Évaluer un fournisseur d’IA : vingt questions pour le RSSI, le DPO et les achats
En bref
Évaluez un fournisseur d’IA sur cinq terrains : ce qu’il advient de vos données (entraînement, conservation, localisation), qui peut y accéder (sous-traitants, droit étranger), comment elles sont protégées (certifications, journalisation), ce que couvre le contrat (sous-traitance, audit, réversibilité) et quel rôle le fournisseur joue au titre de l’AI Act. Faites confirmer les réponses par écrit : un texte marketing n’est pas une clause contractuelle.
Données : que devient ce que vous saisissez ?
- Nos entrées et sorties servent-elles à entraîner ou améliorer des modèles, et est-ce exclu contractuellement ?
- Combien de temps les prompts, sorties, fichiers téléversés et journaux sont-ils conservés, et pouvons-nous le paramétrer ?
- Où le traitement a-t-il lieu physiquement, et où sont stockées les sauvegardes ?
- Pouvons-nous faire supprimer intégralement les données sur demande, et comment est-ce confirmé ?
Accès : qui peut y accéder ?
- Quels sous-traitants traitent nos données, et où sont-ils établis ?
- Le fournisseur ou un sous-traitant relève-t-il d’un droit non européen pouvant imposer une communication, comme le CLOUD Act ? Voir Le CLOUD Act et vos données européennes.
- Quels membres du personnel du fournisseur peuvent consulter nos contenus, dans quelles situations, et est-ce journalisé ?
- Fonctionnons-nous sur une infrastructure partagée ou dédiée ?
Sécurité : comment est-elle assurée ?
- Quelles certifications le fournisseur détient-il (ISO 27001, SOC 2, référentiels sectoriels comme HDS, SecNumCloud ou C5), et quel est leur périmètre ?
- Comment le service est-il protégé contre l’injection de prompt et les abus ? Voir L’injection de prompt.
- Disposons-nous d’un journal d’audit de l’usage, exportable vers notre SIEM ?
- Comment et dans quel délai le fournisseur signale-t-il un incident de sécurité ?
- Pouvons-nous relier l’accès à notre fournisseur d’identité, avec des rôles ?
Contrat, réversibilité et AI Act
- Existe-t-il un contrat de sous-traitance conforme à l’article 28 du RGPD ?
- Disposons-nous de droits d’audit et d’inspection ? Pour les entités financières, DORA l’exige expressément.
- Que se passe-t-il à la fin du contrat : comment récupérons-nous nos données, automatisations et configuration ?
- Pouvons-nous changer de modèle sans tout reconstruire ? Voir Choisir un modèle open-weight.
- Quel rôle le fournisseur a-t-il au titre de l’AI Act (fournisseur d’un système ou d’un modèle), et quelle documentation fournit-il ?
- Quels modèles sont utilisés, de quel éditeur, sous quelle licence ?
- Comment sommes-nous informés des changements de modèles, de conditions et de sous-traitants ?
Consignez les réponses dans votre registre IA et dans l’AIPD.
Questions fréquentes
Questions sur ce sujet
Quelles questions comptent le plus face à un fournisseur d’IA ?
Si vos données servent à l’entraînement, où a lieu le traitement, quels sous-traitants et quel droit étranger interviennent, s’il existe un contrat de sous-traitance et un journal d’audit, et comment vous sortez du contrat à son terme.
Un certificat ISO 27001 suffit-il ?
C’est bon signe, mais vérifiez le périmètre : le service d’IA que vous achetez en fait-il partie ? Et un certificat ne dit rien de l’entraînement sur vos données, du droit étranger ou de la réversibilité. Ces questions doivent être posées séparément.
Comment évaluer une fonction IA dans un logiciel existant ?
Avec les mêmes questions. Demandez à l’éditeur quel modèle la fonction utilise, chez quel prestataire elle tourne, si vos données servent à cela et si vous pouvez désactiver la fonction.
Qu’est-ce qui change si l’IA tourne sur votre propre infrastructure ?
Beaucoup de questions sur les données et l’accès disparaissent : pas d’entraînement chez un tiers, pas de droit étranger sur les contenus, pas de sous-traitants dans le traitement. Les questions de sécurité, de journalisation, de mises à jour et de réversibilité demeurent.
Sources
- RGPD (Règlement (UE) 2016/679), article 28
- DORA — Règlement (UE) 2022/2554, article 30
- Directive NIS 2 — Directive (UE) 2022/2555, article 21
Cet article est une information générale, pas un conseil juridique. Les règles et les recommandations évoluent ; en cas de doute, consultez les sources citées ou votre juriste ou DPO.