Vos contrats avec vos fournisseurs IA sont-ils conformes ? Ce que le DPA doit contenir

Un employé qui transmet des données personnelles à un outil d'intelligence artificielle, sans accord de traitement des données signé entre son entreprise et l'éditeur de cet outil, place son employeur en violation immédiate du RGPD. Ce risque, connu en théorie de la plupart des dirigeants, reste pourtant rarement vérifié dans la pratique, alors qu'il constitue l'un des points de conformité les plus simples à corriger dès qu'il est identifié.

Le Data Processing Agreement, ou accord de traitement des données, encadre contractuellement la façon dont un sous-traitant, en l'occurrence l'éditeur de l'outil d'IA, traite les données personnelles qui lui sont confiées. En l'absence de ce document, aucune garantie contractuelle n'encadre ce que l'éditeur fait réellement des données transmises, combien de temps il les conserve, avec qui il pourrait les partager, ou comment il les sécurise. Ce vide contractuel constitue, à lui seul, un manquement au RGPD, indépendamment de la qualité réelle des pratiques de l'éditeur.

Ce risque concerne en particulier les versions gratuites et grand public des outils d'IA, qui s'accompagnent presque jamais d'un accord de traitement des données formalisé et adapté à un usage professionnel. Plusieurs enquêtes menées en 2026 convergent sur un constat similaire, une majorité de salariés français utilisent des outils d'IA non validés par leur entreprise au moins une fois par semaine, souvent via des comptes personnels créés en dehors de tout cadre professionnel, et donc sans DPA associé à l'usage professionnel qui en est fait.

Un DPA suffisant pour couvrir ce risque n'a pas besoin d'être exhaustif au point de nécessiter un cabinet d'avocats spécialisé pour chaque outil utilisé, mais il doit couvrir un socle minimal identifiable. La nature et la finalité précise du traitement effectué par l'outil, la durée pendant laquelle les données transmises sont conservées, les garanties de sécurité appliquées par le fournisseur, et les conditions de suppression ou de restitution des données en cas de résiliation du contrat constituent les quatre éléments à vérifier systématiquement avant tout usage professionnel d'un outil d'IA impliquant des données personnelles.

Un abonnement professionnel payant augmente sensiblement la probabilité qu'un DPA conforme existe, sans pour autant la garantir automatiquement. Certains éditeurs proposent des abonnements payants sans pour autant fournir un DPA explicite ou suffisamment détaillé, ce qui signifie qu'une entreprise ne peut pas se contenter de présumer la conformité du seul fait de payer pour un service, elle doit vérifier explicitement l'existence et le contenu du document correspondant.

La démarche la plus efficace pour une PME consiste à dresser d'abord un inventaire complet des outils d'IA réellement utilisés dans l'organisation, y compris ceux adoptés spontanément par les équipes en dehors de toute validation officielle, qui échappent le plus souvent à toute vérification contractuelle. Cet inventaire révèle presque systématiquement des usages inconnus de la direction, chacun représentant un risque de conformité potentiel tant qu'il n'a pas été vérifié individuellement, outil par outil.

Ce risque reste largement invisible tant qu'aucun incident ou contrôle ne le révèle concrètement, ce qui explique pourquoi il figure rarement en tête des priorités spontanées d'une PME. Mais son absence de visibilité immédiate ne réduit en rien son exposition réelle en cas de litige avec un client, un candidat, ou un contrôle mené par la CNIL, dont l'intelligence artificielle et le traitement des données personnelles comptent désormais parmi les axes de vigilance prioritaires.

C'est ce que l'étape Cadrage de la méthode IMPACT doit inclure systématiquement, une revue de l'existence et du contenu des DPA pour chaque outil IA utilisé dans l'entreprise, qu'il ait été officiellement validé par la direction ou adopté spontanément par les équipes sans validation formelle. La conformité des contrats fournisseurs n'est pas le sujet le plus visible de la gouvernance IA, c'est pourtant souvent celui qui expose le plus directement une entreprise qui n'y a jamais prêté attention. Un diagnostic de 5 jours ouvrés vérifie la conformité de vos contrats fournisseurs IA.