Où vont vos contrats quand vous utilisez une IA ? Hébergement et confidentialité

Quand un utilisateur envoie un contrat à un assistant d’IA, plusieurs opérations distinctes peuvent avoir lieu. Elles ne se déroulent pas forcément au même endroit, ni chez le même acteur.

• Le stockage. Le document est conservé dans l’application ou dans un espace dédié.
• Le traitement par le modèle. Le texte, ou une partie du texte, est envoyé au modèle qui produit la réponse.
• La conservation temporaire. Des requêtes et des réponses peuvent être gardées pour l’historique, le support ou la détection d’abus.
• Les services annexes. Supervision applicative, envoi d’e-mails ou sauvegardes font intervenir d’autres prestataires.

Pour évaluer un outil, il faut donc suivre le chemin complet de la donnée, et pas seulement chercher une mention de pays sur la page d’accueil.

Pas nécessairement. L’hébergement décrit où les données sont stockées. Le lieu de traitement par le modèle est une information distincte, qui dépend de l’architecture retenue par l’éditeur.

La documentation de Microsoft sur les modèles vendus par Azure, dont Azure OpenAI, datée du 18 mai 2026, illustre bien cette différence. Elle indique que, pour un déploiement de type « Global », les requêtes et les réponses peuvent être traitées dans toute géographie où le modèle est déployé. Pour un déploiement « DataZone » créé dans l’Union européenne, le traitement peut avoir lieu dans tout État membre de l’Union. Les données stockées restent, elles, dans la géographie désignée par le client.

Le même document montre qu’une promesse de non-entraînement ne règle pas tout. Microsoft indique que les requêtes et les réponses ne servent pas à entraîner les modèles de fondation sans permission ou instruction du client. Il décrit aussi un dispositif de détection des abus pouvant conduire à conserver certains échanges pour une revue humaine, sauf dérogation accordée au client.

Le secret des affaires est défini à l’article L. 151-1 du Code de commerce, issu de la loi n° 2018-670 qui transpose la directive (UE) 2016/943. Comme le rappelle le Conseil constitutionnel dans sa décision n° 2018-768 DC, une information est protégée si elle remplit trois critères : elle n’est pas généralement connue ou aisément accessible pour les personnes familières de ce type d’informations, elle a une valeur commerciale du fait de son caractère secret, et son détenteur prend des mesures raisonnables pour la garder secrète.

Ce dernier critère intéresse directement les équipes qui utilisent l’IA. Conditions tarifaires, stratégie de négociation ou données d’un partenaire peuvent relever de ce régime. La façon dont ces informations circulent dans les outils fait partie de la question plus large des mesures de protection mises en place. Le texte ne donne pas de réponse propre à l’IA : l’appréciation se fait au cas par cas.

Il existe aussi un sujet contractuel. La directive considère comme illicite, sans le consentement du détenteur, l’utilisation ou la divulgation par une personne qui agit en violation d’un accord de confidentialité ou d’une obligation de limiter l’utilisation du secret. Avant de soumettre le contrat d’un partenaire à un outil, il est donc utile de vérifier ce que prévoit votre propre accord de confidentialité avec lui, notamment sur les tiers et les prestataires autorisés. Ce point relève de l’analyse de votre conseil.

Un contrat contient souvent des noms, des fonctions, des coordonnées ou des informations sur des salariés. Le RGPD peut donc s’appliquer à leur traitement par un outil d’IA. Trois points structurent l’analyse.

• Les rôles. La FAQ de la CNIL du 18 juillet 2024 demande à l’organisme de définir son rôle et celui du fournisseur, et de l’interroger sur la conformité de son système.
• Le contrat de sous-traitance. Selon l’article 28, le responsable de traitement ne fait appel qu’à des sous-traitants présentant des garanties suffisantes. Le contrat encadre notamment les instructions, la confidentialité, la sécurité, le sort des données en fin de prestation et les audits. Le recrutement d’un autre sous-traitant suppose une autorisation écrite préalable, spécifique ou générale.
• Les transferts hors de l’Union. Les articles 44 à 46 n’autorisent un transfert que dans le cadre prévu : décision d’adéquation ou garanties appropriées, comme les clauses types adoptées par la Commission.

