Mise à jour des contrats relatifs à l’IA : les clauses que tout contrat commercial devrait inclure

Si votre entreprise achète, vend ou intègre l’IA dans les produits et services qu’elle propose, vous avez peut-être remarqué que vos modèles de contrats existants n’ont pas été rédigés en tenant compte de cette technologie. Il s’agit là d’une lacune courante et tout à fait compréhensible, car la plupart des contrats commerciaux ont été rédigés pour des logiciels prévisibles qui se comportent toujours de la même manière, et non pour des systèmes qui apprennent, s’adaptent et produisent parfois des résultats inattendus, comme c’est le cas de l’IA. Ce guide explique ce qui change et les clauses qu’il convient de revoir dans vos propres contrats.

Pourquoi les clauses contractuelles standard ne suffisent pas pour l’IA

Les contrats commerciaux traditionnels partent généralement du principe que les logiciels sont déterministes, c’est-à-dire que le code se comporte de manière cohérente et prévisible à partir d’entrées identiques. Les systèmes d’IA, en particulier ceux basés sur l’apprentissage automatique, ne fonctionnent pas nécessairement ainsi. Ils peuvent produire des résultats différents à partir d’entrées similaires, leur comportement peut évoluer au fil du temps à mesure que les modèles sont mis à jour, et ils peuvent parfois générer des résultats tout simplement erronés.

Les clauses de responsabilité adaptées aux achats informatiques traditionnels risquent de s’avérer insuffisantes lorsqu’elles s’appliquent à l’IA, car celle-ci est susceptible de causer des préjudices à grande échelle en cas de défaillance. C’est pourquoi la révision de vos modèles de contrats constitue une véritable mesure de gestion des risques.

Propriété des données et restrictions en matière d’entraînement

L’un des aspects les plus importants à aborder concerne le sort réservé aux données que vous partagez avec un fournisseur d’IA. De nombreux outils d’IA sont conçus pour apprendre à partir des données qui leur sont fournies, ce qui soulève une véritable question : vos informations confidentielles, vos données clients ou vos contenus propriétaires pourraient-ils finir par façonner un modèle utilisé par d’autres clients ?

Il est judicieux de définir clairement la propriété des données d’entrée, des résultats et des données d’entraînement, et d’exiger qu’un système d’IA ne s’entraîne pas sur les informations que vous fournissez, y compris les informations personnelles ou confidentielles, à moins que vous n’ayez donné votre accord écrit explicite. Si votre entreprise traite des données clients sensibles, cette clause mérite une attention particulière, car les conséquences d’une erreur à ce sujet vont bien au-delà du contrat lui-même.

Une clause couvrant cet aspect pourrait être formulée dans les termes suivants, bien qu’elle doive toujours être adaptée à votre situation particulière avec l’avis d’un juriste :

« Le Prestataire s’engage à ne pas utiliser les Données du Client, y compris les données à caractère personnel ou les informations confidentielles fournies par le Client, pour entraîner, affiner ou améliorer de quelque manière que ce soit un modèle ou un système, que ce soit au profit du Client lui-même ou de tout autre client, sans le consentement écrit préalable du Client. »

Responsabilité et indemnisation en cas de préjudice causé par l’IA

Les résultats générés par l’IA pouvant être imprévisibles, les clauses de responsabilité doivent anticiper des scénarios que les contrats logiciels traditionnels ont rarement pris en compte, tels qu’un système d’IA produisant un résultat discriminatoire ou factuellement erroné entraînant une perte financière ou une atteinte à la réputation. Les entreprises qui font appel à l’IA peuvent souhaiter négocier un plafond de responsabilité spécifique pour les préjudices causés par l’IA, éventuellement lié à l’assurance responsabilité civile professionnelle du fournisseur, tandis que les fournisseurs chercheront généralement à limiter leur responsabilité lorsque les données, les instructions ou la configuration fournies par le client ont contribué au problème.

Une illustration utile de la manière dont les tribunaux abordent cette question est fournie par une décision rendue en 2024 par un tribunal canadien à l’encontre d’Air Canada, largement commentée par des experts juridiques britanniques, notamment Pinsent Masons, et considérée comme un avertissement pour toute entreprise déployant des outils d’IA. Un client s’était fié à des informations erronées fournies par le chatbot du site web d’Air Canada concernant les tarifs en cas de décès, et la compagnie aérienne avait fait valoir qu’elle ne pouvait être tenue pour responsable car le chatbot devait être considéré comme une entité distincte de la société. Le tribunal a rejeté cet argument sans appel, estimant que la compagnie aérienne était responsable des résultats fournis par le chatbot au même titre qu’elle le serait pour toute autre information figurant sur son propre site web. Cette affaire rappelle clairement qu’une entreprise ne peut pas s’attendre à se dégager de toute responsabilité quant à ce que ses outils d’IA disent ou font simplement parce que les résultats ont été générés automatiquement, ce qui rend d’autant plus importante une répartition contractuelle claire des responsabilités entre le fournisseur et le client.

