L’intelligence artificielle s’intègre désormais dans de nombreux outils utilisés par les entreprises : solutions SaaS enrichies de fonctionnalités d’IA, assistants conversationnels, outils de génération de contenus, solutions d’analyse ou d’aide à la décision.
L’encadrement de ces usages ne relève toutefois pas uniquement de l’AI Act. Pour l’entreprise qui achète ou utilise une solution intégrant de l’IA, le contrat conclu avec le fournisseur reste l’un des principaux outils de maîtrise des risques.
Données utilisées par le système, confidentialité, réutilisation des contenus, propriété intellectuelle, sécurité, évolution du service, responsabilités : les conditions contractuelles doivent être examinées en tenant compte des spécificités de l’IA et de l’usage qui sera réellement fait de la solution.
La première difficulté est parfois simplement de savoir ce que l’on achète.
Une fonctionnalité d’IA peut être intégrée à une solution SaaS existante, activée ultérieurement par l’éditeur ou reposer sur un modèle fourni par un tiers. Le service peut également évoluer rapidement sans que l’architecture technique ou la chaîne de fournisseurs reste nécessairement identique.
Avant même de négocier les clauses, il faut donc pouvoir identifier notamment :
Cette cartographie est également nécessaire pour déterminer le rôle de chaque acteur au regard de l’AI Act. Le règlement distingue notamment fournisseurs et déployeurs de systèmes d’IA et organise, dans certaines situations, la répartition des responsabilités au sein de la chaîne de valeur.
La qualification réglementaire ne remplace donc pas l’analyse contractuelle : elle contribue au contraire à déterminer ce que le contrat doit organiser.
C’est souvent le premier sujet à vérifier.
Les données saisies dans une solution d’IA peuvent comprendre des informations confidentielles, des données personnelles, des documents internes, du code source ou plus largement des informations présentant une valeur économique pour l’entreprise.
Le contrat doit permettre de comprendre précisément ce que le fournisseur est autorisé à faire de ces données.
Une attention particulière doit être portée aux clauses permettant leur réutilisation pour améliorer le service, entraîner ou affiner des modèles, développer de nouvelles fonctionnalités ou alimenter d’autres services du fournisseur.
Une formulation générale autorisant l’utilisation des données « afin d’améliorer les services » peut ainsi recouvrir des traitements très différents.
L’entreprise doit donc déterminer si les données qu’elle fournit :
Lorsque des données personnelles sont concernées, cette analyse doit naturellement être articulée avec les exigences du RGPD.
Une clause générale de confidentialité n’est pas toujours suffisante.
L’utilisation d’outils d’IA peut conduire les collaborateurs à transmettre au système des informations qui n’auraient jamais été communiquées à un prestataire dans un autre contexte : contrats, projets, données clients, analyses internes, informations techniques ou documents préparatoires.
Il faut donc vérifier non seulement les engagements de confidentialité du fournisseur, mais également les conditions techniques et contractuelles dans lesquelles les données peuvent être conservées, réutilisées ou rendues accessibles à des tiers.
Cette question doit être traitée à la fois dans le contrat avec le fournisseur et dans les règles internes d’utilisation de l’IA.
Une charte ou une politique interne peut notamment définir les outils autorisés, les catégories de données qui peuvent leur être confiées et les usages interdits.
La propriété intellectuelle mérite également une attention particulière.
Les conditions contractuelles doivent préciser les droits respectifs du fournisseur et du client sur les données d’entrée, les contenus générés et, le cas échéant, les éléments produits ou enrichis par la solution.
Mais une clause affirmant que le client est « propriétaire » des résultats ne règle pas nécessairement toutes les difficultés.
Il faut notamment distinguer :
Pour les entreprises utilisant l’IA pour produire du contenu, du code ou des éléments intégrés à leurs propres produits et services, la question ne consiste donc pas seulement à savoir à qui appartient le résultat, mais dans quelles conditions celui-ci peut effectivement être exploité.
L’AI Act est désormais largement applicable, mais toutes ses obligations ne sont pas entrées en application simultanément. Le règlement a en outre été modifié en juillet 2026 par le « Digital Omnibus on AI », qui a notamment simplifié certaines obligations et reporté l’application des règles relatives aux systèmes à haut risque.
