Décision d’achat : ce que la PME doit obtenir
La DPA fournisseur IA checklist PME sert à trancher un achat, pas à produire un avis juridique abstrait. Pour une PME, l’objectif concret est simple : décider si un fournisseur IA peut traiter des données utiles au métier sans exposer l’entreprise à des blocages sur la rétention, l’usage pour l’entraînement, les sous-traitants, les transferts hors UE et les droits de sortie. Cette grille s’applique au dirigeant, au DSI, au responsable métier et au DPO s’il existe. Le résultat attendu est une décision documentée : acheter, demander des compléments, ou refuser.
L’enjeu est cohérent avec une logique d’audit IA PME et de diagnostic IA entreprise : la valeur ne vient pas seulement de la fonctionnalité, mais de la maîtrise des flux de données, des responsabilités et de la continuité de service. La CNIL rappelle que les projets IA doivent intégrer la protection des données dès la conception, tandis que l’AI Act européen impose une lecture de risque plus structurée pour certains usages et systèmes (voir la page CNIL sur l’IA et le texte de l’AI Act).
Preuves à demander : ce qu’il faut voir avant de signer
Avant toute décision, demandez des preuves écrites, pas des promesses commerciales. Le bon réflexe de gouvernance IA consiste à exiger un dossier court, lisible et daté.
À demander au fournisseur, avec un propriétaire et un seuil de décision :
- Contrat / DPA — Propriétaire : juridique ou direction ; preuve : DPA complet, liste des sous-traitants, durée de conservation, mécanisme de réversibilité ; seuil : absence de clause de suppression ou de restitution = blocage.
- Usage des données pour entraînement — Propriétaire : métier + DSI ; preuve : clause indiquant si vos données servent à améliorer le modèle ; seuil : opt-out impossible ou flou = demander modification.
- Sous-traitants et transferts — Propriétaire : juridique ; preuve : cartographie des sous-traitants, pays de traitement, garanties de transfert ; seuil : transferts non documentés = risque élevé.
- Rétention — Propriétaire : DSI ; preuve : politique de conservation, purge, sauvegarde ; seuil : rétention indéfinie = refus ou négociation.
- Sortie / réversibilité — Propriétaire : achat + DSI ; preuve : délai de récupération, format d’export, effacement confirmé ; seuil : pas d’export exploitable = pas d’achat.
L’EU AI Act et les principes de l’OCDE poussent vers la traçabilité, la robustesse et la responsabilité des systèmes IA ; la page des principes de l’OCDE est utile pour cadrer ces exigences de manière opérationnelle.
Scorecard fournisseur : une grille simple pour comparer
La scorecard doit rendre la comparaison entre fournisseurs factuelle. Attribuez 0, 1 ou 2 points à chaque critère. Score maximal : 10.
| Critère | 0 point | 1 point | 2 points |
|---|---|---|---|
| Rétention des données | Indéfinie ou vague | Durée définie mais non vérifiable | Durée définie, purge documentée |
| Entraînement sur vos données | Oui par défaut | Option incertaine | Non par défaut ou opt-out contractuel |
| Sous-traitants | Non listés | Liste partielle | Liste complète et à jour |
| Transferts | Non documentés | Partiellement documentés | Pays, garanties et base de transfert clairs |
| Sortie / effacement | Pas de sortie | Export limité | Export + effacement + confirmation écrite |
Interprétation :
- 8 à 10 points : achat possible, sous réserve de validation finale.
- 5 à 7 points : achat possible seulement avec plan d’action et clauses corrigées.
- 0 à 4 points : refus ou changement de fournisseur.
Qui décide ? Direction pour le risque global, juridique pour le contrat, DSI pour la faisabilité technique, et métier pour l’usage réel. Cette logique se traduit bien dans une checklist DPA fournisseur IA pour PME par où commencer : on ne commence pas par la démonstration produit, on commence par les flux de données, les clauses, puis la sortie.
Processus numéroté : comment utiliser la checklist sans se perdre
- Qualifier le besoin : décrivez le cas d’usage, les données concernées et les équipes impliquées.
- Rassembler les preuves : DPA, liste des sous-traitants, politique de rétention, clauses d’entraînement, modalités d’export.
- Noter le fournisseur : appliquez la scorecard de 0 à 10 avec les preuves en main.
- Décider : achetez, demandez des corrections ou refusez selon le score et les clauses.
- Tester le pilote : si vous avancez, limitez le périmètre et vérifiez rétention, export et effacement dans un délai court.
- Documenter la sortie : gardez la preuve de récupération des données, de leur suppression et des éventuels écarts observés.
Ce déroulé évite un piège classique : accepter un outil parce qu’il répond au besoin fonctionnel, puis découvrir trop tard que le contrat bloque l’usage réel. Dans une démarche d’AI Act PME, la qualité de la décision dépend autant du cadre contractuel que des performances de l’outil.
Signaux de refus : quand dire non ou renégocier
Refusez, ou au minimum suspendez l’achat, si le fournisseur ne sait pas répondre précisément à ces points :
- il refuse de dire si vos données servent à l’entraînement ;
- il ne donne pas la liste des sous-traitants ;
- il ne précise pas où sont hébergées les données ou qui les traite ;
- il promet une suppression sans preuve d’effacement ;
- il n’offre aucun export utilisable en cas de changement d’outil.
Pour une PME, ce sont les signaux les plus coûteux, car ils touchent à la continuité d’activité et à la capacité de sortir d’un contrat. La logique n’est pas de sur-réglementer, mais d’éviter un engagement impossible à contrôler.
Prochaine étape : transformer la checklist en décision
Après la première lecture, faites un mini audit IA PME sur une page : usage, données, contrat, score, décision. Si le score est inférieur à 8, rédigez une liste de corrections avec date et responsable. Si le score est de 8 ou plus, validez un pilote limité, avec suivi de la rétention et contrôle de l’export au bout de 30 jours.
Pour aller plus loin, comparez cette grille avec le cadrage publié par AI AUDIT : la page d’accueil française présente l’offre de service, et la page blog française donne d’autres cadres d’évaluation utiles. Un exemple proche, côté usage métier, est l’article sur l’audit IA e-commerce pour PME, qui aide à relier usage, données et risques.
Exemple hypothétique : une PME compare deux assistants IA pour le support client. Le fournisseur A accepte un DPA détaillé, refuse l’entraînement sur les données du client, liste ses sous-traitants et garantit un export CSV plus l’effacement sous 30 jours. Le fournisseur B refuse de documenter la rétention et n’offre aucun export. Décision : A passe en pilote, B est écarté.
Si vous souhaitez faire valider cette décision par un tiers, la commande d’un contrôle ciblé peut se faire via la page de paiement française lorsque vous avez déjà votre cas d’usage et vos documents.
Par où commencer quand l’usage IA mélange données et décision ?
Commencez par le contrat et le flux de données, pas par les promesses fonctionnelles. Propriétaire : direction ou achat. Preuve : DPA, cartographie des données, clauses d’export. Seuil : si la sortie n’est pas vérifiable, stop.
Quel résultat concret une PME doit-elle obtenir ?
Obtenir une décision binaire et défendable : acheter, corriger ou refuser. Propriétaire : direction. Preuve : scorecard remplie et clauses annotées. Seuil : score et clauses compatibles avec le niveau de risque accepté.
Comment mesurer la valeur après 30 jours ?
Mesurez trois choses : temps gagné sur la tâche cible, incidents ou blocages liés aux données, et facilité de sortie testée. Propriétaire : métier + DSI. Preuve : journal d’usage, incidents, export test. Seuil : si la valeur ne compense pas les contraintes, arrêter le pilote.