Vue d'ensemble
Lors de l'utilisation de services cloud d'IA externes (par exemple API LLM, plateformes ML, services d'hébergement), une sous-traitance au sens de l'art. 28 RGPD s'applique régulièrement.
Dans ce cas, un contrat de sous-traitance est requis, qui doit contenir certains contenus minimaux. Avec les services d'IA, des spécificités supplémentaires se posent -- notamment concernant l'utilisation des données d'entraînement, l'amélioration du modèle et les chaînes de sous-traitants.
Cette liste de contrôle sert d'aide à l'examen structuré pour les organisations.
Note
La conception spécifique d'un contrat de sous-traitance dépend du cas individuel et devrait être examinée par un conseiller juridique.
Liste de contrôle sous-traitance (art. 28 RGPD)
1. Structure de base du contrat
A) Objet et durée
- L'objet du traitement est-il clairement décrit ?
- La durée est-elle définie ?
- La finalité est-elle précisément indiquée (par exemple « hébergement d'un chatbot IA ») ?
B) Nature et finalité du traitement
- Quelles étapes de traitement sont effectuées (stockage, entraînement, inférence) ?
- Une amélioration du modèle a-t-elle lieu ?
- Une journalisation ou une analyse des prompts est-elle effectuée ?
C) Catégories de données à caractère personnel
- Données clients
- Données de candidature
- Données de santé
- Données d'utilisation
- Catégories sensibles (art. 9 RGPD) ?
D) Catégories de personnes concernées
- Clients
- Employés
- Candidats
- Patients
- Autres
2. Obligation de suivre les instructions
- L'obligation de suivre les instructions est-elle clairement réglementée ?
- Les instructions sont-elles documentables ?
- Existe-t-il une procédure de modification des instructions ?
Erreur typique
Des finalités de traitement floues ou trop larges peuvent compromettre l'obligation de suivre les instructions.
3. Confidentialité
- Obligation de confidentialité pour les employés ?
- Restrictions d'accès définies ?
- Concepts de rôles en place ?
4. Mesures techniques et organisationnelles (MTO)
- Chiffrement (en transit / au repos)
- Contrôle d'accès
- Journalisation
- Processus de réponse aux incidents
- Mécanismes de sauvegarde et de restauration
- Protection contre la manipulation du modèle
Les MTO sont-elles décrites concrètement en annexe ?
5. Sous-traitants ultérieurs
- Des sous-traitants ultérieurs sont-ils utilisés ?
- Une liste complète existe-t-elle ?
- Existe-t-il un droit d'opposition en cas de changements ?
- Les sous-traitants ultérieurs sont-ils contractuellement liés à des standards équivalents ?
Chaînes de sous-traitants
Avec les services cloud d'IA, des chaînes de sous-traitants à plusieurs niveaux peuvent exister. La transparence est ici particulièrement importante.
6. Transferts vers des pays tiers
- Le traitement a-t-il lieu en dehors de l'UE/EEE ?
- Une certification DPF existe-t-elle ?
- Des clauses contractuelles types (CCT) ont-elles été conclues ?
- Une évaluation d'impact du transfert a-t-elle été réalisée ?
7. Soutien aux droits des personnes concernées
- Le prestataire soutient-il les demandes d'accès ?
- Des mécanismes d'effacement sont-ils définis ?
- Les données peuvent-elles être retirées des jeux de données d'entraînement ?
- Un soutien pour les procédures d'opposition est-il prévu ?
8. Utilisation des données d'entraînement et amélioration du modèle (spécifique IA)
- Les données clients sont-elles utilisées pour l'entraînement du modèle ?
- L'utilisation se fait-elle uniquement sous forme anonymisée/pseudonymisée ?
- L'utilisation à des fins d'entraînement peut-elle être désactivée ?
- La finalité est-elle réglementée de manière transparente ?
