{"id":19614,"date":"2024-09-10T10:57:36","date_gmt":"2024-09-10T08:57:36","guid":{"rendered":"https:\/\/feral.law\/?post_type=publication&p=19614"},"modified":"2024-11-05T10:53:47","modified_gmt":"2024-11-05T09:53:47","slug":"comment-encadrer-lia-dans-les-contrats-de-services-informatiques","status":"publish","type":"publication","link":"https:\/\/feral.law\/en\/publications\/comment-encadrer-lia-dans-les-contrats-de-services-informatiques\/","title":{"rendered":"Comment encadrer l\u2019IA dans les contrats de services informatiques\u00a0?\u00a0"},"content":{"rendered":"\n

\u00c0 mesure que l\u2019IA progresse, les entreprises sont amen\u00e9es \u00e0 int\u00e9grer de plus en plus d\u2019outils d\u2019IA pour les besoins de leurs activit\u00e9s<\/strong>.<\/p>\n\n\n\n

Au regard du r\u00e8glement (UE) 2024\/1689<\/a> du Parlement europ\u00e9en et du Conseil du 13 juin 2024 (\u00ab R\u00e8glement IA<\/strong> \u00bb), les personnes morales utilisatrices de SIA sont qualifi\u00e9es de \u00ab d\u00e9ployeur \u00bb tandis que celles \u00e9ditant ou d\u00e9veloppant de tels syst\u00e8mes sont qualifi\u00e9es de \u00ab fournisseur \u00bb[1]<\/a><\/sup>. <\/p>\n\n\n\n

La commercialisation d\u2019un SIA est susceptible de faire intervenir une grande diversit\u00e9 d\u2019acteurs reconnus par le R\u00e8glement IA, non seulement le fournisseur qui \u00e9dite le SIA, mais aussi le mandataire, le distributeur, l\u2019importateur. Ainsi, il est possible que lorsqu\u2019un d\u00e9ployeur souhaite avoir recours \u00e0 un SIA, la partie contractante ne soit pas le fournisseur lui-m\u00eame, mais l\u2019un de ses interm\u00e9diaires. <\/p>\n\n\n\n

Il est \u00e9galement probable que le d\u00e9ployeur ne dispose que d\u2019une marge de n\u00e9gociation r\u00e9duite face au fournisseur (ou l\u2019un de ses interm\u00e9diaires) qui se trouve en position de force pour imposer ses conditions standards. <\/p>\n\n\n\n

Dans un cas comme dans l\u2019autre, le d\u00e9ployeur doit v\u00e9rifier que le contrat relatif \u00e0 l\u2019utilisation du SIA qu\u2019il compte utiliser comporte des stipulations adapt\u00e9es et suffisamment protectrices. <\/p>\n\n\n\n

Le d\u00e9ploiement d\u2019un SIA est un projet informatique particuli\u00e8rement sensible. En raison de l\u2019opacit\u00e9 de ces technologies, les d\u00e9ployeurs ne sont pas forc\u00e9ment en mesure de comprendre pleinement le fonctionnement d\u2019un SIA. En outre, selon l\u2019utilisation qui en est faite, un dysfonctionnement d\u2019un SIA (erreur, hallucination, biais\u2026) peut avoir des cons\u00e9quences importantes. <\/p>\n\n\n\n

La n\u00e9cessit\u00e9 de d\u00e9terminer les r\u00f4les, obligations et responsabilit\u00e9s des parties au contrat est un enjeu crucial. Les clauses et obligations \u00e9voqu\u00e9es dans cet article ne sont \u00e9videmment pas exhaustives, mais permettent d\u2019identifier quelques points d\u2019attention majeurs dans la contractualisation avec un fournisseur de SIA ou un de ses interm\u00e9diaires.<\/p>\n\n\n\n

Transparence et obligation d\u2019information <\/h3>\n\n\n\n

Les SIA \u00e9tant des produits particuli\u00e8rement complexes, les fournisseurs de SIA doivent \u00eatre tenus \u00e0 l\u2019\u00e9gard de leurs clients utilisateurs d\u2019une obligation d\u2019information, de conseil, voire de mise en garde, renforc\u00e9e. <\/p>\n\n\n\n

L\u2019exigence de transparence renvoie notamment au fait \u00ab que les d\u00e9ployeurs soient d\u00fbment inform\u00e9s des capacit\u00e9s et des limites de ce SIA<\/u> et que les personnes concern\u00e9es soient inform\u00e9es de leurs droits <\/em>\u00bb[2]<\/a><\/sup>. <\/p>\n\n\n\n

