Le DPA : la base souvent oubliee de la conformite
Quand tu utilises un service IA en SaaS (Claude, ChatGPT, Mistral, mais aussi des dizaines d'outils metiers integrant de l'IA), tu confies a ce fournisseur des donnees - parfois personnelles, parfois sensibles. Cela fait du fournisseur un "sous-traitant" au sens du RGPD.
L'article 28 du RGPD est clair : tu DOIS avoir un Data Processing Agreement (DPA) avec ce sous-traitant, sans quoi tu es en infraction. Et avec l'AI Act 2026, le DPA doit etre enrichi de clauses specifiques IA.
Voici la checklist exacte des clauses a avoir, et les liens vers les DPA des principaux fournisseurs.
Les 10 clauses minimales obligatoires (RGPD)
Checklist DPA RGPD (article 28)
- Objet et duree du traitement defini
- Nature et finalite du traitement decrit
- Type de donnees personnelles concernes
- Categories de personnes concernees
- Obligations et droits du responsable de traitement (toi)
- Obligations du sous-traitant (le fournisseur IA)
- Mesures techniques et organisationnelles de securite
- Recours a des sous-sous-traitants (autorisation specifique ou generale)
- Transferts hors UE eventuels (et garanties applicables)
- Modalites de fin de prestation (suppression ou restitution des donnees)
Les clauses AI Act specifiques a ajouter
Depuis 2026, les DPA pour les services IA doivent inclure aussi (article 25 AI Act) :
Clauses AI Act additionnelles
- Engagement de non-utilisation pour entrainement. Le fournisseur s'engage a ne pas utiliser tes prompts/donnees pour entrainer ses modeles (sauf consentement explicite).
- Documentation technique du systeme. Le fournisseur fournit la doc AI Act (caracteristiques, donnees d'entrainement, limites connues).
- Informations sur les risques residuels. Le fournisseur informe sur les biais connus, les limites, les usages a eviter.
- Cooperation en cas d'enquete. Le fournisseur s'engage a fournir les informations demandees par les autorites.
- Notification des incidents. Le fournisseur s'engage a notifier dans les 24h les incidents materiels (failles, dysfonctionnements).
- Information sur les changements de modele. Le fournisseur notifie les changements majeurs (nouveau modele, nouveaux donnees d'entrainement).
- Droits d'audit. Tu peux auditer le respect du DPA + AI Act, sous conditions raisonnables.
Verification : ou trouver les DPA des principaux fournisseurs
La bonne nouvelle : la majorite des fournisseurs IA publient leurs DPA en ligne en 2026. Voici les liens directs :
- Anthropic (Claude) : DPA + AI Act addendum disponibles via Trust Center, signables electroniquement pour les comptes Team/Enterprise.
- OpenAI (ChatGPT, GPT-4) : DPA standard via OpenAI Trust Center. Pour les comptes Enterprise, addendum AI Act specifique.
- Mistral AI (Le Chat, API) : DPA signable depuis l'admin console. Comme acteur europeen, conformite RGPD nativement plus complete.
- Google (Gemini, Vertex AI) : Google Cloud DPA classique + addendum AI specifique.
- Microsoft (Copilot, Azure OpenAI) : DPA Microsoft Online Services + addendum AI.
- AWS (Bedrock, SageMaker) : AWS DPA classique + addendum AI Bedrock.
Pour les outils metiers integrant de l'IA (notamment franco-francais ou europeens), demande explicitement leur DPA. La majorite l'ont mais ne le mettent pas en avant.
Concretement, qu'est-ce que tu dois faire ?
- Inventaire : liste tous les outils IA en usage dans ton entreprise (officiels et "shadow IT").
- Pour chacun, recupere le DPA via le lien de leur Trust Center ou en ecrivant a leur DPO.
- Verification clauses : utilise la checklist ci-dessus pour valider que toutes les clauses minimales sont presentes.
- Verification AI Act : verifie aussi les clauses AI Act specifiques (sur les outils utilises pour des usages haut risque, c'est obligatoire).
- Signature electronique : la plupart se signent en ligne (un clic) via leur admin console.
- Stockage : conserve une copie de chaque DPA signe dans ton dossier conformite (RGPD + AI Act).
- Revue annuelle : verifie chaque annee si les DPA n'ont pas evolue (en particulier si les fournisseurs changent leurs CGU).
Cas particuliers
Comptes gratuits (ChatGPT free, Claude free)
Les comptes gratuits n'ont generalement pas de DPA personnalise. Tu signes les CGU/CGV qui ne sont PAS un DPA conforme. Consequence : si tu utilises un compte gratuit pour traiter des donnees personnelles client/employe, tu es en infraction RGPD. Solution : passer a un compte payant qui inclut le DPA (Plus, Pro, Team, Enterprise).
Outils integrant l'IA en backend
Beaucoup d'outils (Notion AI, Pennylane, HubSpot, Salesforce) integrent de l'IA en backend. Leur DPA principal couvre generalement l'IA, mais demande explicitement la confirmation : "vos clauses DPA couvrent-elles aussi les fonctionnalites IA integrees ?". Tu dois avoir une trace ecrite de la reponse.
Solutions on-premise / open-source
Si tu utilises un LLM open-source heberge chez toi (Llama 3, Mistral self-hosted), pas de DPA necessaire avec un fournisseur externe puisque tu controles tout. Mais tu dois documenter en interne ta gouvernance, la qualite des donnees d'entrainement utilisees pour fine-tuning, et les mesures de securite. C'est une autre forme de conformite, plus exigeante en interne mais sans tiers a auditer.
Checklist : es-tu en regle ?
5 questions pour savoir si tu es en regle
- Tu as un inventaire a jour de tous les outils IA utilises dans ton entreprise ?
- Tu as un DPA signe avec chaque fournisseur traitant des donnees personnelles ?
- Pour chaque DPA, les 10 clauses RGPD minimales sont presentes ?
- Pour les outils utilises a fort risque, les clauses AI Act sont presentes ?
- Tes comptes IA gratuits ne traitent jamais de donnees personnelles client/employe ?
Si <5/5 : non-conformite. Plan d'action de mise en regle a faire en priorite (avant de penser a deployer plus d'IA).
Tu veux qu'on fasse l'audit ensemble ? 45 minutes gratuites pour identifier tes manques DPA et te donner un plan de mise en conformite.
Pour aller plus loin : guide AI Act PME et calendrier des obligations.