TL;DR — L'essentiel en 30 secondes
- L'EU AI Act impose des obligations documentaires et de transparence aux fournisseurs de systèmes d'IA (Articles 12 à 14 du Règlement (UE) 2024/1689).
- Les PME acquéreuses (déployeurs au sens de l'Art. 3) doivent répercuter ces obligations dans leurs contrats d'achat.
- Les sanctions atteignent 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel (Art. 99 AI Act).
- La CNIL recommande de cartographier les traitements et d'auditer les fournisseurs IA avant tout déploiement.
- La norme ISO/IEC 42001:2023 fournit un cadre de gouvernance contractuelle aligné sur l'AI Act.
- Six clauses-clés sont à intégrer : conformité, documentation, responsabilité, données, audit, réversibilité.
1. Introduction : pourquoi le juriste interne devient l'arbitre des achats IA
Les PME françaises intègrent l'IA dans leurs processus à un rythme inédit : RH, marketing, support client, comptabilité. Chaque outil acheté engage la responsabilité de l'entreprise utilisatrice — désignée « déployeur » par l'Article 3 du Règlement (UE) 2024/1689.
Le juriste interne se retrouve en première ligne. Il doit traduire les obligations de l'AI Act en clauses contractuelles opposables. Sans ces clauses, la PME hérite des défaillances de son fournisseur, sans recours.
L'enjeu n'est pas théorique. Une PME qui déploie un système d'IA à haut risque sans documentation conforme s'expose à des sanctions administratives et à l'arrêt de son service. Le contrat d'achat est le seul levier juridique pour transférer la charge probatoire vers le fournisseur.
Trois risques structurent la négociation :
- Risque réglementaire : sanctions de l'autorité de surveillance (en France, la CNIL pour le volet données et la future autorité désignée pour l'AI Act).
- Risque financier : amendes de l'Art. 99 AI Act, cumulables avec les amendes RGPD.
- Risque réputationnel : incidents publics, perte de confiance des clients et partenaires.
Ce guide détaille les clauses contractuelles indispensables, leur formulation, et la méthode d'audit fournisseur recommandée. Pour une vue d'ensemble du régime applicable, consultez notre guide pillar AI Act pour PME françaises.
2. Cadre juridique : ce que l'AI Act exige du fournisseur
L'EU AI Act répartit les obligations entre fournisseurs (providers) et déployeurs (deployers). Le juriste interne doit comprendre cette répartition pour rédiger des clauses qui ne demandent ni trop, ni trop peu.
2.1 Obligations du fournisseur pour les systèmes à haut risque
L'Article 16 du Règlement (UE) 2024/1689 énumère les obligations principales du fournisseur :
- Établir un système de gestion de la qualité (Art. 17).
- Tenir la documentation technique (Art. 11 et Annexe IV).
- Conserver les journaux générés automatiquement par le système (Art. 12).
- Garantir la transparence et l'information aux déployeurs (Art. 13).
- Permettre un contrôle humain effectif (Art. 14).
- Atteindre un niveau approprié d'exactitude, de robustesse et de cybersécurité (Art. 15).
2.2 Obligations du déployeur (la PME acheteuse)
L'Article 26 impose au déployeur de :
- Utiliser le système conformément à la notice d'instruction.
- Confier le contrôle humain à des personnes compétentes.
- Surveiller le fonctionnement et alerter le fournisseur en cas d'incident.
- Conserver les journaux pendant au moins six mois.
- Réaliser une analyse d'impact sur les droits fondamentaux (FRIA) dans les cas prévus à l'Art. 27.
2.3 Tableau de répartition contractuelle
| Obligation AI Act | Fournisseur | Déployeur | À transférer par contrat |
|---|---|---|---|
| Documentation technique (Art. 11) | Oui | Non | Engagement de fourniture + maintien à jour |
| Journaux automatiques (Art. 12) | Oui (conception) | Oui (conservation) | Accès du déployeur aux logs |
| Information et instructions (Art. 13) | Oui | — | Notice complète en français |
| Contrôle humain (Art. 14) | Conception | Mise en œuvre | Description des points d'arrêt |
| Marquage CE et déclaration UE (Art. 47-48) | Oui | — | Engagement de fourniture des preuves |
| Notification d'incident grave (Art. 73) | Oui | Oui (information du fournisseur) | Délais et canaux contractuels |
| Coopération avec les autorités (Art. 21) | Oui | Oui | Clause d'assistance mutuelle |
Pour le détail du régime de sanctions, consultez notre dossier sanctions et amendes AI Act pour PME.
