Clauses contractuelles AI Act fournisseur : modèles à insérer pour les PME

L'essentiel en 30 secondes

• Une PME qui utilise un système d'IA acheté à un fournisseur est déployeur : elle répond de ses propres obligations (Art. 26) et dépend du fournisseur pour la documentation et les instructions d'utilisation.
• Quatre clauses structurent le contrat : conformité, documentation et transparence, responsabilité et garantie, mise à jour et notification des incidents.
• Les obligations des systèmes à haut risque de l'Annexe III s'appliquent à partir du 2 décembre 2027 (règlement (UE) 2026/1744, « Omnibus IA ») ; la transparence de l'Art. 50 s'applique depuis le 2 août 2026.
• Amendes (Art. 99) : 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les obligations des fournisseurs et des déployeurs.
• Les modèles de clauses ci-dessous sont des exemples indicatifs : leur adaptation par un conseil juridique reste nécessaire.

Un contrat avec un fournisseur d'IA doit comporter au minimum quatre clauses : conformité à l'AI Act (avec la catégorie de risque du système), documentation et transparence, responsabilité et garantie, mise à jour et notification des incidents. Elles permettent au déployeur de remplir ses propres obligations (Art. 26) avec les informations que seul le fournisseur détient. Les clauses doivent viser les bonnes dates : 2 décembre 2027 pour les systèmes à haut risque de l'Annexe III, 2 août 2026 pour la transparence de l'Art. 50.

1. Pourquoi les clauses contractuelles AI Act sont cruciales pour les PME

L'AI Act ne s'applique pas uniquement aux fournisseurs. L'Article 26 du Règlement (UE) 2024/1689 impose aux déployeurs — c'est-à-dire les entreprises qui utilisent un système d'IA dans le cadre de leur activité professionnelle — des obligations spécifiques. Une PME française qui intègre un outil de scoring RH, un chatbot client ou un module de détection d'anomalies devient déployeur au sens du règlement.

Le contrat avec le fournisseur d'IA constitue la première ligne de défense juridique. Sans clauses explicites, la PME se retrouve à supporter des obligations qu'elle ne peut pas remplir seule. Elle ne dispose pas de la documentation technique du fournisseur, ne maîtrise pas le modèle et ne peut pas, seule, démontrer la conformité du système.

Les enjeux contractuels couvrent quatre risques concrets :

Risque	Impact pour la PME	Clause contractuelle de mitigation
Sanction administrative AI Act	15 M€ ou 3 % du CA mondial pour les obligations des fournisseurs et des déployeurs, 35 M€ ou 7 % pour les pratiques interdites (Art. 99)	Clause de conformité + garantie
Sanction RGPD croisée	Jusqu'à 20 M€ ou 4 % du CA mondial (Art. 83 RGPD)	Clause de transparence et DPA
Dommage réputationnel	Perte de clients, médias	Clause de responsabilité étendue
Coût de remédiation	Audit, retrait, refonte	Clause de remboursement

L'application du règlement aux PME est détaillée dans le guide AI Act PME France.

2. Obligations légales des fournisseurs d'IA

Les obligations des fournisseurs varient selon la classification du système. L'AI Act distingue quatre catégories de risque : inacceptable (interdit, Art. 5), élevé (Annexe III, Art. 6), limité (transparence, Art. 50) et minimal.

Pour les systèmes à haut risque, les Articles 9 à 15 du Règlement (UE) 2024/1689 imposent au fournisseur :

1. La mise en place d'un système de gestion des risques (Art. 9).
2. Une gouvernance des données d'entraînement (Art. 10).
3. La rédaction d'une documentation technique conforme à l'Annexe IV (Art. 11).
4. La journalisation automatique des événements (Art. 12).
5. La transparence et fourniture d'instructions d'utilisation (Art. 13).
6. La supervision humaine (Art. 14).
7. La robustesse, l'exactitude et la cybersécurité (Art. 15).

