Modèle de clause d'IA pour contrat de sous-traitance (RGPD Article 28)

L’acquisition de logiciels d’intelligence artificielle générative et de moteurs RAG par des entreprises, établissements bancaires, cabinets ou organismes publics impose la mise en conformité des contrats d’approvisionnement IT au regard du droit de la protection des données.

En vertu de l’Article 28 du Règlement Général sur la Protection des Données (RGPD), le responsable de traitement (l’entreprise cliente) ne peut faire appel qu’à des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées.

Pourtant, la plupart des conditions générales d’utilisation (CGU) et des accords de traitement de données (DPA — Data Processing Agreement) proposés par les éditeurs d’IA SaaS cloud internationaux contiennent des clauses d’exonération de responsabilité, autorisent le transfert transfrontalier vers des serveurs sous juridiction de l’US CLOUD Act, ou conservent le droit d’utiliser les prompts pour réentraîner leurs modèles.

Ce dossier juridique met à disposition des Directeurs Juridiques, DPO et Acheteurs IT un modèle de clause type d’intégration d’IA pour contrat de sous-traitance (Art. 28 RGPD), prêt à être inséré dans vos accords-cadres d’acquisition logicielle.

---

1. Les 6 exigences juridiques incompressibles d’un DPA pour logiciel d’IA

Un contrat de sous-traitance d’IA générative ne se limite pas aux clauses informatiques classiques. Il doit encadrer les risques spécifiques liés aux algorithmes et aux représentations vectorielles.

graph TD
    Contrat["Contrat d'Acquisition Logiciel IA"] --> Clause28{"Exigences Art. 28 RGPD"}
    Clause28 -->|Clause SaaS Defaillante| RisqueRGPD["SANCTION DPO & CNIL\n- Soumission aux lois extraterritoriales (CLOUD Act)\n- Ré-entraînement des modèles sur vos données\n- Transferts transfrontaliers non encadrés\n- Co-responsabilité pénale du client"]
    Clause28 -->|Clause Type Yevi Core Compliant| ProtectionTotale["PROTECTION JURIDIQUE ABSOLUE\n- Interdiction absolue de ré-entraînement\n- 0 transfert hors zone (Local-First / On-Premise)\n- Anonymisation PII RAM AES-256-GCM\n- Droit d'audit in situ & logs JSONL scellés"]

A. La maîtrise du ré-entraînement des modèles

Un sous-traitant d’IA ne doit en aucun cas réutiliser les prompts, documents joints, métadonnées ou représentations vectorielles (embeddings) transmis par le client pour entraîner ou affiner (fine-tuning) des modèles généraux partagés avec d’autres tiers.

B. L’encadrement des transferts transfrontaliers et du US CLOUD Act

Le DPA doit stipuler l’interdiction de tout transfert de données vers un pays tiers ne bénéficiant pas d’une décision d’adéquation de la Commission européenne, et récuser l’application d’injonctions extraterritoriales (US CLOUD Act) contraires au droit national ou européen. (Consultez notre dossier sur la sous-traitance IA et l’Article 28 du RGPD).

---

2. Modèle de Clause Juridique Type pour Contrat de Sous-Traitance IA (Texte Réutilisable)

Vous pouvez insérer directement cette clause dans vos contrats d’achat de logiciels d’IA ou dans vos annexes DPA :

ARTICLE XX — CONDITIONS SPÉCIFIQUES RELATIVES AUX TRAITEMENTS D’INTELLIGENCE ARTIFICIELLE ET RAG

XX.1 — Périmètre et qualification des traitements Le Prestataire agit en qualité de Sous-Traitant au sens de l’Article 28 du RGPD pour les traitements d’analyse sémantique, d’ingestion documentaire et d’inférence d’Intelligence Artificielle (IA) effectués pour le compte du Client.