3. Les six clauses contractuelles essentielles
Le contrat d'achat d'un système d'IA doit comporter au minimum six clauses-clés. Leur absence rend le déployeur juridiquement vulnérable.
3.1 Clause de conformité réglementaire
Le fournisseur garantit que le système respecte le Règlement (UE) 2024/1689 à la date de livraison et pendant toute la durée du contrat. Cette garantie inclut le marquage CE pour les systèmes à haut risque, la déclaration UE de conformité, et la mise à jour de la documentation technique.
3.2 Clause de documentation technique
Le fournisseur s'engage à remettre la documentation prévue à l'Annexe IV de l'AI Act : description générale, éléments du système, processus de développement, contrôle humain, gestion des risques, performance, cybersécurité. Cette documentation doit être livrée en français ou anglais et mise à jour à chaque évolution majeure.
3.3 Clause de responsabilité et indemnisation
Le fournisseur indemnise le déployeur en cas de sanction administrative résultant d'un défaut de conformité du système. Le plafond d'indemnisation doit être négocié à hauteur réelle du risque encouru — souvent un multiple du prix annuel du contrat.
3.4 Clause sur les données
Le fournisseur précise les données utilisées pour l'entraînement, les données traitées en production, et les modalités de conservation. Il s'interdit toute réutilisation des données du déployeur pour entraîner d'autres modèles, sauf accord exprès.
3.5 Clause d'audit
Le déployeur dispose d'un droit d'audit annuel, sur site ou documentaire, portant sur la conformité AI Act et RGPD. Ce droit s'étend aux sous-traitants critiques du fournisseur (cloud, infrastructure GPU).
3.6 Clause de réversibilité et de portabilité
En fin de contrat, le fournisseur restitue les données et configurations du déployeur dans un format exploitable. Il maintient un service de transition pendant une période minimale (souvent 6 à 12 mois) pour éviter toute rupture opérationnelle.
Besoin de clauses prêtes à négocier ?
regulia publie un pack documentaire avec 14 modèles de clauses contractuelles fournisseurs IA, adaptées aux PME françaises et alignés sur l'AI Act et le RGPD.
Demander le pack contrats IA4. Exemples de clauses pratiques rédigées
Les modèles ci-dessous sont des exemples pédagogiques. Ils doivent être adaptés par le juriste interne ou un conseil externe au contexte de chaque opération.
4.1 Clause de conformité AI Act
« Le Fournisseur garantit que le Système livré est conforme au Règlement (UE) 2024/1689 (« AI Act ») à la date d'entrée en vigueur des obligations applicables. Le Fournisseur fournit, sur demande du Client, la déclaration UE de conformité (Art. 47) et la documentation technique (Annexe IV) en langue française. Le Fournisseur s'engage à notifier le Client de toute modification substantielle au sens de l'Art. 3, §23, dans un délai de quinze (15) jours ouvrés. »
4.2 Clause de responsabilité limitée
« En cas de manquement du Fournisseur à ses obligations de conformité au titre de l'AI Act, le Fournisseur indemnise le Client de toute sanction administrative prononcée par l'autorité de surveillance compétente, ainsi que des frais de défense raisonnables, dans la limite annuelle de [X] fois le montant des redevances versées au cours des douze (12) mois précédant l'incident. »
4.3 Clause de documentation technique
« Le Fournisseur remet au Client, à la date de mise en service, la documentation technique mentionnée à l'Article 11 et à l'Annexe IV de l'AI Act. Cette documentation comprend a minima : la description générale du Système, les caractéristiques de performance, les mesures de gestion des risques, les spécifications des données d'entraînement et les modalités de contrôle humain. Toute mise à jour majeure est transmise dans un délai de trente (30) jours. »
4.4 Clause de droits d'accès et de portabilité des données
« Pendant la durée du contrat et pour une période de six (6) mois suivant sa cessation, le Fournisseur garantit au Client un accès aux journaux automatiques générés par le Système (Art. 12 AI Act) ainsi qu'aux données du Client. À la fin du contrat, le Fournisseur restitue l'ensemble des données dans un format ouvert et documenté, puis procède à leur suppression sécurisée dans un délai de trente (30) jours, certificat à l'appui. »
5. Audit des fournisseurs d'IA : la grille d'évaluation
Le juriste interne doit organiser un audit préalable du fournisseur avant signature. Cet audit conditionne la solidité des clauses négociées.
