DPA avec un fournisseur d'agent IA : les 5 clauses à vérifier avant de signer

Pourquoi le DPA n'est pas une formalité

Dès qu'un prestataire traite des données personnelles pour votre compte — messages clients, adresses, historiques de commande —, il est votre sous-traitant au sens du RGPD, et l'article 28 impose qu'un contrat encadre ce traitement. Ce contrat doit définir l'objet et la durée du traitement, sa nature et sa finalité, le type de données concernées et les catégories de personnes concernées (RGPD, article 28 — texte sur cnil.fr). Sans DPA signé, vous ne pouvez pas démontrer votre conformité en cas de contrôle — c'est vous, responsable du traitement, qui portez ce risque, pas le prestataire. Un agent IA de SAV traite précisément ce type de données : la question n'est donc pas de savoir s'il vous faut un DPA, mais ce qu'il doit contenir.

Clause 1 — Instructions documentées : aucun usage secondaire des données

L'article 28 prévoit que le sous-traitant ne traite les données que sur instruction documentée du responsable du traitement (RGPD, article 28). Concrètement : le DPA doit lister les finalités exactes — répondre aux demandes clients, consulter le statut des commandes — et rien d'autre. Méfiez-vous des formulations larges du type « améliorer nos services » : elles peuvent couvrir des usages statistiques ou d'optimisation que vous n'avez jamais validés. Chaque finalité doit être nommée ; ce qui n'est pas écrit n'est pas autorisé.

Clause 2 — Non-réutilisation pour l'entraînement de modèles

C'est la clause spécifique à l'IA, absente des DPA classiques. Certains fournisseurs de modèles de langage se réservent la possibilité de réutiliser les données envoyées via leur API pour améliorer leurs modèles, selon leurs conditions et le type de compte : c'est un point à vérifier explicitement, pas à supposer réglé. La CNIL, dans ses recommandations sur l'IA, rappelle que le développement d'un système d'IA à partir de données personnelles reste soumis au RGPD — base légale, finalité, information des personnes (CNIL, recommandations IA et RGPD). Exigez une clause écrite de non-réutilisation à des fins d'entraînement, couvrant le prestataire et son fournisseur de modèle : un engagement oral ou une page marketing ne remplacent pas une clause contractuelle.

Clause 3 — La chaîne de sous-traitance : qui traite réellement vos données ?

Derrière un agent IA, il y a au minimum deux acteurs : l'hébergeur de la solution et le fournisseur du modèle de langage. L'article 28 encadre cette chaîne : le sous-traitant ne peut pas recruter un autre sous-traitant sans votre autorisation écrite préalable, et si un sous-traitant ultérieur manque à ses obligations, le sous-traitant initial en demeure pleinement responsable devant vous (RGPD, article 28, paragraphes 2 et 4). Le DPA doit donc lister nommément les sous-traitants ultérieurs — hébergeur, fournisseur de modèle — avec leur pays d'établissement et leur lieu de traitement. Si cette liste n'existe pas ou reste vague (« des fournisseurs cloud de premier plan »), vous ne savez pas qui lit les messages de vos clients.

Clause 4 — Localisation des données et transferts hors UE

Depuis l'arrêt « Schrems II » de la Cour de justice de l'Union européenne (16 juillet 2020), qui a invalidé le Privacy Shield, chaque organisme doit vérifier la légalité de ses transferts de données hors UE : les clauses contractuelles types ne suffisent plus « en soi », il faut analyser le risque d'accès par les autorités du pays destinataire et, si nécessaire, déployer des mesures supplémentaires (CNIL, suites de l'arrêt Schrems II). Pour une PME, cette analyse de transfert est un travail juridique réel, à refaire à chaque évolution du cadre. Le DPA doit indiquer précisément où les données sont stockées et traitées — pays, et idéalement datacenter. Un traitement intégralement en France ou dans l'UE fait disparaître le sujet : pas de transfert, pas d'analyse de transfert.

Clause 5 — Violations de données et sort des données en fin de contrat

En cas de violation de données, c'est vous qui devez notifier la CNIL dans les 72 heures — et le RGPD impose au sous-traitant de vous alerter « dans les meilleurs délais » après en avoir pris connaissance (RGPD, article 33). Vérifiez que le DPA fixe un délai d'alerte précis et un point de contact, sinon vos 72 heures peuvent être consommées avant même que vous soyez au courant. Enfin, le contrat doit régler le sort des données à la fin de la prestation : suppression ou restitution, à votre choix — c'est aussi la garantie concrète de pouvoir changer de prestataire sans laisser d'historique client derrière vous, un point développé dans notre guide IA souveraine et RGPD.

Comment Bynevo Labs répond à ces cinq points

Les données de la solution — conversations, données clients, base vectorielle — sont hébergées en France, chez OVHcloud (Roubaix) et/ou Scaleway, par défaut : aucune conversation ne transite par un service hors UE, donc pas d'analyse de transfert à mener. Le fournisseur de modèle est identifié — Mistral AI (France) — et aucune donnée client ne sert à entraîner un modèle tiers. Le détail des sous-traitants et des engagements figure sur notre page hébergement et données, dans le cadre de notre logiciel de SAV e-commerce ; chaque point de ce guide peut être vérifié ligne par ligne, contrat en main, pendant le diagnostic.