Contrat d’acquisition d’un système d’IA : les clauses et considérations essentielles à ne pas oublier

L’intégration d’un système d’intelligence artificielle (« IA ») dans une entreprise ne se limite pas à une question de performance ou d’innovation. Elle soulève aussi des enjeux juridiques majeurs, souvent négligés dans les contrats d’acquisition ou d’intégration de tels systèmes.

En plus des défis habituels relatifs aux contrats de technologies de l’information (TI), l’acquisition d’IA soulève des défis uniques et des risques spécifiques qui nécessitent une attention particulière. S’appuyer sur des modèles de contrats TI standards pourrait exposer votre organisation à des vulnérabilités importantes.

Dans ce contexte, il est encore plus important d’adapter les contrats pour tenir compte de la nature évolutive de l’IA, de ses implications éthiques et de la complexité de ses données.

Si vous envisagez d’acheter ou de déployer une solution d’IA dans votre entreprise, voici huit clauses essentielles à intégrer dans vos contrats pour protéger vos intérêts et assurer une utilisation responsable de l’IA. 

1.    Définir précisément le système d’IA 

Avant toute chose, le contrat doit décrire de façon claire et précise le système d’IA faisant l’objet de l’intégration. Il s’agit de préciser :

• sa nature (p. ex., traitement du langage, algorithme prédictif, reconnaissance d’image ou d’objets;
• son objectif;
• son champ d’application.

Cette clause permet de bien encadrer les attentes des parties et d’éviter toute ambiguïté quant à la portée de la solution livrée.

En pratique : imaginez que votre entreprise acquiert un système d’IA pour «?améliorer le service client?». Sans une définition précise, le fournisseur pourrait livrer un agent conversationnel (chatbot) de base, alors que vous vous attendiez à un agent virtuel capable de gérer des requêtes complexes. Vous risquez de vous retrouver avec des résultats qui ne répondent pas à vos attentes, en plus d’un investissement inutile dans une solution qui ne répond pas à vos besoins réels.

 2.    Clause relative aux données

Le contrat d’intégration d’un système d’IA doit encadrer rigoureusement tous les aspects liés aux données à chaque étape de leur cycle de vie : de l’entraînement à la suppression.

Données d’entraînement – origine, qualité et conformité

Le contrat doit préciser :

• la provenance des données utilisées pour entraîner le modèle (internes, publiques, achetées, générées synthétiquement);
• leur qualité (ex. : représentativité, exactitude, absence de biais manifeste);
• leur conformité aux lois applicables, notamment en matière de protection des renseignements personnels, selon les juridictions applicables (Loi sur le privé, RGPD, etc.) et de propriété intellectuelle.

Données générées ou collectées – accès, conservation et réutilisation

Le contrat doit encadrer :

• les droits d’accès aux données collectées ou générées par le système;
• les conditions de conservation ou « stockage » (lieu, durée, sécurité, chiffrement);
• la possibilité ou non pour le fournisseur de réutiliser ces données, notamment à des fins de réentraînement ou d’amélioration du modèle.

Les résultats produits (outputs) – droits d’accès et réutilisation

Enfin, il est essentiel de prévoir des dispositions encadrant les éléments suivants :

• qui peut accéder aux résultats générés par le système;
• dans quelles conditions ces résultats peuvent être réutilisés, partagés ou archivés;
• si ces résultats peuvent être utilisés pour entraîner d’autres modèles ou à d’autres fins.

Durée de conservation et destruction des données

Le contrat doit également prévoir :

• la durée de conservation des données d’entraînement, des données collectées et des résultats;
• les modalités de destruction sécurisée des données à la fin du contrat ou à l’expiration de leur utilité;
• des garanties de traçabilité et de preuve de suppression (p. ex., certificat de destruction).

3.    Clause sur les droits de propriété intellectuelle

L’intégration d’un système d’intelligence artificielle dans une entreprise soulève des enjeux cruciaux en matière de propriété intellectuelle. Le contrat doit impérativement clarifier qui détient les droits sur les différents éléments du système, afin de sécuriser les investissements technologiques et d’éviter toute ambiguïté juridique.

Il est essentiel de clarifier qui est propriétaire de l’IA développée, du code source, des modèles, des algorithmes et des données utilisées pour l’entraînement.

3.1 Nature de la solution : sur mesure ou sous licence

Le contrat doit préciser si :

• le système d’IA est développé sur mesure pour répondre aux besoins spécifiques de votre entreprise (ce qui peut justifier une cession ou une copropriété des droits); ou
• il s’agit d’un produit standard sous licence, auquel cas votre entreprise obtient uniquement un droit d’utilisation limité.

Pourquoi c’est important :

• Cela détermine vos droits d’exploiter, de modifier, de faire évoluer ou de transférer la solution;
• Cela influence la durée, le territoire et les restrictions d’usage de la technologie.

3.2 Titularité des composants : code, modèles, algorithmes et données

Le contrat doit distinguer les droits sur :

• le code source (logiciel d’exploitation, interfaces, scripts);
• les modèles d’IA (entraînés ou préentraînés);
• les algorithmes sous-jacents;
• les données d’entraînement (si fournies par votre entreprise ou générées dans le cadre du projet).

