Contrat de sous-traitance avec un fournisseur d'IA : ce qu'exige l'article 28 du RGPD

En bref : oui. Si un fournisseur d'IA traite des données personnelles pour votre compte, il vous faut un contrat de sous-traitance. L'article 28 du RGPD l'impose. Ce contrat doit être écrit et contenir des éléments précis. Sans lui, le partage de données n'a pas de base contractuelle.

Quand un contrat est-il requis ?

Un contrat de sous-traitance devient nécessaire dès qu'un prestataire externe traite des données pour vous et que des données personnelles sont en jeu. Vous restez le responsable de traitement, le fournisseur est le sous-traitant. La question n'est pas de savoir si l'IA est puissante, mais si des données personnelles circulent.

• Vous saisissez des noms, des e-mails ou des données clients dans un outil d'IA.
• Le fournisseur stocke ou traite ces données sur ses serveurs.
• Vous décidez de la finalité et des moyens, le fournisseur exécute.
• Les phases de test ou pilote comptent aussi, dès que des données réelles circulent.
• Anonymiser en amont réduit l'exposition mais ne supprime pas l'obligation.

Contenu obligatoire de l'article 28

Un contrat de sous-traitance ne peut pas rester vague. L'article 28, paragraphe 3, du RGPD précise ce qu'il doit contenir. D'abord les éléments clés du traitement, puis les obligations concrètes du fournisseur. Ces éléments clés posent le cadre :

• L'objet et la durée du traitement.
• La nature et la finalité du traitement.
• Le type de données personnelles.
• Les catégories de personnes concernées.
• Les droits et obligations du responsable de traitement.

Un contrat n'est pas une base légale

C'est une confusion fréquente. Le contrat de sous-traitance encadre la façon dont un fournisseur travaille pour votre compte. Il ne dit pas si vous avez le droit de traiter les données. Ce sont des briques distinctes. Ne les mélangez pas.

• La base légale vient de l'article 6 du RGPD, pas du contrat.
• Une analyse d'impact (AIPD) peut aussi être nécessaire.
• Les mesures techniques seules ne remplacent pas le contrat.
• Le contrat encadre la relation, pas l'autorisation.
• Toutes les briques doivent être réunies ensemble.

Transferts hors de l'UE

Beaucoup de fournisseurs d'IA sont aux États-Unis ou y traitent les données. Les données quittent alors l'espace de l'UE. Les règles des articles 44 et suivants du RGPD s'appliquent. Il vous faut des garanties supplémentaires, souvent des clauses contractuelles types.

• Vérifiez où le fournisseur traite réellement les données.
• Les clauses contractuelles types (CCT) sont l'outil courant.
• Une décision d'adéquation peut faciliter le transfert.
• Une analyse d'impact du transfert complète souvent les clauses.
• Examinez ensemble le contrat et les garanties de transfert.

Les offres d'IA en pratique

Toutes les offres d'IA ne fournissent pas un contrat utilisable. Les versions grand public, gratuites ou privées, souvent non. Les plans Business, Enterprise ou API, eux, le proposent fréquemment. Ne partez pas de suppositions, lisez la documentation de l'éditeur.

1. 1Selon OpenAI, les offres Enterprise et API prévoient un contrat de sous-traitance.
2. 2Selon Google, un contrat de sous-traitance s'applique pour les services cloud.
3. 3Les chatbots grand public sans plan professionnel ne fournissent souvent aucun contrat.
4. 4L'étendue exacte dépend du plan que vous choisissez.
5. 5Vérifiez la date de la documentation, car les politiques évoluent.

C'est là qu'ONYRI agit sur le principe de minimisation des données (art. 5 du RGPD). L'outil détecte les données sensibles dans le texte et les remplace par des jetons réversibles, avant que le texte n'atteigne l'IA. La correspondance entre le jeton et la valeur reste dans le navigateur et n'est jamais envoyée au serveur. Après la réponse, les vraies valeurs sont restaurées. Important et honnête : il s'agit de pseudonymisation, pas d'anonymisation. Les données pseudonymisées restent des données personnelles (considérant 26 du RGPD). ONYRI réduit l'exposition, mais ne remplace ni un contrat de sous-traitance ni une base légale.

À retenir : le contrat de sous-traitance est obligatoire, mais ce n'est qu'une brique. Partager moins de données réduit votre risque en plus. Les deux ensemble forment la voie solide.