Qui possède le code et les données de votre IA sur-mesure ?

Un outil unique, plusieurs couches de droits

Une application personnalisée peut combiner du code développé pour vous, des composants réutilisables, un modèle accessible par API et vos documents internes. Ces éléments n’ont pas tous le même régime juridique.

Posséder, pouvoir utiliser et pouvoir récupérer sont trois choses différentes. Une promesse de « pleine propriété » doit donc préciser son périmètre, sans prétendre vous céder des droits que le prestataire ne détient pas.

Le code de votre IA sur-mesure ne vous appartient pas automatiquement

En droit français, le paiement d’une prestation de développement ne transfère pas, à lui seul, les droits d’auteur sur le logiciel. Pour un code protégeable réalisé par un prestataire externe, il faut examiner la cession ou la licence prévue au contrat.

Le Code de la propriété intellectuelle encadre notamment la cession des droits patrimoniaux à l’article L. 131-3. Les droits cédés doivent être identifiés et leur exploitation délimitée, notamment quant à leur étendue, leur destination, leur territoire et leur durée.

En pratique, vérifiez que vous pourrez reproduire le logiciel, le déployer, le modifier et confier sa maintenance à un autre intervenant. Une autorisation limitée à l’utilisation de l’application peut être insuffisante pour ces opérations.

Le régime applicable au logiciel créé par un salarié dans l’exercice de ses fonctions, prévu à l’article L. 113-9, est distinct. Il ne faut pas le confondre avec une commande passée à une agence. Le contrat doit aussi traiter les contributions d’éventuels sous-traitants : votre interlocuteur doit pouvoir justifier les droits qu’il vous accorde.

Distinguer le développement spécifique du socle technique

Une IA sur-mesure n’est pas nécessairement un logiciel dont chaque ligne a été écrite pour votre entreprise. L’agence peut utiliser des bibliothèques open source, un moteur propriétaire ou des modules qu’elle avait déjà développés.

Ce n’est pas un problème si les frontières sont explicites. Demandez un inventaire séparant le code spécifique, les éléments préexistants du prestataire et les composants tiers. Pour chacun, il faut savoir ce que vous pouvez modifier, distribuer ou continuer à exploiter après la fin du contrat.

L’open source ne signifie ni absence de propriétaire ni absence d’obligations. Selon la licence et le mode d’utilisation, des conditions de redistribution ou de mise à disposition du code peuvent s’appliquer.

Même distinction pour le modèle : utiliser un modèle via une API ne vous en transfère pas la propriété. Un modèle téléchargeable reste soumis à sa licence. Un ajustement sur vos données ne vous rend pas automatiquement propriétaire du modèle de base ; le contrat doit préciser l’accès aux artefacts produits et leur possibilité d’export.

Enfin, du code ou des contenus générés par IA ne bénéficient pas automatiquement d’une protection exclusive. Les conditions du fournisseur et l’existence d’une contribution humaine protégeable doivent être examinées.

Les données métier ne relèvent pas toutes d’un droit de propriété

Pour les données d’une IA sur-mesure, la formule « elles vous appartiennent » est souvent trop générale. Il faut distinguer les droits sur une base de données, la confidentialité des informations, les licences des documents importés et la protection des données personnelles.

Une base peut, sous conditions, bénéficier du droit du producteur de bases de données. Un document peut être protégé par le droit d’auteur. Une information commerciale peut relever du secret des affaires si les conditions légales sont réunies. Ces protections ne se confondent pas.

Les données personnelles, elles, ne sont pas un bien dont l’entreprise disposerait librement. Les personnes concernées conservent leurs droits. Le RGPD impose notamment de définir les finalités du traitement, sa base légale et les durées de conservation.

Le cas de la sécurité des bâtiments l’illustre : les alarmes, caméras et systèmes de contrôle d’accès présentés par Locked Safe Holland sont des équipements susceptibles de produire des informations sensibles. Acheter ces équipements n’autorise pas à réutiliser librement toutes les images ou à conserver indéfiniment des journaux nominatifs.

Votre contrat doit donc préciser les utilisations autorisées, les destinataires et les obligations de restitution, plutôt que s’appuyer sur une formule unique de propriété.

Inclure les données dérivées, pas seulement les fichiers d’origine

La restitution d’une IA sur-mesure doit couvrir davantage que vos fichiers Excel ou vos PDF. L’application peut produire des documents nettoyés, des annotations, des historiques de conversation, des journaux techniques et des index de recherche vectoriels.

Ces éléments peuvent être nécessaires à la continuité du service. Un export des seuls documents sources ne restitue pas forcément les corrections humaines, les règles de classement ou les liens établis entre les informations.

Demandez quels éléments seront exportés directement et lesquels devront être reconstruits. Un index vectoriel, par exemple, peut être difficile à réutiliser si le prochain outil emploie un autre modèle d’embeddings. La documentation de sa construction reste alors utile.

