Comment choisir un prestataire pour la mise en œuvre de l’IA : checklist de 20 questions et éléments du contrat (AI Act, RGPD, PI, critères de réception)

La différence entre un déploiement d’IA qui produit un impact mesurable et un projet qui s’arrête à la démo tient rarement à la technologie. Elle tient à la façon dont le partenaire traite les données, mesure les résultats et encadre le tout dans le contrat. Ce texte propose une liste de questions pour vos premiers échanges avec un prestataire et une liste de clauses à prévoir dans le contrat avant de lancer le projet.

Il ne s’agit pas d’un conseil juridique ; faites valider les clauses contractuelles par un avocat, en particulier pour les systèmes à haut risque au sens de l’AI Act.

Principaux enseignements

• Commencez par le problème, pas par le modèle. Un bon partenaire commence par le processus, les données et l’impact attendu, puis parle stack technologique.
• Les données font le résultat. Demandez l’audit des sources, l’accès, les droits et l’emplacement de traitement des données.
• Un contrat IA n’est pas un contrat logiciel classique. Il doit couvrir les rôles selon l’AI Act, la sous-traitance de données au titre du RGPD, la propriété du code, des prompts, des configurations et des poids du modèle, des critères de recette fondés sur des métriques et les coûts d’usage des modèles.
• La recette, c’est de la statistique, pas un bouton. Les critères d’acceptation se définissent sur un jeu de test, avec des seuils de qualité, un temps de réponse et un coût par requête.
• Planifiez la sortie. Documentation, transfert et interchangeabilité du modèle sont des clauses qui protègent l’entreprise après la collaboration.

Qu’est-ce qu’un déploiement d’IA en entreprise

Un déploiement d’IA consiste à concevoir et mettre en production un système qui utilise des modèles de machine learning ou des modèles de langage (LLM) dans un processus métier : assistant pour employés ou clients, agent exécutant des tâches dans les systèmes, base de connaissances RAG, modèle prédictif. Dans la majorité des projets, on ne construit pas de modèles maison à partir de zéro ; on exploite des modèles via API ou des modèles à poids ouverts et on les connecte aux données et systèmes de l’entreprise. Les compétences du partenaire comptent donc d’abord en intégration, données, sécurité et mesure de l’impact.

Trois piliers pour évaluer un partenaire

Technologie et données

Avant de parler prix, voyez comment l’entreprise travaille les données : audite-t-elle les sources, comment nettoie-t-elle les données, comment réplique-t-elle les droits des systèmes sources dans l’IA, comment choisit-elle le modèle (coût, qualité, lieu de traitement) et sait-elle le remplacer sans tout reconstruire. Un partenaire qui propose d’emblée d’entraîner un modèle sur mesure doit justifier pourquoi un modèle existant avec RAG ne suffit pas.

Business et mesure

Un déploiement sans phase de discovery (quoi mesurer, état initial, définition du succès) finit en fonctionnalités que personne n’utilise. Un bon partenaire propose un pilote sur un processus et des données réelles, avec mesure avant/après.

Droit et sécurité

L’AI Act entre en vigueur par étapes à partir de 2024 (interdictions et compétences en IA à partir de février 2025, transparence à partir d’août 2026, systèmes à haut risque à partir de décembre 2027). Le RGPD s’applique pleinement. Le partenaire doit connaître son rôle (fournisseur ou déployeur au sens de l’AI Act, sous-traitant au sens du RGPD) et les implications contractuelles.

Signaux d’alerte et bonnes pratiques

Checklist : 20 questions à poser à un prestataire d’intégration d’IA

Expérience

1. Pouvez-vous montrer un système d’IA en production chez un client, avec des chiffres ? Cherchez des études de cas avec métriques (temps, coût, revenu), pas des descriptions.
2. Quels problèmes avez-vous rencontrés lors de précédents déploiements et comment les avez-vous résolus ? Cela montre si le partenaire parle des risques avant qu’ils ne surviennent.
3. Avez-vous de l’expérience dans notre secteur ? Les données en fintech, santé ou industrie n’ont pas les mêmes exigences de sécurité et conformité.
4. Avez-vous repris des systèmes d’autres prestataires et intégré l’IA à des systèmes legacy ? La plupart des entreprises ne repartent pas de zéro.

Données et architecture

1. À quoi ressemble votre audit de données avant déploiement ? Sources, qualité, lacunes, droits d’accès.
2. Comment choisissez-vous le modèle et l’architecture permet-elle de le remplacer ? Question sur la dépendance à un seul fournisseur.
3. Comment limitez-vous les hallucinations ? RAG sur des sources vérifiées, citation des sources, tests de qualité des réponses, refus de répondre en l’absence de données.
4. Comment répliquez-vous les droits des systèmes sources dans l’IA ? L’utilisateur ne doit voir que ce à quoi il a droit.
5. Comment testez-vous un système dont les réponses sont non déterministes ? Jeu de test, métriques, tests de régression à chaque changement de modèle ou de prompt.
6. Qui et comment monitorent la qualité après le déploiement ? Logs, métriques, alertes, plan de fine-tuning ou de remplacement du modèle.

