Liste de vérification des contrats avec les fournisseurs IA : propriété intellectuelle, données, responsabilité et clauses de sortie

Les mentions de l'IA sont apparues dans 53 pour cent des accords de services cloud signés au cours de l'année se terminant en juin 2026, contre 47 pour cent en 2025 et 38 pour cent en 2024. Environ un contrat sur cinq fait désormais l'objet de modifications spécifiques à l'IA par rapport aux conditions standard, contre moins de 4 pour cent en 2024. Les dirigeants de la mode qui achètent des outils de prévision de la demande, d'essayage virtuel, de personnalisation ou de chaîne d'approvisionnement doivent traiter la propriété intellectuelle, l'utilisation des données, la portée de l'indemnisation, la résidence, les plafonds de responsabilité, les engagements de performance, la résiliation et la portabilité avant de signer.

L'intégration de l'IA dans les produits commerciaux et les accords de logiciels d'entreprise a forcé une refonte des cadres contractuels de longue date. La meilleure approche pour l'acheteur comme pour le vendeur est d'intégrer le risque IA dans la substance du contrat, notamment dans les dispositions relatives à la propriété intellectuelle, le cadre de responsabilité, les conditions de gouvernance des données, la répartition de la conformité et les engagements de niveau de service.

Qui détient les données d'entraînement et les résultats du modèle ?

Les parties doivent répartir la propriété des résultats de l'IA, une question complexe étant donné que le contenu purement généré par l'IA peut ne pas bénéficier de la protection du droit d'auteur. Les accords doivent inclure des clauses de propriété explicites précisant quelle partie détient les résultats, y compris toute œuvre dérivée. Les orientations du U.S. Copyright Office et les affaires récentes indiquent que les œuvres purement générées par l'IA sans contribution humaine significative ne sont pas éligibles à l'enregistrement du droit d'auteur, et que les invites seules sont généralement insuffisantes pour être qualifiées d'auteur.

Selon les conditions payantes et professionnelles d'OpenAI, Anthropic, Google, Microsoft et AWS, vous détenez les résultats ou le fournisseur renonce à les revendiquer. Un fournisseur hébergé ne remet pas le modèle de base, et un modèle que vous affinez sur l'infrastructure hébergée d'OpenAI ou d'Anthropic revient sous forme de point de terminaison hébergé par le fournisseur plutôt que de poids portables. Lorsque les données client sont utilisées pour affiner ou améliorer le modèle d'un fournisseur, les parties doivent déterminer si le fournisseur peut utiliser ces améliorations pour d'autres clients ou si le client conserve des droits de propriété.

Le contrat doit définir les données d'entraînement comme distinctes des données client et clarifier si le fournisseur peut utiliser les entrées ou les sorties pour entraîner des modèles de fondation. Rédigée à une époque où « améliorer le produit » signifiait corriger des bugs et ajouter des fonctionnalités, cette même formulation en 2026 couvre l'entraînement d'un modèle de fondation sur les entrées client. La norme contractuelle défendable pour le SaaS activé par l'IA en 2026 comporte cinq composants, en commençant par l'entraînement désactivé par défaut : le contrat interdit l'utilisation des données client pour l'entraînement, l'affinage, l'apprentissage par renforcement ou l'évaluation de tout modèle d'IA sans consentement écrit préalable d'un signataire client nommé.

Quelles protections d'indemnisation en propriété intellectuelle les acheteurs doivent-ils exiger ?

Les indemnisations IA promettent généralement de défendre les réclamations selon lesquelles les Services ou le Logiciel portent atteinte, ce qui laisse les réclamations sur les résultats en dehors de la promesse. Une indemnisation rédigée contre les « Services » ou le « Logiciel » qui ne mentionne jamais les résultats laisse la réclamation que vous êtes le plus susceptible de rencontrer en dehors de la promesse. Les acheteurs doivent rechercher des indemnisations larges couvrant l'utilisation du système IA et des résultats, toute réclamation de violation de propriété intellectuelle de tiers découlant de l'utilisation des résultats ou des données d'entraînement, et toute violation des droits de protection des données ou de confidentialité.

