Question
Fournisseur d'IA : responsable ou sous-traitant ?
Qui décide des finalités et des moyens ? Les exemples de la CNIL pour qualifier un fournisseur d'IA, et les clauses de l'article 28 pour une API.
Mis à jour le
La réponse dépend de qui décide : celui qui fixe la finalité et les moyens essentiels du traitement (quelles données, quelles personnes, combien de temps) est responsable de traitement ; celui qui traite les données pour le compte d'un autre, sur ses instructions, est sous-traitant. Quand deux organismes décident ensemble, ils sont responsables conjoints. La CNIL (Commission nationale de l'informatique et des libertés) rappelle dans sa fiche du 08/04/2024 que cette qualification « doit faire l'objet d'une analyse au cas par cas », traitement par traitement. Un même fournisseur peut donc être sous-traitant pour un service et responsable pour un autre.
Les situations décrites par la CNIL
| Situation | Qualification indiquée par la CNIL |
|---|---|
| Un fournisseur constitue sa base d'entraînement avec des données qu'il a choisies, pour son propre compte | Responsable de traitement |
| Il confie la constitution de la base à un prestataire avec des instructions documentées précises (sources, catégories, qualité) | Le prestataire agit « vraisemblablement » comme sous-traitant |
| Un prestataire constitue de sa propre initiative un jeu de données qu'il réutilise pour plusieurs clients | Responsable de ce jeu ; la réutilisation pour plusieurs clients est « généralement un indice décisif » |
| Un fournisseur développe un système pour un client, qui fixe finalité et moyens | Le client est responsable, le fournisseur peut être sous-traitant |
| Une plateforme réutilise les données de ses clients pour entraîner un système de recommandation | Responsable de ce nouveau traitement |
| Un fournisseur d'agent conversationnel entraîne son modèle sur des données publiques d'internet | Responsable de cette réutilisation |
| Un fournisseur affine (fine-tuning) un modèle pré-entraîné avec un jeu qu'il a constitué | Responsable de traitement |
| Plusieurs hôpitaux entraînent ensemble un système par apprentissage fédéré, selon un protocole commun | Responsables conjoints |
Le cas de l'entreprise qui appelle une API (interface de programmation)
Dans ses questions-réponses du 18/07/2024 sur l'IA générative, la CNIL demande au déployeur de « s'interroger sur son rôle et celui du fournisseur ». Trois points en ressortent pour une équipe technique :
- Avec une API, la maîtrise du système est « quasi exclusivement dans les mains du fournisseur ». La CNIL recommande d'être « particulièrement vigilant » sur les données envoyées, en évitant autant que possible d'y mettre des données personnelles (voir pseudonymiser avant l'envoi).
- Vérifiez si le fournisseur réutilise les données d'usage pour entraîner ses modèles, et désactivez cette possibilité quand elle existe. S'il réutilise, il agit pour son propre compte sur ce point.
- Si vous affinez le modèle avec vos propres données, vous devenez responsable de cet affinage.
Quand vous branchez le système sur votre propre base de connaissances (un RAG, génération augmentée par récupération), vous êtes aussi responsable de ce traitement si elle contient des données personnelles.
Ce que le contrat de sous-traitance doit contenir
Quand le fournisseur est sous-traitant, l'article 28 du RGPD (règlement général sur la protection des données) impose un contrat qui fixe l'objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes. Le sous-traitant doit notamment s'y engager à :
| Clause (art. 28, §3) | Ce qu'un développeur vérifie dans l'accord du fournisseur d'API |
|---|---|
| a) Traiter sur instruction documentée, y compris pour les transferts hors de l'Union européenne | Les données envoyées servent-elles à autre chose que la réponse (entraînement, amélioration) ? |
| b) Confidentialité des personnes autorisées | Qui, chez le fournisseur, peut lire les requêtes et dans quel cas ? |
| c) Mesures de sécurité de l'article 32 | Chiffrement, cloisonnement, journalisation décrits |
| d) Règles pour recruter un sous-traitant ultérieur | Liste des sous-traitants, préavis en cas de changement |
| e) Aide à l'exercice des droits | Peut-on retrouver et supprimer les données d'une personne ? |
| f) Aide pour la sécurité, les violations, l'analyse d'impact | Délai d'alerte en cas d'incident |
| g) Suppression ou restitution en fin de prestation | Durée de conservation des requêtes et des journaux |
| h) Informations et audits | Rapports d'audit disponibles, droit d'audit |
L'article 28 exige aussi une autorisation écrite, spécifique ou générale, pour tout sous-traitant ultérieur ; en cas d'autorisation générale, le fournisseur doit vous informer des ajouts ou remplacements pour que vous puissiez vous y opposer.
Le sujet du contrat vu du côté de l'entreprise qui équipe ses équipes est traité dans le contrat de sous-traitance pour un assistant IA ; le cas d'un revendeur en marque blanche dans responsable ou sous-traitant.
Les responsables conjoints
S'ils décident ensemble, les organismes doivent répartir leurs obligations dans un accord qui dit « qui fait quoi ». La personne concernée peut exercer ses droits auprès de chacun d'eux, quel que soit cet accord.
Cette page résume les recommandations de la CNIL. La qualification d'un montage précis se fait avec votre délégué à la protection des données ou un avocat.
Questions fréquentes
Un fournisseur qui réutilise les données de ses clients pour améliorer son modèle reste-t-il sous-traitant ?
Pas pour cette réutilisation. Dans l'exemple de la CNIL, la plateforme qui réutilise les données de ses clients pour entraîner son système de recommandation est responsable de ce nouveau traitement.
Si j'affine un modèle avec mes propres données, quel est mon rôle ?
La CNIL indique que le déployeur qui affine un modèle avec ses propres données devient responsable de cet affinage, et peut aussi devenir fournisseur au sens du règlement européen sur l'IA.
Sources
Pages consultées pour écrire cet article :