Vous avez intégré un outil de reconnaissance faciale dans votre application RH, un chatbot dans votre service client, ou un moteur de scoring dans votre processus de crédit ? Dans la très grande majorité des cas, cette brique d'IA ne vient pas de vos propres équipes : elle est fournie par un éditeur tiers. Or, le règlement européen sur l'IA (UE) 2024/1689 ne vous exonère pas de vos responsabilités parce que vous n'avez pas développé le système vous-même. En tant que déployeur, vous restez dans la chaîne de responsabilité. La bonne nouvelle : un contrat bien rédigé peut considérablement sécuriser votre position. Voici les clauses contractuelles à exiger de tout fournisseur d'IA avant de signer.
Pourquoi le contrat avec votre fournisseur d'IA est devenu un document de conformité
L'EU AI Act distingue clairement les fournisseurs (ceux qui développent ou mettent sur le marché un système d'IA) des déployeurs (ceux qui l'utilisent dans un contexte professionnel). Mais cette distinction ne signifie pas que vous pouvez vous laver les mains de toute obligation. Le règlement impose au déployeur de vérifier que le système utilisé respecte les exigences applicables, de former son personnel (obligation d'AI literacy en vigueur depuis le 2 février 2025), et de respecter les obligations de transparence vis-à-vis des utilisateurs finaux — en vigueur depuis le 2 août 2026 pour l'article 50.
Pour les systèmes à haut risque de l'annexe III (recrutement, crédit, éducation…), les exigences techniques et documentaires sont reportées au 2 décembre 2027 grâce au règlement omnibus (UE) 2026/1744. Mais ce report ne supprime pas l'obligation de préparer votre chaîne contractuelle dès maintenant. Un contrat signé aujourd'hui sans les bonnes clauses sera très difficile à renégocier en urgence dans quinze mois.
Clause 1 : la qualification du système et la déclaration de conformité
Exigez que votre fournisseur qualifie explicitement le système d'IA dans le contrat : s'agit-il d'un système à haut risque au sens de l'annexe III ou de l'annexe I ? D'un système à risque limité soumis aux obligations de transparence de l'article 50 ? Cette qualification doit être formalisée par écrit, car c'est elle qui détermine vos obligations en tant que déployeur.
Demandez également une déclaration de conformité UE (ou un engagement contractuel à la fournir avant la date d'application des obligations correspondantes). Pour les systèmes à haut risque, cette déclaration devra être produite avant le 2 décembre 2027. Ne vous contentez pas d'une promesse verbale : inscrivez l'obligation dans le contrat, avec une clause résolutoire en cas de non-fourniture.
Clause 2 : la documentation technique et la notice d'utilisation
L'EU AI Act impose au fournisseur de remettre au déployeur une documentation technique suffisante pour que ce dernier puisse utiliser le système de manière conforme. En pratique, cela recouvre :
- La description des données d'entraînement et des biais potentiels identifiés ;
- Les limites connues du système et les cas d'usage pour lesquels il n'a pas été conçu ;
- Les instructions d'utilisation, y compris les mesures de supervision humaine requises ;
- Les métriques de performance et les conditions dans lesquelles elles ont été mesurées.
Prévoyez une clause imposant la mise à jour de cette documentation à chaque modification substantielle du système. Un fournisseur qui améliore son modèle sans vous en informer peut vous exposer à une non-conformité dont vous n'avez pas conscience.
Clause 3 : la transparence et le marquage des contenus générés
Depuis le 2 août 2026, l'article 50 du règlement est pleinement applicable. Si votre fournisseur vous délivre un système capable de générer des contenus synthétiques (texte, image, audio, vidéo), vous devez être en mesure de les marquer comme tels. Or, cette capacité de marquage — notamment via le watermarking ou les métadonnées lisibles par machine — dépend directement de ce que le fournisseur a implémenté dans son système.
Inscrivez dans le contrat l'obligation pour le fournisseur de vous fournir les outils techniques permettant le marquage des contenus générés, ainsi que la documentation associée. Si vous utilisez un assistant vocal ou un générateur de contenu dans votre communication, des partenaires spécialisés comme Distr Action, studio de production audio et voice-over, peuvent vous aider à intégrer ces exigences de marquage dans vos productions sonores dès la phase de création.
Pour les chatbots et agents conversationnels, la clause doit également prévoir que le système est capable d'informer l'utilisateur final qu'il interagit avec une IA — obligation directement applicable depuis le 2 août 2026.
Clause 4 : la supervision humaine et la gestion des incidents
L'EU AI Act place la supervision humaine au cœur des exigences pour les systèmes à haut risque. En tant que déployeur, vous devez pouvoir intervenir, corriger, voire interrompre le système. Votre contrat doit donc prévoir :
- Un accès aux logs et aux décisions du système, avec une durée de conservation conforme aux exigences réglementaires ;
- Une procédure de signalement des incidents et des comportements inattendus, avec des délais de réponse contractuellement définis ;
- La possibilité de suspendre ou désactiver le système sans pénalité contractuelle en cas d'incident de conformité avéré ;
- Des audits périodiques, ou a minima le droit d'en demander un, pour vérifier que le système continue de fonctionner dans les paramètres déclarés.
Si votre équipe manque de ressources internes pour évaluer ces aspects techniques, des acteurs comme AInspiration, spécialiste de l'IA pour les PME, proposent des accompagnements concrets pour auditer les briques d'IA tierces et former vos collaborateurs à leur supervision.
Clause 5 : la répartition des responsabilités et les obligations en cas de contrôle
En cas de contrôle par une autorité nationale ou de litige, la question centrale sera : qui est responsable de quoi ? Sans clause contractuelle explicite, la réponse sera tranchée par le juge — rarement en votre faveur si vous êtes la partie visible du marché.
Votre contrat doit inclure une clause de répartition des responsabilités précisant :
- Quelles obligations incombent au fournisseur (conformité du modèle, documentation, marquage) ;
- Quelles obligations vous incombent en tant que déployeur (usage conforme, formation du personnel, supervision) ;
- L'obligation pour le fournisseur de vous notifier sans délai toute modification du système susceptible d'affecter votre conformité ;
- Une clause de coopération en cas d'enquête ou de demande d'information d'une autorité compétente.
N'oubliez pas d'articuler ces clauses avec votre contrat de traitement des données personnelles (DPA) si le système d'IA traite des données à caractère personnel : les deux documents doivent être cohérents, notamment sur les questions de sous-traitance au sens du RGPD.
Conclusion : votre contrat fournisseur est votre première ligne de défense
Sous-traiter une brique d'IA ne revient pas à déléguer votre conformité. Cela revient à partager une responsabilité — et un contrat mal rédigé peut vous laisser seul face à une autorité de contrôle ou à un utilisateur lésé. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026. Les exigences haut risque de l'annexe III arrivent le 2 décembre 2027. Le moment de sécuriser vos contrats fournisseurs, c'est maintenant — pas à la veille de l'échéance.
Vous souhaitez savoir si vos contrats actuels couvrent les exigences de l'EU AI Act, ou identifier les systèmes d'IA que vous déployez qui nécessitent une mise à niveau contractuelle ? Réalisez votre diagnostic de conformité gratuit sur audityo.eu et obtenez une cartographie claire de vos obligations en moins de 15 minutes.
" } ```