Que doit garantir une société IA dans son contrat ?

Les engagements à retrouver dans le contrat

Toutes les garanties ne prennent pas la forme d’une promesse de résultat. Certaines portent sur une livraison précise, d’autres sur des procédures de contrôle, des délais d’intervention ou une obligation de coopération.

L’essentiel est de transformer chaque promesse commerciale en engagement vérifiable.

Votre société IA doit distinguer ses engagements de ceux qui dépendent de vous, comme la fourniture des données ou l’accès à votre ERP. Une dépendance client ne doit toutefois pas devenir une exclusion générale permettant de justifier n’importe quel retard.

Un périmètre précis et une recette qui teste le métier

Le contrat doit identifier les utilisateurs, les opérations couvertes, les systèmes connectés et les limites de l’automatisation. « Un agent de relance » est trop vague. Il faut préciser s’il prépare les messages, les envoie, consulte les factures et sait interrompre une relance lorsqu’un litige est signalé.

La recette, c’est-à-dire la vérification de conformité des livrables, doit reposer sur des tests convenus avant la livraison. Prévoyez un jeu de cas représentatifs, les résultats attendus, la gravité des anomalies et les délais de correction. Distinguez les défauts bloquants des réserves mineures.

Pour une société IA, un bon test ne consiste pas seulement à réussir une démonstration préparée. Il doit aussi couvrir les documents incomplets, les demandes ambiguës et les indisponibilités d’une application connectée.

Prenons un assistant chargé de comparer des assurances. Il doit distinguer cotisation, franchise, exclusion et avantage promotionnel. Le fonctionnement du cashback sur les contrats d’assurance et de mutuelle fournit un exemple utile de cette dernière catégorie : une remise liée à la souscription ne constitue pas une garantie d’assurance. La recette doit vérifier que l’assistant ne les confond pas.

Enfin, encadrez toute acceptation tacite : délai raisonnable de test, notification de livraison et traitement des réserves. Une validation automatique sans possibilité réelle de contrôler l’outil vous protège mal.

Ce qu’une société IA doit garantir pour vos données

Le premier engagement concerne l’usage des informations confiées. Définissez les données accessibles, les finalités autorisées, leur durée de conservation et les personnes habilitées. Faites traiter explicitement la réutilisation éventuelle des données, des requêtes et des réponses pour entraîner ou améliorer des modèles.

Si vous refusez cette réutilisation, l’interdiction doit couvrir la chaîne technique concernée, pas seulement votre interlocuteur commercial. Elle doit être compatible avec les conditions des services tiers retenus.

Lorsque le prestataire traite des données personnelles pour votre compte, l’article 28 du RGPD encadre le contrat de sous-traitance. Celui-ci doit notamment couvrir les instructions documentées, la confidentialité, la sécurité, le recours à d’autres sous-traitants et l’assistance au responsable du traitement.

Demandez aussi les lieux d’hébergement et de traitement, les conditions d’accès depuis des pays tiers et les mécanismes applicables aux éventuels transferts hors Espace économique européen. Un hébergement annoncé « en Europe » ne répond pas, à lui seul, à toutes ces questions.

La notification des violations de données doit être organisée sans délai indu, avec un contact identifié et les informations nécessaires à votre réaction.

Pour les exigences réglementaires, complétez cette lecture avec la checklist RGPD et AI Act pour les automatisations en entreprise. Le contrat doit répartir les tâches selon le rôle réel de chaque acteur, sans prétendre transférer des obligations légales qui lui restent attachées.

Des droits sur l’outil qui permettent réellement de l’utiliser

Payer un développement ne suffit pas à définir les droits dont vous disposez. Le contrat doit préciser ce qui vous appartient, ce qui vous est concédé sous licence et ce qui reste la propriété d’un tiers.

Si une cession de droits d’auteur est prévue, son périmètre doit être rédigé avec soin. L’article L131-3 du Code de la propriété intellectuelle impose notamment de mentionner distinctement les droits cédés et de délimiter leur exploitation quant à son étendue, sa destination, son lieu et sa durée.

Demandez à votre société IA d’identifier le code spécifique, ses composants préexistants, les bibliothèques open source et les services propriétaires utilisés. Vous ne pouvez pas obtenir la propriété d’un modèle tiers par une simple clause portant sur votre application.

Précisez également les éléments remis : code source, schéma de base de données, configurations, instructions des agents, documentation et procédures de déploiement, selon le projet. La remise doit intervenir à des jalons définis, pas seulement lors d’une éventuelle rupture.

Les droits accordés doivent permettre l’usage prévu, mais aussi la maintenance et les modifications par un autre prestataire lorsque c’est votre objectif. Les comptes d’administration, noms de domaine et espaces cloud doivent eux aussi être attribués clairement. La propriété contractuelle est peu utile si personne dans votre entreprise ne peut accéder à l’environnement de production.

Une sécurité documentée et des engagements de maintenance

Une clause de confidentialité ne remplace pas des mesures de sécurité. Le contrat ou son annexe doit décrire les contrôles adaptés au risque : gestion des habilitations, protection des secrets techniques, sauvegardes, journalisation et séparation des environnements de test et de production.

Pour un agent capable d’agir, précisez les opérations autorisées et celles qui nécessitent une validation humaine. Un outil qui prépare un paiement n’a pas le même niveau de risque qu’un outil autorisé à l’exécuter. Les règles de contrôle qui fiabilisent les processus métier doivent se traduire dans les fonctionnalités livrées et les tests.