Pour les modèles d'IA à usage général (GPAI), l'Article 53 ajoute des obligations spécifiques de documentation et de respect du droit d'auteur. Les modèles présentant un risque systémique sont régis par l'Article 55.

Catégorie de système	Référence AI Act	Obligation principale du fournisseur	Clause contractuelle recommandée
Haut risque	Art. 9-15	Documentation Annexe IV	Conformité + documentation
Usage général (GPAI)	Art. 53	Synthèse données entraînement	Transparence des données
Risque limité	Art. 50	Information de l'utilisateur	Marquage et identification
Risque systémique	Art. 55	Évaluation et notification incidents	Notification + audit

Sans contrat explicite, le déployeur n'a aucune visibilité opposable sur l'exécution de ces obligations. L'Article 25 sur les responsabilités dans la chaîne de valeur impose d'ailleurs un accord écrit entre le fournisseur d'un système à haut risque et les tiers qui lui fournissent des composants, outils ou services intégrés, et prévoit que le Bureau de l'IA peut recommander des clauses types volontaires.

Les dates d'application conditionnent la rédaction des clauses. Les pratiques interdites s'appliquent depuis le 2 février 2025, les obligations des modèles d'IA à usage général depuis le 2 août 2025 et la transparence de l'Art. 50 depuis le 2 août 2026. Les obligations des systèmes à haut risque de l'Annexe III s'appliquent à partir du 2 décembre 2027, et celles des systèmes intégrés à des produits réglementés (Annexe I) à partir du 2 août 2028, selon le règlement (UE) 2026/1744 (« Omnibus IA »). Le calendrier de l'AI Act récapitule ces dates. Une clause de conformité doit préciser quelles obligations le fournisseur garantit, et à quelle date.

3. Clé 1 : Clause de conformité AI Act

La clause de conformité est la pierre angulaire du contrat. Elle engage le fournisseur à respecter l'AI Act et à le démontrer.

Elle doit contenir trois éléments minimaux :

• L'identification de la catégorie de risque du système (Art. 6 ou Annexe III).
• L'engagement formel de conformité aux Articles 9 à 15 (pour les systèmes à haut risque).
• L'engagement de remettre la déclaration de conformité UE (Art. 47) et la preuve du marquage CE (Art. 48).

Modèle de clause de conformité

Article X — Conformité au Règlement (UE) 2024/1689

Le Fournisseur déclare et garantit que le Système d'IA fourni au titre du présent contrat est conforme au Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle.

Le Fournisseur identifie le Système comme relevant de la catégorie suivante : [□ haut risque – Annexe III / □ usage général / □ risque limité / □ risque minimal].

Pour les systèmes à haut risque, le Fournisseur s'engage à respecter les exigences des Articles 9 à 15 et à remettre au Déployeur, au plus tard à la date de livraison :

1. La déclaration de conformité UE (Art. 47) ;
2. La preuve du marquage CE (Art. 48) ;
3. La référence à l'enregistrement dans la base de données de l'UE (Art. 49 et 71).

Toute modification substantielle du Système entraînant une nouvelle évaluation de conformité fera l'objet d'une notification écrite au Déployeur au moins trente (30) jours avant sa mise en production.

4. Clé 2 : Clause de documentation et de transparence

L'Article 13 du Règlement (UE) 2024/1689 impose au fournisseur de remettre une notice d'utilisation détaillée. L'Article 11 et l'Annexe IV précisent le contenu de la documentation technique.

Le déployeur en a besoin pour deux raisons. D'abord, l'Article 26 lui impose d'utiliser le système conformément à la notice. Ensuite, en cas de contrôle, il doit pouvoir présenter ces documents aux autorités nationales compétentes.