Les contrats doivent clairement répartir la responsabilité des résultats issus de l’IA, en particulier lorsque ces résultats alimentent des décisions ayant une incidence sur des personnes physiques, telles que les décisions en matière de ressources humaines, de crédit ou d’assurance, et doivent garantir que les exclusions ou plafonds de responsabilité n’excluent pas illégalement la responsabilité pour des faits tels que les dommages corporels ou la fraude.

Voici un exemple de formulation pour un plafond de responsabilité répondant à ces exigences :

« La responsabilité globale du Prestataire pour toute perte ou tout préjudice résultant d’un résultat généré par le système d’IA ne dépassera pas le montant total des honoraires versés par le Client au cours des douze mois précédant la réclamation, étant entendu qu’aucune disposition de la présente clause ne limitera la responsabilité en cas de décès, de préjudice corporel, de fraude ou de toute autre responsabilité qui ne peut être légalement exclue ou limitée. »

Propriété intellectuelle et contrefaçon par des tiers

Les contenus générés par l’IA peuvent soulever des questions épineuses en matière de propriété intellectuelle, notamment quant à savoir si les résultats pourraient reproduire involontairement ou ressembler étroitement à des œuvres existantes protégées par le droit d’auteur. Les clients qui font appel à des services d’IA souhaitent souvent bénéficier de garanties les protégeant contre les réclamations de tiers alléguant que les résultats d’un système d’IA enfreignent les droits de propriété intellectuelle d’autrui, car ce risque échappe largement à leur contrôle mais pourrait néanmoins les exposer à des poursuites judiciaires.

Il ne s’agit pas d’une préoccupation théorique. En novembre 2025, la Haute Cour a rendu son jugement dans l’affaire Getty Images c. Stability AI, la première affaire britannique à examiner une violation du droit d’auteur découlant de l’entraînement et de l’utilisation d’un modèle d’IA générative. Stability AI a finalement fait rejeter les principales allégations de violation du droit d’auteur de Getty, en grande partie parce que Getty n’a pas pu démontrer que l’entraînement en question avait eu lieu au Royaume-Uni ; toutefois, le tribunal a constaté une violation limitée du droit des marques lorsque le modèle avait reproduit les filigranes de Getty dans ses résultats. Cette affaire a laissé en suspens bon nombre de questions fondamentales concernant les données d’entraînement et le droit d’auteur, ce qui explique précisément pourquoi les clauses d’indemnisation et de garantie relatives aux risques liés à la propriété intellectuelle restent si importantes. Les entreprises ne peuvent pas partir du principe que la loi les protégera simplement parce qu’une première affaire a abouti à une issue particulière en fonction de ses propres faits spécifiques.

Une clause d’indemnisation de base couvrant ce risque pourrait être formulée comme suit :

« Le Prestataire s’engage à indemniser et à dégager de toute responsabilité le Client contre toute réclamation, perte ou dépense découlant d’une allégation selon laquelle l’utilisation licite par le Client du Résultat enfreint les droits de propriété intellectuelle d’un tiers, à condition que le Client notifie sans délai au Prestataire toute réclamation de ce type et autorise le Prestataire à diriger sa défense et à négocier un règlement. »

Transparence, contrôle humain et droits d’audit

Lorsqu’un système d’IA est utilisé pour prendre ou influencer des décisions concernant des personnes, les contrats doivent inclure des obligations claires en matière de transparence et de contrôle humain. Cela implique de désigner la personne chargée de vérifier les résultats générés par l’IA avant leur mise en œuvre, et de veiller à ce qu’il existe un processus documenté permettant de signaler les préoccupations relatives aux performances du système.

Pour les systèmes d’IA classés dans des catégories à haut risque, il est recommandé de vous assurer le droit d’auditer ou d’examiner les performances du système d’IA ainsi que toutes les mises à jour qui y sont apportées, afin que votre organisation puisse exercer une surveillance continue plutôt que de se fier uniquement aux garanties données au moment de la signature.