Les engagements de votre société IA doivent ensuite couvrir l’exploitation : horaires du support, niveaux de gravité des incidents, délai de prise en charge et modalités d’escalade. Un délai de réponse n’est pas un délai de résolution. Si un objectif de rétablissement est prévu, son mode de calcul doit être explicite.

Distinguez correction des défauts, mises à jour de sécurité et évolutions fonctionnelles. Précisez qui intervient lorsqu’une API change, qu’un modèle est retiré ou qu’une mise à jour dégrade les résultats.

Enfin, une sauvegarde n’est utile que si elle peut être restaurée. Définissez sa fréquence, sa conservation et les vérifications de restauration attendues, ainsi que la perte de données maximale acceptable pour votre activité.

Un budget qui inclut les frais après livraison

Le prix du développement n’est qu’une partie du coût. Le contrat doit séparer le cadrage, la réalisation, l’hébergement, les licences, la maintenance et les consommations facturées à l’usage.

Pour les appels à un modèle ou les traitements de documents, identifiez qui souscrit les services et qui reçoit les factures. Demandez une estimation fondée sur des hypothèses explicites : nombre d’utilisateurs, volume mensuel, taille des documents et fréquence des traitements. Une estimation n’est pas un plafond contractuel.

Votre société IA doit préciser ce qui arrive en cas de dépassement : alerte, validation préalable, limitation technique ou poursuite de la facturation. Un plafond sans mécanisme de contrôle peut être difficile à faire respecter en pratique.

Encadrez également les demandes supplémentaires. La correction d’une non-conformité au périmètre accepté ne doit pas être confondue avec une nouvelle fonctionnalité. Un avenant ou un devis complémentaire doit préciser le coût et l’incidence sur le calendrier avant réalisation.

Enfin, rattachez les paiements à des jalons observables. Cela permet de vérifier l’avancement sans attendre la livraison finale et de traiter les écarts pendant que le projet reste ajustable.

Une responsabilité cohérente avec les risques du projet

Une clause annonçant que « l’IA peut se tromper » ne règle pas la responsabilité du prestataire. Elle décrit une limite technique, mais ne dit rien sur une mauvaise configuration, une action non autorisée ou l’absence d’un contrôle pourtant prévu.

Le contrat doit répartir les responsabilités selon les causes possibles : qualité des données fournies, conception du workflow, paramétrage, usage de l’outil et défaillance d’un fournisseur tiers. Le recours à une API externe ne devrait pas devenir une exonération générale de toutes les obligations du prestataire.

La société IA peut proposer un plafond de responsabilité. Faites examiner sa cohérence avec les dommages plausibles, les exclusions prévues et l’économie du contrat. Les exceptions éventuelles, notamment pour la confidentialité ou les droits de propriété intellectuelle, méritent une négociation spécifique. La validité et la portée des limitations dépendent du droit applicable et des circonstances.

Demandez une attestation d’assurance responsabilité civile professionnelle à jour, puis vérifiez les activités couvertes, les plafonds et les exclusions. Une attestation ne prouve pas que tous les incidents liés à l’IA seront indemnisés.

Si votre outil traite des dossiers sensibles ou déclenche des opérations financières, faites relire ces clauses par un professionnel du droit. Le montant du projet n’est pas toujours représentatif du risque opérationnel qu’il crée.

Une sortie organisée avant le début du projet

La réversibilité permet de reprendre l’exploitation ou de la confier à un autre partenaire. Elle doit être prévue dès la signature, même si la collaboration se passe bien.

Définissez les éléments restitués : données métier, pièces jointes, configurations, historique utile, documentation et accès techniques. Les formats doivent être documentés et réutilisables. Un fichier brut sans structure ni explication peut être insuffisant pour reconstruire le service.

La société IA doit préciser le délai de remise, le coût éventuel de l’assistance au transfert et la durée de maintien du service pendant la transition. Identifiez aussi les abonnements transférables et ceux qu’il faudra recréer à votre nom.

La suppression des copies restantes doit être organisée après restitution, sous réserve des obligations de conservation applicables. Le contrat doit traiter les sauvegardes et les copies détenues par les sous-traitants concernés, avec des délais réalistes.

Prévoyez enfin les conditions de résiliation : manquement, délai de remédiation, préavis et conséquences financières. Les droits déjà acquis, les obligations de confidentialité et la remise des éléments nécessaires à la continuité doivent être traités explicitement. Une sortie praticable ne doit pas dépendre d’une négociation improvisée au moment du désaccord.

Avant de signer, vérifiez la cohérence des documents

Un devis précis peut être neutralisé par des conditions générales contradictoires. Vérifiez l’ordre de priorité entre le contrat, ses annexes, la proposition commerciale et les conditions des services tiers. Les promesses déterminantes doivent figurer dans les documents contractuels applicables.

Établissez aussi qui valide quoi dans votre entreprise. Le responsable métier vérifie les usages, le référent technique examine les accès et la sécurité, tandis que la direction valide les coûts et les responsabilités. Une recette purement technique ne suffit pas si personne n’a testé le processus réel.

Avant la signature, posez trois questions : pouvez-vous vérifier la livraison, exploiter l’outil dans la durée et le récupérer sans dépendance excessive ? Toute réponse qui repose seulement sur une assurance orale doit être traduite dans le contrat.

Questions fréquentes

Cadrer votre outil sur mesure avec Just Use AI

Avant de choisir votre société IA, demandez que ces éléments deviennent un périmètre contractuel : livrables, recette, droits, coûts récurrents et conditions de sortie. C’est cette précision qui permet de comparer les offres et de démarrer sur des engagements partagés.