Les obligations concernant les systèmes relevant des domaines à haut risque visés à l’annexe III s’appliqueront ainsi à compter du 2 décembre 2027. Pour les systèmes à haut risque intégrés à certains produits relevant de l’annexe I, l’échéance est fixée au 2 août 2028.
Toutes les entreprises utilisant une solution d’IA ne supportent donc ni les mêmes obligations, ni le même niveau de contrainte.
Selon la solution, l’usage concerné et le rôle de l’entreprise dans la chaîne de valeur, il faut notamment déterminer quelles obligations de transparence, d’information, de documentation, de supervision ou de coopération sont effectivement applicables.
Le contrat doit alors permettre à chaque partie de disposer des informations et de la coopération nécessaires pour satisfaire aux obligations qui lui incombent réellement.
Cette logique est particulièrement importante lorsque plusieurs acteurs interviennent : fournisseur du modèle, éditeur de la solution, intégrateur, distributeur et entreprise utilisatrice.
Les solutions intégrant de l’IA évoluent souvent beaucoup plus rapidement que les logiciels traditionnels.
Un fournisseur peut modifier le modèle utilisé, ajouter de nouvelles fonctionnalités, changer de prestataire technologique ou faire évoluer les modalités de traitement des données.
Ces modifications peuvent avoir des conséquences sur la conformité, la sécurité ou les conditions dans lesquelles l’entreprise avait initialement accepté d’utiliser la solution.
Le contrat doit donc encadrer les modifications substantielles du service : information préalable, documentation, conséquences éventuelles sur les engagements de conformité ou de sécurité et, lorsque cela est nécessaire, faculté pour le client de s’opposer à une modification ou de mettre fin au service.
L’intégration d’une fonctionnalité d’IA ne fait pas disparaître les sujets contractuels classiques des projets IT. Elle peut au contraire les renforcer.
Les engagements relatifs à la sécurité, à la disponibilité, à la gestion des incidents, aux sous-traitants ou à la continuité du service doivent rester cohérents avec l’architecture réelle de la solution.
La responsabilité doit également être examinée avec attention.
Un fournisseur cherchera fréquemment à exclure ou limiter sa responsabilité concernant les résultats générés par l’IA, en rappelant notamment qu’ils peuvent être inexacts et qu’ils doivent faire l’objet d’une vérification humaine.
Le principe peut être légitime. Mais une clause qui transfère au client l’intégralité du risque lié au fonctionnement de la solution peut devenir difficilement compatible avec l’objet même du service acheté.
Il faut donc rechercher un équilibre entre les obligations de contrôle qui incombent à l’utilisateur et les engagements que le fournisseur doit continuer à assumer concernant son propre service.
Enfin, sécuriser le contrat avec le fournisseur ne dispense pas l’entreprise d’organiser ses propres pratiques.
L’utilisation de l’IA gagne à être encadrée en interne : outils autorisés, catégories de données pouvant être utilisées, vérification des résultats, supervision humaine, confidentialité, sécurité et sensibilisation des utilisateurs.
Cette organisation doit naturellement être proportionnée aux outils utilisés, aux risques associés et aux obligations effectivement applicables à l’entreprise.
Contrat, conformité et gouvernance des usages doivent donc être pensés ensemble.
Pour aller plus loin : IA générative en entreprise : faut-il une charte IA ?
Avant de contractualiser avec un fournisseur de solution d’IA, l’entreprise doit pouvoir répondre à quelques questions simples :
Quelles données seront confiées au système ? Peuvent-elles être réutilisées ? Sur quels modèles et prestataires repose le service ? Quels droits l’entreprise dispose-t-elle sur les résultats ? Quelles obligations réglementaires lui incombent ? Que se passe-t-il si la solution évolue ? Et qui assume le risque si elle ne fonctionne pas comme prévu ?
Ce sont ces réponses — davantage que la seule présence d’une clause intitulée « Intelligence artificielle » — qui permettent de sécuriser réellement l’utilisation de l’IA en entreprise.
Withlaw accompagne les entreprises dans l’intégration et l’utilisation de solutions d’intelligence artificielle, notamment pour :
L’objectif est de permettre aux entreprises d’intégrer l’IA dans leurs activités en maîtrisant les risques juridiques et contractuels, sans imposer un cadre disproportionné par rapport aux usages et aux risques réels.