Cette obligation d\u2019information vaut pour tous les types de SIA, y compris ceux \u00e0 usage g\u00e9n\u00e9ral (\u00ab des mesures de transparence proportionn\u00e9es devraient \u00eatre pr\u00e9vues, y compris l\u2019\u00e9laboration et la tenue \u00e0 jour de la documentation, et la fourniture d\u2019informations sur le mod\u00e8le d\u2019IA \u00e0 usage g\u00e9n\u00e9ral en vue de son utilisation par les fournisseurs en aval <\/em>\u00bb[3]<\/a><\/sup>).<\/p>\n\n\n\n

Concernant les SIA dits \u00ab \u00e0 haut risque \u00bb, le R\u00e8glement IA pr\u00e9voit express\u00e9ment une obligation de transparence et de fourniture d\u2019information aux d\u00e9ployeurs[4]<\/a><\/sup>. <\/p>\n\n\n\n

Par exemple, il est pr\u00e9vu que les SIA \u00e0 haut risque doivent \u00eatre accompagn\u00e9s d\u2019une notice d\u2019utilisation compl\u00e8te et \u00e0 jour portant notamment sur \u00ab les caract\u00e9ristiques, les capacit\u00e9s et les limites de performance du SIA \u00bb<\/em>. Cette notice a notamment pour objet d\u2019 \u00ab aider les d\u00e9ployeurs \u00e0 utiliser celui-ci (le SIA) et \u00e0 prendre des d\u00e9cisions en connaissance de cause<\/em> (\u2026) d\u2019\u00eatre inform\u00e9s sur les utilisations pr\u00e9vues et interdites et d\u2019utiliser le syst\u00e8me d\u2019IA correctement \u00bb[5]<\/a><\/sup><\/strong><\/sup>.<\/em><\/p>\n\n\n\n

Selon le R\u00e8glement IA, \u00ab les fournisseurs devraient veiller \u00e0 ce que toute la documentation, y compris la notice d\u2019utilisation, contienne des informations utiles, compl\u00e8tes, accessibles et compr\u00e9hensibles, compte tenu des besoins et des connaissances pr\u00e9visibles des d\u00e9ployeurs vis\u00e9s<\/em> \u00bb[6]<\/a><\/sup>. <\/p>\n\n\n\n

Il est important de rappeler dans le contrat l\u2019obligation pour le fournisseur de tout SIA \u00e0 haut risque de fournir cette notice et de s\u2019assurer qu\u2019elle comporte les informations d\u00e9crites \u00e0 l\u2019article 13<\/a> du R\u00e8glement IA.<\/p>\n\n\n\n

Il est \u00e9galement possible (et m\u00eame recommand\u00e9) de renforcer contractuellement cette obligation d\u2019information en pr\u00e9cisant davantage les informations devant \u00eatre fournies et les risques contre lesquels le d\u00e9ployeur souhaite \u00eatre pr\u00e9venu.<\/p>\n\n\n\n

Concr\u00e8tement le contrat conclu avec un fournisseur de SIA devra comporter une clause d\u2019obligation d\u2019information adapt\u00e9e et d\u00e9taillant de mani\u00e8re pr\u00e9cise le niveau d\u2019information et de mise en garde que le client attend de son fournisseur. <\/p>\n\n\n\n

L\u2019obligation de coop\u00e9ration <\/h3>\n\n\n\n

En application de l\u2019article 27<\/a> du R\u00e8glement IA, certaines cat\u00e9gories de d\u00e9ployeurs de SIA \u00e0 haut risque (tels que les organismes de droit public ou les entit\u00e9s priv\u00e9es fournissant des services publics, notamment les entit\u00e9s bancaires ou d\u2019assurance) sont tenues d\u2019effectuer une analyse d\u2019impact sur les droits fondamentaux que l\u2019utilisation de ce SIA peut avoir. <\/p>\n\n\n\n

Cette analyse d\u2019impact doit notamment permettre d\u2019identifier en amont, les risques li\u00e9s aux droits fondamentaux des personnes, les pr\u00e9judices susceptibles d\u2019\u00eatre port\u00e9s \u00e0 ces personnes concern\u00e9es et les mesures \u00e0 prendre en cas de mat\u00e9rialisation de ce risque.<\/p>\n\n\n\n