Sécurité et droit

1. Où nos données seront-elles traitées physiquement et par quels acteurs ? Cloud du fournisseur du modèle, cloud du client, infrastructure du client ; liste des sous-traitants.
2. Les données de l’entreprise peuvent-elles servir à l’entraînement des modèles du fournisseur ? Réponse attendue : non, sur la base d’un accord commercial avec le fournisseur du modèle.
3. Comment assurez-vous la conformité RGPD ? Contrat de sous-traitance, minimisation des données, analyse d’impact (DPIA) si nécessaire, droit à l’effacement.
4. Quel sera votre rôle et le nôtre selon l’AI Act ? Fournisseur du système ou déployeur ; catégorie de risque ; implications en matière de documentation et de supervision.
5. Quelles protections appliquez-vous aux données dans les prompts et les réponses ? Filtres de données sensibles, journalisation, contrôle d’accès, tests de sécurité (dont l’injection de prompt).

Collaboration et coûts

1. Comment définissez-vous le pilote et quel en sera le livrable ? Périmètre, données, métriques, décision de passage à l’échelle.
2. Comment ventilez-vous le devis ? Build, usage des modèles (avec un volume estimé de requêtes), run et évolutions. Un prix unique sans ventilation est un signal d’alerte.
3. Quelles métriques business suivrons-nous ? Gain de temps, coût de service, conversion, revenu ; mesurés avant/après.
4. Qui travaillera concrètement sur le projet et selon quel modèle ? Équipe dédiée, extension de votre équipe, projet à périmètre fixe ; accès à un architecte.
5. Que recevrons-nous à la fin et comment se passe le transfert ? Code, documentation, prompts, configurations, jeux de test ; possibilité de maintenance par une autre équipe.

Éléments d’un contrat de déploiement d’IA

1. Rôles et responsabilités au titre de l’AI Act

• Définir qui est fournisseur du système (conçoit et met sur le marché) et qui est déployeur (l’utilise dans son activité). Si le système est réalisé sur commande sous la marque du client, le client peut être fournisseur ; le contrat doit le préciser explicitement.
• Classification du risque du système dans le contrat ou en annexe ; pour un haut risque : qui gère la documentation technique, la journalisation, la supervision humaine, l’évaluation de conformité.
• Transparence : le système informe l’utilisateur qu’il interagit avec une IA, les contenus générés sont signalés, conformément à l’art. 50.
• Compétences en IA (art. 4) : la formation de l’équipe du client fait partie de la livraison, pas une option.
• Notification des incidents : procédure et délais d’information du client en cas d’erreurs du système et d’incidents de sécurité.

2. RGPD et données

• Contrat de sous-traitance du traitement (art. 28 RGPD) avec le partenaire et liste des sous-traitants (y compris les fournisseurs de modèles) avec droit d’opposition aux changements.
• Lieu de traitement et régions (UE/EEE), règles de transfert hors EEE.
• Interdiction d’entraîner les modèles du fournisseur sur les données du client, confirmée par un accord commercial avec le fournisseur du modèle.
• Minimisation et anonymisation des données avant envoi au modèle ; filtres de données sensibles.
• Effacement des données : l’architecture (RAG plutôt qu’entraînement sur données personnelles) doit permettre de supprimer les données d’une personne sans reconstruire le modèle ; rétention des logs (au moins 6 mois pour les systèmes à haut risque selon l’AI Act).
• Analyse d’impact (DPIA) et, pour certains déployeurs à haut risque, évaluation de l’impact sur les droits fondamentaux (art. 27 AI Act) : qui la prépare.

3. Propriété intellectuelle

• Cession des droits patrimoniaux d’auteur (pas une licence) sur le code, les scripts de données, la documentation, les prompts, les configurations, les jeux de test et d’évaluation, sur tous modes d’exploitation, à mesure du paiement des jalons.
• Poids du modèle : si le partenaire effectue un fine-tuning, les droits sur les poids et les données d’entraînement sont cédés au client dans la limite de la licence du modèle de base. Les modèles de fournisseurs tiers (OpenAI, Anthropic, Google) ne peuvent pas être « achetés » ; le contrat doit le préciser clairement.
• Composants open-source et modèles à poids ouverts : liste avec licences et confirmation de la compatibilité avec l’usage commercial.
• Contenus générés par l’IA : le droit d’auteur protège les œuvres humaines ; le contrat doit encadrer les droits sur les résultats et la responsabilité de leur usage, sans promettre une protection que la loi n’accorde pas.
• Know-how du partenaire : si le partenaire apporte ses propres composants ou produits (p. ex. une base de connaissances prête à l’emploi), licence afférente avec droit d’utilisation après la fin du contrat.