5.1 Vérifications documentaires
| Élément à vérifier | Source attendue | Criticité |
|---|---|---|
| Déclaration UE de conformité | Document signé du fournisseur | Haute (haut risque) |
| Marquage CE | Notice produit | Haute (haut risque) |
| Documentation technique (Annexe IV) | Remise sur demande | Haute |
| Certification ISO/IEC 42001:2023 | Certificat organisme accrédité | Moyenne |
| Certification ISO/IEC 27001:2022 | Certificat organisme accrédité | Haute |
| Politique de gestion des incidents | Procédure interne | Moyenne |
| Registre des sous-traitants | Liste actualisée | Haute |
5.2 Évaluation des processus internes
L'audit doit couvrir le système de gestion de la qualité du fournisseur (Art. 17 AI Act) : politique de conformité, gestion des données, gestion des risques, contrôle humain, surveillance après commercialisation. Le juriste vérifie l'existence de procédures documentées, pas seulement de déclarations marketing.
5.3 Suivi des évolutions réglementaires
L'AI Act entre en application par phases jusqu'en août 2027. Le contrat doit prévoir un mécanisme de mise à jour automatique des engagements de conformité à chaque nouvelle obligation activée. La référence au glossaire des termes AI Act permet d'éviter les ambiguïtés sur les notions clés (fournisseur, déployeur, modification substantielle).
6. Gestion contractuelle des risques IA
La gestion des risques ne s'arrête pas à la signature. Elle se déroule sur tout le cycle de vie du contrat.
6.1 Identification des risques spécifiques aux PME
Les risques contractuels les plus fréquents pour les PME utilisatrices d'IA sont :
- Dépendance technique excessive à un fournisseur unique (vendor lock-in).
- Indisponibilité prolongée du service sans pénalités contractuelles.
- Évolution non maîtrisée du modèle (re-training silencieux par le fournisseur).
- Transfert de données hors UE non documenté (Art. 44 et suivants du RGPD).
- Absence de plan de continuité en cas de défaillance du fournisseur.
6.2 Plan de mitigation contractuelle
| Risque | Mécanisme contractuel de mitigation |
|---|---|
| Vendor lock-in | Clause de portabilité + format ouvert obligatoire |
| Indisponibilité | SLA avec pénalités progressives + résiliation pour cause |
| Re-training silencieux | Notification préalable + droit de refus pour 30 jours |
| Transferts hors UE | Clauses contractuelles types CCT + cartographie annuelle |
| Défaillance fournisseur | Séquestre de code + plan de réversibilité documenté |
6.3 Suivi régulier
Le juriste interne doit instaurer une revue contractuelle annuelle : vérification de la documentation, examen des incidents déclarés, mise à jour des annexes techniques, contrôle des évolutions réglementaires. Cette revue alimente le système de gouvernance ISO/IEC 42001:2023 de l'entreprise.
7. Rôles du juriste interne dans le cycle d'achat IA
Le juriste interne intervient à chaque étape, pas seulement à la signature.
7.1 Phase de sourcing
Le juriste rédige le cahier des charges juridique transmis aux candidats fournisseurs. Ce cahier précise les obligations AI Act et RGPD, le périmètre des données concernées, et les engagements contractuels attendus. Il filtre les fournisseurs incapables de répondre.
7.2 Phase de négociation
Le juriste pilote la négociation des clauses sensibles : responsabilité, propriété intellectuelle, données, audit, réversibilité. Il dialogue avec la DSI, le DPO, le RSSI et la direction métier pour calibrer les exigences sans bloquer l'achat.
7.3 Phase d'exécution
Le juriste suit la conformité dans la durée. Il alerte la direction en cas d'évolution réglementaire impactant le contrat, organise les audits, et instruit les incidents notifiés par le fournisseur.
7.4 Phase de formation interne
Le juriste forme les acheteurs et les chefs de projet métier aux exigences AI Act. Une formation courte (deux heures) suffit à éviter les achats « sauvages » de SaaS IA via carte bancaire — pratique encore très répandue en PME.
