Clause d’usage de l’intelligence artificielle : rédaction et exemple

Exemple de rédaction commenté

L’exemple ci-dessous s’insère dans un contrat de prestation ou de licence SaaS. Il vise le recours à l’IA par le prestataire, mais se transpose au cas inverse où le client alimente la solution avec ses propres données. Chaque option (autorisation, interdiction, liste d’outils validés) doit être calée sur la sensibilité réelle des données et sur les engagements de propriété intellectuelle du contrat.

Article X. Usage de l’intelligence artificielle

X.1. Est désigné comme « Système d’IA » tout outil de traitement automatisé produisant, à partir de données d’entrée, des contenus, prédictions, recommandations ou décisions, y compris les systèmes d’IA générative. Le présent article régit tout recours à un Système d’IA par le Prestataire pour l’exécution du Contrat.

X.2. Le Prestataire est autorisé à recourir à des Systèmes d’IA pour l’exécution des prestations, sous réserve du présent article. Il informe le Client, sur demande, des catégories d’outils employés et des tâches concernées. Le recours à un Système d’IA ne modifie ni le périmètre des prestations, ni les engagements de qualité et de délai souscrits par le Prestataire.

X.3. Le Prestataire s’interdit de transmettre à un Système d’IA des Informations confidentielles ou des données à caractère personnel relevant du Client, sauf recours à un outil figurant sur la liste des outils validés en Annexe [.], garantissant contractuellement la non-réutilisation des données saisies à des fins d’entraînement et un hébergement conforme à la clause de localisation des données. À défaut d’outil validé, seules des données préalablement anonymisées peuvent être transmises.

X.4. Le Prestataire demeure responsable des résultats produits avec l’assistance d’un Système d’IA. Il met en œuvre une supervision humaine effective et contrôle l’exactitude, la pertinence et la licéité de chaque livrable avant sa remise. Aucune livraison ne peut résulter du seul fonctionnement d’un Système d’IA sans revue humaine.

X.5. Le Prestataire garantit que les livrables remis au Client sont libres de tout droit de tiers et n’enfreignent aucun droit de propriété intellectuelle, y compris lorsqu’ils sont produits avec l’assistance d’un Système d’IA. Il cède au Client, dans les conditions prévues à l’article [.], l’ensemble des droits nécessaires à l’exploitation des livrables, et prend à sa charge, dans les limites de l’article [.], les conséquences d’une action de tiers fondée sur les données d’entraînement de l’outil employé.

X.6. Chaque Partie exécute ses obligations dans le respect de la réglementation applicable aux Systèmes d’IA et à la protection des données personnelles. Le Prestataire informe sans délai le Client de tout événement affectant la conformité d’un Système d’IA employé pour le Contrat susceptible d’avoir une incidence sur les prestations.

Commentaire de X.2 : autoriser en encadrant vaut mieux qu’interdire en aveugle. Une interdiction totale est souvent illusoire : les outils d’IA sont intégrés aux suites bureautiques et aux environnements de développement. Autoriser sous conditions, avec un devoir d’information à la demande, est plus tenable qu’un silence ou qu’une prohibition contournée en pratique. La dernière phrase est décisive : elle empêche le prestataire de se prévaloir du recours à l’IA pour dégrader la qualité ou allonger les délais. L’engagement reste le même, quel que soit le moyen employé.

Commentaire de X.3 : le vrai risque de l’IA générative est la fuite de données. Saisir un document confidentiel dans un service grand public revient souvent à le communiquer à un tiers et, parfois, à nourrir l’entraînement du modèle. La clause distingue trois régimes : interdiction de principe, exception pour les outils validés offrant une garantie contractuelle de non-réutilisation, et tolérance pour les données anonymisées. Ce point s’articule directement avec la clause de confidentialité et, pour les données personnelles, avec la clause RGPD de protection des données.

