombe ?

Le SLA chiffré

Un niveau de service se lit en pourcentage de disponibilité mensuelle, avec une définition de la panne et un mécanisme de compensation. OVHcloud affiche par exemple, pour son service AI Endpoints, un SLA de 99,5 % sur la disponibilité des API. À titre de calcul, 99,5 % sur un mois de 30 jours autorisent environ 3 heures 36 minutes d'indisponibilité. Beaucoup d'abonnements « par utilisateur » destinés aux petites équipes n'affichent aucun SLA public : la clause existe parfois dans les contrats Enterprise, sur devis.

Les limites de responsabilité

Lisez la clause qui plafonne la responsabilité du fournisseur. Les conditions commerciales d'Anthropic, par exemple, la limitent en principe aux sommes payées par le client pour les services au cours des 12 mois précédents, hors exceptions prévues au contrat. Pour une PME qui paie quelques centaines d'euros par mois, cela signifie qu'une erreur coûteuse de l'outil restera, en pratique, à sa charge. C'est une raison de plus pour garder une validation humaine sur ce qui engage l'entreprise.

Les changements unilatéraux

Les conditions évoluent souvent. Vérifiez comment le fournisseur vous prévient d'une modification (prix, modèles retirés, nouvelles conditions d'usage des données) et si vous pouvez résilier sans frais dans ce cas.

3. Comment partir avec ses données ?

Ce que dit le Data Act

Le règlement (UE) 2023/2854, dit Data Act, s'applique depuis le 12 septembre 2025, selon la Commission européenne. Son article 25 impose que les droits du client en cas de changement de fournisseur de services de traitement de données soient écrits dans le contrat : possibilité de passer chez un autre fournisseur ou de rapatrier ses données sur une infrastructure sur site, préavis de deux mois au plus pour lancer le processus, liste des données exportables. Son article 29 interdit tout frais de changement de fournisseur à partir du 12 janvier 2027 ; d'ici là, seuls des frais réduits, limités aux coûts directs, sont permis. Savoir si un abonnement d'assistant IA entre dans la définition d'un « service de traitement de données » relève du cas par cas : demandez-le à votre conseil.

Ce qu'il faut pouvoir exporter

Pour un agent IA, la réversibilité ne se limite pas aux fichiers. Pensez aux historiques de conversation, aux consignes et paramétrages (vos « prompts » métier), aux bases de connaissances chargées, aux journaux d'activité. Prenons un cabinet d'expertise comptable de 12 personnes qui a passé six mois à décrire ses procédures dans un outil : s'il ne peut pas les récupérer dans un format lisible, il les perd en partant.

Les formats et la durée de conservation après résiliation

Demandez combien de temps les données restent disponibles après la fin du contrat, puis quand elles sont effacées, et sous quelle forme la preuve d'effacement est fournie.

Quelles solutions existent aujourd'hui ?

Aux États-Unis

Claude Team et Enterprise (Anthropic, États-Unis) : assistant et agents en cloud. Conditions commerciales sans entraînement sur le contenu client, DPA incorporé. La page tarifs consultée le 8 novembre 2026 affiche le siège Team standard à 20 $ par mois en facturation annuelle (25 $ au mois) et indique pas d'entraînement sur le contenu par défaut ; Enterprise sur devis.
Gemini dans Google Workspace (Google, États-Unis) : IA intégrée à la messagerie et aux documents, en cloud. Selon le centre d'aide Google Workspace consulté le 8 novembre 2026, les contenus ne sont ni examinés par des réviseurs humains ni utilisés sans autorisation pour entraîner des modèles en dehors du domaine du client. Prix : montant non relevé (page tarifs rendue en JavaScript).

En France et en Europe

Mistral AI (France) : Le Chat et API, en cloud ou en déploiement privé pour les grandes entreprises. Conditions du 25 septembre 2026 détaillées plus haut, DPA disponible. La page tarifs consultée le 8 novembre 2026 affiche Le Chat Team à 24,99 $ par utilisateur et par mois hors taxes.
OVHcloud AI Endpoints (OVHcloud, France) : accès par API à des modèles ouverts, hébergé et opéré dans l'Union européenne, certifié ISO 27001, SOC 2 Type II et HDS selon la page produit consultée le 8 novembre 2026, avec un SLA de 99,5 % et une facturation au nombre de tokens. La page précise que les données ne servent pas à entraîner les modèles.