8. Outils et ressources opérationnelles
Plusieurs ressources publiques et normes aident le juriste interne à structurer sa démarche.
8.1 Ressources institutionnelles
- CNIL : 13 fiches pratiques sur l'IA, dont les recommandations sur les achats responsables.
- AI Office EU : service desk officiel pour toute question d'interprétation du Règlement.
- Commission EU : guidelines sectorielles publiées au fil de l'application des obligations.
- Cigref : guide AI Act janvier 2025, orienté grands comptes mais transposable.
- Numeum : guide AI Act mars 2025, orienté éditeurs et intégrateurs français.
8.2 Normes ISO de référence
- ISO/IEC 42001:2023 : système de management de l'IA, cœur de la gouvernance contractuelle.
- ISO/IEC 23894:2023 : gestion des risques IA, alimente la matrice de risques fournisseur.
- ISO/IEC 27001:2022 : sécurité de l'information, prérequis pour tout fournisseur sérieux.
8.3 Outils internes à construire
Le juriste interne devrait disposer en propre :
- D'une bibliothèque de clauses-types maintenue à jour.
- D'une grille d'audit fournisseur standardisée.
- D'un registre des contrats IA par niveau de risque.
- D'un calendrier d'échéances AI Act (août 2025, août 2026, août 2027).
Pour la liste consolidée des références utilisables comme preuves documentaires, voyez notre page sources réglementaires.
Démarrer la mise en conformité contractuelle
regulia accompagne les PME et leurs juristes internes avec un pack documentaire complet : clauses, grilles d'audit, registre des contrats IA, calendrier d'échéances AI Act.
Demander une démonstrationFAQ
Quelles sont les conséquences d'une non-conformité des clauses contractuelles ?
Les PME encourent des sanctions financières pouvant atteindre 35 millions d'euros ou 7 % de leur chiffre d'affaires mondial annuel (Art. 99 du Règlement (UE) 2024/1689), selon le montant le plus élevé. S'y ajoutent les amendes RGPD prononcées par la CNIL et un risque réputationnel difficile à chiffrer. Le détail des seuils figure dans notre dossier sanctions AI Act pour PME.
Quelles clauses doivent impérativement être incluses ?
Six clauses sont incontournables : conformité réglementaire (engagement AI Act + marquage CE), documentation technique (Annexe IV), responsabilité et indemnisation, traitement et réutilisation des données, droit d'audit annuel, réversibilité et portabilité. La CNIL recommande également d'expliciter la traçabilité des traitements et les droits des personnes concernées.
Comment vérifier la conformité d'un fournisseur d'IA ?
Demandez la déclaration UE de conformité, le marquage CE pour les systèmes à haut risque, la documentation technique (Annexe IV), et les certifications ISO/IEC 42001:2023 et 27001:2022. Complétez par un audit documentaire ou sur site, et par un examen des sous-traitants critiques (notamment hébergement cloud et infrastructure GPU). Le service desk AI Act européen permet de clarifier les exigences techniques en cas de doute.
Quel est le rôle du juriste interne dans ce processus ?
Le juriste interne rédige le cahier des charges juridique, négocie les clauses sensibles, suit la conformité dans la durée, instruit les incidents, et forme les acheteurs aux obligations AI Act et RGPD. Il coordonne DSI, DPO, RSSI et direction métier pour aligner exigences réglementaires et besoins opérationnels.
Quelles ressources peuvent aider les PME ?
Les PME peuvent s'appuyer sur les 13 fiches pratiques de la CNIL, le guide Cigref de janvier 2025, le guide Numeum de mars 2025, les normes ISO/IEC 42001 et 27001, et le service desk de l'AI Office EU. Les modèles de clauses contractuelles publiés par regulia couvrent les principales situations d'achat de systèmes d'IA.
Sources officielles
- Règlement (UE) 2024/1689 sur l'intelligence artificielle — EUR-Lex
- Texte consolidé de l'AI Act — artificialintelligenceact.eu
- Service desk AI Act — Commission européenne
- Fiches pratiques IA — CNIL
- ISO/IEC 42001:2023 — Système de management de l'intelligence artificielle
- ISO/IEC 23894:2023 — Gestion des risques liés à l'IA
- ISO/IEC 27001:2022 — Sécurité de l'information
Disclaimer — Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.