Achats : Restriction de l’utilisation de l’IA par les prestataires dans les missions clients

Lorsqu’un client fait appel à un prestataire tiers, il lui accorde sa confiance. La confiance que ses données seront protégées, que le travail sera effectué par des professionnels qualifiés, et que le prestataire opérera dans les mêmes limites juridiques et éthiques que lui. L’IA introduit une couche d’opacité susceptible de compromettre discrètement tous ces éléments. La plupart des clients n’apprennent l’utilisation de l’IA qu’au moment où un problème survient, et à ce stade, les dommages — qu’ils soient juridiques, réputationnels ou financiers — sont souvent déjà faits.

Le statut du droit d’auteur des contenus générés par l’IA reste incertain dans de nombreuses juridictions. Si un prestataire utilise secrètement l’IA, le client peut payer pour un travail dont il ne sera finalement pas propriétaire. Une clause contractuelle stipulant que tous les livrables sont rédigés par des humains et que l’intégralité des droits de propriété intellectuelle est transférée au client, libre de toute revendication d’une plateforme d’IA tierce, constitue le minimum indispensable.

Ceci ne constitue pas un conseil juridique, mais ce sont des sujets que toute personne travaillant avec des prestataires devrait aborder avec son conseiller juridique.

Pourquoi les clients limitent l’utilisation de l’IA par les prestataires

Il existe six raisons fréquentes pour lesquelles les clients souhaitent restreindre ou interdire l’utilisation de l’IA dans leurs projets. Chacune dépasse largement la simple case à cocher d’un formulaire d’achat.

Confidentialité et sécurité des données

Lorsqu’un prestataire colle des informations client dans un outil d’IA public, ces données peuvent être utilisées pour entraîner le modèle sous-jacent, conservées indéfiniment sur des serveurs tiers, réapparaître dans les résultats d’un concurrent ou être compromises lors d’un incident dont le client ne sera jamais informé. Pour les données réglementées — notamment les informations médicales protégées (HIPAA), les données personnelles soumises au RGPD, les dossiers étudiants (FERPA) ou les communications couvertes par le secret professionnel — un simple prompt peut constituer une violation déclarable.

Exactitude et responsabilité

L’IA générative produit des contenus qui paraissent convaincants mais peuvent être biaisés ou totalement erronés. Des références sont inventées, des statistiques fabriquées et des cas particuliers discrètement ignorés. Lorsqu’un professionnel qualifié commet une erreur, il existe une licence professionnelle, une assurance responsabilité et une chaîne de responsabilité clairement définie. Lorsqu’une hallucination de l’IA se retrouve dans un livrable, les responsabilités deviennent floues et le client se retrouve souvent à en assumer les conséquences.

Substitution du prestataire sans consentement

Les clients engagent des cabinets pour leur expertise, leurs méthodes et leurs références. Si le prestataire confie discrètement le travail à un grand modèle de langage, le client n’obtient pas ce pour quoi il a payé. Il paie des honoraires de consultant senior pour un contenu généré par un abonnement mensuel à quelques dizaines d’euros.

Risques réglementaires et de conformité

L’utilisation de l’IA fait l’objet d’une réglementation croissante et le cadre juridique évolue rapidement. L’AI Act européen, le Colorado Artificial Intelligence Act (SB 24-205), la loi locale 144 de New York sur les outils automatisés d’aide à la décision en matière d’emploi, ainsi que les directives sectorielles des autorités fédérales et des procureurs généraux des États créent des risques qui peuvent retomber sur le client, même si la décision d’utiliser l’IA provenait du prestataire.

Biais et risques réputationnels

Les modèles d’IA reflètent les biais présents dans leurs données d’entraînement. Les résultats utilisés pour le recrutement, le crédit, le triage médical, la modération de contenu ou l’évaluation de l’accessibilité peuvent produire des résultats discriminatoires, enfreindre les lois sur les droits civiques et nuire durablement à la réputation de l’organisation.

Manque de transparence et d’auditabilité

La plupart des outils d’IA commerciaux ne produisent pas de journaux fiables des prompts, des résultats ou des modifications effectuées avant la livraison. Sans ces traces, le client ne peut ni vérifier ce qui a été généré par l’IA, ni défendre un livrable dans le cadre d’un litige, ni remédier efficacement à un problème découvert ultérieurement.

Peut-on empêcher un prestataire d’utiliser l’IA ?

Oui, à condition de prévoir les clauses contractuelles adéquates. Le reste de cet article décrit les dispositions qui, combinées, permettent au client de conserver un contrôle significatif.

