Accord de traitement des données avec un fournisseur d'IA : les points à vérifier

Quand faut-il un accord de traitement des données avec le fournisseur d’IA ?

Chaque fois que le fournisseur traite des données personnelles pour votre compte : il exploite la plateforme, le modèle d’IA ou les deux, et c’est vous qui décidez à quelles fins. C’est la règle pour les offres cloud. Un accord de traitement des données peut aussi être nécessaire pour un serveur dans votre établissement, par exemple si le fournisseur en assure l’exploitation ou accède aux données pour le support. Sans accès à des données personnelles, le fournisseur n’est pas sous-traitant.

Si le fournisseur utilise vos données à ses propres fins, par exemple pour entraîner ses modèles, il sort de son rôle : il devient lui-même responsable du traitement pour ces fins (art. 28, paragraphe 10, du RGPD) et a besoin de sa propre base juridique. La Conférence allemande des autorités de protection des données (DSK) recommande donc de privilégier les offres qui n’utilisent pas les entrées et les sorties pour l’entraînement.

Que doit contenir le contrat selon l’art. 28, paragraphe 3, du RGPD ?

Contenu	Art. 28, par. 3	Points d’attention pour l’IA
Objet, durée, nature et finalité, catégories de données, personnes concernées	1re phrase	Désigner concrètement l’usage de l’IA, y compris les documents téléversés et les journaux
Traitement uniquement sur instruction	point a	Pas d’entraînement, pas d’amélioration du produit avec vos données
Confidentialité du personnel	point b	En cas de secret professionnel, § 203 StGB en plus
Sécurité selon l’art. 32	point c	Mesures techniques et organisationnelles en annexe, chiffrement, droits, journaux
Sous-traitants ultérieurs	point d, par. 2 et 4	Liste avec lieu et prestation, y compris pour l’inférence du modèle d’IA ; droit d’opposition en cas de changement
Aide à l’exercice des droits des personnes	point e	Accès, effacement, rectification, aussi pour les conversations et les documents
Aide au titre des art. 32 à 36	point f	Notification des violations de données, informations pour votre AIPD
Effacement ou restitution à la fin	point g	Délais pour l’export, l’effacement, les sauvegardes
Preuves et audits	point h	Certificats, attestations, droit d’audit sur place

Quels points propres à l’IA faut-il ajouter ?

• Entraînement : expressément exclu, y compris pour les sous-traitants ultérieurs qui fournissent des modèles.
• Conservation des saisies : si et combien de temps le fournisseur ou le fournisseur du modèle conserve les saisies et les réponses, par exemple pour détecter les abus. Pourquoi renoncer à la conservation ne suffit pas à lui seul : Zero Data Retention : est-ce suffisant ?
• Lieu de l’inférence : dans quel centre de données le modèle d’IA fonctionne et si un fournisseur hors de l’UE intervient. Pour les transferts vers des pays tiers s’ajoutent les clauses contractuelles types (2021/914) ou une décision d’adéquation.
• Changement de modèle : si un changement de modèle ou de fournisseur de modèle constitue un changement de sous-traitants ultérieurs.
• Journaux : ce qui est journalisé, qui y a accès, combien de temps c’est conservé.
• Demandes des autorités : comment le fournisseur traite les demandes de communication de données et s’il vous en informe.

Qu’en est-il des professions soumises au secret ?

Selon le § 203, al. 3 et 4, StGB (Code pénal allemand), les médecins, psychothérapeutes et autres professions soumises au secret ne peuvent révéler des secrets à des prestataires que dans la mesure nécessaire et si le prestataire a été tenu à la confidentialité. L’accord de traitement des données seul ne couvre pas ce point ; il est d’usage de conclure un accord supplémentaire qui informe sur la responsabilité pénale. Pour en savoir plus : § 203 StGB et prestataires.

Comment vérifier un accord de traitement des données en pratique ?

1. Clarifier les rôles : le fournisseur est-il sous-traitant, et pour quelles parties ne l’est-il pas ?
2. Cocher le contenu obligatoire selon l’art. 28, paragraphe 3.
3. Lire la liste des sous-traitants ultérieurs : qui exploite le modèle d’IA, et où ?
4. Comparer les mesures techniques et organisationnelles à votre niveau de protection.
5. Évaluer les liens avec des pays tiers et le CLOUD Act américain (Cloud Act américain et IA).
6. Si nécessaire, accords complémentaires : § 203 StGB, protection des données des Églises, données sociales.

Comment cela fonctionne-t-il avec basebox ?

L’accord de traitement des données selon l’art. 28 du RGPD fait automatiquement partie de chaque contrat, actuellement dans sa version du 8 octobre 2026. Si des données sont transférées vers un pays hors de l’UE, les clauses contractuelles types de la Commission européenne s’y ajoutent. basebox ne traite que sur vos instructions, ne fait appel à des sous-traitants ultérieurs qu’avec votre autorisation, vous informe à l’avance des changements, auxquels vous pouvez vous opposer, et notifie sans délai les violations de la protection de vos données. Vos données n’entraînent aucun modèle ; basebox ne fait appel à des prestataires fournissant des modèles d’IA que si leur contrat exclut l’entraînement avec les données transmises. Pour les professions soumises au secret, l’accord selon le § 203 StGB s’applique en annexe au contrat de licence. basebox examine également votre propre modèle d’accord de traitement des données. L’accord de traitement des données, la liste des sous-traitants ultérieurs et l’accord selon le § 203 StGB sont disponibles en téléchargement.

Pas un conseil juridique : cet article ne remplace pas l’examen de votre contrat par votre délégué à la protection des données ou votre service juridique. Seule fait foi la version convenue dans votre contrat. État de la recherche : 11 octobre 2026.