Que vérifier avant d’adopter un outil d'IA en entreprise? (droit et IA # 3)

Pierre Cormon

Publié lundi 30 novembre 2026

Lien copié

Plusieurs points sont à prendre en considération.

• Les droits de propriété sur les données et l'entraînement des modèles 

«Selon l'utilisation qui en est faite, il faut s’assurer que l’éditeur n'acquière aucun droit de propriété sur vos données d'entrée (prompts) et qu'il s'engage à ne pas utiliser ces données ni les résultats générés (outputs) pour entraîner ses modèles», précise Stéphanie Chuffart-Finsterwald, avocate et présidente de la Commission Innovations et modernisation du Barreau (CIMBAR) de Genève.
Les abonnements d'entreprise ou l'accès par interface de programmation (API), qui sont à privilégier pour un usage professionnel, prévoient généralement ces garanties par défaut. «Sinon, il faut activer formellement, lorsqu'ils existent, les paramètres de désactivation (dits d'«opt-out»)», recommande Stéphanie Chuffart-Finsterwald. 

•La confidentialité et la sécurité des données 

«Selon l'utilisation qui en est faite, l'éditeur doit s'engager contractuellement à maintenir confidentiels les documents, informations et données traités au travers de la solution», avertit Stéphanie Chuffart-Finsterwald. «Des conditions générales d'utilisation sans engagement de confidentialité sont insuffisantes pour un usage professionnel et expose l'entreprise à une violation de ses obligations de confidentialité envers ses clients et/ou employés ou encore à compromettre des secrets d'affaires.»

•La localisation des serveurs et les transferts transfrontaliers

«Vous devez identifier où sont hébergées et traitées les données», relève Stéphanie Chuffart-Finsterwald. «C’est indispensable pour pouvoir ensuite mettre en œuvre vos obligations en matière de protection des données, et notamment informer de manière transparente les personnes dont vous traitez les données personnelles, voire obtenir un consentement éclairé.» La législation pose en effet des règles strictes en matière de transferts transfrontières de données personnelles. 

•Les informations relatives aux sous-traitants

Les fournisseurs de solutions IA utilisent fréquemment des prestataires techniques tiers. «Cela doit être indiqué de manière transparente et il siéra de vérifier où sont localisés ces sous-traitants (voir paragraphe précédent- ndlr) et s'ils sont soumis aux mêmes exigences de sécurité et de confidentialité que le fournisseur principal», avertit Stéphanie Chuffart-Finsterwald.

•Les clauses relatives à la propriété intellectuelle de tiers

Le risque existe toujours qu’une réponse fournie par une intelligence artificielle viole la propriété intellectuelle de tiers, en reproduisant des contenus qui leur appartiennent.
Certains éditeurs d'IA s'engagent à dédommager leurs clients en cas de problème lié aux droits d'auteur (souvent dans leurs offres payantes). Cette garantie n'est cependant jamais totale. Elle comporte souvent des exclusions, notamment si on a modifié le résultat ou utilisé des instructions trop directives. 
De plus, les plafonds de dédommagement sont généralement limités au prix de l'abonnement. «Celui-ci est dérisoire par rapport aux coûts réels d'un procès», note Stéphanie Chuffart-Finsterwald.
Avant d’utiliser des contenus générés par l’IA, il est donc indispensable de vérifier qu’ils ne violent pas les droits de tiers. «En pratique, même sans département juridique, une entreprise peut demander à la solution de citer ses sources puis, lorsqu'il s'agit d'un texte, vérifier par une recherche sur un moteur de recherche qu'il ne s'agit pas d'un copier-coller d'une œuvre de tiers, retravailler l'output ou encore effectuer une recherche visuelle inversée pour une image. Par ailleurs, il ne faut jamais demander à un outil d'IA d'imiter le style d'un artiste ou d'une marque» recommande Stéphanie Chuffart-Finsterwald.

• La possibilité de récupérer ses données

Que deviennent les données que l’on a utilisées dans les instructions (prompts) si l’on décide de ne plus continuer à utiliser une solution IA? C’est une question qu’il faut se poser avant de souscrire à une solution. «Il s’agit d’obtenir la garantie de pouvoir récupérer l'intégralité des données dans un format standard», relève Stéphanie Chuffart-Finsterwald. «Il sera par ailleurs souvent opportun de pouvoir exiger la destruction définitive et certifiée des données sur les serveurs de l'éditeur à la fin du contrat.»

•Le droit de modification unilatérale des conditions générales

«Les éditeurs de solution d'IA mettent très régulièrement à jour leurs conditions générales», signale Stéphanie Chuffart-Finsterwald. «Les conditions d'utilisation d'entreprise doivent idéalement prévoir un préavis écrit avec un délai suffisant avant toute modification touchant aux éléments essentiels du contrat comme la sécurité, la confidentialité ou la localisation des données, assorti d'un droit de résiliation immédiat et sans frais pour l'entreprise en cas de refus des nouvelles conditions».
Dans la pratique, les clients ne sont en général pas en mesure de négocier, si une mise à jour des conditions ne leur convient pas. Ils doivent donc être prêts à résilier ou cesser d’utiliser la solution le cas échéant.

Article précédent: Une IA produit un résultat erroné: qui est responsable?

Articles en lien

#IA

REF-lex.ch, la solution IA de la FER Genève

Publié vendredi 17 octobre 2025