Pour les États-Unis, la Commission a adopté le 10 juillet 2023 une décision d’adéquation sur le cadre de protection des données UE-États-Unis. Le Tribunal de l’Union a rejeté le recours formé contre elle dans l’affaire T-553/23, et un pourvoi a été formé le 31 octobre 2025 (C-703/25 P). Il convient de vérifier l’état de cette procédure et le fondement exact invoqué par chaque fournisseur. Pour le détail, lisez notre checklist de l’article 28.

Le mode de fourniture modifie le niveau de contrôle. La FAQ de la CNIL distingue plusieurs situations. Le déploiement sur site est présenté comme préférable pour les données personnelles ou sensibles, car il limite les risques d’extraction par un tiers. Le cloud exige un contrat précisant les responsabilités et les accès. Avec une API, la maîtrise appartient presque entièrement au fournisseur, ce qui appelle une attention particulière aux conditions contractuelles et aux transferts.

Pour les services accessibles au grand public, la CNIL envisage un usage non confidentiel avec des garanties, comme des adresses professionnelles dédiées. L’ANSSI, dans son guide d’avril 2024, recommande de proscrire les outils d’IA générative disponibles sur Internet pour un usage professionnel impliquant des données sensibles. Ces règles ont vocation à se retrouver dans votre politique d’usage de l’IA.

Ces questions valent pour un assistant généraliste, une legaltech ou un CLM. Une réponse écrite et datée est plus utile qu’une mention commerciale.

• Hébergement. Où sont stockés les documents, les index et les sauvegardes ?
• Lieu de traitement. Où le modèle traite-t-il les requêtes ? Quel est le type de déploiement retenu, et peut-il changer sans préavis ?
• Modèle. Qui fournit le modèle, et les données transitent-elles par les services de ce fournisseur ?
• Entraînement. Nos données servent-elles à entraîner ou à améliorer un modèle ? Où cet engagement est-il écrit ?
• Conservation. Quelles requêtes et quelles réponses sont conservées, combien de temps, et dans quel but ?
• Accès humain. Qui peut consulter nos données, chez vous et chez vos sous-traitants, et dans quelles circonstances ?
• Sous-traitants. Quelle est la liste à jour, avec le rôle et le lieu de chacun ? Comment sommes-nous prévenus d’un changement ?
• Transferts. Des données quittent-elles l’Union européenne, et sur quel fondement ?
• Demandes d’autorités. Êtes-vous soumis à un droit étranger permettant d’exiger l’accès aux données ? Quelle est votre procédure dans ce cas ?
• Sécurité. Quel chiffrement, quelle gestion des clés, quels tests d’intrusion ? Quels documents sont disponibles, et à quelles conditions ?
• Certifications. Quel est le périmètre exact : le fournisseur, son hébergeur ou le produit acheté ?
• Fin de contrat. Comment récupérer nos données, et comment leur suppression est-elle confirmée ?

Les contrats et les données de la plateforme sont hébergés en France, sur Microsoft Azure. La page sécurité liste les sous-traitants, dont Azure OpenAI (Microsoft) pour l’intelligence artificielle de l’assistant, sous-traitant indiqué comme optionnel, avec « Microsoft Azure » comme localisation. Certains sous-traitants traitent des données hors de France, notamment pour l’envoi des e-mails transactionnels, opéré depuis les États-Unis.

Les données sont chiffrées en transit via TLS 1.2+ et au repos via AES-256. Docform agit en qualité de sous-traitant de ses clients, et un DPA est disponible sur demande. Les questions ci-dessus s’appliquent aussi à Docform : posez-les-nous lors d’une démonstration.