Contenu minimal à exiger

Document	Référence AI Act	Format attendu	Délai de remise
Documentation technique	Art. 11 + Annexe IV	PDF structuré	À la livraison
Notice d'utilisation	Art. 13	Français	À la livraison
Journal des événements	Art. 12	API ou export	Continu
Description des données d'entraînement	Art. 10 et Annexe IV	Synthèse écrite	À la livraison
Évaluation de conformité	Art. 43	Certificat ou attestation	À la livraison

Modèle de clause de documentation

Article X — Documentation et transparence

Le Fournisseur remet au Déployeur, en langue française, l'ensemble des documents requis par les Articles 11, 12 et 13 du Règlement (UE) 2024/1689, à savoir :

1. La documentation technique conforme à l'Annexe IV ;
2. La notice d'utilisation décrivant les caractéristiques, capacités, limites de performance et mesures de supervision humaine ;
3. L'accès aux journaux générés automatiquement (Art. 12), pour une durée minimale de six (6) mois ;
4. Une synthèse des jeux de données d'entraînement, de validation et de test (Art. 10).

Le Fournisseur informe le Déployeur de toute évolution susceptible d'affecter la conformité dans un délai de trente (30) jours suivant la modification. Les documents sont mis à jour sans surcoût pendant toute la durée du contrat.

5. Clé 3 : Clause de responsabilité et de garantie

C'est la clause la plus négociée. Sans elle, le déployeur supporte seul les conséquences financières d'une non-conformité dont il n'est pas la cause technique.

L'AI Act n'établit pas directement un régime de responsabilité civile — celui-ci relève du droit national. Le contrat doit donc combler ce vide.

Trois mécanismes contractuels protègent le déployeur :

1. Garantie de conformité : le fournisseur garantit que le système respecte l'AI Act pendant toute la durée du contrat.
2. Indemnisation : le fournisseur s'engage à indemniser le déployeur des conséquences financières d'un manquement qui lui est imputable, dans la mesure permise par le droit applicable. La prise en charge d'une amende administrative est à faire valider par un conseil juridique.
3. Plafond et exclusions : le contrat précise les limites (par exemple le montant facturé ou un multiple à négocier).

Type de dommage	Origine	Qui supporte le coût sans clause ?	Qui supporte avec clause de responsabilité ?
Amende AI Act Art. 99	Défaut documentation fournisseur	Déployeur	Fournisseur (indemnisation, sous réserve du droit applicable)
Amende AI Act Art. 99	Mauvais usage par le déployeur	Déployeur	Déployeur
Réclamation client	Décision biaisée du système	Déployeur	Partagé selon faute
Audit de remédiation	Système non conforme à l'origine	Déployeur	Fournisseur

Modèle de clause de responsabilité

Article X — Garantie et responsabilité

Le Fournisseur garantit la conformité du Système au Règlement (UE) 2024/1689 pendant toute la durée du contrat. À ce titre, il prend en charge :

1. Les coûts de mise en conformité du Système en cas de défaut imputable à sa conception, son entraînement ou son déploiement ;
2. Le remboursement intégral des redevances perçues si le Système est déclaré non conforme par une autorité compétente et ne peut être remis en conformité dans un délai de quatre-vingt-dix (90) jours ;
3. L'indemnisation du Déployeur, dans la mesure permise par le droit applicable, à hauteur des sanctions administratives infligées sur le fondement de l'Article 99 du Règlement, dans la limite de [montant ou multiple à négocier], lorsque ces sanctions résultent directement d'un manquement du Fournisseur.

Cette garantie ne couvre pas les manquements du Déployeur à ses obligations propres (Art. 26).

6. Clé 4 : Clause de mise à jour et de maintenance

Un système d'IA évolue. Le modèle est ré-entraîné, les données changent, les vulnérabilités apparaissent. L'Article 72 du Règlement (UE) 2024/1689 impose au fournisseur une surveillance après commercialisation. L'Article 73 l'oblige à notifier les incidents graves aux autorités de surveillance du marché dans des délais stricts.

La clause de mise à jour fixe les engagements opérationnels du fournisseur.

