Contrat avec un fournisseur d’IA : les 6 clauses à ne pas oublier

Page du service : Commerce numérique et IA : un avocat pour les conditions générales, la vie privée et la prospection directe.

Pourquoi un contrat d’IA n’est pas un simple « contrat de logiciel »

Chaque jour, des entreprises signent des contrats d’utilisation d’IA sans comprendre ce qu’elles acceptent. Elles pensent que c’est comme n’importe quel contrat SaaS — mais ce n’est pas le cas. Les systèmes d’IA sont entraînés sur vos données, peuvent produire des résultats difficiles à contester, et prennent des décisions dont les conséquences peuvent arriver devant un tribunal. Le contrat que vous signez fixe qui est responsable quand les choses tournent mal.

Le droit israélien n’a pas encore de loi propre à l’IA. La loi sur les contrats (partie générale), 5733-1973 (חוק החוזים (חלק כללי), התשל״ג-1973) en est la base, et son article 25 fixe les règles d’interprétation. Un contrat d’affaires conclu ou renouvelé à partir du 7 janvier 2026, qui ne contient pas de dispositions d’interprétation, est interprété uniquement selon sa lettre. Il en va autrement si la lettre seule conduit à un résultat déraisonnable, ou si ses dispositions se contredisent. En revanche, un contrat d’adhésion — et les conditions d’utilisation standard d’un fournisseur d’IA sont en général un contrat d’adhésion — est interprété selon l’intention des parties, même s’il prévoit autre chose (article 25(a)(4)). Lorsqu’un contrat peut être interprété de différentes façons, on préfère l’interprétation défavorable à la partie qui avait l’avantage dans la rédaction de ses conditions (article 25(b1)). Dans le domaine de l’IA, où chaque mot peut être un champ de mines technologique, l’ambiguïté est un risque pour les deux parties.

Clause 1 : la définition de « l’intelligence artificielle » — ne pas comparer des pommes et des oranges

Le terme « IA » sans définition dans un contrat ouvre la porte à un litige. Un fournisseur peut soutenir qu’il s’est engagé sur un algorithme moyen, alors que vous attendiez un modèle de langage avancé. Avant de signer, exigez une définition qui précise : le type de système (modèle de langage, vision par ordinateur, classification, etc.), s’il s’agit d’un modèle pré-entraîné ou d’un développement sur mesure, et les versions du produit incluses dans le contrat.

Lorsqu’un terme technologique n’est pas défini, le litige sera tranché selon les règles d’interprétation de l’article 25 de la loi sur les contrats et selon l’obligation de bonne foi dans l’exécution du contrat (article 39). Mais une décision de justice rendue après que le dommage a été causé n’aide pas beaucoup l’entreprise.

Clause 2 : à qui appartiennent les données et le modèle

C’est la question la plus controversée dans les contrats d’IA, et la plupart des parties n’en ont pas conscience. Lorsqu’un fournisseur d’IA entraîne son système sur vos données — transactions, conversations avec les clients, documents internes —, à qui appartient le « savoir » accumulé dans le modèle ?

La loi sur le droit d’auteur, 5768-2007, protège les œuvres originales. Les données brutes appartiennent en général à leurs propriétaires, mais le « modèle entraîné » peut être une œuvre distincte. Selon l’article 34 de la loi, l’employeur est le premier titulaire du droit d’auteur sur une œuvre créée par son salarié pour les besoins et au cours de son travail, sauf accord contraire. Pour une œuvre commandée à un fournisseur extérieur, la règle est inverse : selon l’article 35, le premier titulaire est l’auteur — en pratique, le fournisseur —, sauf accord contraire, exprès ou implicite, entre le donneur d’ordre et l’auteur.

La clause doit définir : qui est propriétaire des données brutes, qui est propriétaire du modèle entraîné, ce que le fournisseur peut faire de vos données (y compris entraîner d’autres modèles), et ce qu’il advient des droits si le contrat prend fin.

Clause 3 : la limitation de responsabilité — qui paie quand l’IA se trompe

Les systèmes d’IA produisent des erreurs. Une prévision erronée, une recommandation ratée, ou une « hallucination » qui a conduit à une mauvaise décision commerciale — qui est responsable ? L’ordonnance sur les délits civils [nouvelle version] (פקודת הנזיקין [נוסח חדש]) prévoit une responsabilité pour négligence, mais dans les contrats commerciaux, il est possible de la limiter — jusqu’à un certain point.

La clause de limitation de responsabilité doit comporter : un plafond de responsabilité financière (souvent un multiple du prix du contrat), une liste expresse des dommages non couverts (dommages indirects, atteinte à la réputation, manque à gagner), et un mécanisme d’assurance si le dommage potentiel est élevé. Le recours à une clause d’exonération est aussi examiné au regard de l’obligation de bonne foi dans l’exercice d’un droit contractuel (article 39 de la loi sur les contrats). Dans un contrat d’adhésion, une exonération générale est une clause qui fait l’objet d’une présomption de caractère abusif (article 4(1) de la loi sur les contrats d’adhésion, 5743-1982 (חוק החוזים האחידים, התשמ״ג-1982)), et une exonération de responsabilité pour un dommage corporel ou pour un acte intentionnel est nulle (article 5(b)).

