Playbook 2 — Fournisseurs et achats
Gouverner l'IA que vous achetez — c'est-à-dire l'essentiel de ce qu'une PME utilise réellement
Vous êtes probablement un déployeur, pas un développeur
La plupart des problèmes de « gouvernance de l’IA » en PME sont en réalité des problèmes de gestion des fournisseurs. Vous ne formez pas de modèles — vous activez une fonction d’IA dans un CRM, utilisez ChatGPT ou Claude pour le contenu et le support, ou faites appel à un prestataire dont les outils incluent Copilot. Au titre de l’EU AI Act et du simple bon sens, vos obligations de déployeur sont plus légères que celles d’un développeur, mais elles ne sont pas nulles : vous devez toujours savoir ce que vous avez acheté, ce que l’outil fait de vos données, et ce qui se passe quand il se trompe.
Due diligence avant de signer — liste de contrôle
- Le fournisseur peut expliquer, en langage clair, ce que fait la fonction d’IA et quelles données elle utilise pour le faire.
- Le fournisseur nous a dit si nos données servent à entraîner leurs modèles (et nous avons décidé si c’était acceptable).
- Un accord de traitement des données (DPA) est en place si des données personnelles transitent par l’outil.
- Le fournisseur indique où les données sont stockées et traitées (l’UE/EEE compte pour le RGPD).
- Il existe un contournement humain — nous pouvons désactiver la fonction d’IA, ou passer outre une décision précise, sans perdre le reste du produit.
- Le fournisseur nous préviendra si le modèle ou la fonction change sensiblement (pas juste « nous mettons à jour de temps en temps »).
Clauses contractuelles à demander
- Responsabilité juridique : qui répond si la sortie de l’IA cause un dommage ou une perte — vous ou le fournisseur.
- Limites d’usage des données : vos données ne servent pas à entraîner des modèles pour d’autres clients sans opt-in explicite.
- Droits d’audit / de documentation : vous pouvez demander des preuves de la façon dont le système a été validé.
- Traçabilité : les journaux des entrées et des sorties sont récupérables si quelque chose se passe mal.
- Conditions de sortie : vous pouvez exporter vos données et cesser d’utiliser la fonction d’IA sans perdre le produit sous-jacent.
- Indemnisation en matière de PI : le fournisseur vous couvre si un contenu généré enfreint le droit d’auteur d’un tiers (essentiel si vous utilisez des outils génératifs pour le marketing — voir le playbook 7).
Signaux d’alerte — renoncer ou escalader
ARRÊTEZ-VOUS ET POSEZ PLUS DE QUESTIONS SI :
Le fournisseur ne peut pas ou ne veut pas expliquer comment l’IA prend ses décisions.
Aucun accord de traitement des données n’est disponible sur demande.
L’outil n’offre aucun moyen de relire, corriger ou contourner une sortie automatisée.
La réponse du commercial à « que deviennent nos données » est « ne vous inquiétez pas ».
Il est utilisé pour un cas d’usage de niveau Élevé (playbook 1) et le fournisseur n’offre aucune documentation sur les biais ou l’équité.
5 questions pour tout fournisseur d’IA — aide-mémoire
- Quelle décision prend-il ou influence-t-il, et un humain peut-il la contourner ?
- Que deviennent nos données, et servent-elles à entraîner vos modèles ?
- Où sont-elles traitées, et existe-t-il un DPA ?
- Comment savons-nous qu’il se trompe, et comment le signalons-nous ?
- Que change une résiliation — gardons-nous nos données et notre flux de travail ?
Une ligne qui vaut la peine d’être ajoutée à tout questionnaire fournisseur : posez explicitement la question du RGPD, et celle de NIS2 ou du Cyber Resilience Act là où votre secteur ou la position du fournisseur rend l’un ou l’autre pertinent. Une seule relation avec un fournisseur d’IA peut déclencher en même temps un accord de traitement des données, une évaluation fournisseur et une due diligence au titre de l’AI Act — voir Réglementation européenne de l’IA pour les PME pour savoir lesquelles s’appliquent réellement à vous.
Étapes suivantes
Une fois qu’un fournisseur passe cette liste de contrôle, consignez l’outil dans l’inventaire des systèmes d’IA (playbook 6) avec le niveau de risque du playbook 1. S’il touche au recrutement, au crédit, à la tarification ou à des données personnelles, faites-le aussi passer par le playbook 3 avant la mise en service.