Points à formaliser

• Fréquence minimale des mises à jour de sécurité.
• Délai de notification en cas de modification substantielle (Art. 43, § 4).
• Procédure d'information du déployeur lors de la découverte d'un biais ou d'une faille.
• Maintien de la compatibilité avec la documentation remise.

Modèle de clause de mise à jour

Article X — Mise à jour, maintenance et surveillance

Le Fournisseur assure le maintien en conformité du Système pendant toute la durée du contrat. Il s'engage à :

1. Déployer les correctifs de sécurité et de robustesse dans un délai raisonnable et au plus tard trente (30) jours après identification d'une vulnérabilité ;
2. Notifier au Déployeur, par écrit, toute modification substantielle du Système au sens de l'Article 43, § 4, au moins trente (30) jours avant sa mise en production ;
3. Communiquer sans délai tout incident grave au sens de l'Article 3, point 49, et en tout état de cause dans le délai prévu par l'Article 73 ;
4. Mettre à jour la documentation technique et la notice d'utilisation à chaque évolution significative.

7. Modèles de clauses contractuelles — synthèse

Le tableau suivant récapitule les quatre modèles de clauses présentés ci-dessus et leur priorité selon la catégorie de risque du système acquis.

Clause	Système haut risque	Système GPAI	Système risque limité
Conformité (Art. 9-15)	Indispensable	Recommandé	Optionnel
Documentation (Art. 11-13)	Indispensable	Indispensable	Recommandé
Responsabilité et garantie	Indispensable	Indispensable	Recommandé
Mise à jour et maintenance	Indispensable	Indispensable	Recommandé

Adaptation sectorielle

Les modèles doivent être ajustés selon le secteur. Quelques pistes :

• Santé : ajouter la conformité au Règlement (UE) 2017/745 sur les dispositifs médicaux lorsque le système est intégré à un dispositif médical.
• Banque et assurance : tenir compte des règles de gouvernance interne du droit financier (Art. 17(4), 26(5) et 26(6) de l'AI Act) et de l'Article 22 du RGPD pour la décision automatisée.
• RH : renforcer la clause sur la non-discrimination (Annexe III, point 4) et la transparence vis-à-vis des candidats.
• Service public : les déployeurs qui sont des autorités publiques doivent enregistrer leur utilisation d'un système à haut risque dans la base de données de l'UE (Art. 49(3)).

8. Conseils pour négocier avec les fournisseurs

La négociation contractuelle AI Act suit une logique en quatre étapes.

Étape 1 — Préparer avant la signature

Identifiez la catégorie de risque du système avant de demander un devis. Cela conditionne la lourdeur des clauses à imposer. Référez-vous à l'Annexe III du Règlement (UE) 2024/1689 pour les systèmes à haut risque. La différence entre déployeur et fournisseur détermine qui doit porter chaque clause, et un questionnaire d'évaluation des fournisseurs d'IA structure la demande de preuves.

Étape 2 — Demander des références et preuves

Exigez du fournisseur :

• La déclaration de conformité UE (Art. 47) si elle existe déjà ;
• Une certification ISO/IEC 42001:2023 ou un audit équivalent : elle renseigne sur la gouvernance du fournisseur, mais ne vaut pas présomption de conformité à l'AI Act ;
• Des références clients ayant déjà déployé le système dans un cadre AI Act.

Étape 3 — Inclure des mécanismes de contrôle

Le contrat doit prévoir :

• Un droit d'audit annuel, exercé directement ou par un tiers ;
• L'accès aux journaux (Art. 12) sur demande motivée ;
• Une clause de réversibilité pour récupérer les données et la documentation en fin de contrat.

Étape 4 — Faire valider par un conseil juridique

Les modèles présentés ici sont des exemples indicatifs. Avant signature, faites valider la rédaction par votre DPO et, pour les systèmes à haut risque, par un avocat spécialisé en droit du numérique.

