Achat d'outils d'IA : liste pour la francophonie
25 questions en cinq sections. Elles ne sont pas classées selon ce qu'un outil sait faire, mais selon ce qui fait le plus souvent échouer son déploiement dans une entreprise en France, en Belgique, en Suisse, au Luxembourg ou au Québec.
1. Cocontractant et droit applicable
4 points| ☐ | Qui signe le contrat : la filiale du pays ou la maison mère à l'étranger ? |
| ☐ | Quel droit est applicable et quelle juridiction est compétente en cas de litige ? |
| ☐ | Y a-t-il une adresse postale et une personne à qui vous adresser si un problème survient ? |
| ☐ | Pour les éditeurs établis hors de l'UE : ont-ils désigné un représentant dans l'UE (art. 27 RGPD) lorsque le traitement relève du RGPD ? |
2. Protection des données
6 points| ☐ | Existe-t-il un contrat de sous-traitance (DPA) et à partir de quelle offre est-il proposé ? |
| ☐ | La localisation des serveurs est-elle indiquée, et est-elle au choix ou seulement une promesse ? |
| ☐ | Les sous-traitants ultérieurs sont-ils listés publiquement, avec information des changements ? |
| ☐ | Vos saisies sont-elles exclues de l'entraînement par défaut, ou seulement après désactivation expresse ? |
| ☐ | Quels délais de suppression sont prévus, y compris pour les sauvegardes et les journaux ? |
| ☐ | Quel régime de protection des données vous est applicable, et cet usage exige-t-il une analyse d'impact ? Si votre établissement est en Suisse ou au Québec, vous êtes hors de l'UE et d'autres textes entrent en jeu (nLPD en Suisse, loi 25 au Québec) : faites-en confirmer la portée avant de signer, un DPA rédigé pour le RGPD ne les couvre pas forcément. |
3. Facturation et achats
5 points| ☐ | Facture au nom de l'entreprise, avec les mentions obligatoires de votre pays, votre numéro de TVA et la taxe correctement ventilée ? |
| ☐ | Le paiement par virement est-il possible, et dans quelle devise la facture est-elle libellée, ou seulement par carte de crédit ? |
| ☐ | Comment les prix sont-ils calculés — par utilisateur, à la consommation ou par quota — et que se passe-t-il en cas de dépassement ? |
| ☐ | Préavis et durée : mensuel, annuel, avec reconduction automatique ? |
| ☐ | Prix garanti pendant la durée du contrat ou modifiable à tout moment ? |
4. Exploitation, sécurité et support
6 points| ☐ | Y a-t-il une gestion des droits et une authentification unique (SSO) ? |
| ☐ | Les comptes peuvent-ils être retirés de façon centralisée quand quelqu'un quitte l'entreprise ? |
| ☐ | Existe-t-il un journal indiquant qui a saisi quoi ? |
| ☐ | Existe-t-il une certification indépendante (ISO 27001, SOC 2), avec son périmètre et sa date ? |
| ☐ | Comment les incidents de sécurité sont-ils signalés et dans quel délai ? |
| ☐ | Dans quelle langue et sur quelles plages horaires le support est-il assuré, et y a-t-il un support en français avec un délai de réponse engagé ? |
5. Sortie
4 points| ☐ | Pouvez-vous récupérer vos données, complètes et dans un format exploitable ? |
| ☐ | Qu'advient-il des données à la fin du contrat, et quand exactement ? |
| ☐ | Les résultats restent-ils utilisables sans l'outil, ou sont-ils enfermés dans un format propriétaire ? |
| ☐ | Quelle charge de travail représenterait un changement de prestataire dans deux ans ? |
Les trois points sur lesquels cela bloque le plus souvent
D'abord le contrat de sous-traitance : dans l'offre gratuite, il n'existe presque jamais, et le pilote tourne déjà avec des données réelles. Ensuite la facturation : beaucoup d'éditeurs n'acceptent que la carte de crédit et délivrent un reçu que l'administration de l'entreprise ne peut pas utiliser comme facture conforme dans son pays. Enfin la sortie, à laquelle personne ne pense à l'achat et qui, deux ans plus tard, empêche le changement de prestataire.
Un mot sur le périmètre : la Suisse et le Québec ne font pas partie de l'UE et disposent de leurs propres textes en matière de protection des données (nLPD en Suisse, loi 25 au Québec). Nous ne détaillons pas ici les obligations qui en découlent. Retenez seulement qu'un dossier construit uniquement autour du RGPD ne suffit pas nécessairement dans ces deux cas, et faites-le confirmer par la personne compétente chez vous.
Ce n'est pas un conseil juridique. Cette liste ordonne des questions ; qu'un usage soit admissible et raisonnable, c'est à vous d'en décider avec les services compétents de votre organisation. Voir la clause de non-responsabilité.
À rapprocher : questions RGPD · ce que nous examinons en protection des données · éditeurs francophones