Clause IA dans un contrat de prestation : comment encadrer l'usage de l'intelligence artificielle

Depuis le 2 août 2026, les obligations de transparence de l'article 50 du règlement européen sur l'intelligence artificielle sont directement applicables aux fournisseurs et déployeurs de systèmes d'IA. Un chatbot doit désormais avertir explicitement l'utilisateur qu'il échange avec une intelligence artificielle, et certains contenus générés ou manipulés par IA doivent être signalés au public. Cette échéance rend d'autant plus nécessaire, pour tout contrat de prestation impliquant un recours à l'IA, une clause précisant qui, entre le prestataire et le client, assume concrètement ces obligations.

L'utilisation d'un outil d'intelligence artificielle par un prestataire doit être encadrée contractuellement, même lorsque l'IA n'est pas l'objet principal de la prestation. Il n'existe toutefois pas de clause unique applicable à tous les contrats : son contenu doit être adapté selon que l'IA est un simple outil interne du prestataire, une composante du livrable, ou le cœur même du service. Cet article détaille la méthode pour identifier l'usage réel de l'IA, qualifier les rôles des parties, et bâtir les clauses essentielles de transparence, de confidentialité, de propriété intellectuelle et de responsabilité.

Pourquoi et quand intégrer une clause IA dans un contrat de prestation

Cette section précise la démarche à suivre avant toute rédaction : la clause IA ne se justifie pas par principe, mais par l'usage réel constaté ou anticipé chez le prestataire concerné.

Identifier précisément l'usage de l'IA

La première étape consiste à déterminer précisément comment l'IA intervient dans la prestation. Le prestataire peut y recourir pour rédiger ou résumer des documents, traduire ou analyser des contenus, produire des images, sons, vidéos ou du code, classer ou extraire des informations, assister un conseiller, effectuer des recommandations, ou encore entraîner et personnaliser un modèle à partir des données du client. Ces usages ne présentent pas le même niveau de risque et n'appellent donc pas le même degré de formalisme contractuel.

Il est utile de distinguer trois niveaux d'intégration : l'IA comme simple outil interne du prestataire, invisible pour le client final ; l'IA comme composante du livrable, dont le résultat dépend directement du système utilisé ; et l'IA comme objet principal de la prestation, lorsque le service vendu au client consiste précisément en la fourniture d'une solution d'intelligence artificielle. La clause doit ensuite préciser le régime retenu pour cet usage : interdit, autorisé uniquement après information du client, autorisé sous réserve d'une validation préalable, ou obligatoire parce qu'il constitue l'objet même du service.

Qualifier les rôles des parties

Le contrat doit déterminer les rôles respectifs des parties au regard du règlement européen sur l'intelligence artificielle et du RGPD. Selon le service concerné, le prestataire peut être fournisseur d'un système d'IA, déployeur de ce système, sous-traitant au sens du RGPD, responsable de traitement, responsable conjoint, ou simple utilisateur d'un outil d'IA pour exécuter sa prestation. Le client, de son côté, peut lui-même être déployeur, responsable de traitement, sous-traitant, ou simple utilisateur professionnel d'un système intégré à son activité.

Cette qualification ne dépend pas uniquement du texte contractuel : elle doit correspondre aux fonctions réellement exercées par chaque partie, notamment à la détermination effective des finalités et des moyens du traitement des données. Lorsque le prestataire traite des données personnelles du client pour le compte de celui-ci par l'intermédiaire d'un outil d'IA, la clause IA doit systématiquement être complétée par un DPA conforme à l'article 28 du RGPD, dont les clauses obligatoires sont détaillées dans notre article consacré au DPA et aux clauses indispensables du contrat de sous-traitance RGPD.

Les clauses essentielles à prévoir

Ces clauses forment le socle minimal d'une clause IA, quel que soit par ailleurs le niveau de risque du système utilisé par le prestataire.

Transparence et information du client

Le prestataire doit informer le client de l'utilisation d'un système d'IA, en précisant son nom et sa version, son fournisseur, sa finalité, ses principales limites connues, les données traitées, les pays d'hébergement ou d'accès, et l'intervention éventuelle de sous-traitants ultérieurs. Cette information peut figurer dans une annexe technique mise à jour régulièrement plutôt que dans le corps même du contrat, afin de suivre les évolutions du système sans nécessiter un avenant à chaque mise à jour.

Depuis le 2 août 2026, les obligations de transparence de l'article 50 du règlement européen sur l'IA imposent notamment que les systèmes conversationnels signalent leur nature artificielle au moment de l'interaction, sans que l'utilisateur ait à le demander, et que certains contenus générés ou manipulés par IA soient rendus détectables pour le public. Le contrat doit donc préciser laquelle des parties informe les utilisateurs finaux, signale l'interaction avec une IA, appose les mentions nécessaires et conserve les éléments de traçabilité correspondants — cette répartition n'est pas neutre, dès lors que le règlement distingue les obligations du fournisseur du système de celles du déployeur qui l'exploite auprès du public.