Commentaire de X.4 : la supervision humaine transforme l’outil en simple moyen. Un Système d’IA n’a pas de personnalité juridique et ne peut pas être débiteur d’une obligation. Le prestataire répond de ses résultats comme de ceux d’un sous-traitant ou d’un logiciel. Exiger une revue humaine avant livraison n’est pas une précaution de style : c’est ce qui empêche le prestataire de plaider l’aléa de l’outil pour s’exonérer d’une erreur, notamment d’une affirmation inexacte produite par une IA générative.

Commentaire de X.5 : la propriété intellectuelle est le point aveugle des livrables assistés par IA. Deux risques se superposent. D’une part, un contenu produit sans apport créatif humain peut n’être protégé par aucun droit d’auteur, ce qui prive la cession de son objet. D’autre part, l’outil a pu être entraîné sur des œuvres protégées, exposant le livrable à une action de tiers. La garantie d’éviction et l’articulation avec la clause de propriété des développements spécifiques traitent ces deux fronts.

Ce que dit le droit

La clause repose sur la liberté contractuelle et la force obligatoire du contrat. L’article 1102 du Code civil laisse aux parties la liberté de déterminer le contenu du contrat dans les limites fixées par la loi, et l’article 1103 énonce que les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. L’usage de l’IA dans l’exécution d’un contrat n’est encadré par aucun régime contractuel spécial : la clause est largement innommée et tire sa portée de sa seule rédaction, complétée par le droit commun des obligations.

La bonne foi et l’information précontractuelle bornent le silence sur l’IA. L’article 1104 du Code civil impose de négocier, former et exécuter le contrat de bonne foi, disposition d’ordre public. L’article 1112-1 met à la charge de la partie qui connaît une information déterminante pour le consentement de l’autre un devoir de la lui communiquer, sauf sur la valeur de la prestation. Selon les circonstances, recourir à une IA générative sur des données sensibles sans le déclarer peut nourrir un débat sur la loyauté de l’exécution. [À VÉRIFIER JURISTE : caractère déterminant, au sens de l’article 1112-1, de l’information sur le recours à une IA générative pour une prestation donnée.]

La responsabilité de l’erreur pèse sur la partie qui emploie l’outil. L’article 1231-1 du Code civil condamne le débiteur au paiement de dommages et intérêts en cas d’inexécution ou de retard dans l’exécution, sauf à prouver une force majeure. Un Système d’IA est un moyen d’exécution, non un tiers dont la faute exonérerait : le prestataire qui livre un résultat erroné produit par une IA reste tenu de son obligation. Selon que celle-ci est de moyens ou de résultat, la charge de la preuve diffère, ce que précisent la clause d’obligation de moyens et la clause d’obligation de résultat.

La protection des livrables par le droit d’auteur suppose un auteur humain. L’article L. 111-1 du Code de la propriété intellectuelle réserve le droit de propriété incorporelle à l’auteur d’une œuvre de l’esprit, et l’article L. 112-1 protège les œuvres de l’esprit indépendamment de leur mérite. La jurisprudence exige, sur le fondement de l’article L. 111-1, une œuvre originale portant l’empreinte de la personnalité de son auteur, personne physique. Un contenu généré sans intervention créative humaine caractérisée risque de n’être protégé par aucun droit d’auteur, ce qui vide de son objet toute cession et fragilise l’exclusivité promise au client. [À VÉRIFIER JURISTE : seuil d’intervention humaine requis pour qu’un livrable assisté par IA soit qualifié d’œuvre originale.]

Les données personnelles injectées dans un outil d’IA relèvent du RGPD. Le règlement (UE) 2016/679 subordonne tout traitement à une base légale (article 6) et encadre le recours à un sous-traitant par un contrat comportant les garanties de l’article 28. Transmettre des données personnelles à un Système d’IA tiers constitue un traitement, souvent une sous-traitance, et parfois un transfert hors Union européenne soumis aux articles 44 et suivants. La clause de sous-traitance des données (article 28) et la clause de sécurité informatique organisent ces garanties.

