# Achat d’outils d’IA : liste de contrôle pour la francophonie Ces questions ne sont pas classées selon ce qu’un outil sait faire, mais selon ce qui fait le plus souvent échouer son déploiement dans une entreprise en France, en Belgique, en Suisse, au Luxembourg ou au Québec. Outil : ______________________ Éditeur : ______________ Date : __________ --- ## 1. Cocontractant et droit applicable - [ ] Qui signe le contrat : la filiale du pays ou la maison mère à l’étranger ? - [ ] Quel droit est applicable et quelle juridiction est compétente en cas de litige ? - [ ] Y a-t-il une adresse postale et une personne à qui vous adresser si un problème survient ? - [ ] Pour les éditeurs établis hors de l’UE : ont-ils désigné un représentant dans l’UE (art. 27 RGPD) lorsque le traitement relève du RGPD ? ## 2. Protection des données - [ ] Existe-t-il un contrat de sous-traitance (DPA), et à partir de quelle offre ? - [ ] La localisation des serveurs est-elle indiquée, au choix ou seulement promise ? - [ ] Les sous-traitants ultérieurs sont-ils listés publiquement, avec information des changements ? - [ ] Vos saisies sont-elles exclues de l’entraînement par défaut, ou seulement après désactivation expresse ? - [ ] Quels délais de suppression s’appliquent, y compris aux sauvegardes et aux journaux ? - [ ] Quel régime de protection des données vous est applicable, et cet usage exige-t-il une analyse d’impact ? Si votre établissement est en Suisse ou au Québec, vous êtes hors de l’UE et d’autres textes entrent en jeu (nLPD en Suisse, loi 25 au Québec) : faites-en confirmer la portée avant de signer, un DPA rédigé pour le RGPD ne les couvre pas forcément. En détail : https://boiteaia.com/listes/questions-rgpd/ ## 3. Facturation et achats - [ ] Facture au nom de l’entreprise, avec les mentions obligatoires de votre pays, votre numéro de TVA et la taxe correctement ventilée ? - [ ] Le paiement par virement est-il possible, et dans quelle devise la facture est-elle libellée, ou seulement par carte de crédit ? - [ ] Comment les prix sont-ils calculés, par utilisateur, à la consommation ou par quota, et que se passe-t-il en cas de dépassement ? - [ ] Préavis et durée : mensuel, annuel, avec reconduction automatique ? - [ ] Prix garanti pendant la durée du contrat, ou modifiable à tout moment ? ## 4. Exploitation, sécurité et support - [ ] Y a-t-il une gestion des droits et une authentification unique (SSO) ? - [ ] Les comptes peuvent-ils être retirés de façon centralisée quand quelqu’un quitte l’entreprise ? - [ ] Existe-t-il un journal indiquant qui a saisi quoi ? - [ ] Existe-t-il une certification indépendante (ISO 27001, SOC 2), avec son périmètre et sa date ? - [ ] Comment les incidents de sécurité sont-ils signalés, et dans quel délai ? - [ ] Dans quelle langue et sur quelles plages horaires le support est-il assuré, et y a-t-il un support en français avec un délai de réponse engagé ? ## 5. Sortie - [ ] Pouvez-vous récupérer vos données, complètes et dans un format exploitable ? - [ ] Qu’advient-il des données à la fin du contrat, et quand exactement ? - [ ] Les résultats restent-ils utilisables sans l’outil, ou sont-ils enfermés dans un format propriétaire ? - [ ] Quelle charge de travail représenterait un changement de prestataire dans deux ans ? --- ## Les trois points sur lesquels cela bloque le plus souvent 1. **Le contrat de sous-traitance.** Dans l’offre gratuite, il n’existe presque jamais, et le pilote tourne déjà avec des données réelles. 2. **La facturation.** Beaucoup d’éditeurs n’acceptent que la carte de crédit et délivrent un reçu que l’administration de l’entreprise ne peut pas utiliser comme facture conforme dans son pays. 3. **La sortie.** Personne n’y pense à l’achat, et deux ans plus tard elle empêche le changement de prestataire. Un mot sur le périmètre : la Suisse et le Québec ne font pas partie de l’UE et disposent de leurs propres textes en matière de protection des données (nLPD en Suisse, loi 25 au Québec). Les obligations qui en découlent ne sont pas détaillées ici. Retenez qu’un dossier construit uniquement autour du RGPD ne suffit pas nécessairement dans ces deux cas, et faites-le confirmer par la personne compétente chez vous. --- ## Résultat - Points en suspens : ______________________________________________ - Décision : [ ] validé [ ] validé sous conditions [ ] refusé - Responsable : ______________ À revoir le : __________ --- Cette liste provient de Boîte à IA (boiteaia.com) et peut être librement utilisée, adaptée et partagée au sein de l’entreprise. Elle ne constitue **pas un conseil juridique**. L’appréciation pour votre cas revient à votre service juridique ou à la personne responsable de la protection des données. https://boiteaia.com/listes/achat-ia-francophone/