Vos contrats avec vos fournisseurs IA sont-ils conformes ? Ce que le DPA doit contenir
L'absence d'accord de traitement des données avec un éditeur d'IA place une entreprise en violation immédiate du RGPD. Un risque de gouvernance rarement vérifié, contrairement à l'usage de l'outil lui-même.
Un employé qui transmet des données personnelles à un outil d'intelligence artificielle, sans accord de traitement des données signé entre son entreprise et l'éditeur de cet outil, place son employeur en violation immédiate du RGPD. Ce risque, connu en théorie de la plupart des dirigeants, reste pourtant rarement vérifié dans la pratique, alors qu'il constitue l'un des points de conformité les plus simples à corriger dès qu'il est identifié.
Le Data Processing Agreement, ou accord de traitement des données, encadre contractuellement la façon dont un sous-traitant, en l'occurrence l'éditeur de l'outil d'IA, traite les données personnelles qui lui sont confiées. En l'absence de ce document, aucune garantie contractuelle n'encadre ce que l'éditeur fait réellement des données transmises, combien de temps il les conserve, avec qui il pourrait les partager, ou comment il les sécurise. Ce vide contractuel constitue, à lui seul, un manquement au RGPD, indépendamment de la qualité réelle des pratiques de l'éditeur.
Ce risque concerne en particulier les versions gratuites et grand public des outils d'IA, qui s'accompagnent presque jamais d'un accord de traitement des données formalisé et adapté à un usage professionnel. Plusieurs enquêtes menées en 2026 convergent sur un constat similaire, une majorité de salariés français utilisent des outils d'IA non validés par leur entreprise au moins une fois par semaine, souvent via des comptes personnels créés en dehors de tout cadre professionnel, et donc sans DPA associé à l'usage professionnel qui en est fait.
Un DPA suffisant pour couvrir ce risque n'a pas besoin d'être exhaustif au point de nécessiter un cabinet d'avocats spécialisé pour chaque outil utilisé, mais il doit couvrir un socle minimal identifiable. La nature et la finalité précise du traitement effectué par l'outil, la durée pendant laquelle les données transmises sont conservées, les garanties de sécurité appliquées par le fournisseur, et les conditions de suppression ou de restitution des données en cas de résiliation du contrat constituent les quatre éléments à vérifier systématiquement avant tout usage professionnel d'un outil d'IA impliquant des données personnelles.
Un abonnement professionnel payant augmente sensiblement la probabilité qu'un DPA conforme existe, sans pour autant la garantir automatiquement. Certains éditeurs proposent des abonnements payants sans pour autant fournir un DPA explicite ou suffisamment détaillé, ce qui signifie qu'une entreprise ne peut pas se contenter de présumer la conformité du seul fait de payer pour un service, elle doit vérifier explicitement l'existence et le contenu du document correspondant.
La démarche la plus efficace pour une PME consiste à dresser d'abord un inventaire complet des outils d'IA réellement utilisés dans l'organisation, y compris ceux adoptés spontanément par les équipes en dehors de toute validation officielle, qui échappent le plus souvent à toute vérification contractuelle. Cet inventaire révèle presque systématiquement des usages inconnus de la direction, chacun représentant un risque de conformité potentiel tant qu'il n'a pas été vérifié individuellement, outil par outil.
Ce risque reste largement invisible tant qu'aucun incident ou contrôle ne le révèle concrètement, ce qui explique pourquoi il figure rarement en tête des priorités spontanées d'une PME. Mais son absence de visibilité immédiate ne réduit en rien son exposition réelle en cas de litige avec un client, un candidat, ou un contrôle mené par la CNIL, dont l'intelligence artificielle et le traitement des données personnelles comptent désormais parmi les axes de vigilance prioritaires.
C'est ce que l'étape de cadrage doit inclure systématiquement, une revue de l'existence et du contenu des DPA pour chaque outil IA utilisé dans l'entreprise, qu'il ait été officiellement validé par la direction ou adopté spontanément par les équipes sans validation formelle. La conformité des contrats fournisseurs n'est pas le sujet le plus visible de la gouvernance IA, c'est pourtant souvent celui qui expose le plus directement une entreprise qui n'y a jamais prêté attention. Si vous souhaitez en parler, contactez-moi.
Questions fréquentes
Qu'est-ce qu'un DPA et pourquoi est-il indispensable avec un fournisseur d'IA ?
Un Data Processing Agreement est un accord contractuel qui encadre le traitement des données personnelles par un sous-traitant. Sans ce document signé avec l'éditeur d'un outil d'IA, l'entreprise utilisatrice se trouve en violation immédiate du RGPD dès qu'elle y transmet des données personnelles.
Une PME qui utilise la version gratuite d'un outil d'IA dispose-t-elle généralement d'un DPA ?
Rarement. Les versions gratuites grand public d'outils d'IA ne s'accompagnent presque jamais d'un accord de traitement des données formalisé, ce qui explique pourquoi l'usage de comptes personnels gratuits en contexte professionnel constitue un risque de conformité systématique.
Quelle est l'ampleur du phénomène des comptes personnels utilisés en contexte professionnel ?
Significative. Plusieurs enquêtes menées en 2026 indiquent qu'une majorité de salariés français utilisent des outils d'IA non validés par leur entreprise au moins une fois par semaine, souvent via des comptes personnels sans accord de traitement des données associé.
Que doit contenir un DPA pour être considéré comme suffisant ?
Au minimum, la nature et la finalité du traitement, la durée de conservation des données, les garanties de sécurité appliquées par le fournisseur, et les conditions de suppression ou de restitution des données en fin de contrat.
Un abonnement professionnel payant garantit-il automatiquement l'existence d'un DPA conforme ?
Pas automatiquement, mais c'est nettement plus probable qu'avec une version gratuite. Il reste indispensable de vérifier explicitement l'existence et le contenu du document plutôt que de présumer sa conformité du seul fait de payer un abonnement.
Comment une PME identifie-t-elle les outils IA utilisés sans DPA dans son organisation ?
En dressant l'inventaire de tous les outils IA utilisés, y compris ceux adoptés spontanément par les équipes en dehors de toute validation officielle, avant de vérifier, outil par outil, l'existence d'un accord de traitement des données en bonne et due forme.
Que risque une entreprise qui n'a jamais vérifié ses DPA fournisseurs ?
Un risque de non-conformité RGPD qui s'ajoute aux autres obligations liées à l'IA, difficile à détecter en interne tant qu'aucun incident ou contrôle ne le révèle, mais qui expose l'entreprise en cas de litige ou de contrôle de la CNIL.
À quelle étape d'un projet IA faut-il vérifier les contrats fournisseurs ?
L'étape Cadrage doit inclure une revue systématique des DPA pour chaque outil IA utilisé dans l'entreprise, qu'il ait été officiellement validé ou adopté spontanément par les équipes.