Il est recommand\u00e9 en pareille situation de pr\u00e9voir express\u00e9ment l\u2019obligation pour le fournisseur de coop\u00e9rer \u00e0 la r\u00e9alisation de toute analyse d\u2019impact, le fournisseur du SIA \u00e9tant le plus \u00e0 m\u00eame de r\u00e9pondre aux questions que le d\u00e9ployeur peut se poser dans le cadre de cette analyse. Il est rappel\u00e9 que cette analyse d\u2019impact pr\u00e9vue au titre du R\u00e8glement IA peut se cumuler avec l\u2019analyse d\u2019impact relative \u00e0 la protection des donn\u00e9es \u00e0 caract\u00e8re personnel pr\u00e9vue \u00e0 l\u2019article 35<\/a> du RGPD. <\/p>\n\n\n\n

De mani\u00e8re plus g\u00e9n\u00e9rale, le contrat devrait pr\u00e9voir l\u2019obligation pour le fournisseur d\u2019aider le d\u00e9ployeur \u00e0 remplir ses obligations en vertu du R\u00e8glement.<\/p>\n\n\n\n

La conformit\u00e9 du fournisseur \u00e0 la R\u00e8glementation <\/h3>\n\n\n\n

Aux termes de l\u2019article 21<\/a> du R\u00e8glement IA, les fournisseurs de SIA \u00e0 haut risque doivent \u00eatre en mesure de d\u00e9montrer \u00e0 l\u2019autorit\u00e9 comp\u00e9tente la conformit\u00e9 de leur SIA \u00e0 haut risque avec les exigences du R\u00e8glement. <\/p>\n\n\n\n

Les fournisseurs de mod\u00e8les d\u2019IA \u00e0 usage g\u00e9n\u00e9ral sont \u00e9galement soumis \u00e0 cette obligation (y compris ceux ne pr\u00e9sentant pas un risque syst\u00e9mique) et sont tenus, en cas de demande d\u2019une autorit\u00e9 comp\u00e9tente, de pr\u00e9senter la documentation n\u00e9cessaire pour d\u00e9montrer leur conformit\u00e9 au R\u00e8glement IA[7]<\/a><\/sup>.<\/p>\n\n\n\n

Cette obligation n\u2019est pas sans rappeler le principe d\u2019accountability<\/em> instaur\u00e9 par le RGPD<\/a>. <\/p>\n\n\n\n

Cela n\u00e9cessite de tenir des registres et une documentation technique relative \u00e0 la conformit\u00e9, aux caract\u00e9ristiques, \u00e0 la destination, aux capacit\u00e9s et aux limites du SIA, et de mettre \u00e0 jour r\u00e9guli\u00e8rement cette documentation tout au long de la vie du SIA. <\/p>\n\n\n\n

Par exemple, en cas de nouvelle source de donn\u00e9es d\u2019entrainement, de nouveaux r\u00e9glages ou de modification du SIA, la documentation doit \u00eatre mise \u00e0 jour par le fournisseur. <\/p>\n\n\n\n

Le d\u00e9ployeur devrait ainsi exiger du fournisseur de SIA qu\u2019il tienne \u00e0 sa disposition la documentation utile permettant de d\u00e9montrer la conformit\u00e9 du SIA au R\u00e8glement IA et notamment que le fournisseur a proc\u00e9d\u00e9 aux \u00e9valuations n\u00e9cessaires.<\/p>\n\n\n\n

La transparence et la gouvernance des donn\u00e9es <\/h3>\n\n\n\n

Selon le R\u00e8glement IA, les SIA \u00e0 haut risque doivent r\u00e9pondre \u00e0 des exigences en ce qui concerne notamment la qualit\u00e9 et la pertinence des jeux de donn\u00e9es utilis\u00e9s[8]<\/a><\/sup>. L\u2019article 12<\/a> du R\u00e8glement IA applicable aux SIA \u00e0 haut risque dispose que <\/em><\/strong>\u00ab les jeux de donn\u00e9es d\u2019entrainement, de validation et de test sont pertinents, suffisamment repr\u00e9sentatifs et, dans toute la mesure possible, exempts d\u2019erreurs et complets au regard de la destination \u00bb.<\/em><\/p>\n\n\n\n

Concernant les mod\u00e8les d\u2019IA \u00e0 usage g\u00e9n\u00e9ral, le R\u00e8glement IA impose au fournisseur de tenir \u00e0 jour une documentation relative au processus d\u2019entrainement et d\u00e9taillant notamment \u00ab les informations sur les donn\u00e9es utilis\u00e9es pour l’entrainement, les essais et la validation, le cas \u00e9ch\u00e9ant, y compris le type et la provenance des donn\u00e9es et les m\u00e9thodes d’organisation \u00bb<\/em>(article 53<\/a> du R\u00e8glement et Annexe XI) et de mettre \u00e0 la disposition du public \u00ab un r\u00e9sum\u00e9 suffisamment d\u00e9taill\u00e9 du contenu utilis\u00e9 pour entrainer le mod\u00e8le d\u2019IA \u00e0 usage g\u00e9n\u00e9ral \u00bb[9]<\/a><\/strong><\/sup>.<\/em><\/p>\n\n\n\n

