Contrat de sous-traitance (DPA) avec votre fournisseur d’IA : que vérifier ?
En bref
Quand un service d’IA traite des données personnelles pour vous, il est votre sous-traitant, et vous devez conclure un contrat de sous-traitance selon l’article 28 du RGPD. Les grands services proposent un DPA standard dans leurs offres entreprise. Vérifiez surtout : que les données ne sont traitées que sur vos instructions (pas d’entraînement), où elles sont traitées et sur quelle base elles sont transférées, les sous-traitants ultérieurs, la suppression et la sécurité. Les offres gratuites et personnelles n’ont en général aucun contrat.
Où en sont les grands services ?
| Service | Offres | Entraînement sur vos données ? | Données dans l’UE ? | Contrat de sous-traitance ? | Connecteurs personnalisés ? |
|---|---|---|---|---|---|
| ChatGPT OpenAI, États-Unis | Business (anciennement Team) et Enterprise | Non. Par défaut, les données de l’entreprise ne servent pas à l’entraînement. | Enterprise uniquement : les nouveaux workspaces peuvent faire stocker et traiter leurs données dans l’UE. Pas Business. | Oui. Le contrat de sous-traitance fait partie du contrat (OpenAI Ireland pour les clients de l’UE). | Oui. Connecteurs personnalisés via le mode développeur ; un administrateur l’active. |
| Claude Anthropic, États-Unis | Team et Enterprise | Non. Les données ne servent pas à l’entraînement, sauf si l’entreprise l’accepte elle-même. | Non. Les données sont stockées aux États-Unis ; aucun stockage dans l’UE n’est proposé. | Oui. Le contrat de sous-traitance est automatiquement inclus dans les conditions commerciales. | Oui. Un propriétaire ajoute des connecteurs personnalisés pour toute l’organisation. |
| Microsoft 365 Copilot Microsoft, États-Unis | Option de Microsoft 365 pour les entreprises | Non. Les prompts, les réponses et les données de l’entreprise ne servent pas à l’entraînement. | Oui, dans l’EU Data Boundary. Mais pour les nouveaux clients de l’UE, des requêtes peuvent être traitées hors de l’UE en cas de pic de charge (flex routing) ; cette option peut être désactivée. | Oui. Couvert par les conditions des produits et le contrat de sous-traitance de Microsoft. | Oui, via des agents dans Copilot Studio. Licence requise non confirmée. |
| Vibe (tidl. Le Chat) Mistral AI, France | Pro, Team et Enterprise | Pro et Team : oui par défaut ; un administrateur doit le désactiver. Enterprise : non. | Serveurs dans l’UE (Suède). Certaines fonctions peuvent envoyer des données hors de l’UE ; seule l’offre Enterprise permet de le désactiver. | Oui. Non confirmé pour les offres Pro et Team. | Oui. Un administrateur peut ajouter des connecteurs personnalisés. |
| Gemini i Google Workspace Google, États-Unis | Workspace Business et Enterprise | Non. Les données et prompts Workspace ne servent pas à l’entraînement sans autorisation. | Stockage et traitement dans l’UE uniquement avec Enterprise Plus ou l’option Data Regions. Business : stockage uniquement. | Oui. Un administrateur doit l’accepter dans la console d’administration s’il ne fait pas déjà partie du contrat. | Non confirmé pour Gemini dans Workspace. |
Vérifié le 9 octobre 2026. Les offres gratuites et personnelles (ChatGPT Free/Plus, Claude Free/Pro, application Gemini, Vibe Free) n’ont pas de contrat de sous-traitance et peuvent s’entraîner sur les données. Elles ne conviennent pas aux données personnelles de l’entreprise.
Le piège : l’IA cachée dans vos autres outils
Beaucoup d’outils ont ajouté des fonctions d’IA – CRM, comptabilité, messagerie. Vérifiez que le contrat couvre aussi la fonction d’IA et si elle envoie des données à un sous-traitant ultérieur comme OpenAI ou Anthropic.
Comment faire
- Instructions.Les données servent uniquement à vous fournir le service – pas à l’entraînement.
- Lieu et transfert.Où les données sont-elles traitées, et sur quelle base ?
- Sous-traitants ultérieurs.Qui sont-ils, et comment êtes-vous prévenu des changements ?
- Suppression et conservation.Combien de temps les prompts et les réponses sont-ils conservés ?
- Sécurité et violations.Quelles mesures, et sous quel délai êtes-vous prévenu d’une violation ?
Ce que dit la loi
- Article 28 du RGPD – sous-traitant
- Le paragraphe 3 liste ce que le contrat doit contenir.
- Clauses contractuelles types de la Commission (2021/915) – article 28
- Clauses types utilisables comme contrat de sous-traitance.
Questions et réponses
ChatGPT propose-t-il un contrat de sous-traitance ?
Oui, dans les offres Business et Enterprise. Pour les clients de l’UE, il est conclu avec OpenAI Ireland.
Faut-il signer quelque chose chez Anthropic ?
Le contrat de sous-traitance fait automatiquement partie des conditions commerciales d’Anthropic.
GoalCube est-il sous-traitant ?
Oui. GoalCube traite des données personnelles pour vous dans l’UE et conclut un contrat de sous-traitance. Le service d’IA ne reçoit que des pseudonymes.
Sources
Rédigé par La rédaction GoalCube. Dernière mise à jour 11 octobre 2026. GoalCube vous aide à respecter l’AI Act et le RGPD. Ce n’est pas un conseil juridique.
Soyez parmi les premiers.
Le lancement est prévu en novembre 2026. Inscrivez-vous : nous vous contacterons dès que vous pourrez commencer.