L’intérêt de ce type de clause a été démontré en janvier 2024, lorsque la société britannique de livraison de colis DPD a dû désactiver une partie de son chatbot de service client après qu’une mise à jour de routine du système l’ait amené à insulter un client et à rédiger un poème critiquant l’entreprise, un incident largement relayé à l’époque. La défaillance n’est apparue qu’après qu’un client frustré eut publié des captures d’écran en ligne, et non par le biais d’un processus de surveillance interne. Que vous soyez l’entreprise déployant l’outil d’IA ou le fournisseur qui le met à disposition, un droit contractuel d’être informé des mises à jour importantes, associé à un processus clair de test et de surveillance du comportement après les modifications, constitue une garantie pratique contre ce type précis de défaillance.

La formulation relative aux droits de notification et d’audit pourrait ressembler à ceci :

« Le Fournisseur devra notifier par écrit au Client, au moins [insérer un nombre] jours à l’avance, toute mise à jour significative du modèle sous-jacent, des données d’entraînement ou de la configuration du système d’IA, et devra permettre au Client, moyennant un préavis raisonnable et pendant les heures normales de travail, d’auditer ou de tester les performances et les résultats du système d’IA. »

Conformité à une réglementation en constante évolution

Compte tenu de la rapidité avec laquelle la réglementation en matière d’IA évolue au sein de l’UE et au Royaume-Uni, les contrats devraient faire référence à la conformité aux cadres réglementaires pertinents, tels que l’IA Act de l’UE, le RGPD britannique applicable et les lignes directrices de l’ICO sur l’IA et la protection des données, tout en conservant les contrôles techniques détaillés dans une annexe pouvant être mise à jour sans avoir à réécrire l’intégralité du contrat. Cette approche évite que le contrat ne devienne obsolète à chaque modification des lignes directrices, tout en maintenant le caractère contraignant des obligations de conformité.

Il est également judicieux d’inclure une obligation de divulgation exigeant que votre fournisseur vous informe, avant toute utilisation, si un système d’IA est susceptible d’intervenir sur vos données ou vos livrables, ainsi qu’une exigence d’autorisation écrite avant l’utilisation de l’IA dans des scénarios à haut risque, tels que la publication de contenu sans vérification humaine.

Résiliation, suppression des données et dispositions de sortie

Enfin, ne négligez pas ce qui se passe lorsque la relation prend fin. Les contrats doivent préciser ce qu’il advient de vos données et des modèles entraînés à partir de celles-ci à la résiliation du contrat, y compris des délais de suppression clairs et, le cas échéant, l’obligation pour le fournisseur de fournir une confirmation écrite attestant que la suppression a bien eu lieu.

Une clause de sortie simple couvrant ces aspects pourrait se lire comme suit :

« À la résiliation ou à l’expiration du présent contrat, le prestataire devra, dans un délai de [insérer un nombre] jours, supprimer ou restituer en toute sécurité toutes les données du client conservées au sein du système d’IA ou traitées par celui-ci, y compris toute donnée du client utilisée à des fins d’entraînement, et devra fournir au client une confirmation écrite attestant que cette suppression a bien eu lieu. »

Mettre vos contrats à jour

L’IA évolue si rapidement que les modèles de contrats rédigés il y a seulement un an ou deux peuvent déjà ne plus offrir certaines protections importantes. La révision de vos conditions générales, que vous soyez l’entreprise fournissant des capacités d’IA ou celle qui les acquiert, constitue l’une des mesures les plus concrètes que vous puissiez prendre pour gérer les risques juridiques et commerciaux liés à cette technologie.

Si vous n’êtes pas certain que vos contrats actuels traitent de manière adéquate l’utilisation de l’IA, que ce soit par vous-même ou par vos fournisseurs, il est bien plus simple de solliciter dès maintenant l’avis d’un juriste spécialisé sur vos modèles de contrats que d’essayer de renégocier une fois qu’un problème est survenu.

Comment Gerrish Legal peut vous aider? 

Gerrish Legal est un cabinet juridique numérique et dynamique. Nous sommes fiers de prodiguer des conseils juridiques experts et de haute qualité à nos précieux clients. Nous sommes spécialisés dans de nombreux aspects du droit numérique tels que le RGPD, la confidentialité des données, le droit numérique et technologique, le droit commercial et la propriété intellectuelle. 

Nous offrons aux entreprises le soutien dont elles ont besoin pour gérer leurs activités avec succès et en toute confiance tout en se conformant aux réglementations légales, sans avoir à se plier aux exigences numériques en constante évolution. 

Nous sommes là pour vous aider, contactez-nous dès aujourd’hui pour plus d’informations. 

Article de Nathalie Pouderoux, Consultante pour Gerrish Legal