PIPELINEGuide
Protection des données et conformité IA : contrat, propriété et sortie
À qui appartiennent au final les données, accès et résultats ? La réponse à cette question en dit plus sur un prestataire que n'importe quelle liste de références — et doit être clarifiée avant la signature, non après.
Avant de mandater pour la protection des données et la conformité IA, il convient de clarifier par écrit : les données et accès appartiennent au donneur d'ordre, dans quel format et quel délai ils sont restitués en cas de fin de contrat, ce que coûte une modification ultérieure, et que la documentation est un poste d'offre et non un engagement oral.
01 — Contrat
Ce qui doit être clarifié par écrit
- Propriété des données et des accès. Ils appartiennent au donneur d'ordre. Si un fournisseur ne le confirme pas clairement, c'est l'information la plus importante de l'entretien.
- Restitution en cas de résiliation. Dans quel format, dans quel délai, à quel coût.
- Pas de durée minimale sans contrepartie. Un engagement est acceptable s'il y a quelque chose en retour — sinon non.
- Ce que coûte une modification ultérieure. Ce n'est pas le prix du projet qui détermine les coûts globaux, mais le taux horaire de la troisième année.
- La documentation comme élément livrable. Pas comme promesse, mais comme poste dans l'offre.
02 — Questions
Questions que vous devriez poser
- Que se passe-t-il si le projet devient plus cher qu'estimé — qui en supporte le coût ?
- À qui appartiennent les données, les accès et, en cas de développement, le code source ?
- Que coûte l'exploitation la deuxième et la troisième année ?
- À quoi ressemble la documentation que nous recevons à la fin ?
- À quoi mesureriez-vous si le projet a réussi ?
- Existe-t-il un cas où vous nous déconseillez de le faire ?
03 — Signaux d'alarme
Quand il faut devenir sceptique
- Résultats garantis. Qui promet la première place sur Google ou une augmentation précise du chiffre d'affaires vend quelque chose qu'il ne peut pas livrer.
- Aucun non. Un prestataire qui trouve chaque projet une bonne idée n'a soit pas écouté, soit ne fait que vendre.
- Pression temporelle. Les rabais limités dans le temps sur les prix de projet sont un instrument commercial, pas une offre.
- Propriété floue. Qui ne dit pas clairement à qui appartiennent les données et les accès n'a pas de bonnes intentions.
- Pas d'interlocuteur avec expertise métier. Si seuls les commerciaux sont présents au premier entretien, les malentendus naissent là.
04 — Questions
Questions fréquentes
Que nous demande concrètement l'EU AI Act ?
Pour la plupart des entreprises, il s'agit de deux choses : transparence et compétence. Transparence signifie que les personnes doivent reconnaître quand elles communiquent avec un système d'IA ou voient des contenus générés par IA — cela s'applique depuis août 2026. Compétence signifie que les personnes qui déploient de tels systèmes sont suffisamment formées pour cela. Les deux sont documentables et réalisables avec un effort raisonnable.
À quelle fréquence l'inventaire doit-il être actualisé ?
Toujours lorsqu'un nouvel outil est introduit ou que la finalité d'utilisation d'un outil existant change. Une vérification annuelle comme intervalle minimum est judicieuse, même sans raison concrète.
Avons-nous besoin d'une analyse d'impact relative à la protection des données ?
Pas de manière générale. Elle devient nécessaire si le traitement représente probablement un risque élevé pour les personnes concernées — par exemple lors d'un profilage approfondi. Pour un chatbot FAQ sur le site web, elle n'est généralement pas requise. Nous l'examinons au cas par cas et consignons le résultat par écrit.
Et si nous utilisons plusieurs outils d'IA de différents fournisseurs ?
Chaque outil est évalué individuellement — fournisseur, traitement des données et classe de risque diffèrent. La directive d'utilisation résume les résultats, afin que personne n'ait à consulter chaque outil individuellement.
Un accord verbal dans l'équipe suffit-il au lieu d'une directive écrite ?
Non, en cas de litige ou de contrôle, seul compte ce qui est documenté. Une brève directive écrite protège en outre les nouveaux collaborateurs qui n'ont jamais entendu l'accord verbal.
Les textes générés par IA doivent-ils être identifiés ?
Pour les contenus qui sont publiés et générés synthétiquement ou modifiés de manière substantielle, oui. L'utilisation purement interne — recherche, ébauches, résumés — ne déclenche généralement pas cette obligation.
Avons-nous le droit d'entrer des données clients dans ChatGPT ?
Dans la variante gratuite sans garantie contractuelle : non. Avec un accès professionnel, un contrat de sous-traitance et un entraînement exclu, cela peut être licite — selon le type de données concernées. C'est précisément cette distinction qui doit figurer dans la directive d'utilisation, car elle est constamment pertinente au quotidien.
05 — Suite
Pages correspondantes
- Protection des données et conformité IA — vue d'ensemble
- Protection des données et conformité IA — Connexion
- Protection des données et conformité IA — Étiquetage IA
- Protection des données et conformité IA — Mesurer le succès
- Protection des données et conformité IA — Erreurs typiques
- Protection des données et conformité IA — introduction
- Protection des données et conformité IA — subvention
- Protection des données et conformité IA — comparaison des fournisseurs
- Conseil IA
- Formation IA
- Chatbot IA
- Tous les guides
Protection des données et conformité IA par région
Prochaine étape
Nous examinons votre situation de départ.
Dites-nous ce qui prend du temps aujourd'hui. Cela donne une évaluation avec effort et bénéfice — et seulement après, une offre.