Divulgation avant la signature du contrat

La meilleure protection se met en place avant la signature. Les appels d’offres (RFP) et documents de consultation devraient exiger que les soumissionnaires déclarent par écrit :

• chaque outil d’IA qu’ils prévoient d’utiliser ;
• les tâches précises concernées ;
• les catégories de données susceptibles d’être exposées ;
• les politiques de résidence des données et d’entraînement des modèles de chaque plateforme.

Cela place les fournisseurs sur un pied d’égalité, permet de comparer les offres objectivement et évite de découvrir après coup que l’offre la moins chère reposait sur un usage intensif de l’IA.

Une remarque connexe sur les prix : un livrable réalisé entièrement par des humains coûtera plus cher qu’un livrable assisté par IA. Les clients qui imposent des restrictions à l’IA doivent s’attendre à recevoir des devis plus élevés et budgéter en conséquence. Faire comme si ce n’était pas le cas crée une pression incitant le prestataire à tricher.

Définir l’IA dans le contrat

Les définitions sont essentielles. Les tribunaux et arbitres rechercheront des définitions précises. Le contrat devrait couvrir :

• l’IA générative ;
• les grands modèles de langage (LLM) ;
• les modèles de machine learning ;
• les réseaux neuronaux ;
• les systèmes automatisés de prise de décision ;
• les outils de programmation assistée par IA.

Il devrait également distinguer trois catégories d’usage :

Utilisations interdites

• rédaction générative de livrables ;
• génération de code ;
• analyse de données dont les résultats alimentent le livrable ;
• résumés automatiques de réunions ou documents ;
• toute tâche produisant du texte, du code, des images ou des analyses intégrés au produit final.

Fonctionnalités d’assistance autorisées

• correcteurs orthographiques ;
• correction grammaticale non générative ;
• recherche simple ;
• calculatrices et conversions d’unités.

Utilisations soumises à approbation

Tout ce qui se situe entre les deux catégories précédentes, y compris les fonctions d’IA intégrées dans les outils déjà utilisés par le prestataire.

L’interdiction principale

La clause centrale pourrait être formulée ainsi :

Le Prestataire ne doit utiliser, déployer ou intégrer aucun outil d’intelligence artificielle, de machine learning, de grand modèle de langage, d’IA générative ou de prise de décision automatisée dans l’exécution des services prévus par le présent Contrat, y compris, sans s’y limiter, des outils tels que ChatGPT, GitHub Copilot, Claude, Gemini ou toute technologie similaire, sans l’accord écrit préalable du Client. Cette interdiction s’applique à toutes les phases de la mission, y compris la découverte, l’analyse, la rédaction, la révision et la livraison.

Exceptions possibles (« carve-outs »)

L’IA est désormais omniprésente : fonctionnalités génératives de Grammarly, remplissage génératif d’Adobe, autocomplétion dans les IDE, assistants de réunion, résumés automatiques ou résultats de recherche enrichis par l’IA.

Le contrat devrait prévoir un mécanisme clair d’approbation pour ces cas limites.

Exemple :

Nonobstant l’interdiction précédente, le Prestataire peut utiliser les outils d’assistance autorisés suivants : correcteurs orthographiques et grammaticaux fonctionnant localement et ne transmettant pas d’informations confidentielles du Client à des tiers ; moteurs de recherche utilisés uniquement à titre de référence générale ; calculatrices et outils de conversion d’unités. Toute fonctionnalité d’IA intégrée à un outil utilisé par le Prestataire et non mentionnée ci-dessus est interdite tant qu’elle n’a pas été expressément approuvée par écrit par le Client. Le fait qu’une fonctionnalité d’IA soit activée par défaut ne constitue pas une approbation du Client.

Sous-traitants et personnel

Les restrictions doivent s’appliquer à tous les sous-traitants, freelances et ressources externalisées.

Exemple :

Recours aux sous-traitants. Le Prestataire veille à ce que tous les sous-traitants, consultants et tiers participant à l’exécution du Contrat soient soumis aux mêmes restrictions et fournit, sur demande du Client, copie des dispositions contractuelles pertinentes.

Sécurité des données, confidentialité et données d’entraînement

C’est généralement là que surviennent les préjudices concrets.

La clause de confidentialité devrait :

• interdire explicitement l’introduction de données du client dans toute plateforme d’IA ou de machine learning tierce ;
• interdire l’utilisation des données, livrables ou travaux du client comme données d’entraînement ;
• exiger des garanties écrites des fournisseurs d’IA indiquant que les données du client ne seront utilisées ni pour l’entraînement, ni pour l’évaluation, ni pour l’amélioration des modèles.

