1. IA et sous-traitance : les fondamentaux RGPD 2026

Le RGPD définit le sous traitant comme la personne physique ou morale qui traite des données à caractère personnel pour le compte du responsable de traitement (art. 4, §8). Avec l’intelligence artificielle, la ligne se brouille : un modèle entraîné sur des données clients peut être considéré comme un traitement effectué « pour le compte » du client, même si le fournisseur d’IA conserve une certaine autonomie technique. En 2026, la CNIL a précisé que toute API d’IA qui reçoit des données personnelles en entrée et les traite sur ses serveurs est présumée agir en tant que sous traitant, sauf si elle démontre qu’elle détermine les finalités et les moyens du traitement (devenant alors co-responsable).

La qualification de sous-traitant ne dépend pas du degré de sophistication de l’IA, mais de la réalité du contrôle exercé par le client sur les finalités. Un modèle pré-entraîné que vous utilisez via API reste un sous-traitant si vous décidez seuls des données d’entrée et de l’usage final.

2. Quand un fournisseur d’IA est-il sous-traitant ?

Trois critères cumulatifs émergent de la pratique décisionnelle 2025-2026 : (1) le fournisseur traite des données personnelles pour le compte d’un client ; (2) il ne détermine pas la finalité du traitement (celle-ci est fixée par le client) ; (3) il n’a pas la maîtrise des moyens essentiels (ex : choix des catégories de données, durée de conservation). Si le fournisseur d’IA décide d’utiliser les données pour améliorer son modèle (apprentissage fédéré ou fine-tuning global), il devient co-responsable. La frontière est décisive pour la qualification « intelligence artificielle rgpd sous traitant ».

Exemple typique : chatbot SaaS

Un éditeur propose un chatbot IA hébergé sur ses serveurs. Le client envoie des questions contenant des données personnelles. L’éditeur ne réutilise pas ces données pour l’entraînement global. → L’éditeur est sous traitant. En revanche, si l’éditeur utilise les conversations pour améliorer son modèle (même anonymisées), il devient co-responsable, sauf à démontrer une anonymisation robuste et irréversible.

Décision CNIL 2025-023 : un fournisseur d’IA de recrutement qui entraînait son modèle sur les CV des candidats sans consentement explicite a été condamné pour traitement illicite. Il avait agi comme responsable conjoint faute d’avoir limité son rôle.

3. Obligations contractuelles renforcées (art. 28 RGPD)

L’article 28 RGPD impose un contrat écrit entre le responsable de traitement et le sous traitant. Pour l’IA, ce contrat doit inclure des clauses spécifiques : description détaillée du traitement (données d’entraînement, inférences, logs), interdiction de réutilisation des données pour d’autres finalités, obligation de suppression après résiliation, et assistance pour les AIPD. En 2026, la CJUE a rappelé que les clauses types de la Commission (2021/914) doivent être adaptées pour l’IA, notamment pour encadrer l’apprentissage automatique.

Clauses essentielles 2026

• 🔹 Durée de conservation des données d’entrée et des inférences
• 🔹 Interdiction formelle de transfert vers un pays tiers sans base légale
• 🔹 Obligation de notifier toute violation dans les 24 heures
• 🔹 Droit d’audit du responsable chez le sous-traitant (y compris code source et logs)

4. Registre, AIPD et accountability pour l’IA

Le responsable de traitement doit tenir un registre des activités de traitement (art. 30). Lorsque l’IA est impliquée, il faut y mentionner le nom du sous traitant, les catégories de données traitées (y compris les données générées par l’IA), et les garanties. L’Analyse d’Impact (AIPD) est obligatoire pour les systèmes d’IA à haut risque (règlement IA 2024/1689). Même pour des IA non listées, la CNIL recommande une AIPD dès lors que le traitement est susceptible d’engendrer des risques élevés pour les droits et libertés (ex : profilage, notation sociale).

AIPD et sous-traitance : le sous-traitant doit fournir toutes les informations nécessaires à l’AIPD. S’il refuse, le responsable doit cesser le traitement ou le signaler à l’autorité de contrôle. C’est un point de blocage fréquent en 2026.

5. IA générative et sous-traitance : le cas des LLM

Les grands modèles de langage (LLM) posent des défis inédits. Lorsque vous utilisez ChatGPT, Claude ou Mistral via une API, le fournisseur traite vos prompts (qui peuvent contenir des données personnelles). En 2026, la position de l’EDPB est claire : l’utilisation d’une API publique sans contrat de sous-traitance est illicite pour traiter des données personnelles. Vous devez soit conclure un contrat avec le fournisseur (souvent via une offre enterprise), soit vous assurer qu’aucune donnée personnelle n’est transmise. Le sous traitant IA doit garantir que les données ne servent pas à l’entraînement global.

Pratique recommandée

• ✔️ Utiliser des instances dédiées (API privée) avec clause de non-réutilisation
• ✔️ Anonymiser les données en amont (pseudonymisation forte)
• ✔️ Vérifier la localisation des serveurs (UE ou pays adéquat)

Attention : même avec une anonymisation, le fournisseur peut reconstituer des données via des attaques par inférence. Le contrat doit prévoir une interdiction expresse de toute tentative de réidentification.

6. Transferts de données et IA : les nouvelles frontières

L’IA implique souvent des transferts de données vers des pays tiers (États-Unis, Inde, etc.). Le cadre Schrems IV (2025) impose des garanties supplémentaires pour les données traitées par des IA soumises au droit étranger (ex : Cloud Act). Le sous traitant doit indiquer clairement les sous-sous-traitants et les flux transfrontières. Les clauses contractuelles types (CCT) doivent être complétées par une analyse d’impact des transferts (TIA).

7. Jurisprudence 2026 : décisions marquantes

Plusieurs décisions récentes éclairent la qualification « intelligence artificielle rgpd sous traitant » :

• CJUE 12 février 2026, aff. C-452/25 : un fournisseur d’IA de modération de contenu est considéré comme sous-traitant dès lors qu’il agit sur instruction du réseau social, même s’il utilise son propre algorithme.
• CNIL, délibération SAN-2026-008 : condamnation d’une banque utilisant un IA de scoring sans contrat de sous-traitance avec l’éditeur. Amende de 3,2 millions d’euros.
• Cour d’appel de Paris, 15 mars 2026 : un hôpital jugé responsable pour ne pas avoir audité son sous-traitant IA (logiciel de diagnostic). Le sous-traitant avait réutilisé les données pour améliorer son modèle sans consentement.

Ces décisions confirment une tendance : les juges sanctionnent l’absence de contrat écrit et le défaut de contrôle effectif. Le « sous-traitant IA » doit être encadré aussi strictement qu’un sous-traitant classique, avec des obligations renforcées.

8. Audit et mise en conformité : plan d’action

Pour maîtriser les risques liés à l’intelligence artificielle rgpd sous traitant, voici les étapes clés :

1. Cartographie : identifiez tous les fournisseurs d’IA traitant des données personnelles.
2. Qualification : déterminez s’ils sont sous-traitants ou co-responsables (utilisez le test des finalités/moyens).
3. Contractualisation : mettez à jour les contrats conformément à l’art. 28 + annexe IA.
4. AIPD : réalisez une analyse d’impact pour chaque système d’IA à risque.
5. Audit : exercez votre droit d’audit (ou faites auditer par un tiers).
6. Registre : tenez à jour le registre avec les mentions spécifiques à l’IA.