Le DPA : la base souvent oubliée de la conformité
Quand vous utilisez un service IA en SaaS (Claude, ChatGPT, Mistral, mais aussi des dizaines d'outils métiers intégrant de l'IA), vous confiez à ce fournisseur des données - parfois personnelles, parfois sensibles. Cela fait du fournisseur un "sous-traitant" au sens du RGPD.
L'article 28 du RGPD est clair : vous DEVEZ avoir un Data Processing Agreement (DPA) avec ce sous-traitant, sans quoi vous êtes en infraction. Et avec l'AI Act 2026, le DPA doit être enrichi de clauses spécifiques IA.
Voici la checklist exacte des clauses à avoir, et les liens vers les DPA des principaux fournisseurs.
Les 10 clauses minimales obligatoires (RGPD)
Checklist DPA RGPD (article 28)
- Objet et durée du traitement défini
- Nature et finalité du traitement décrit
- Type de données personnelles concernés
- Catégories de personnes concernées
- Obligations et droits du responsable de traitement (vous)
- Obligations du sous-traitant (le fournisseur IA)
- Mesures techniques et organisationnelles de sécurité
- Recours à des sous-sous-traitants (autorisation spécifique ou générale)
- Transferts hors UE éventuels (et garanties applicables)
- Modalités de fin de prestation (suppression ou restitution des données)
Les clauses AI Act spécifiques à ajouter
Depuis 2026, les DPA pour les services IA doivent inclure aussi (article 25 AI Act) :
Clauses AI Act additionnelles
- Engagement de non-utilisation pour entraînement. Le fournisseur s'engage à ne pas utiliser vos prompts/données pour entraîner ses modèles (sauf consentement explicite).
- Documentation technique du système. Le fournisseur fournit la doc AI Act (caractéristiques, données d'entraînement, limites connues).
- Informations sur les risques résiduels. Le fournisseur informe sur les biais connus, les limites, les usages à éviter.
- Coopération en cas d'enquête. Le fournisseur s'engage à fournir les informations demandées par les autorités.
- Notification des incidents. Le fournisseur s'engage à notifier dans les 24h les incidents matériels (failles, dysfonctionnements).
- Information sur les changements de modèle. Le fournisseur notifie les changements majeurs (nouveau modèle, nouvelles données d'entraînement).
- Droits d'audit. Vous pouvez auditer le respect du DPA + AI Act, sous conditions raisonnables.
Vérification : où trouver les DPA des principaux fournisseurs
La bonne nouvelle : la majorité des fournisseurs IA publient leurs DPA en ligne en 2026. Voici les liens directs :
- Anthropic (Claude) : DPA + AI Act addendum disponibles via Trust Center, signables électroniquement pour les comptes Team/Enterprise.
- OpenAI (ChatGPT, OpenAI) : DPA standard via OpenAI Trust Center. Pour les comptes Enterprise, addendum AI Act spécifique.
- Mistral AI (Le Chat, API) : DPA signable depuis l'admin console. Comme acteur européen, conformité RGPD nativement plus complète.
- Google (Gemini, Vertex AI) : Google Cloud DPA classique + addendum AI spécifique.
- Microsoft (Copilot, Azure OpenAI) : DPA Microsoft Online Services + addendum AI.
- AWS (Bedrock, SageMaker) : AWS DPA classique + addendum AI Bedrock.
Pour les outils métiers intégrant de l'IA (notamment franco-français ou européens), demandez explicitement leur DPA. La majorité l'ont mais ne le mettent pas en avant.
Concrètement, qu'est-ce que vous devez faire ?
- Inventaire : listez tous les outils IA en usage dans votre entreprise (officiels et "shadow IT").
- Pour chacun, récupérez le DPA via le lien de leur Trust Center ou en écrivant à leur DPO.
- Vérification clauses : utilisez la checklist ci-dessus pour valider que toutes les clauses minimales sont présentes.
- Vérification AI Act : vérifiez aussi les clauses AI Act spécifiques (sur les outils utilisés pour des usages haut risque, c'est obligatoire).
- Signature électronique : la plupart se signent en ligne (un clic) via leur admin console.
- Stockage : conservez une copie de chaque DPA signé dans votre dossier conformité (RGPD + AI Act).
- Revue annuelle : vérifiez chaque année si les DPA n'ont pas évolué (en particulier si les fournisseurs changent leurs CGU).
Cas particuliers
Comptes gratuits (ChatGPT free, Claude free)
Les comptes gratuits n'ont généralement pas de DPA personnalisé. Vous signez les CGU/CGV qui ne sont PAS un DPA conforme. Conséquence : si vous utilisez un compte gratuit pour traiter des données personnelles client/employé, vous êtes en infraction RGPD. Solution : passer à un compte payant qui inclut le DPA (Plus, Pro, Team, Enterprise).
Outils intégrant l'IA en backend
Beaucoup d'outils (Notion AI, Pennylane, HubSpot, Salesforce) intègrent de l'IA en backend. Leur DPA principal couvre généralement l'IA, mais demande explicitement la confirmation : "vos clauses DPA couvrent-elles aussi les fonctionnalités IA intégrées ?". Vous devez avoir une trace écrite de la réponse.
Solutions on-premise / open-source
Si vous utilisez un LLM open-source hébergé chez vous (Meta Llama (open-source), Mistral self-hosted), pas de DPA nécessaire avec un fournisseur externe puisque vous contrôlez tout. Mais vous devez documenter en interne votre gouvernance, la qualité des données d'entraînement utilisées pour fine-tuning, et les mesures de sécurité. C'est une autre forme de conformité, plus exigeante en interne mais sans tiers à auditer.
Checklist : êtes-vous en règle ?
5 questions pour savoir si vous êtes en règle
- Vous avez un inventaire à jour de tous les outils IA utilisés dans votre entreprise ?
- Vous avez un DPA signé avec chaque fournisseur traitant des données personnelles ?
- Pour chaque DPA, les 10 clauses RGPD minimales sont présentes ?
- Pour les outils utilisés à fort risque, les clauses AI Act sont présentes ?
- Vos comptes IA gratuits ne traitent jamais de données personnelles client/employé ?
Si <5/5 : non-conformité. Plan d'action de mise en règle à faire en priorité (avant de penser à déployer plus d'IA).
Vous voulez qu'on fasse l'audit ensemble ? 45 minutes gratuites pour identifier vos manques DPA et vous donner un plan de mise en conformité.
Pour aller plus loin : guide AI Act PME et calendrier des obligations.