Il est donc essentiel de pr\u00e9voir des stipulations contractuelles encadrant la gouvernance des donn\u00e9es d\u2019entrainement, et garantissant en particulier leur qualit\u00e9 et leur l\u00e9galit\u00e9. Pour les SIA \u00e0 haut risque, il conviendra de se r\u00e9f\u00e9rer \u00e0 l\u2019article 10<\/a> du R\u00e8glement qui d\u00e9taille les crit\u00e8res de qualit\u00e9 auxquelles les donn\u00e9es d\u2019entrainement doivent r\u00e9pondre, notamment pour r\u00e9duire les biais.<\/p>\n\n\n\n

L\u2019obligation de s\u00e9curit\u00e9 <\/h3>\n\n\n\n

Le R\u00e8glement IA impose que les SIA soient d\u00e9velopp\u00e9s de mani\u00e8re \u00e0 atteindre un niveau appropri\u00e9 de robustesse et de cybers\u00e9curit\u00e9. La robustesse fait partie des sept principes \u00e9thiques non contraignants \u00e9labor\u00e9s par le GEHN IA[10]<\/a><\/sup> dans ses lignes directrices. Elle implique les SIA soient d\u00e9velopp\u00e9s et utilis\u00e9s \u00ab de mani\u00e8re \u00e0 ce qu\u2019ils soient techniquement robustes en cas de probl\u00e8me et r\u00e9silients aux tentatives visant \u00e0 en corrompre l\u2019utilisation ou les performances afin de permettre \u00e0 des tiers d\u2019en faire une utilisation abusive, et \u00e0 r\u00e9duire le plus possible les atteintes involontaires \u00bb[11]<\/a><\/strong><\/sup>. <\/em><\/p>\n\n\n\n

Cette exigence fait \u00e9cho \u00e0 l\u2019obligation de s\u00e9curit\u00e9 des donn\u00e9es d\u00e9coulant de la loi informatique et libert\u00e9 et du RGPD. Pour m\u00e9moire, l\u2019obligation de s\u00e9curit\u00e9 des donn\u00e9es telle que pr\u00e9vue par ces textes s\u2019applique aux SIA qui traitent des donn\u00e9es \u00e0 caract\u00e8re personnel<\/a>, tant au stade de leur d\u00e9veloppement que dans leur d\u00e9ploiement. <\/p>\n\n\n\n

Le contrat conclu avec le fournisseur de SIA doit donc insister sur l\u2019importance d\u2019int\u00e9grer les exigences de s\u00e9curit\u00e9 d\u00e8s la conception du SIA et de maintenir des mesures de s\u00e9curit\u00e9 ad\u00e9quates. <\/p>\n\n\n\n

Il est recommand\u00e9 de pr\u00e9voir une annexe d\u00e9taillant les mesures techniques et organisationnelles permettant d\u2019assurer la s\u00e9curit\u00e9 du syst\u00e8me, notamment les exigences en termes de robustesse et de r\u00e9silience du syst\u00e8me face aux cyberattaques.<\/p>\n\n\n\n

La propri\u00e9t\u00e9 intellectuelle <\/h3>\n\n\n\n

Le contrat entre un d\u00e9ployeur et fournisseur doit \u00e9galement d\u00e9terminer \u00e0 qui appartiennent les r\u00e9sultats produits par le SIA. Le client a tout int\u00e9r\u00eat \u00e0 disposer du droit de r\u00e9utiliser et r\u00e9exploiter ces r\u00e9sultats de mani\u00e8re large, tout en b\u00e9n\u00e9ficiant de garanties appropri\u00e9es en cas de recours de tiers invoquant des droits sur les r\u00e9sultats g\u00e9n\u00e9r\u00e9s par le SIA et\/ou les donn\u00e9es d\u2019entrainement.<\/p>\n\n\n\n

Si les jeux de donn\u00e9es appartiennent au client, le contrat devra rappeler que les donn\u00e9es sont et demeurent la propri\u00e9t\u00e9 du d\u00e9ployeur et faire interdiction au fournisseur de les r\u00e9utiliser \u00e0 d\u2019autres fins que la fourniture des services dans le cadre du contrat. Le sort de ces donn\u00e9es \u00e0 la fin du contrat devra \u00e9galement \u00eatre pr\u00e9vu, ainsi qu\u2019une obligation de restitution et de destruction pesant sur le fournisseur. <\/p>\n\n\n\n

