Faut-il obtenir les réponses par écrit ?

Oui. Une réponse orale ou une plaquette n'engage pas le fournisseur. Les points sur les données doivent figurer dans le contrat ou ses annexes, comme l'exige l'article 28 du règlement général sur la protection des données pour la sous-traitance.

Ces questions valent-elles pour tous les fournisseurs ?

Oui. Elles s'appliquent à tout fournisseur d'assistant IA, quel que soit son pays ou sa taille.

Fournisseur d'assistant IA : 20 questions sur vos données

Avant de confier vos documents à un assistant IA, posez au fournisseur une vingtaine de questions précises, et demandez les réponses par écrit. Elles portent sur cinq sujets : le rôle de chacun et le contrat, le lieu de traitement, la réutilisation des données, la sécurité et les accès, la fin de contrat. Ces questions valent pour tout fournisseur, ALMA compris.

Chaque question renvoie au texte qui la justifie. Faites relire les réponses par votre délégué à la protection des données ou un avocat.

Le rôle et le contrat

Agissez-vous comme sous-traitant au sens du RGPD (règlement général sur la protection des données) pour nos documents et nos conversations ? La CNIL (Commission nationale de l'informatique et des libertés) demande de qualifier les rôles avant tout.
Pouvez-vous nous transmettre votre contrat de traitement des données avant signature ? L'article 28, paragraphe 3, liste son contenu obligatoire.
Qui sont vos sous-traitants ultérieurs, et dans quels pays ? L'article 28 exige notre autorisation écrite préalable.
Comment serons-nous prévenus d'un nouveau sous-traitant ? Même fondement : le recours à un sous-traitant ultérieur passe par notre autorisation écrite.

Le lieu de traitement

Où sont stockés nos documents, et où sont traitées les questions des utilisateurs ? Les deux peuvent différer.
Y a-t-il un transfert hors de l'Union européenne ? Sur quelle base : décision d'adéquation, clauses contractuelles types de transfert ? Chapitre V du RGPD, articles 44 à 49.
Depuis quels pays vos équipes de support accèdent-elles aux comptes ?

La réutilisation des données

Nos documents, nos questions ou les réponses servent-ils à entraîner ou améliorer un modèle ? La CNIL demande de le vérifier et d'adapter l'usage en conséquence.
Si oui, pouvons-nous l'interdire par contrat ? La CNIL rappelle qu'une autorisation générale et préalable de réutilisation n'est pas légale.
Quel modèle d'IA utilisez-vous, et quelles sont les conditions de son éditeur sur les données qui lui sont envoyées ?

La sécurité et les accès

Peut-on limiter l'accès à certains documents selon les équipes ? Recommandations R8 et R35 de l'ANSSI (Agence nationale de la sécurité des systèmes d'information).
Les données sont-elles chiffrées, au stockage et pendant leur transfert ? L'article 32 du RGPD cite le chiffrement parmi les mesures.
Quels journaux conservez-vous, combien de temps, et qui peut les consulter ? Recommandation R29 de l'ANSSI.
Combien de temps les conversations sont-elles conservées, et peut-on régler cette durée ? Principe de limitation de la conservation, article 5.
Dans quel délai nous prévenez-vous en cas de violation de données ? Article 33 : nous avons en principe 72 heures pour notifier la CNIL.
Pouvez-vous nous aider à répondre à une demande d'accès ou d'effacement d'une personne ? Article 28, paragraphe 3, point e.
Pouvez-vous fournir les informations nécessaires à notre analyse d'impact ? Article 28, paragraphe 3, point f.

La transparence et la fin de contrat

Comment l'assistant indique-t-il aux utilisateurs qu'ils échangent avec une IA ? Obligations de transparence du règlement européen sur l'IA, applicables depuis le 02/08/2026 selon la CNIL.
À la fin du contrat, comment nos données sont-elles supprimées ou restituées, copies et index compris ? Article 28, paragraphe 3, point g.
Quelle documentation de sécurité ou quels rapports d'audit pouvez-vous fournir ? Article 28, paragraphe 3, point h.

Comment utiliser cette liste

Envoyez-la avant la démonstration, pour que le fournisseur prépare des réponses précises.
Notez pour chaque question : réponse écrite, document fourni, point à négocier.
Une réponse floue sur les questions 5, 8 et 19 mérite une relance : ce sont celles qui décident du sort de vos documents.

Si vous étudiez ALMA, la plateforme d'assistants d'IArche qui répondent à partir des documents de l'entreprise, posez-lui ces vingt questions comme à tout autre fournisseur : lisez sa politique de confidentialité, et faites confirmer par écrit les réponses sur l'hébergement, le modèle utilisé et le contrat, à vérifier avec IArche avant de vous engager. Pour le détail des clauses, voyez la page contrat de sous-traitance.