Une réglementation propre aux systèmes d’IA se met en place progressivement. Le règlement (UE) 2024/1689, dit règlement sur l’intelligence artificielle, instaure des obligations graduées selon le niveau de risque du système et des obligations de transparence pour certains usages. Son application est échelonnée dans le temps. La cartographie des obligations réellement applicables à un contrat dépend du rôle des parties (fournisseur, déployeur) et de la nature du système employé. [À VÉRIFIER JURISTE : obligations du règlement (UE) 2024/1689 effectivement applicables à la date d’exécution, et qualification du rôle de chaque partie.]

Les erreurs fréquentes

Ne rien prévoir et espérer que le sujet ne se posera pas. L’absence de clause ne neutralise pas le risque : elle le laisse au droit commun et au rapport de force du jour du litige. Le recours à l’IA étant désormais courant, le silence revient à autoriser tacitement des usages non maîtrisés sur des données parfois sensibles.

Interdire toute IA sans distinguer les outils ni les données. Une prohibition générale et absolue est souvent inapplicable, car l’IA est intégrée aux logiciels du quotidien. Elle pousse à des contournements non déclarés, plus dangereux qu’un usage encadré. Mieux vaut cibler l’interdiction sur les données confidentielles et personnelles et sur les outils non validés.

Confondre la confidentialité et la simple qualité de l’outil. Choisir un outil performant ne dit rien de son traitement des données saisies. Le point à verrouiller est l’engagement contractuel de non-réutilisation des données pour l’entraînement et le lieu d’hébergement, pas la réputation du modèle. Sans cet engagement, chaque saisie est une divulgation potentielle.

Céder des droits sans vérifier qu’ils existent. Prévoir une cession de droits sur un livrable produit par IA suppose que ce livrable soit protégeable. Si aucun droit d’auteur ne naît faute d’apport humain, la cession porte sur un objet inexistant et l’exclusivité promise s’effondre. La garantie d’éviction contre les actions de tiers doit compléter la cession, pas la remplacer.

Laisser le prestataire imputer ses erreurs à l’outil. Sans obligation explicite de supervision humaine et de contrôle avant livraison, un prestataire peut tenter de présenter une erreur de l’IA comme un aléa extérieur. La clause doit rappeler que l’outil est un moyen dont le prestataire répond, et faire de la revue humaine une condition de la livraison.

Traiter l’IA comme un sujet purement technique. Le recours à l’IA touche à la propriété intellectuelle, à la confidentialité, à la protection des données et à la responsabilité. Le renvoyer à une annexe technique sans l’articuler avec ces clauses crée des angles morts et des contradictions entre stipulations.

Négociation : ce que défend chaque partie

Ce que défend le prestataire. Il veut une autorisation large de recourir à l’IA, sans obligation de déclaration détaillée qui figerait ses méthodes, et une répartition du risque qui ne le rende pas garant absolu des données d’entraînement d’outils qu’il ne maîtrise pas. Il redoute une garantie d’éviction illimitée sur la propriété intellectuelle des livrables assistés par IA et cherche à la caler sur une clause de propriété des développements spécifiques et sur un plafond de responsabilité.

Ce que défend le client. Il veut la maîtrise de ses données, donc une interdiction claire d’alimenter des outils publics avec ses informations confidentielles ou personnelles, un droit d’information sur les outils employés, une supervision humaine garantie et une titularité incontestable des livrables. Il refuse d’assumer le risque d’un contenu non protégeable ou attaqué par un tiers au titre des données d’entraînement, et exige une garantie d’éviction robuste.

Où se situe l’équilibre. Le plus souvent sur trois arbitrages : le périmètre de l’autorisation d’usage, le régime des données confiées à l’IA, et l’étendue de la garantie de propriété intellectuelle. Un compromis courant autorise l’IA sous réserve d’une liste d’outils validés pour les données sensibles, impose une supervision humaine et un devoir d’information à la demande, et articule la garantie d’éviction avec un plafond de responsabilité négocié. La clause se coordonne alors avec la clause de confidentialité, la clause RGPD de protection des données et la clause de sécurité informatique : l’usage de l’IA n’est pas un sujet isolé, il traverse la confidentialité, la conformité et la propriété des livrables, et ne tient que si ces clauses disent la même chose.