XX.2 — Interdiction absolue de ré-entraînement des modèles Le Prestataire s’interdit formellement d’utiliser, de collecter, d’agréger ou de conserver les données personnelles, documents, promps, représentations vectorielles ou résultats générés soumis par le Client à la solution d’IA pour entraîner, affiner (fine-tuning), valider ou améliorer des modèles de langage (LLM) globaux ou partagés avec des tiers.

XX.3 — Hébergement, résidence des données et étanchéité réseau Le Prestataire garantit que l’ensemble des composants logiciels de la solution d’IA (moteur RAG, base vectorielle, modèles d’inférence) s’exécutent exclusivement sur l’infrastructure physique ou la machine virtuelle désignée par le Client (mode On-Premise / BYOH ou VPS souverain localisé dans le pays d’exercice). Aucun transfert de données personnelles ni appel API ne doit être effectué vers des serveurs situés hors du périmètre agréé.

XX.4 — Anonymisation volatile en mémoire vive (Privacy Vault) Le Prestataire s’engage à mettre en œuvre un mécanisme d’anonymisation et de masquage éphémère des données identifiantes (PII, IBAN, NIR) en mémoire RAM volatile (chiffrement AES-256-GCM) avant toute passe d’analyse sémantique ou d’embedding, empêchant la persistance de données en clair sur disque.

XX.5 — Traçabilité, registre d’audit et droit d’audit in situ Le Prestataire doit fournir au Client un registre d’audit scellé et inaltérable au format JSONL consignant chaque opération d’ingestion et d’inférence. Le Client (ou son auditeur indépendant) se réserve le droit d’effectuer un audit de sécurité informatique in situ ou à distance sur simple préavis de cinq (5) jours ouvrés.

XX.6 — Reconstitution, destruction des index et fin de contrat À la résiliation du contrat pour quelque cause que ce soit, le Prestataire s’engage à procéder à la destruction certifiée de tous les index vectoriels, bases de données ChromaDB et fichiers temporaires créés lors de l’exécution du service, et à en fournir l’attestation écrite sous trente (30) jours.

---

3. Grille de comparaison : DPA SaaS Cloud vs Contrat Yevi Core v1.0

Obligation Contractuelle Art. 28	CGU Standard SaaS Cloud (ChatGPT / Copilot)	Engagement Contractuel Yevi Core v1.0
Garantie 0 ré-entraînement	⚠️ Option payante soumise à CGU évolutives	✅ Garantie contractuelle & technique absolue
Résidence locale stricte (0 WAN)	❌ Transfert transfrontalier sur cloud US	✅ 100% On-Premise (Infrastructures Client)
Inopposabilité du US CLOUD Act	❌ Inopposable (Maison-mère soumise aux USA)	✅ Complètement inopposable (0 brique US)
Droit d’audit in situ par le DPO	❌ Refusé (Audits uniquement via rapports SOC2)	✅ Droit d’audit in situ garanti dans le contrat
Remise des logs d’audit JSONL	❌ Registres fermés propriétaires	✅ Logs JSONL scellés remis au client

---

4. Comment Yevi Core v1.0 simplifie la validation DPO

Grâce à sa licence Open Source (Licence MIT) et à son modèle de déploiement Bring Your Own Host (BYOH), l’intégration de Yevi Core v1.0 s’effectue sans aucune fiction juridique :

• Le client est 100 % propriétaire de ses données et de ses index vectoriels.
• Aucun contrat d’abonnement cloud n’est souscrit auprès d’un tiers américain.
• Le DPA se limite à la prestation de service d’intégration et de MCO applicatif par Odoun AI.

Pour consulter les modèles de contrats et les spécifications d’intégration sur votre infrastructure, visitez notre page Offres & Prestations.

---

🎯 Prochaine étape pour votre Direction Juridique et DPO

• 🎯 Demander le kit complet de conformité DPO & une démo personnalisée (30 min)
• 📦 Consulter les formules d’intégration (POC 14 jours & MCO) sur la page Prestations
• 💻 Accéder au code source transparent de Yevi Core v1.0 sur GitHub (Licence MIT)