Les plafonds et le calcul d'une amende pour une PME sont détaillés dans le guide des sanctions AI Act et amendes pour PME. Côté déployeur, les documents internes à produire (charte, registre, évaluations) figurent dans la liste des documents de conformité AI Act.

FAQ — Clauses contractuelles AI Act

Quelles sanctions risque-t-on si le fournisseur ne respecte pas l'AI Act ?

L'Article 99 du Règlement (UE) 2024/1689 fixe trois plafonds. Pour les pratiques interdites de l'Art. 5, l'amende peut atteindre 35 M€ ou 7 % du chiffre d'affaires mondial. Pour les obligations des opérateurs, fournisseurs et déployeurs, transparence de l'Art. 50 comprise, le plafond est de 15 M€ ou 3 %. Pour les informations inexactes, incomplètes ou trompeuses, il est de 7,5 M€ ou 1 %. Chaque opérateur répond de ses propres obligations : le déployeur ne peut pas se décharger sur son fournisseur des manquements qui lui sont propres (Art. 26). Une clause de responsabilité peut organiser un recours contre le fournisseur, dans la mesure permise par le droit applicable.

Dois-je adapter les clauses selon mon secteur d'activité ?

Oui. Les obligations sectorielles s'additionnent à celles de l'AI Act. Un projet dans la santé doit articuler ses clauses avec le Règlement (UE) 2017/745 sur les dispositifs médicaux. Un projet dans la banque ou l'assurance doit tenir compte des règles de gouvernance interne du droit financier. Un projet de recrutement ou de gestion du personnel doit renforcer les engagements de non-discrimination liés à l'Annexe III, point 4.

Quelle documentation doit fournir un fournisseur d'IA conforme ?

Pour un système à haut risque, le fournisseur doit remettre : la documentation technique conforme à l'Annexe IV du Règlement (UE) 2024/1689, la notice d'utilisation prévue à l'Article 13, l'accès aux journaux générés automatiquement (Art. 12), et la déclaration de conformité UE (Art. 47). Pour un modèle GPAI, l'Article 53 impose en plus une synthèse suffisamment détaillée des contenus utilisés à l'entraînement. Ces documents doivent être rédigés dans une langue que les déployeurs et les autorités comprennent facilement : il est prudent de prévoir le français au contrat.

Puis-je utiliser des modèles de clauses génériques ?

Les modèles génériques servent de point de départ, pas de solution finale. Chaque contrat doit refléter la catégorie de risque du système, le secteur du déployeur, et la chaîne de valeur impliquée (fournisseur, distributeur, importateur au sens de l'Art. 3). Une PME qui copie une clause sans l'adapter prend un double risque : inadéquation juridique, et perte de protection face au régulateur.

Où trouver des textes de référence pour rédiger ces clauses ?

L'Article 25(4) prévoit que le Bureau de l'IA peut élaborer et recommander des clauses types volontaires pour les contrats entre fournisseurs de systèmes à haut risque et fournisseurs de composants. Le service d'assistance AI Act de la Commission européenne répond aux questions générales. La CNIL propose des fiches pratiques sur l'IA et le RGPD. Le portail artificialintelligenceact.eu présente le texte du règlement article par article.

Sources officielles

• Service desk européen AI Act — Commission européenne, FAQ officielle.
• Règlement (UE) 2024/1689 sur EUR-Lex — version officielle de l'AI Act.
• Règlement (UE) 2026/1744 (« Omnibus IA ») sur EUR-Lex — modifications du calendrier.
• CNIL — Intelligence artificielle — fiches pratiques RGPD et IA.
• artificialintelligenceact.eu — texte navigable du règlement.
• ISO/IEC 42001:2023 — système de management de l'intelligence artificielle.
• ISO/IEC 23894:2023 — gestion des risques liés à l'IA.
• Voir aussi la page Sources et le guide AI Act PME France.

---

Disclaimer juridique

Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.