Usages autorisés et usages interdits

La clause doit définir précisément les usages permis et ceux qui sont exclus. Elle peut notamment interdire l'utilisation des données du client pour entraîner un modèle général sans autorisation expresse, la transmission de données confidentielles vers un outil non validé par le client, le traitement de données personnelles sans base légale identifiée, ou l'utilisation de l'IA pour une décision entièrement automatisée lorsque les conditions légales ne sont pas réunies. Il est également utile de prévoir une procédure d'autorisation formelle pour tout nouvel outil ou tout nouveau cas d'usage envisagé en cours de contrat.

Données d'entrée et confidentialité

Le contrat doit déterminer quelles données peuvent être introduites dans l'outil d'IA. Il peut prévoir une interdiction de transmettre des informations confidentielles ou des données personnelles non anonymisées, une obligation de pseudonymisation préalable, une liste d'outils approuvés par le client, une interdiction de réutilisation des données à des fins d'entraînement, ou une obligation de suppression des historiques et des prompts après un délai déterminé.

Supervision humaine

Le prestataire doit rester responsable de la vérification des livrables produits avec l'assistance d'une IA. La clause peut imposer une revue humaine avant toute remise au client, portant sur l'exactitude, la conformité juridique, la détection des hallucinations, la vérification des biais et le contrôle des sources et références utilisées. Une formulation type pourrait ainsi préciser que le prestataire demeure responsable de la vérification, de la cohérence, de l'exactitude et de la licéité des livrables remis au client, même lorsque tout ou partie de leur élaboration a été assistée par un système d'intelligence artificielle, et qu'aucun livrable ne pourra être remis sans validation humaine appropriée. Le niveau de contrôle exigé doit rester proportionné à l'usage : un brouillon marketing et une analyse juridique ou médicale ne présentent pas le même niveau de risque et n'appellent donc pas le même degré de vérification.

Propriété intellectuelle

La clause doit distinguer les données et contenus fournis par le client, les outils et modèles du prestataire, les prompts, les livrables remis, et les éventuels éléments de tiers intégrés dans les résultats générés. Il faut préciser qui peut exploiter les livrables, sur quel territoire, pour quelle durée et selon quelles finalités, et si les éléments générés par l'IA sont inclus ou exclus d'une éventuelle cession de droits.

Il est prudent, en pratique, de ne pas garantir de manière absolue qu'un résultat généré par IA est libre de tout droit de tiers, cette garantie étant difficile à vérifier compte tenu de l'opacité fréquente des données d'entraînement des modèles. Le prestataire peut plutôt s'engager à avoir mis en place une procédure raisonnable de vérification, et accepter d'indemniser le client dans des limites négociées en cas de réclamation d'un tiers imputable à son utilisation de l'outil.

Responsabilité

Le contrat doit distinguer les différents risques susceptibles de survenir : erreurs ou hallucinations du modèle, contenu contrefaisant, discrimination ou biais, violation de données personnelles, indisponibilité de l'outil, ou défaillance du fournisseur d'IA tiers. Il est utile de prévoir des plafonds de responsabilité assortis d'exclusions spécifiques pour la confidentialité, les données personnelles ou la propriété intellectuelle, ainsi qu'une distinction claire entre la responsabilité liée au contrat de prestation lui-même et celle liée au traitement des données personnelles, chacune pouvant justifier un plafond propre.

L'encadrement des risques spécifiques liés aux données et aux transferts

Le recours à l'intelligence artificielle soulève des enjeux de protection des données qui débordent le cadre classique d'une relation de sous-traitance traditionnelle.

RGPD et IA : rôle, finalités, durée de conservation

Lorsque l'outil d'IA traite des données personnelles, le contrat doit préciser le rôle de chaque partie, les finalités poursuivies, les catégories de données traitées, la durée de conservation, les instructions données au prestataire, les sous-traitants ultérieurs éventuellement impliqués, ainsi que les modalités de notification des violations et de suppression ou restitution des données en fin de contrat. La CNIL recommande à cet égard que l'utilisateur ou l'intégrateur d'un outil d'IA interroge systématiquement le fournisseur sur la conformité de son système, la protection des données mises en œuvre, et la possibilité de s'opposer à la réutilisation des données d'usage ou de l'historique de conversation.

Transferts internationaux liés à l'outil d'IA

Lorsque le fournisseur de l'outil d'IA est situé hors Espace économique européen, ou donne accès aux données depuis un pays tiers, le contrat doit prévoir le mécanisme de transfert approprié : décision d'adéquation, clauses contractuelles types de 2021, règles d'entreprise contraignantes, ou, dans les hypothèses strictes où elle s'applique, une dérogation de l'article 49 du RGPD. Le choix du module SCC et les mesures supplémentaires éventuellement nécessaires après l'arrêt Schrems II sont détaillés dans notre article consacré au transfert de données hors UE et aux SCC 2021.