Clause 4 : confidentialité et vie privée — le traitement des données personnelles

Si le système d’IA traite des données personnelles — de salariés, de clients, de fournisseurs —, la loi sur la protection de la vie privée, 5741-1981 (חוק הגנת הפרטיות, התשמ״א-1981), s’applique, quoi que dise le contrat. Le règlement sur la protection de la vie privée (sécurité des données), 5777-2017 (תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017), fixe différents niveaux de sécurité selon le type d’informations, le nombre de personnes figurant dans la base de données et le nombre de personnes ayant une autorisation d’accès. Son article 15 exige de fixer, dans le contrat avec un fournisseur qui reçoit un accès à la base de données, les informations qu’il peut traiter et leurs finalités, la manière d’appliquer les obligations de sécurité, ainsi que la restitution et la destruction des informations à la fin de la relation.

La clause doit comporter : une définition claire de ce que sont les « informations confidentielles » et les « informations personnelles » dans le contexte précis ; une obligation de signaler un incident de sécurité dans un délai défini ; la qualification du fournisseur comme « détenteur (d’une base de données) » — un tiers qui traite des informations pour le compte du responsable de la base de données (article 3 de la loi sur la protection de la vie privée) et qui est lui aussi responsable de la sécurité des données (article 17) ; et une interdiction expresse d’utiliser les données du client pour entraîner les modèles de tiers. Les sociétés israéliennes qui reçoivent des données d’Europe doivent aussi ajouter une clause DPA conforme au RGPD (GDPR).

Clause 5 : garanties de bonne exécution et niveau de service

Les fournisseurs d’IA aiment inclure des clauses « as-is » — le système est fourni en l’état, sans garanties. Dans les contrats entre entreprises, c’est légal. Mais un client qui paie un montant à six chiffres par an attend quelque chose de concret — et s’il ne l’a pas écrit dans le contrat, il n’obtiendra rien.

Exigez : un SLA défini, avec une disponibilité minimale (uptime), un niveau de précision minimal et un mécanisme pour le vérifier, une politique de mises à jour de version et un protocole de préavis avant les changements, et un support technique avec des délais de réponse définis. Ce qui n’est pas fixé dans le contrat sera fixé, le cas échéant, selon les usages entre les parties ou les usages courants dans les contrats du même type (article 26 de la loi sur les contrats) — et non selon vos attentes.

Clause 6 : ce qu’il advient des données à la fin du contrat

C’est là que se cache le problème le plus discret. La plupart des entreprises n’y pensent pas au moment de s’engager — puis découvrent que leurs données restent chez le fournisseur après la fin du contrat.

La clause doit prévoir : une date d’effacement définie pour toutes les données (30 à 90 jours est raisonnable), le droit de recevoir une copie complète des données avant l’effacement, une confirmation écrite de l’effacement (y compris des sauvegardes), et une interdiction expresse de conserver des données dérivées (y compris des caractéristiques extraites pour entraîner un modèle). La loi sur la protection de la vie privée ne donne pas de droit général à l’effacement sur demande : son article 14 permet seulement de demander la rectification ou l’effacement d’informations qui ne sont pas exactes, complètes, claires ou à jour. L’obligation d’effacement à la fin du contrat doit donc être fixée dans le contrat — et l’article 15(a)(2)(d) du règlement sur la sécurité des données exige justement d’inclure, dans le contrat avec un fournisseur qui reçoit un accès à la base de données, les modalités de restitution et de destruction des informations.

Questions fréquentes

À qui appartient un modèle d’IA que le fournisseur a entraîné sur les données de l’entreprise ?

Cela dépend de ce que prévoit le contrat. Les données brutes appartiennent en général à leurs propriétaires, mais le « modèle entraîné » peut être une œuvre distincte. Pour une œuvre commandée à un fournisseur extérieur, le premier titulaire du droit d’auteur est l’auteur — en pratique, le fournisseur —, sauf accord contraire (article 35 de la loi sur le droit d’auteur). Le contrat doit donc fixer qui est propriétaire des données et du modèle, et ce que le fournisseur peut faire des données.

Un fournisseur d’IA peut-il s’exonérer de toute responsabilité dans le contrat ?

Pas toujours. Dans un contrat d’adhésion — et les conditions d’utilisation standard d’un fournisseur d’IA sont en général un contrat d’adhésion —, une exonération générale est une clause qui fait l’objet d’une présomption de caractère abusif (article 4(1) de la loi sur les contrats d’adhésion), et une exonération de responsabilité pour un dommage corporel ou pour un acte intentionnel est nulle (article 5(b)). Le recours à une clause d’exonération est aussi examiné au regard de l’obligation de bonne foi dans l’exercice d’un droit contractuel (article 39 de la loi sur les contrats).

Un fournisseur d’IA traite des informations personnelles des clients de l’entreprise. Que doit contenir le contrat avec lui ?

L’article 15 du règlement sur la protection de la vie privée (sécurité des données) exige de fixer, dans le contrat avec un fournisseur qui reçoit un accès à la base de données, les informations qu’il peut traiter et leurs finalités, la manière d’appliquer les obligations de sécurité, ainsi que la restitution et la destruction des informations à la fin de la relation. La loi sur la protection de la vie privée s’applique au traitement, quoi que dise le contrat.

Que deviennent les données de l’entreprise chez le fournisseur d’IA à la fin du contrat ?

Cela dépend de ce que prévoit le contrat. La loi sur la protection de la vie privée ne donne pas de droit général à l’effacement sur demande — son article 14 permet seulement de demander la rectification ou l’effacement d’informations erronées, incomplètes, peu claires ou périmées. L’obligation d’effacement à la fin du contrat doit donc être fixée dans le contrat : date d’effacement, copie des données avant l’effacement et confirmation écrite de l’effacement.