L'indemnisation IA d'entreprise est la catégorie de clause contractuelle la plus fluide en 2026. 47 pour cent incluent l'indemnisation IA dans le plafond de responsabilité générale, 31 pour cent utilisent un super-plafond dédié de 2x à 3x, 22 pour cent incluent une indemnisation en propriété intellectuelle sans plafond. Une clause IA vous rend responsable de la manière dont un fournisseur IA a entraîné son modèle, ce que vous ne pouvez pas vérifier. Associée à une indemnisation illimitée, c'est la clause qui peut le plus nuire à une petite entreprise. Les clients doivent évaluer attentivement les déclarations du fournisseur concernant la provenance des données d'entraînement et la conformité aux lois sur la propriété intellectuelle.

Où les données doivent-elles être stockées et traitées ?

L'UE n'impose pas de localisation physique des données. Le règlement européen sur l'IA (pleinement applicable en août 2026) exige pour les systèmes IA à haut risque une gouvernance des données documentée, une détection et correction des biais, et des ensembles de données reflétant les caractéristiques spécifiques de l'environnement de déploiement. Le règlement n'impose pas de résidence des données dans l'UE, mais garder le traitement en Europe rend la gouvernance et la piste d'audit plus simples à prouver. Les obligations GPAI du règlement européen sur l'IA sont entrées en vigueur en août 2025. Elles n'imposent pas de résidence des données, mais elles élèvent la barre en matière de transparence et de documentation des données d'entraînement, ce qui est plus facile à prouver lorsque le traitement reste en Europe.

Mistral (français, natif UE, toutes les données UE), Aleph Alpha (allemand, UE uniquement), Anthropic Claude via la région AWS-EU (avec contrat Enterprise), OpenAI Enterprise avec région Francfort (disponible depuis 2024), Google Vertex AI avec région europe-west (Belgique/Francfort), et Microsoft Azure OpenAI Service avec région West-Europe offrent des options de résidence des données dans l'UE. La majoration de prix pour la résidence OpenAI est de 10 pour cent pour les modèles éligibles publiés le 5 mars 2026 ou après. Les points de terminaison de résidence comportent une majoration de 10 pour cent pour les modèles éligibles publiés le 5 mars 2026 ou après.

Vérifiez les accords de traitement des données pour les clauses spécifiques à l'IA. De nombreux DPA ont été rédigés avant l'IA générative et ne traitent pas des données d'entraînement ou de la résidence d'inférence. Les entreprises de mode traitant des données personnelles doivent préciser la région du centre de données, le lieu de traitement pour l'inférence, le stockage des sauvegardes et si les sous-traitants ont des engagements de résidence équivalents.

Comment les plafonds de responsabilité et les clauses de non-responsabilité sont-ils structurés ?

Les accords SaaS standard pour les produits IA incluent fréquemment des clauses de non-responsabilité larges supprimant toute garantie quant à l'exactitude ou l'adéquation à l'usage. Lorsque l'IA est intégrée dans les processus métier essentiels et que les résultats comptent, les acheteurs sont de plus en plus réticents à accepter une posture sans garantie. Davantage d'accords incluent des engagements concernant les repères de performance, les seuils d'exactitude et les obligations de remédiation lorsque les résultats sont insuffisants.

Les fournisseurs se concentrent principalement sur la défense contre la responsabilité pour les résultats de l'IA. Dans les contrats, cela se manifeste par un nouveau langage « configuration IA et responsabilité » tel que le client contrôle le comportement de l'IA, donc le client est responsable de ses résultats, et le fournisseur ne garantit pas que les résultats générés par l'IA sont exacts. Le consultant n'aura aucune responsabilité pour toute décision prise ou action entreprise par le client (ou tout tiers) en se fiant aux résultats de l'IA.

Les exclusions et plafonds de responsabilité ne doivent pas exclure illégalement la responsabilité pour les dommages corporels, la fraude ou la faute intentionnelle. Exigences de maintenir une assurance responsabilité professionnelle ou cyber couvrant les risques liés à l'IA et les réclamations de tiers. Les acheteurs doivent ajuster les plafonds de responsabilité pour les préjudices spécifiques à l'IA, exclure certaines catégories (par exemple, violations de données, violation de propriété intellectuelle, faute intentionnelle, amendes réglementaires) des limitations de responsabilité ou des clauses de non-responsabilité, et aligner les obligations d'indemnisation avec l'endroit où le risque est réellement créé.

Quels SLA de performance les contrats doivent-ils inclure ?

Les repères SLA 2026 incluent un SLA de disponibilité de 99,5 pour cent à 99,99 pour cent, un temps de réponse inférieur à 500 ms à 5 secondes, un SLA de réponse aux incidents de 1 à 4 heures, et une précision du modèle rarement offerte. Les acheteurs sophistiqués poussent pour des conditions orientées service : descriptions de service définies, garanties basées sur la performance, droits de gouvernance et d'audit, et structures de responsabilité liées aux résultats.