4. Critères de recette

• Jeu de test validé avant le démarrage (requêtes représentatives et réponses attendues) servant à la recette.
• Seuils de qualité adaptés à la tâche : pour un assistant basé sur une base de connaissances, par ex. part de réponses correctes et sourcées, part de refus en absence de données ; pour une classification : précision et rappel ; pour l’extraction : exactitude des champs.
• Temps de réponse (par ex. 95e percentile) et coût par requête pour un volume donné.
• Sécurité : tests d’injection de prompt et de fuite de données, contrôle des droits.
• Supervision humaine : où l’humain valide le résultat avant qu’il n’atteigne le client ou un système.
• Réalisme : l’IA a une marge d’erreur ; la recette fixe un niveau acceptable, pas 100 %.

5. Coûts, run et sortie

• Devis ventilé entre build, usage des modèles (avec mécanisme d’ajustement en cas de variation des tarifs fournisseurs) et maintenance.
• SLA sur la disponibilité et les délais de réponse ; monitoring de la qualité en tant que service, pas une promesse.
• Interchangeabilité du modèle comme exigence d’architecture écrite au contrat.
• Clause de sortie : transfert du code, de la documentation, des données et des configurations dans un format convenu, période de transition, support au prochain prestataire.
• Confidentialité et audit : droit du client d’auditer la sécurité et la conformité chez le partenaire et ses sous-traitants.

Quel type de partenaire recherchez-vous

Le choix dépend de votre point de départ : on ne choisit pas le même partenaire pour ajouter de l’IA à des systèmes existants (software house spécialisée en IA), pour un programme de transformation en grande entreprise (intégrateur majeur) ou pour remettre de l’ordre dans les données (cabinet d’analytics). Un panorama des entreprises d’intégration d’IA en Pologne, classées par type de partenaire, est disponible dans notre classement TOP 10 des entreprises qui déploient l’IA en Pologne.

Startup House conçoit des assistants IA, des agents et des bases de connaissances RAG pour des ETI et grands comptes, y compris des secteurs régulés (fintech, santé, cybersécurité). Les solutions s’appuient sur des données client vérifiées, dans le cloud du client, avec intégration aux politiques d’accès ; les données client ne servent pas à entraîner des modèles publics. Conforme à la norme ISO 27001. Exemple : un portail client avec IA intégrée pour une plateforme de cybersécurité servant des clients du classement Fortune 500 a réduit l’onboarding de 95 %, et la reprise puis modernisation d’un système logistique pour Omnipack ont abaissé les coûts de développement de 40 %.

Voir aussi : AI Act : ce que doit faire l’entreprise qui déploie l’IA · Études de cas Startup House

FAQ

Équipe IA interne ou software house ?

Recruter une équipe IA prend des mois, et une première mise en production exige de l’expérience en intégration et en sécurité. Pour la plupart des entreprises, le modèle gagnant est : démarrer avec un partenaire, construire en parallèle les compétences internes (formations, product owner côté client), puis reprendre progressivement la maintenance.

Combien coûte un déploiement d’IA ?

Ça dépend du périmètre. Un pilote d’assistant sur un seul processus avec des modèles existants se fait en quelques semaines ; un déploiement multi-départements avec intégrations prend plusieurs mois. Le devis doit distinguer le coût du build, de l’usage des modèles et de la maintenance.

L’AI Act complique-t-il les déploiements ?

Pour la plupart des cas d’usage métier (risque minimal), les obligations se limitent aux compétences des employés et à la transparence vis-à-vis des utilisateurs. Les systèmes à haut risque (recrutement, scoring de crédit, biométrie) requièrent documentation, journalisation et supervision humaine, avec une échéance à partir de décembre 2027. Un partenaire qui le comprend conçoit le système pour répondre aux exigences dès le départ.

Quels sont les principaux risques d’un déploiement d’IA ?

Données de faible qualité, absence de mesure de l’état initial, manque d’adhésion des équipes, dépendance à un seul fournisseur de modèle et contrat qui ne règle pas la propriété du code, des prompts et des données.

Combien de temps dure un déploiement ?

Un pilote sur un processus avec des données réelles se réalise en quelques semaines. Un déploiement en production avec intégrations et sécurité est plus long et dépend du nombre de systèmes et de la qualité des données.

Puis-je changer de fournisseur de modèle pendant ou après le projet ?