Sécurité, audit et gestion des évolutions du système

Un contrat portant sur l'usage d'une IA doit anticiper que l'outil évoluera nécessairement pendant la durée de la relation contractuelle, ce qui appelle une vigilance différente de celle d'une prestation informatique classique.

Sécurité et disponibilité

Lorsque l'IA est essentielle à la prestation, la clause doit prévoir des engagements de service portant sur la disponibilité minimale, les temps de rétablissement, la continuité d'activité, la conservation des journaux et la gestion des mises à jour du système. Le contrat doit également traiter le cas des défaillances du fournisseur d'IA tiers : le prestataire ne devrait pas pouvoir s'exonérer automatiquement de toute responsabilité en invoquant une simple panne survenue chez son propre fournisseur.

Audit et documentation

Le client doit pouvoir contrôler, dans une mesure raisonnable, les outils utilisés, les versions déployées, les mesures de sécurité mises en œuvre et les incidents survenus. Le contrat peut prévoir un audit documentaire annuel, un droit à un audit renforcé en cas d'incident grave, ainsi qu'un droit de demander des rapports indépendants, tout en ménageant des restrictions raisonnables destinées à protéger les secrets d'affaires du prestataire et de son propre fournisseur d'IA.

Réversibilité et gestion du changement de modèle

Le contrat doit organiser la récupération des données, des prompts et des résultats en fin de relation contractuelle, ainsi que le sort des éventuels modèles personnalisés développés pour le client. Il est également recommandé de prévoir une obligation d'alerte à la charge du prestataire en cas de changement substantiel du modèle utilisé, ou de retrait pur et simple du service par le fournisseur d'IA tiers — un scénario qui n'est plus purement théorique compte tenu du rythme actuel d'évolution de ces outils.

Exemple de clause synthétique

Le tableau suivant propose une base de clauses minimales à adapter selon le niveau de risque de l'usage de l'IA identifié dans la prestation.

Foire aux questions sur la clause IA dans un contrat de prestation

Le prestataire doit-il informer le client qu'il utilise une IA ?

Oui. Le prestataire doit informer le client du recours à un système d'intelligence artificielle, en précisant son identité, sa finalité, les données traitées et les principales limites connues. Cette information peut figurer dans une annexe technique actualisée plutôt que dans le corps du contrat lui-même.

Qui est responsable d'une erreur générée par l'IA ?

Le prestataire demeure en principe responsable des livrables qu'il remet au client, y compris lorsque leur élaboration a été assistée par un système d'IA. C'est précisément la raison pour laquelle une clause de supervision humaine, imposant une validation avant toute remise, constitue l'un des points essentiels du contrat.

Le prestataire peut-il utiliser les données du client pour entraîner un modèle ?

Non, sauf accord écrit exprès du client en ce sens. La clause doit en principe interdire toute utilisation des données transmises pour entraîner ou améliorer un modèle général, et prévoir la suppression des historiques et des prompts à l'issue d'un délai déterminé.

Une validation humaine est-elle obligatoire ?

Le RGPD et le règlement sur l'IA n'imposent pas une validation humaine identique pour tout usage, mais elle est fortement recommandée dès que l'IA contribue à un livrable remis au client, et elle devient déterminante pour les usages à risque élevé, comme les analyses juridiques, médicales ou financières.

Comment l'article 50 du règlement IA s'applique-t-il aux contrats de prestation ?

Depuis le 2 août 2026, l'article 50 du règlement européen sur l'IA impose que les systèmes conversationnels signalent leur nature artificielle et que certains contenus générés soient rendus détectables pour le public. Le contrat de prestation doit répartir entre les parties la charge concrète de ces obligations, selon qu'elles sont fournisseur ou déployeur du système au sens du règlement.

Faut-il conclure un DPA en complément de la clause IA ?

Oui, dès lors que le prestataire traite des données personnelles du client pour son compte par l'intermédiaire de l'outil d'IA. La clause IA encadre l'usage du système lui-même, tandis que le DPA, prévu par l'article 28 du RGPD, encadre spécifiquement la relation de sous-traitance de données personnelles.

Conclusion

Une clause IA n'est utile que si elle traduit l'usage réel de l'outil, le niveau de risque du système et les rôles effectivement exercés par les parties, plutôt qu'un texte générique copié d'un contrat à l'autre. L'entrée en application de l'article 50 du règlement européen sur l'IA le 2 août 2026 rend cette exigence plus concrète encore : la répartition des obligations de transparence entre prestataire et client devient un point de négociation à part entière, et non un simple ajout de conformité. Cette rigueur rejoint celle attendue pour le DPA exigé par l'article 28 du RGPD et pour les clauses contractuelles types encadrant les transferts hors Union européenne, deux instruments avec lesquels la clause IA doit fréquemment être articulée. Nos articles sur le DPA et les clauses indispensables du contrat de sous-traitance RGPD et sur le transfert de données hors UE avec les SCC 2021 permettent d'approfondir ces deux volets complémentaires.

Article rédigé sur la base de l'état du droit et des textes officiels disponibles à la date de publication.

‍