Sous-traitance et IA : ce qu'il faut écrire dans vos contrats

Pourquoi le contrat de sous-traitance devient un sujet brûlant avec l'IA

Vous confiez la rédaction de vos newsletters à un rédacteur freelance. Ce rédacteur, lui, utilise ChatGPT pour produire les textes. Une information fausse se glisse dans l'un d'eux. Le client se retourne contre vous. Qui est responsable ?

Sans clause contractuelle précise, la réponse est simple : vous. En tant que donneur d'ordre, vous restez l'interlocuteur juridique de votre client. Ce que votre sous-traitant fait avec ses outils — IA ou non — ne vous exonère pas automatiquement.

Ce scénario se multiplie à mesure que les outils IA s'intègrent dans les flux de travail des indépendants. La plupart des contrats en circulation n'ont pas été mis à jour pour en tenir compte. C'est un risque silencieux, et souvent évitable.

Ce que la loi dit déjà sur la sous-traitance

Le cadre juridique de la sous-traitance en France repose sur la loi du 31 décembre 1975, qui réglemente principalement le secteur du bâtiment, et sur le droit commun des contrats pour les prestations intellectuelles. Pour les données personnelles, le RGPD impose des obligations précises : tout responsable de traitement doit signer un contrat de sous-traitance avec chaque prestataire qui manipule des données pour son compte.

Sur le même sujet, lisez aussi « ChatGPT et RGPD : ce que vous risquez vraiment en entrant des données clients » et « Rédiger ses contrats et CGV avec l'IA : ce que vous pouvez faire sans avocat ».

Ce contrat doit décrire l'objet, la durée, la nature et la finalité du traitement, ainsi que les obligations du sous-traitant en matière de sécurité et de confidentialité. L'article 28 du RGPD est explicite : sans contrat écrit, le responsable de traitement est en infraction, quelle que soit la taille de sa structure.

Avec l'IA, une couche supplémentaire s'ajoute : le sous-traitant peut lui-même confier des données à un outil IA tiers, devenant ainsi ce que le RGPD appelle un « sous-sous-traitant ». La chaîne de responsabilité remonte jusqu'à vous.

Les cinq clauses à ajouter dès maintenant

1. La clause de déclaration d'usage des outils IA

Votre prestataire doit vous indiquer s'il utilise des outils d'IA générative dans l'exécution de la mission, et lesquels. Ce n'est pas une question de défiance, c'est une question de traçabilité. Sans cette information, vous ne pouvez pas évaluer les risques liés aux données transmises ni aux contenus produits.

Rédigez cette clause ainsi : « Le prestataire s'engage à informer le donneur d'ordre de tout recours à un outil d'intelligence artificielle générative dans l'exécution de la présente mission, en précisant la nature de l'outil et les catégories de données qui lui sont soumises. »

2. La clause de traitement des données personnelles conforme au RGPD

Si votre prestataire accède, même partiellement, à des données de vos clients ou prospects, vous devez formaliser les conditions de ce traitement. La clause doit préciser que le sous-traitant ne peut utiliser ces données qu'aux fins de la mission, qu'il s'interdit de les soumettre à un outil tiers sans accord préalable, et qu'il vous informe sans délai en cas de violation.

3. La clause de responsabilité en cas d'erreur générée par l'IA

Un contenu produit par un outil IA peut contenir une erreur factuelle, une affirmation mensongère ou un emprunt non autorisé à une source tierce. Votre contrat doit préciser qui supporte la responsabilité dans ce cas. La clause peut prévoir que le prestataire garantit la vérification humaine du contenu avant livraison, et qu'il reste responsable des erreurs contenues dans les livrables qu'il vous remet.

4. La clause de propriété intellectuelle sur les livrables IA

Le droit français ne reconnaît pas de droit d'auteur aux œuvres produites sans intervention humaine créative. Un texte entièrement généré par une IA sans retouche significative peut donc tomber dans le domaine public — ou appartenir à l'éditeur de l'outil, selon ses conditions générales. Votre contrat doit préciser que le prestataire garantit disposer des droits nécessaires sur les livrables remis et que leur usage commercial ne vous exposera à aucun recours tiers.

5. La clause de conformité à l'AI Act pour les usages à risque

Le règlement européen sur l'IA classe certains usages comme « à risque limité » ou « à haut risque ». Si votre prestataire utilise l'IA pour produire des contenus qui influencent des décisions (évaluation de clients, scoring, recommandations médicales ou juridiques), il peut tomber sous des obligations de transparence ou de documentation. Votre contrat doit lui imposer de vous informer de tout usage entrant dans ces catégories.

Ce que révèle un audit rapide de vos contrats actuels

Ce que vous devez exiger quand vous êtes le sous-traitant

La relation peut s'inverser : vous êtes le prestataire, votre client est le donneur d'ordre. Dans ce cas, il est dans votre intérêt de formaliser vous-même les conditions de votre usage de l'IA, plutôt que d'attendre que le client vous impose ses propres clauses.

Précisez dans vos CGV ou dans votre contrat de prestation que vous utilisez des outils IA pour certaines tâches, que les livrables font l'objet d'une validation humaine avant remise, et que vous n'injectez dans ces outils aucune donnée personnelle identifiable sans accord explicite du client. Cette transparence anticipée vous protège autant qu'elle rassure.

Elle vous permet aussi de facturer cette plus-value : un prestataire qui sait cadrer juridiquement son usage de l'IA est plus crédible qu'un autre qui improvise.

Faire relire par un juriste : quand c'est nécessaire

La rédaction de ces clauses n'exige pas forcément un avocat pour chaque contrat. Des modèles de clauses RGPD sont disponibles gratuitement sur le site de la CNIL. Pour les clauses IA, des associations professionnelles de freelances commencent à en proposer.

En revanche, dès que vous manipulez des données sensibles (santé, situation financière, mineurs), que votre contrat dépasse quelques milliers d'euros, ou que vous opérez dans un secteur réglementé, une relecture par un juriste spécialisé en droit du numérique est un investissement raisonnable. Le coût d'une heure de conseil reste très inférieur à celui d'un contentieux.

En résumé

Sous-traiter avec de l'IA ou faire appel à un prestataire qui l'utilise ne change pas les règles du jeu juridique — cela les complique. Votre contrat doit nommer les outils, encadrer les données, désigner le responsable en cas d'erreur et clarifier à qui appartiennent les livrables. Cinq clauses bien rédigées suffisent à couvrir l'essentiel. Sans elles, vous portez seul une responsabilité que vous pensiez avoir partagée.