Amélioration du modèle
L'utilisation de données clients pour l'amélioration du modèle peut constituer un traitement distinct.
9. Journalisation API et stockage des données
- Les prompts sont-ils stockés ?
- Les résultats sont-ils stockés ?
- Quelle est la durée de stockage ?
- Les délais de conservation sont-ils définis ?
10. Droits d'audit et de contrôle
- Un droit d'audit existe-t-il ?
- Des certifications sont-elles fournies (par exemple ISO) ?
- Un processus d'audit est-il défini ?
11. Suppression et restitution des données
- Les données sont-elles supprimées ou restituées après la fin du contrat ?
- Le processus de suppression est-il documenté ?
- Existe-t-il des preuves de suppression ?
12. Gestion des incidents
- Une obligation de signalement des incidents de protection des données est-elle réglementée ?
- Des délais sont-ils définis ?
- Des obligations de coopération sont-elles convenues ?
Matrice de contrôle compacte
| Point de contrôle | Rempli (Oui/Non) | Actions requises |
|---|---|---|
| Contrat de sous-traitance conclu | ||
| MTO spécifiées | ||
| Sous-traitants examinés | ||
| Transferts vers des pays tiers réglementés | ||
| Utilisation des données d'entraînement clairement réglementée | ||
| Soutien aux droits des personnes concernées assuré |
Sources d'erreur typiques
| Erreur | Risque |
|---|---|
| Pas de contrat de sous-traitance pour l'utilisation d'API | Violation du RGPD |
| Utilisation floue des données d'entraînement | Problème de limitation des finalités |
| CCT/TIA manquantes | Violation de transfert vers un pays tiers |
| Pas de droit d'audit | Perte de contrôle |
| Pas de disposition claire de suppression | Violation de la responsabilité |
Recommandation pratique
Avant de déployer un service cloud d'IA, vous devriez :
- Effectuer une clarification des rôles (responsable de traitement vs. sous-traitant).
- Examiner ou renégocier le contrat de sous-traitance.
- Analyser intégralement la chaîne de sous-traitants.
- Documenter les transferts vers des pays tiers.
- Régler contractuellement et clairement l'utilisation des données d'entraînement.
Besoin d'aide pour la mise en œuvre ?
Collaborez avec Creativate AI Studio pour concevoir, valider et implémenter des systèmes d'IA — techniquement solides, conformes et prêts pour la production.
Besoin de clarté juridique ?
Pour des questions juridiques spécifiques sur la Loi sur l'IA et le RGPD, un conseil juridique spécialisé en réglementation de l'IA, protection des données et structures de conformité est disponible.
Conseil juridique indépendant. Aucune information juridique automatisée. La plateforme ai-playbook.eu ne fournit pas de conseil juridique.
Vous ne savez pas où vous en êtes ?
Si votre cas d'utilisation de l'IA ne s'inscrit pas clairement dans une catégorie, envoyez-nous une brève description — nous vous orienterons dans la bonne direction.
Prochaines étapes
- Examinez les contrats cloud d'IA existants à l'aide de cette liste de contrôle.
- Identifiez les lacunes dans les dispositions relatives aux données d'entraînement ou aux sous-traitants.
- Clarifiez les mécanismes de transfert vers des pays tiers.
- Mettez à jour votre documentation.
- Faites examiner votre contrat de sous-traitance par des experts qualifiés si nécessaire.
Besoin d'aide pour la mise en œuvre ?
Collaborez avec Creativate AI Studio pour concevoir, valider et implémenter des systèmes d'IA — techniquement solides, conformes et prêts pour la production.
Besoin de clarté juridique ?
Pour des questions juridiques spécifiques sur la Loi sur l'IA et le RGPD, un conseil juridique spécialisé en réglementation de l'IA, protection des données et structures de conformité est disponible.
Conseil juridique indépendant. Aucune information juridique automatisée. La plateforme ai-playbook.eu ne fournit pas de conseil juridique.