De mani\u00e8re g\u00e9n\u00e9rale, il est d\u00e9sormais fortement recommand\u00e9 de pr\u00e9voir dans les contrats de service l\u2019obligation pour le prestataire de d\u00e9clarer au client tout recours \u00e0 l\u2019IA dans la r\u00e9alisation des prestations. \u00c0 titre d\u2019exemple, une entreprise qui souhaiterait recourir aux services d\u2019une agence de publicit\u00e9<\/a> devrait pr\u00e9voir dans son contrat de prestation l\u2019obligation pour cette agence de d\u00e9clarer tout recours \u00e0 l\u2019IA<\/a> dans le cadre d\u2019une mission cr\u00e9ative.  <\/p>\n\n\n\n

La responsabilit\u00e9 <\/h3>\n\n\n\n

Les SIA ne sont pas infaillibles. Des erreurs de fonctionnement ou des \u00ab hallucinations \u00bb peuvent avoir des cons\u00e9quences \u00e9conomiques consid\u00e9rables pour l\u2019entreprise utilisatrice. <\/p>\n\n\n\n

Il est donc essentiel d\u2019identifier ces risques en amont du processus de contractualisation (par exemple en \u00e9laborant une matrice des risques) et de d\u00e9terminer les responsabilit\u00e9s des parties prenantes. Si un plafond de responsabilit\u00e9 est pr\u00e9vu, il devra \u00eatre corr\u00e9l\u00e9 aux risques auxquels le d\u00e9ployeur s\u2019expose en cas de dysfonctionnement de l\u2019IA. \u00c0 l\u2019inverse, le fournisseur a int\u00e9r\u00eat de pr\u00e9voir des cas d\u2019exclusion de sa responsabilit\u00e9, notamment en cas d\u2019utilisation non conforme de l\u2019IA \u00e0 sa destination ou \u00e0 la documentation par le d\u00e9ployeur.<\/p>\n\n\n\n

Enfin, il convient de noter que le R\u00e8glement IA pr\u00e9voit express\u00e9ment la possibilit\u00e9 pour le Bureau de l\u2019IA, cr\u00e9\u00e9 au sein de la Commission europ\u00e9enne, d\u2019\u00e9laborer des clauses contractuelles en tenant compte des sp\u00e9cificit\u00e9s applicables aux diff\u00e9rents secteurs[12]<\/a><\/sup>. \u00c0 cet \u00e9gard, la Commission europ\u00e9enne a d\u00e9j\u00e0 publi\u00e9 deux propositions de clauses contractuelles types pour la passation de march\u00e9 par des organismes publics dans le domaine de l\u2019IA. De prochaines propositions de clauses contractuelles types devraient voir le jour pour aider au mieux les acteurs dans leur contractualisation.<\/p>\n\n\n\n

<\/p>\n\n\n\n

\n\n\n\n

<\/p>\n\n\n\n

[1]<\/sup> R\u00e8glement IA, art. 3<\/a><\/p>\n\n\n\n

[2]<\/sup> R\u00e8glement IA, consid\u00e9rant 27<\/p>\n\n\n\n

[3]<\/sup> R\u00e8glement IA, consid\u00e9rant 101<\/p>\n\n\n\n

[4]<\/sup> R\u00e8glement IA, article 13<\/a><\/p>\n\n\n\n

[5]<\/sup> R\u00e8glement IA, consid\u00e9rant 72<\/p>\n\n\n\n

[6]<\/sup> R\u00e8glement IA, consid\u00e9rant 72<\/p>\n\n\n\n

[7]<\/sup> R\u00e8glement IA, article 53<\/a><\/p>\n\n\n\n

[8]<\/sup> R\u00e8glement IA, consid\u00e9rant 66<\/p>\n\n\n\n

[9]<\/sup> R\u00e8glement IA, consid\u00e9rant 107<\/p>\n\n\n\n

[10]<\/sup> Groupe d\u2019Experts de Haut Niveau sur l\u2019IA constitu\u00e9 par la Commission Europ\u00e9enne<\/p>\n\n\n\n

[11]<\/sup> R\u00e8glement IA, consid\u00e9rant 27<\/p>\n\n\n\n

[12]<\/sup> R\u00e8glement IA, article 25<\/a><\/p>\n\n\n\n

<\/p>\n\n\n\n

\n\n\n\n

<\/p>\n\n\n\n

Retrouver les autres articles de la SAGA AI : <\/em><\/h4>\n\n\n\n