Traitez également les prompts métier, les règles de routage et les jeux de tests. Leur protection juridique n’est pas toujours identique à celle du code, mais leur valeur opérationnelle justifie de prévoir leur confidentialité et leur remise.

Enfin, faites préciser les usages secondaires : amélioration du service, entraînement, évaluation ou réutilisation dans d’autres projets. Une autorisation de traiter vos documents pour exécuter la mission ne doit pas être interprétée comme une autorisation générale de les réemployer.

Qui contrôle les comptes, les accès et les fournisseurs ?

La maîtrise d’une IA sur-mesure dépend aussi de ses accès administrateurs. Une cession de droits ne suffit pas si l’application fonctionne uniquement dans des comptes que vous ne pouvez ni administrer ni transférer.

Pour les services dédiés au projet, privilégiez lorsque c’est possible des comptes détenus par votre entreprise, avec des accès délégués au prestataire. Si une infrastructure mutualisée est utilisée, demandez comment votre application pourra en être extraite et avec quelles limites.

L’inventaire doit couvrir le dépôt de code, l’hébergement, les bases de données, le nom de domaine, les services d’IA et les outils de supervision. Il doit également identifier qui paie chaque abonnement et ce qui se passe en cas d’impayé ou de rupture de contrat.

La localisation du serveur principal ne résume pas non plus les flux de données. Support, sauvegardes et appels à des modèles peuvent mobiliser d’autres fournisseurs. Notre guide sur l’hébergement des projets confiés à une société française d’intelligence artificielle aide à approfondir ce point.

Lorsque l’agence traite des données personnelles pour votre compte et sur vos instructions, les obligations de sous-traitance prévues à l’article 28 du RGPD doivent être contractualisées. Les rôles restent à qualifier selon les traitements réellement effectués.

La preuve décisive : pouvoir reprendre l’outil sans l’agence

La réversibilité est la capacité à récupérer les éléments nécessaires pour poursuivre l’exploitation avec votre équipe ou un autre prestataire. Elle doit se préparer pendant le projet, pas au moment où la relation se dégrade.

Demandez une remise documentée du code, des configurations, des scripts de déploiement et des données convenues. Les secrets techniques doivent être transmis par un moyen sécurisé, puis renouvelés lorsque c’est nécessaire, plutôt que copiés dans un document partagé sans contrôle.

Pour vérifier votre autonomie sur une IA sur-mesure, faites organiser un test de reprise : une personne qui n’a pas développé l’outil doit pouvoir le déployer dans un environnement distinct, restaurer un export et exécuter quelques scénarios métier représentatifs.

Ce test révèle les dépendances cachées : un traitement lancé manuellement par le développeur, une bibliothèque privée inaccessible ou une configuration absente du dépôt. Il permet aussi de vérifier que la documentation correspond à la version livrée.

La sortie a néanmoins un coût. Comparez le temps d’extraction, le redéploiement, l’adaptation des intégrations et la validation métier. Posséder le code ne rend pas la migration gratuite. Le contrat doit préciser l’assistance disponible, son tarif ou son mode de calcul et les délais d’intervention.

Les engagements à faire écrire avant de signer

Le contrat d’une IA sur-mesure doit transformer les promesses commerciales en obligations vérifiables. Une formule comme « le client reste propriétaire de ses données » ne règle ni la remise du code ni le transfert des comptes.

Pour une revue avec votre conseil juridique, concentrez-vous sur ces points :

• Périmètre des droits : code spécifique, composants exclus, droits d’usage et possibilité de faire intervenir un tiers.
• Livrables et calendrier : dépôt de code, documentation, configurations et fréquence de remise, sans tout reporter à la fin de la mission.
• Restitution des données : catégories concernées, formats, relations entre les tables et traitement des données dérivées.
• Usages autorisés : accès des fournisseurs, confidentialité et conditions d’une éventuelle réutilisation pour l’entraînement ou l’amélioration de services.
• Réversibilité : assistance, préavis, coût, test de reprise et traitement des dépendances non transférables.
• Fin de contrat : transfert ou révocation des accès, suppression des copies et calendrier applicable aux sauvegardes, sous réserve des obligations légales de conservation.

Reliez ces engagements à la recette. Par exemple, l’acceptation finale peut intégrer la vérification du dépôt complet et un exercice de restauration. Vous disposez ainsi d’un constat observable, pas seulement d’une déclaration d’intention.

La propriété intellectuelle reste un sujet parmi d’autres. Les critères de fonctionnement, la maintenance et la responsabilité méritent aussi une lecture attentive, comme le détaille notre article sur les garanties à prévoir dans le contrat d’une société IA.

Questions fréquentes

Exigez des droits clairs et une autonomie vérifiable

Le bon critère n’est pas seulement « à qui appartient l’outil ? », mais aussi « qui peut réellement le reprendre demain ? ». Pour votre IA sur-mesure, demandez une cartographie des droits, un inventaire des dépendances et une procédure de transfert testable.