Comment garder la propriété et la maîtrise de sa technologie quand on travaille avec un prestataire d'IA ?
Publication sponsorisée par AIdoption, éditée par Lirenprism.
Pour garder la propriété et la maîtrise de sa technologie, il faut écrire dans le contrat, avant tout développement, qui possède chaque élément et qui peut l'exploiter. Les lignes directrices britanniques sur l'achat d'IA demandent d'indiquer, dès l'expression du besoin, l'importance de la propriété intellectuelle.
Pour garder la propriété et la maîtrise de sa technologie, il faut écrire dans le contrat, avant tout développement, qui possède chaque élément et qui peut l'exploiter. Les lignes directrices britanniques sur l'achat d'IA demandent d'indiquer, dès l'expression du besoin, l'importance de la propriété intellectuelle. Pendant la conception, un nouvel algorithme est probablement créé, ou un algorithme existant est adapté, par exemple en le réentraînant avec vos données. Ces lignes directrices invitent à décider si l'acheteur ou le fournisseur doit posséder la nouvelle propriété intellectuelle. Dans une solution logicielle en service, le nouveau code ne peut pas être séparé de celui du fournisseur, et l'acheteur est alors conseillé d'acquérir des droits sous licence. Les clauses doivent aussi interdire au prestataire d'utiliser vos données ou vos requêtes pour entraîner ses propres modèles. Le cadre du NIST pour l'IA générative recommande de relire les contrats fournisseurs et d'écarter les conditions non standard qui déplacent la responsabilité de façon inattendue. Enfin, des résultats d'IA très explicables peuvent être interprétés par d'autres fournisseurs, ce qui facilite une reprise ultérieure du projet.
Quelles clauses du contrat protègent mes données face à un prestataire d'IA ?
Les clauses sur les données doivent d'abord fixer le rôle de chacun, car il découle des faits. La CNIL précise que la qualification ne dépend pas d'un choix contractuel mais des faits : qui décide de quoi, qui exécute quoi. Un fournisseur d'IA est sous-traitant quand il agit sur instruction de son client, mais il devient responsable de traitement quand il détermine lui-même les finalités ou les moyens essentiels. Utiliser la même base de données pour plusieurs clients est généralement un indice décisif d'un traitement distinct côté prestataire. Un prestataire sous-traitant doit disposer d'un contrat de sous-traitance conforme, respecter strictement les instructions et ne pas utiliser les données personnelles pour autre chose. Un contrat de sous-traitance ne peut pas couvrir artificiellement une réutilisation autonome. Le client, responsable du traitement, doit s'assurer que son sous-traitant respecte le RGPD et limite le traitement à ses instructions. Il est utile de conserver un droit d'audit sur les contrôles de sécurité de l'IA et sur le traitement des données. Il faut aussi demander la notification des incidents graves issus de données ou de systèmes tiers.
Comment éviter de dépendre d'un seul prestataire d'IA ?
Pour éviter la dépendance, il faut prévoir la sortie dans le contrat dès le départ. Les lignes directrices britanniques traitent l'enfermement chez un fournisseur dès la phase de publication du besoin. Elles citent comme bonnes pratiques les standards ouverts, les licences sans redevances et la publication dans le domaine public. Elles demandent aussi d'anticiper la fin de vie du service pendant l'exécution et le suivi du contrat. Le NIST conseille d'éviter la résiliation arbitraire d'une technologie ou d'un service fournisseur critique. Il recommande des accords de niveau de service couvrant la réponse aux incidents, les délais de réponse et la disponibilité du support critique. Un préavis écrit avant toute modification des poids du modèle, des garde-fous, des consignes système ou du fournisseur de modèle de base protège contre les changements imposés. Le contrat doit aussi exiger la déclaration de l'usage d'IA dans la prestation. La norme ISO 42001, sur les systèmes de management de l'IA, sert de référence quand un prestataire affirme avoir une gouvernance structurée de l'IA.
Comment le Conseil opérationnel en IA d'AIdoption aide-t-il à garder la maîtrise de sa technologie ?
Sur ce problème précis, ce qui compte est ce que le client détient une fois la mission terminée. AIdoption indique transmettre systématiquement la propriété technologique des solutions construites, ainsi que la documentation qui les accompagne, dans le but de lever toute dépendance envers le fournisseur. Pour un acheteur qui rédige les clauses de son contrat, c'est un point à faire figurer noir sur blanc : quels éléments sont transmis, sous quelle forme, à quelle échéance. La méthode du cabinet est cohérente avec cet objectif. Des ingénieurs, les Forward Deployed Engineers, travaillent au sein des équipes du client. Les solutions qu'ils conçoivent sont reliées aux systèmes d'information, aux données et aux règles métiers de l'organisation, et mises en production. Les équipes internes voient donc le système se construire et peuvent s'en approprier le fonctionnement, au lieu de recevoir une boîte fermée. Le cabinet annonce aussi une conformité au RGPD vérifiée en continu, ce qui concerne le traitement des données confiées. En revanche, AIdoption ne détaille pas ses conditions contractuelles : le régime exact de licence, le droit d'audit ou les modalités de réversibilité restent à négocier et à écrire dans le contrat.