3.3 Droits sur les améliorations et adaptations futures

Il est essentiel de prévoir :

• à qui appartiendront les améliorations, ajustements ou réentraînements du modèle réalisés après l’intégration;
• si l’entreprise peut réutiliser ou commercialiser ces évolutions;
• si le fournisseur peut intégrer ces améliorations dans d’autres produits.

Une telle clause permet de sécuriser vos investissements technologiques et d’éviter toute ambiguïté quant à la titularité des innovations futures.

4.    Clause de performance du système 

Afin d’éviter de déployer une solution coûteuse qui ne livrerait pas les résultats escomptés, le contrat devrait encadrer la performance attendue du système d’IA. Il est recommandé d’y inclure des indicateurs clés de performance « KPIs », tels que :

• des seuils de précision (p. ex., 95 % de détection correcte);
• des taux d’erreur acceptables (p. ex., moins de 3 % de faux positifs);
• les niveaux de biais tolérés (p. ex., écart de performance entre groupes démographiques inférieur à 5 %).

Ces balises permettent de s’assurer que le système livré répond aux objectifs opérationnels de l’entreprise. En cas de non-conformité, des mécanismes de recours (p. ex., pénalités, refonte du modèle, résiliation) ou d’ajustement (p. ex., réentraînement, recalibrage) peuvent être prévus.

5.    Clause de confidentialité 

Le contrat doit impérativement contenir des dispositions visant à protéger la confidentialité des informations sensibles traitées par le système d’IA. La clause doit encadrer l’accès, l’utilisation et la conservation de ces données, y compris après la fin du contrat. Elle constitue une garantie essentielle pour préserver votre avantage concurrentiel, assurer la confiance de vos partenaires et limiter les risques de fuites ou d’exploitation non autorisée de vos informations stratégiques.

6.    Clause de mise à jour, de maintenance et d’audit 

Compte tenu de l’évolution rapide des technologies d’intelligence artificielle, le contrat doit clairement établir les responsabilités du fournisseur en matière de mises à jour, de maintenance et d’audit du système d’IA.

Cette clause vise à garantir que la solution demeure performante, sécurisée et conforme aux standards et normes technologiques et adaptée à l’évolution des besoins de votre entreprise, assurant ainsi la pérennité de votre investissement et le maintien de votre avantage concurrentiel.

6.1  Mises à jour – fréquence, portée et notification

Le contrat doit prévoir :

• la fréquence minimale des mises à jour;
• leur portée (p. ex., ajustement des modèles, amélioration des performances, correction de vulnérabilités);
• l’accès aux analyses de risque concernant le système d’IA et les résultats des tests de performance;
• l’obligation pour le fournisseur de notifier à l’avance toute mise à jour majeure, avec documentation à l’appui.

6.2  Maintenance – corrective et évolutive

Le fournisseur doit s’engager à :

• assurer une maintenance corrective en cas de défaillance ou de baisse de performance;
• proposer une maintenance évolutive pour intégrer de nouvelles fonctionnalités ou répondre à des changements réglementaires?;
• respecter des délais d’intervention définis contractuellement.

6.3  Auditabilité et transparence

Le contrat devrait inclure :

• le droit pour l’entreprise de demander des audits techniques ou de conformité (internes ou externes)?;
• l’accès aux rapports de performance et aux analyses de risque à jour, notamment après chaque mise à jour significative du système?;
• la traçabilité des modifications apportées au modèle (« versioning », journaux des changements).

7.    Clause de conformité réglementaire

Afin d’assurer une utilisation conforme, éthique et responsable du système d’IA, le contrat devrait expressément prévoir que les parties s’engagent à respecter l’ensemble des lois, règlements applicables et lignes directrices, notamment en matière de :

• Protection des renseignements personnels, incluant les obligations relatives à la collecte, l’utilisation, la conservation, la communication et la destruction des données personnelles;
• Propriété intellectuelle, en ce qui concerne les données, les modèles et les résultats générés;
• Transparence algorithmique, lorsque des décisions automatisées ont un impact significatif sur des individus.

Le contrat devrait également inclure des engagements spécifiques relatifs à :

• l’équité algorithmique (p. ex., absence de discrimination directe ou indirecte);
• la transparence des processus décisionnels automatisés;
• la traçabilité des décisions prises par l’IA.

Cette clause joue un rôle préventif essentiel en :

• renforçant la responsabilité des parties;
• offrant une protection juridique en cas de litige ou d’enquête réglementaire;
• favorisant la confiance des utilisateurs et des parties prenantes dans l’utilisation de l’IA.

8.    Clause de responsabilité et recours

Le contrat doit clairement établir les responsabilités respectives des parties en cas de défaillance, de biais algorithmique ou de dommages causés par l’utilisation de l’IA. Cette clause est essentielle pour encadrer les éléments suivants :

-       Répartition des responsabilités

-       Obligations du fournisseur

-       Mécanismes de recours

-       Particularité des systèmes IA modulaires ou multifournisseurs

Vous envisagez d’acheter ou de déployer une solution d’IA dans votre entreprise? Répondez au questionnaire Autoévaluation – Êtes-vous prêts à intégrer une solution d’IA? afin d’évaluer sommairement votre niveau de risque!

Vous pouvez également contacter un membre de notre équipe en droit des technologies, protection de la vie privée et cybersécurité, lequel pourra vous accompagner à chaque étape de votre projet.