Quelle erreur les entreprises commettent-elles le plus souvent dans les contrats d'achat de systèmes d'IA
L'erreur la plus courante est qu'une entreprise achète un système d'IA sans préciser dans le contrat qui assume quel rôle : le fournisseur ou l'acheteur. De nombreux contrats d'achat de logiciels ont été rédigés il y a plusieurs années, bien avant le règlement sur l'IA, et portent sur les licences, les mises à jour et le support. Ils ne disent rien sur la classification des risques, sur qui fournit les instructions d'utilisation, ou sur ce qui se passe si le fournisseur lui-même adapte le logiciel en y ajoutant de nouvelles fonctionnalités d'IA.
Il en résulte qu'une entreprise suppose, au moment de l'achat, que le fournisseur « a arrangé les choses », alors que le règlement fait une distinction entre le fournisseur d'un système d'IA et la personne responsable de l'utilisation qui déploie le système au sein de sa propre organisation. Ces deux rôles peuvent coïncider, mais ne doivent pas nécessairement le faire. Sans un accord explicite dans le contrat, il reste flou de savoir à qui incombe quelle obligation au moment où cela compte vraiment.
Pourquoi cela échoue plus souvent que prévu
Les départements d'achat et les gestionnaires informatiques examinent traditionnellement la fonctionnalité, le prix et la sécurité. C'est logique aussi : jusqu'à récemment, c'étaient les questions les plus importantes lors de l'achat de logiciels. Le règlement sur l'IA ajoute une couche qui ne s'intègre pas automatiquement aux processus d'achat existants, simplement parce que personne dans l'équipe d'achat n'a l'habitude de poser cette question. Un fournisseur à qui on ne demande pas explicitement quel est son rôle fournira rarement cette information de sa propre initiative.
Une deuxième raison est que de nombreuses fonctionnalités d'IA sont désormais intégrées aux logiciels existants par le biais de mises à jour, sans qu'un nouveau contrat ne soit conclu. Un logiciel comptable obtient un assistant d'IA, un outil de planification obtient des propositions de planification automatique. Le contrat original ne couvre pas cette fonction, et personne ne vérifie après coup si les conditions sont toujours appropriées pour ce que le système fait désormais.
Ce qui se passe concrètement dans la pratique
L'erreur ne se manifeste généralement que lorsqu'une entreprise doit prouver quelque chose elle-même : lors d'une demande d'un autorité de surveillance, lors d'un audit d'un client, ou simplement parce que le conseil d'entreprise demande comment une application d'IA a été développée. Il s'avère alors qu'il n'y a pas de documentation sur la classification du système, pas de personne de contact chez le fournisseur sur ce sujet, et pas d'accord contractuel sur qui fournit quelle information lorsque le logiciel change.
De plus, la question des données personnelles est souvent traitée séparément de la question de l'IA, alors qu'elles coïncident souvent dans la pratique. Un accord de traitement dans le cadre du RGPD traite un sujet différent de la question du rôle qu'une partie assume en vertu du règlement sur l'IA ; l'un ne remplace pas l'autre.
Comment éviter cela dans un nouveau contrat
L'étape la plus pratique est d'engager la discussion avec le fournisseur tôt dans le processus d'achat, pas après. Demandez explicitement quel rôle le fournisseur s'attribue, quelle documentation accompagne le système, et ce qui est contractuellement convenu concernant les modifications apportées à la fonctionnalité d'IA au cours de la durée du contrat. Documentez ces réponses, même si la réponse à ce moment est encore incomplète : un fournisseur qui ne peut pas encore clarifier, est aussi une donnée utile à documenter.
Il est utile de séparer cette question de la liste de contrôle d'achat habituelle concernant le prix et la fonctionnalité, précisément parce que ces deux sujets sont examinés par des personnes différentes dans l'organisation. Celui qui traite cela comme un point d'attention distinct évite que cela ne tombe entre deux chaises. Dans la base de connaissances par sujet figure un aperçu des questions qui réapparaissent souvent lors de ce type de discussions, classées selon la phase dans laquelle se trouve une entreprise.
Parcourir les contrats existants
Pour les contrats en cours, il est conseillé de poser à nouveau les mêmes questions lors de la prochaine modification contractuelle, prolongation ou notification de mise à jour. Un contrat n'a pas besoin d'être immédiatement réouvert, mais une note lors du prochain contact avec le fournisseur évite que le sujet ne reste en suspens pendant des années. Les entreprises qui ne savent pas où elles en sont actuellement peuvent obtenir une première indication en quelques questions des sujets pertinents pour leur situation.
La question de savoir si et comment un contrat spécifique doit être modifié, et quelle responsabilité s'y rattache, est une question à adresser à un juriste ou, pour les questions de surveillance, à l'autorité de surveillance compétente. Cet article décrit uniquement où l'erreur se produit généralement, pas quelle est l'adaptation appropriée pour votre propre contrat.
Les questions fréquemment posées sur ce type de problèmes d'approvisionnement, y compris les questions que d'autres lecteurs ont déjà posées, sont rassemblées sur la page des questions fréquemment posées. Si vous souhaitez d'abord avoir une idée de la situation de votre organisation, effectuez le diagnostic rapide gratuit ou parcourez les sujets de la base de connaissances ; les deux sont accessibles sans engagement.