Contrat de sous-traitance pour les services d’IA : ce qu’il doit contenir, et ce qui manque chez ChatGPT
En bref
Dès qu’un service d’IA traite des données personnelles pour vous, le fournisseur est sous-traitant et l’article 28 du RGPD exige un contrat écrit : objet, durée, types de données, instructions, confidentialité, sécurité, sous-traitants ultérieurs, suppression et audits. Un compte personnel ou Plus de ChatGPT n’a pas ce contrat ; Business, Enterprise et l’API le proposent. Ce qui compte, c’est ce qu’il dit sur l’entraînement, le stockage et les sous-traitants ultérieurs.
Quand le contrat est obligatoire
L’article 28 du RGPD s’applique dès qu’un prestataire traite des données personnelles pour votre compte. Avec un service d’IA, c’est presque toujours le cas : un collaborateur tape le nom d’un client dans un prompt, téléverse un e-mail ou fait résumer un compte rendu. Le fournisseur traite alors ces données sur ses serveurs, et sans contrat la transmission n’a pas de base. Ce n’est pas une formalité : la transmission sans contrat est en soi un manquement, que quelque chose tourne mal ou non.
L’exception est un service qui ne travaille qu’avec des données sans caractère personnel. En pratique, c’est difficile à garantir. Voir ChatGPT est-il conforme au RGPD ? pour la différence entre usage personnel et usage professionnel.
Ce qu’exige l’article 28, paragraphe 3
| Clause obligatoire | Ce qu’il faut regarder avec un service d’IA |
|---|---|
| Objet, durée, nature et finalité | Est-il écrit « fourniture du service » ou aussi « amélioration des modèles » ? Le second, c’est l’entraînement sur vos données. |
| Types de données et personnes concernées | Formulé largement pour l’IA générative ; vérifiez si les catégories particulières (santé, salariés) sont exclues. |
| Traitement sur instruction | Le fournisseur ne traite que sur vos instructions documentées. Une réserve du type « nous lisons les contenus pour détecter les abus » est un traitement propre. |
| Confidentialité | Qui, chez le fournisseur, peut lire les prompts, et sous quelle obligation. |
| Sécurité (article 32) | Chiffrement, contrôle d’accès, journalisation. Les certificats ne remplacent pas une description des mesures. |
| Sous-traitants ultérieurs | Une liste avec noms et localisations, plus votre droit d’objection en cas de changement. Chez les fournisseurs américains, c’est souvent la maison mère elle-même. |
| Aide pour les droits des personnes et les notifications | En combien de temps le fournisseur signale-t-il une violation ? « Dans les meilleurs délais » sans délai chiffré ne suffit pas. |
| Suppression ou restitution | Ce qu’il advient des prompts, fichiers et conversations à la fin du contrat, et après combien de jours. |
| Preuves et audits | Un droit d’audit, ou au moins des rapports présentables à la CNIL. |
Où en sont ChatGPT, Copilot et les autres
- ChatGPT Free et Plus sont des produits grand public. Pas de contrat de sous-traitance, les saisies peuvent servir à l’entraînement par défaut, et le compte appartient à la personne, pas à l’organisation. Inadapté aux données personnelles.
- ChatGPT Business, Enterprise et l’API : OpenAI propose pour ceux-ci un Data Processing Addendum, conclu sur demande, qui exclut l’entraînement. Vérifiez le lieu de stockage, les durées de conservation et la liste des sous-traitants ultérieurs ; le traitement a toujours lieu chez une entreprise américaine.
- Microsoft 365 Copilot relève des conditions produit Microsoft existantes et de l’addendum sur la protection des données. La question est moins de savoir si un contrat existe que quelles données Copilot peut atteindre dans le tenant.
- Les petits outils SaaS avec une « fonction IA » transmettent souvent vos données à un fournisseur de modèle. Il vous faut alors la chaîne de sous-traitance jusqu’au modèle.
Un contrat signé ne rend pas un service adapté pour autant. C’est la condition pour pouvoir l’évaluer. Pour les questions à poser au fournisseur, voir Évaluer un fournisseur d’IA ; pour la question de la localisation, Le CLOUD Act et les données européennes.
Check-list en six questions
- Entraînement exclu ? Expressément, pour toutes les offres que vos collaborateurs utilisent.
- Où sont les données ? Lieu de stockage et de traitement, y compris les accès du support depuis des pays tiers.
- Qui sont les sous-traitants ultérieurs ? Noms, localisations, information préalable en cas de changement.
- Combien de temps un prompt est-il conservé ? Examiner séparément les données d’exploitation, les journaux et le contrôle des abus.
- Quel délai de notification en cas de violation ? En heures, pour tenir vos propres 72 heures.
- Que se passe-t-il à la sortie ? Export, confirmation de suppression, délai.
Consignez les réponses dans le registre des traitements et dans l’AIPD pour l’IA générative. C’est le dossier que la CNIL veut voir.
Quand aucun contrat n’est nécessaire
Un contrat de sous-traitance encadre la transmission à un tiers. Si le modèle tourne sur un nœud qui appartient à votre organisation, il n’y a pas de tiers : prompts, documents et réponses ne quittent pas vos murs. Le contrat avec le fournisseur de modèle disparaît, et avec lui les questions d’entraînement, de localisation et de sous-traitants ultérieurs. Si un prestataire exploite le nœud, il vous faut un contrat avec lui ; il est court, parce qu’il encadre l’exploitation et non les contenus.
Comment werqly s’y intègre
werqly tourne sur un nœud propre dans la salle serveur de votre organisation, ou comme nœud dédié dans un centre de données européen, avec des modèles open-weight qui n’envoient rien à un fournisseur de modèle. Si vous exploitez le nœud vous-même, aucun contrat de sous-traitance n’est nécessaire pour l’IA. Si werqly l’exploite, vous signez avec werqly un contrat limité à l’exploitation. werqly AI Control journalise qui a demandé quoi, comme preuve pour l’autorité de contrôle.
Questions fréquentes
Questions sur ce sujet
ChatGPT a-t-il un contrat de sous-traitance ?
Pour ChatGPT Business, Enterprise et l’API, OpenAI propose un Data Processing Addendum que vous devez conclure activement. Pour les comptes Free et Plus, il n’y a pas de contrat ; ils ne peuvent pas servir à traiter des données personnelles.
Un contrat de sous-traitance suffit-il pour utiliser un service d’IA conformément au RGPD ?
Non. Le contrat est la condition préalable. Il vous faut aussi une base légale, une évaluation du transfert hors UE, le plus souvent une AIPD, et des règles internes sur les données qui peuvent être saisies.
Quel est le plus grand risque dans les contrats de sous-traitance IA ?
Les formulations qui autorisent le fournisseur à utiliser les données pour lui-même : amélioration du modèle, assurance qualité, détection des abus par lecture des contenus. Pour cette partie, le fournisseur n’est plus sous-traitant mais responsable du traitement, et votre contrat ne la couvre pas.
Faut-il un contrat de sous-traitance pour une IA dans sa propre salle serveur ?
Pas pour le modèle, puisqu’aucun tiers ne reçoit de données. Seulement si un prestataire exploite le serveur et pourrait accéder aux données : il vous faut alors un contrat avec lui pour l’exploitation.
Sources
- RGPD, article 28 Sous-traitant (EUR-Lex)
- Commission européenne — Clauses contractuelles types entre responsables du traitement et sous-traitants
- OpenAI — Data Processing Addendum
Cet article est une information générale, pas un conseil juridique. Les règles et les recommandations évoluent ; en cas de doute, consultez les sources citées ou votre juriste ou DPO.