Que vérifier dans un contrat avec un fournisseur d'IA

Le DPA (contrat de sous-traitance, art. 28 RGPD), les engagements de non-entraînement sur vos données, la rétention et la résidence (région UE), la réversibilité/portabilité des données, les niveaux de service (SLA), la sécurité (chiffrement, certifications) et l'encadrement des transferts hors UE.

Un Data Processing Agreement : le contrat de sous-traitance imposé par l'article 28 du RGPD dès qu'un fournisseur traite des données personnelles pour vous. Il précise les instructions, la confidentialité, la sécurité, la restitution/suppression et les audits. Il est obligatoire.

En vérifiant le mécanisme : si le fournisseur (ou un sous-traitant US) est concerné, il faut un cadre valide — DPF si l'entité est certifiée, ou clauses contractuelles types + analyse d'impact des transferts. Privilégier un hébergement et un traitement en UE simplifie la situation.

Pour pouvoir récupérer vos données et changer de fournisseur sans être bloqué (éviter l'enfermement). Un fournisseur qui ne garantit pas la portabilité est un risque. Voir notre article sur le vendor lock-in.

Non : dgm aide à structurer les exigences techniques et de conformité, mais le contrat se valide avec un juriste. Ce n'est pas un conseil juridique.