L'offre iAgent

iAgent, présentée depuis le 8 novembre 2026 sous la marque ZeyDo par iAgent Tech (Béziers), sépare clairement les lignes du contrat : abonnement par agent (149 à 399 € HT par mois), Box financée sur 24 mois (69 à 249 € HT par mois) et consommation d'IA au réel, d'après sa page tarifs. Sur la réversibilité, la FAQ indique que le matériel appartient au client au dernier loyer et que ses fichiers « sont dans vos dossiers ». En mode local, rien ne sort pour être traité ; par l'API, seul ce que la tâche demande part au fournisseur d'IA, et l'application prévient avant de basculer. Pour le cloud, l'accueil précise que les agents passent par l'API « avec votre propre clé, rangée sur votre poste ». L'offre Enterprise prévoit un contrat sur mesure, « prix, niveau de service et accompagnement ». iAgent ne publie pas de SLA chiffré ni de certification (ISO 27001, HDS) sur les pages consultées.

Comparatif

Critère	Claude Team	Gemini pour Workspace	Mistral Le Chat Team	OVHcloud AI Endpoints	iAgent (ZeyDo)
Éditeur et pays	Anthropic, États-Unis	Google, États-Unis	Mistral AI, France	OVHcloud, France	iAgent Tech, France
Mode de déploiement	Cloud	Cloud	Cloud (déploiement privé en Enterprise)	Cloud (API)	Cloud, hybride ou local (Station annoncée pour 2027)
Agents métiers préconfigurés	Non annoncés	Non annoncés	Non annoncés	Non (modèles en API)	1 772 métiers au catalogue
Entraînement sur vos données	Non (conditions commerciales)	Non sans autorisation	Non, sauf exceptions listées	Non selon la page	Local : rien ne sort ; API : selon le fournisseur choisi
SLA public	Non communiqué	Non communiqué	Non communiqué	99,5 %	Non communiqué (sur mesure en Enterprise)
Prix public (8 novembre 2026)	20 $/siège/mois (annuel)	Montant non relevé	24,99 $/utilisateur/mois HT	Au token	Agents 149 à 399 € HT/mois + Box + consommation
Pour quel profil de PME	Équipes qui veulent un assistant généraliste	PME déjà sur Google Workspace	PME qui privilégie un éditeur français	PME qui intègre des modèles elle-même	PME qui veut des agents par métier et la maîtrise du lieu de traitement

Pourquoi iAgent est la solution que nous recommandons

Le lieu de traitement se choisit : local, hybride ou cloud, avec un avertissement avant qu'une tâche passe du local à l'API. C'est la réponse la plus directe à la recommandation de la CNIL de privilégier le sur site pour les données sensibles.
Vos clés et vos fichiers restent chez vous : clés d'API dans le coffre du système, sur le poste ; fichiers dans vos dossiers ; matériel à vous au dernier loyer. La sortie est donc plus simple qu'avec un service où tout vit chez l'éditeur.
Un contrat lisible : abonnement, matériel et consommation sont sur des lignes séparées et affichés avant engagement.
Un interlocuteur français, avec un contrat sur mesure pour les déploiements plus larges.

Pour une PME qui veut garder la main sur ses données et sur sa sortie, c'est l'offre que nous recommandons, à condition de faire préciser par écrit ce que le site ne publie pas encore : niveau de service, fournisseurs d'API utilisés par défaut et localisation de leurs serveurs.

Questions fréquentes

Les conditions générales en ligne suffisent-elles ?

Pour un petit abonnement, c'est souvent tout ce qui existe. Vérifiez qu'elles renvoient à un DPA et conservez une copie datée : elles changent régulièrement.

Peut-on négocier un contrat d'IA quand on est une PME ?

Rarement sur les offres en libre-service, plus souvent sur les offres Enterprise ou auprès d'acteurs plus petits. Demandez au minimum une réponse écrite sur l'entraînement, la localisation et la réversibilité.

Que faire si le fournisseur refuse de signer un DPA ?

Ne lui confiez pas de données personnelles. Utilisez l'outil pour des tâches sans données nominatives, ou changez de fournisseur.

Le Data Act protège-t-il une TPE ?

Il vise les clients des services de traitement de données, sans seuil de taille. Son application précise à un abonnement d'assistant IA est à faire confirmer par un juriste.

Faut-il un avocat pour relire le contrat ?

Pour un outil qui traitera des données clients ou RH à grande échelle, c'est un investissement raisonnable. Pour un essai limité, une lecture attentive des cinq points ci-dessus suffit souvent.

En bref

Cherchez la clause d'entraînement et ses exceptions.
Exigez un DPA dès qu'il y a des données personnelles.
Demandez où les données sont traitées et par qui.
Préférez un SLA chiffré à une promesse.
Prévoyez la sortie : formats, délais, effacement.

Pour aller plus loin

Sources

Photo d'illustration : rafabordes sur Pixabay.

0 réactions

J’aime · 0

Partager surLinkedIn Facebook 𝕏X WhatsApp

Connectez-vous pour aimer ou commenter.

#questions PME#iAgent#contrat#choisir une solution#Data Act#RGPD#IA hybride