Assurance et couverture cyber

Le contrat devrait exiger du prestataire qu’il confirme par écrit que son assurance couvre :

• l’utilisation non autorisée de l’IA ;
• les erreurs liées aux hallucinations ;
• les litiges de propriété intellectuelle liés aux données d’entraînement.

Le client devrait être désigné comme assuré additionnel et être informé de toute modification de couverture.

Conservation des preuves

Le prestataire devrait être tenu de conserver :

• les prompts ;
• les résultats générés ;
• les journaux API ;
• l’historique de navigation pertinent ;
• les licences logicielles ;
• les inventaires logiciels.

Ces informations devraient être conservées pendant toute la durée de la mission et pendant une période définie après son achèvement.

Droits d’audit

Le droit d’audit devrait inclure explicitement l’accès aux :

• outils utilisés ;
• licences logicielles ;
• historiques de navigation ;
• journaux API ;
• historiques de prompts et de résultats ;
• processus de travail.

Déclarations, garanties et obligations de divulgation

Le prestataire devrait garantir :

• à la signature ;
• et à chaque étape de livraison,

qu’aucun outil d’IA non autorisé n’a été utilisé.

Il devrait également être tenu de signaler immédiatement toute utilisation volontaire ou involontaire de l’IA, en précisant :

• la date ;
• l’étendue ;
• les livrables concernés ;
• les données exposées ;
• les mesures correctives prises.

Résiliation

L’utilisation non autorisée de l’IA devrait constituer un motif de résiliation pour faute.

Le contrat peut également :

• supprimer tout droit à correction (« cure period ») pour ce type de violation ;
• permettre au client d’exiger une nouvelle certification des anciens livrables ;
• imposer au prestataire le coût de toute réexécution humaine des travaux concernés.

Dommages-intérêts forfaitaires

Les préjudices liés à l’utilisation secrète de l’IA sont difficiles à quantifier.

Des clauses prévoyant des dommages-intérêts forfaitaires par incident ou par livrable permettent d’offrir un recours sans exiger la preuve détaillée du préjudice.

Indemnisation et propriété intellectuelle

Le prestataire devrait indemniser le client contre :

• les actions en contrefaçon liées aux données d’entraînement ;
• les erreurs introduites par l’IA ;
• les sanctions réglementaires résultant d’une utilisation illégale de l’IA.

Il devrait également garantir qu’aucun livrable ne contient de contenu généré par IA non autorisé.

Droit applicable et règlement des litiges

Les réglementations sur l’IA varient fortement selon les juridictions.

Le choix du droit applicable et du tribunal compétent devrait être effectué en tenant compte :

• des intérêts du client ;
• des exigences réglementaires applicables ;
• du secteur d’activité concerné.

Survie des clauses

Les clauses relatives à :

• la confidentialité ;
• l’indemnisation ;
• l’audit ;
• la conservation des documents ;
• la garantie de non-utilisation de l’IA ;
• la vérification rétrospective,

devraient continuer à produire leurs effets après la fin du contrat.

Conclusion

L’IA ne disparaîtra pas. De nombreux prestataires l’utiliseront, que le contrat l’autorise ou non, sauf si les conséquences d’une utilisation non autorisée sont clairement définies.

Les différentes clauses décrites ci-dessus — définitions, interdictions, exceptions, obligations de divulgation, droits d’audit, exigences d’assurance, conservation des preuves, indemnisation, dommages-intérêts forfaitaires, survie des clauses et motifs explicites de résiliation — forment un ensemble cohérent. Individuellement, chacune peut être contestée. Ensemble, elles créent un cadre dans lequel les incitations du prestataire sont alignées sur les attentes du client.

Trois actions concrètes pour les clients

1. Réviser les contrats fournisseurs existants lors de leur renouvellement et y intégrer des dispositions relatives à l’IA.
2. Mettre à jour les modèles d’appels d’offres et former les équipes achats à l’évaluation des déclarations d’usage de l’IA.
3. Consulter un conseiller juridique pour adapter les clauses aux juridictions concernées, notamment dans les secteurs réglementés ou les régions disposant déjà d’une législation active sur l’IA.

L’objectif n’est pas d’interdire toute utilisation de l’IA par les prestataires. Il est de s’assurer que toute utilisation soit déclarée, approuvée, encadrée, journalisée, assurée et imputable. Faites confiance, mais vérifiez — et mettez cette vérification par écrit.