Oui, si l’architecture le prévoit et que le contrat l’exige. Les modèles évoluent tous les quelques mois ; un système où le modèle est un composant interchangeable ne nécessite pas de reconstruction lors d’un changement de fournisseur.

Par quoi commencer pour préparer l’entreprise au déploiement de l’intelligence artificielle ?

Commencez par analyser les processus métier, les données disponibles et les besoins des collaborateurs. Identifiez ensuite les domaines où les outils d’IA peuvent apporter un bénéfice mesurable et nommez un responsable de projet. Les étapes suivantes incluent l’évaluation des risques, un pilote en environnement contrôlé et l’extension progressive des usages dans l’activité quotidienne.

Qu’est-ce qu’une politique IA et toute entreprise doit-elle en avoir une ?

La politique IA est un document interne fixant les règles d’usage des systèmes d’intelligence artificielle dans l’organisation. Elle doit préciser les outils autorisés, les limites de saisie des données, les règles de vérification des résultats ainsi que les responsabilités des employés et des administrateurs. Elle peut aussi encadrer le choix des fournisseurs, la mise à jour des modèles d’IA et la déclaration des incidents. Une bonne politique IA favorise la conformité juridique et un déploiement sûr.

Un registre des systèmes d’IA est-il obligatoire dans chaque organisation ?

Toutes les organisations n’ont pas l’obligation de tenir un registre formel de tous les systèmes d’IA. Un registre interne des systèmes d’IA reste toutefois une bonne pratique de gestion des risques. Il doit contenir le nom du système, sa finalité, le fournisseur, les données utilisées, la catégorie de risque et le responsable. Pour certains systèmes à haut risque, l’AI Act prévoit aussi des obligations d’enregistrement. Leur portée dépend notamment du rôle de l’organisation et de l’usage du système.

Comment mener une évaluation des risques avant de déployer un système d’IA ?

L’évaluation commence par la définition de la finalité du système, des données traitées et de l’impact potentiel sur les personnes et sur l’organisation. L’analyse doit intégrer la sécurité de l’information, la qualité des résultats de l’IA, les décisions erronées, la supervision humaine et les pratiques interdites potentielles. Il faut aussi déterminer si l’usage relève d’un risque inacceptable ou d’un système à haut risque selon l’AI Act. L’évaluation des risques n’est pas un document ponctuel — elle doit être mise à jour à mesure que le système évolue.

Le déploiement d’IA exige-t-il une analyse d’impact relative à la protection des données ?

La DPIA (analyse d’impact relative à la protection des données) est requise par le RGPD lorsque le traitement envisagé est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Cela concerne notamment certains usages de profilage et de décisions automatisées. Le simple recours à l’IA n’implique pas automatiquement une DPIA. L’analyse d’impact ne remplace pas l’analyse des risques exigée par l’AI Act, car les deux mécanismes couvrent en partie des risques différents.

Que signifie AI literacy et quelles formations les employés doivent-ils suivre ?

AI literacy désigne les compétences permettant d’utiliser les systèmes d’IA de manière consciente, sûre et responsable. Les formations doivent couvrir capacités et limites des modèles d’IA, protection des données personnelles, vérification des réponses et détection des erreurs. Le contenu doit être adapté aux rôles et aux usages concrets. L’art. 4 de l’AI Act prévoit des actions pour garantir un niveau adéquat de compétences en IA chez les fournisseurs et les déployeurs.

Qui est fournisseur et qui est déployeur d’un système d’IA selon l’AI Act ?

Le fournisseur est l’entité qui développe un système d’IA ou en confie le développement et le met sur le marché ou à disposition sous son propre nom ou sa propre marque. Le déployeur est l’entité qui utilise un système d’IA dans le cadre de son activité (hors usage personnel et non professionnel). Cette répartition des rôles impacte la documentation, la supervision, la sécurité et les obligations prévues par le droit de l’Union. Dans certains cas, l’organisation qui met en œuvre la solution peut assumer les obligations du fournisseur.

Comment fonctionne la supervision humaine de l’IA, dite human in the loop ?

Human in the loop (humain dans la boucle) est un modèle où l’humain participe à l’évaluation ou à la validation des résultats de l’IA. Il peut vérifier les recommandations, corriger les erreurs et prendre les décisions finales dans les situations nécessitant un contrôle supplémentaire. C’est crucial quand on automatise des processus impactant des clients, des employés ou des personnes physiques. La supervision doit être réelle : l’employé doit comprendre les limites du système, pouvoir contester le résultat et disposer des droits pour intervenir.

Texte informatif ne constituant pas un avis juridique. État du droit : octobre 2026 (AI Act après Digital Omnibus, règlement 2026/1744).