Faut-il obligatoirement utiliser les clauses types de la Commission ?

Non. Selon la CNIL, un contrat qui contient déjà tous les éléments exigés par l'article 28 suffit. Les clauses types de 2021 restent un support utile.

Le fournisseur peut-il réutiliser mes documents pour ses propres besoins ?

Seulement si la réutilisation est compatible avec le traitement initial et si vous l'avez autorisée par écrit. La CNIL précise qu'une autorisation générale et préalable n'est pas légale.

Contrat de sous-traitance RGPD avec un fournisseur d'IA

Quand un fournisseur d'assistant IA traite pour votre compte des documents qui contiennent des données personnelles, il est en principe votre sous-traitant au sens du RGPD (règlement général sur la protection des données). L'article 28 impose alors un contrat écrit avec des clauses précises. Vérifiez-les avant de signer : c'est le seul endroit où les promesses commerciales deviennent des obligations.

Cette fiche résume le texte. La rédaction et la négociation du contrat relèvent de votre délégué à la protection des données ou d'un avocat.

D'abord, qualifier les rôles

La CNIL (Commission nationale de l'informatique et des libertés) demande, dans ses questions-réponses du 18/07/2024 sur l'IA générative, de vous interroger sur votre rôle et celui du fournisseur : responsable de traitement, sous-traitant, ou responsabilité conjointe. C'est aussi la première des six bonnes pratiques qu'elle a publiées le 08/07/2020 après des vérifications auprès de 15 fournisseurs de services informatiques en ligne.

Le sous-traitant est celui qui traite des données « pour le compte » d'un autre organisme. Si le fournisseur décide lui-même de réutiliser vos données pour ses propres fins, il sort de ce rôle pour ce traitement.

Les clauses obligatoires (article 28, paragraphe 3)

Clause	Ce qu'elle doit dire	Traduction pour un assistant IA
a) Instructions	Le sous-traitant ne traite les données que sur instruction documentée	Vos documents servent à répondre à vos équipes, rien d'autre
b) Confidentialité	Les personnes autorisées sont tenues à la confidentialité	Qui, chez le fournisseur, peut voir vos documents et les conversations
c) Sécurité	Mesures de l'article 32 (chiffrement, pseudonymisation, rétablissement après incident…)	Chiffrement de la base, sauvegardes, tests
d) Sous-traitants ultérieurs	Autorisation écrite préalable du client	Hébergeur, prestataire du modèle d'IA, outil de support
e) Droits des personnes	Aide pour répondre aux demandes d'accès, d'effacement…	Pouvoir retrouver et supprimer un document ou une conversation
f) Obligations 32 à 36	Aide pour la sécurité, les violations, l'analyse d'impact	Fourniture des informations pour votre analyse d'impact
g) Fin de contrat	Suppression ou restitution des données, destruction des copies	Inclut l'index de recherche construit à partir de vos fichiers et les journaux
h) Audit	Informations pour démontrer la conformité, audits possibles	Documentation de sécurité, rapports d'audit

L'article 28 ajoute deux règles utiles. Le sous-traitant ne recrute pas d'autre sous-traitant sans votre autorisation écrite préalable (paragraphe 2). S'il le fait, il impose à ce sous-traitant ultérieur les mêmes obligations et « demeure pleinement responsable » envers vous (paragraphe 4).

En cas de violation de données, le sous-traitant doit vous la notifier dans les meilleurs délais (article 33, paragraphe 2). Vous avez vous-même, en principe, 72 heures pour notifier la CNIL lorsque la violation présente un risque (article 33, paragraphe 1). Le contrat doit donc prévoir un délai et un canal d'alerte réalistes.

Les clauses à ajouter pour un assistant IA

Réutilisation pour l'entraînement ou l'amélioration des modèles : écrivez noir sur blanc ce qui est autorisé ou interdit. La CNIL rappelle qu'une autorisation générale et préalable de réutilisation n'est pas légale, et qu'une autorisation doit être écrite.
Durée de conservation des conversations et des journaux techniques.
Liste nominative des sous-traitants ultérieurs, avec leur pays.
Lieu de traitement et, en cas de transfert hors Union européenne, la base juridique (voir hébergement en Europe).

Les clauses types de la Commission

La Commission européenne a adopté le 04/06/2021 des clauses contractuelles types entre responsable de traitement et sous-traitant (décision d'exécution 2021/915). La CNIL précise qu'elles ne sont pas obligatoires et qu'on ne peut pas les modifier, sauf leurs annexes ; on peut en revanche ajouter des garanties qui ne les contredisent pas. Elle propose aussi un guide du sous-traitant avec un exemple de clauses.

En pratique

Demandez le contrat de traitement des données (souvent appelé « accord de traitement » ou DPA, de l'anglais data processing agreement) avant la signature commerciale, et relisez-le avec la grille ci-dessus. Les autres questions à poser figurent sur la page questions au fournisseur.