Les entreprises de mode doivent négocier des engagements de disponibilité avec des crédits de service, des objectifs de temps de réponse pour les appels API, des fenêtres de réponse aux incidents définies par gravité, et si possible des seuils de précision minimale pour les cas d'utilisation critiques comme la prévision de la demande ou les recommandations de taille. Un accord IA bien rédigé reflète le cas d'utilisation spécifique et le profil de risque réel de l'accord. Le contrat doit définir ce qui constitue une panne, comment le temps d'arrêt est mesuré, les méthodes de calcul des crédits et toute exclusion.

Quels droits de résiliation et de portabilité des données sont requis ?

À compter du 12 septembre 2025, les fournisseurs SaaS doivent permettre aux clients d'initier le processus de changement avec une période de préavis maximale de deux mois. Cela aura un effet similaire à celui de permettre une résiliation anticipée pour convenance. En effet, le Data Act donne à tous les clients cloud le droit de mettre fin à leur contrat à tout moment, quelle que soit la durée du contrat. Les utilisateurs doivent être autorisés à résilier les contrats SaaS avec un préavis ne dépassant pas deux mois. Les fournisseurs ne peuvent pas facturer le transfert de données ni imposer des procédures de migration restrictives.

Négociez les conditions de sortie des données dès le départ : précisez qu'à la résiliation pour quelque raison que ce soit, le fournisseur doit fournir une exportation complète de vos données dans un format standard (par exemple, CSV ou JSON) sans frais supplémentaires dans les 30 jours. Sans langage explicite sur la portabilité des données, le format d'exportation et la fenêtre de rétention post-résiliation, les clients n'ont aucun droit contractuel sur leurs données après l'annulation, une exigence de l'article 28(3)(g) du RGPD et une modification standard de l'entreprise. L'accord d'abonnement doit spécifier les droits de portabilité des données, les formats d'exportation et une fenêtre de rétention post-résiliation, généralement de 30 à 90 jours. L'article 28(3)(g) du RGPD exige que les sous-traitants suppriment ou renvoient toutes les données personnelles après la fin des services. Pour le SaaS activé par l'IA, le contrat doit exiger séparément la suppression des poids de modèle, des embeddings ou des artefacts dérivés entraînés sur les données client.

Le contrat doit lister les formats de données (CSV, JSON, Parquet), préciser si l'accès API continue pendant une période de transition, clarifier le calendrier de confirmation de suppression et traiter ce qui arrive aux modèles affinés, aux embeddings ou aux insights générés par l'IA dérivés des données client. L'analyse des écarts contractuels montre que 30 pour cent des contrats IA d'entreprise manquent de clauses de portabilité des données à la sortie.

Liste de vérification pour la négociation

• Définir les données d'entraînement séparément des données client ; exiger le consentement d'inclusion volontaire avant que l'une ou l'autre ne soit utilisée pour entraîner ou affiner des modèles
• Sécuriser la cession explicite de tous les droits de propriété sur les résultats que détient le fournisseur, plus une licence pour tout ce qu'il ne peut pas céder
• Exiger une indemnisation en propriété intellectuelle couvrant les résultats et les données d'entraînement, pas seulement le logiciel ou le service ; clarifier la structure du plafond
• Préciser la région du centre de données, le lieu de traitement de l'inférence, le stockage de sauvegarde et les engagements de résidence des sous-traitants
• Négocier un SLA de disponibilité (99,9 pour cent minimum), des objectifs de temps de réponse, des fenêtres de réponse aux incidents et, si possible, des seuils de précision
• Inclure des droits de résiliation avec un préavis maximal de deux mois, une exportation des données dans des formats standard sans frais dans les 30 jours
• Exiger la suppression des poids de modèle, des embeddings et des artefacts dérivés entraînés sur les données client à la résiliation
• Exclure les violations de données, la violation de propriété intellectuelle, la faute intentionnelle et les amendes réglementaires des plafonds de responsabilité
• Demander une période d'assistance de transition de 30 à 90 jours avec accès API continu pour l'extraction des données

Pour les cas où l'IA est une question centrale, un addendum IA peut être ajouté au contrat principal pour couvrir l'utilisation des données, la propriété intellectuelle, les droits d'entraînement, la responsabilité et les considérations éthiques.