Cas entreprise : dossier type

Pourquoi ce chapitre est le plus utile

Les sept chapitres précédents ont construit une grille de lecture : régime de la propriété intellectuelle appliqué aux contenus générés, obligations RGPDRGPDConformitéRèglement européen sur la protection des données personnelles. Il s'applique dès qu'un système d'IA traite de telles données, et se cumule avec l'AI Act.Voir dans le glossaire sur les données d'entraînementdonnéesIAEnsemble d'informations structurées ou non utilisées pour entraîner, évaluer ou alimenter un modèle. La qualité, la quantité et la représentativité des données sont les facteurs décisifs pour les performances en apprentissage automatique.Voir dans le glossaire et de sortie, répartition contractuelle de la responsabilité entre éditeur d'outil et utilisateur, risques d'hallucinationhallucinationIAProduction par un modèle d'un énoncé faux formulé avec la même assurance qu'un fait établi. Le phénomène est structurel : le modèle optimise la vraisemblance, pas la vérité.Voir dans le glossaire et de reproduction involontaire de contenus protégés. Ce chapitre assemble ces briques dans un cas construit de bout en bout, comme le ferait une équipe juridique ou un responsable conformité confronté à un projet réel de déploiement d'IAintelligence artificielleIAEnsemble des techniques permettant à un programme d'accomplir une tâche qui demanderait de l'intelligence humaine. Le terme couvre aussi bien les systèmes à règles écrites que ceux qui apprennent de données.Voir dans le glossaire générative.

L'objectif n'est pas de fournir un modèle à copier-coller. Chaque organisation a un contextefenêtre de contexteIAQuantité de texte qu'un modèle peut prendre en compte simultanément : question, documents fournis et historique. Au-delà, les éléments les plus anciens sortent du champ.Voir dans le glossaire contractuel, un secteur d'activité et un appétit au risque différents. L'objectif est de reproduire la méthode : cartographier, qualifier, documenter, arbitrer, encadrer, auditer. Cette méthode reste valable quel que soit l'outil ou le fournisseur retenu, et quelle que soit la taille de l'entreprise.

Un projet d'IA générative sans dossier de conformité documenté n'est pas un projet « sans risque » — c'est un projet dont le risque n'a pas été mesuré. La différence a des conséquences directes en cas de contentieux ou de contrôle : l'absence de trace écrite se retourne presque toujours contre l'entreprise qui n'a rien documenté.

Présentation du cas

Prenons une structure fictive représentative : Verlio, agence de conseil en marketing de contenu, 45 salariés, clientèle B2B en France et en Belgique. La direction souhaite déployer un outil d'IA générative pour trois usages distincts :

1. Rédaction assistée d'articles de blog pour le compte de clients, livrables facturés et publiés publiquement.
2. Génération de visuels d'illustration pour ces mêmes articles.
3. Synthèse automatisée de comptes rendus de réunions clients, incluant parfois des données personnelles de contacts identifiés.

Le comité de direction demande à la responsable juridique et au délégué à la protection des données (DPO) de produire, en six semaines, un avis de faisabilité assorti d'un cadre d'usage opposable aux équipes. C'est ce parcours que ce chapitre reconstitue, étape par étape, en s'appuyant sur les notions vues précédemment dans la formation.

Étape 1 — Cartographier les usages avant toute analyse juridique

La première erreur, fréquente dans ce type de projet, consiste à poser la question « est-ce que l'IA générative est légale ? » — question qui n'a pas de sens en tant que telle. Le régime applicable dépend de l'usage précis : nature du contenu produit, destination du livrable, présence de données personnelles, existence de droits de tiers déjà identifiés sur les données d'entrée.

La cartographie recense, pour chaque usage envisagé, cinq critères :

Ce niveau de risque « initial » est une estimation avant toute mesure d'atténuation : il sert à prioriser l'analyse détaillée, pas à conclure sur l'opportunité du projet. Un risque élevéhaut risqueConformitéCatégorie de l'AI Act regroupant les usages soumis à conditions strictes : recrutement, crédit, éducation, infrastructures critiques. Elle impose documentation, examen des biais et contrôle humain effectif.Voir dans le glossaire identifié tôt est un risque qu'on peut encore réduire, pas un motif automatique de refus.

Étape 2 — Qualifier les risques de propriété intellectuelle

Pour l'usage 1 (rédaction d'articles), deux questions se posent, déjà développées dans les chapitres consacrés à la propriété des outputs :

• Le texte généré est-il protégeable par le droit d'auteur français, et au bénéfice de qui ? L'originalité suppose une empreinte de la personnalité de l'auteur ; un texte produit sans intervention créative humaine substantielle reste fragile à ce titre.
• Le texte généré peut-il reproduire, involontairement, des passages protégés issus du corpus d'entraînement du modèle ?

Pour Verlio, la réponse pratique retenue est la suivante : les articles ne sont jamais publiés en sortie brute. Un rédacteur retravaille systématiquement structure, angle et formulations, ce qui renforce d'une part la protégeabilité par un apport créatif humain documenté, et réduit d'autre part le risque de reproduction verbatim non détectée. Un contrôle anti-plagiat automatisé est ajouté avant chaque livraison, en complément de la relecture.

Pour l'usage 2 (visuels), le risque est plus aigu : les modèles de génération d'image sont entraînés sur des corpus dont l'origine et le statut de licence sont rarement garantis par le fournisseur avec précisionprécisionIAProportion des alertes émises par un modèle qui sont justifiées. Elle s'oppose au rappel : améliorer l'une dégrade l'autre.Voir dans le glossaire. Trois options s'offrent à Verlio :

• utiliser un outil dont le fournisseur contractualise une garantie de non-contrefaçon assortie d'une indemnisation ;
• restreindre l'usage aux visuels génériques non stylisés, en excluant tout prompt du type « à la manière de » ;
• écarter purement et simplement l'usage pour les livrables facturés, et le réserver aux brouillons internes non publiés.

Une clause d'indemnisation fournisseur ne protège que dans les limites qu'elle fixe : plafond de responsabilité, exclusions pour usage non conforme aux conditions générales, juridiction applicable. Il faut la lire ligne à ligne, pas se fier à l'argument commercial du type « nous couvrons la contrefaçon ». Ce point a déjà été détaillé au chapitre sur les contrats fournisseurs — il se vérifie ici sur un cas concret.

Verlio retient l'option combinant garantie contractuelle et restriction d'usage : outil disposant d'une clause d'indemnisation vérifiée, et interdiction des prompts référençant un artiste ou un style identifiable, inscrite noir sur blanc dans la politique d'usage interne construite à l'étape 5.

Étape 3 — Traiter le volet RGPD

L'usage 3 (synthèse de comptes rendus) introduit un traitement de données personnelles : noms, fonctions, propos tenus par des interlocuteurs identifiés lors des réunions clients. Le DPO doit vérifier plusieurs points, déjà présentés dans les chapitres consacrés aux données personnelles et aux registres :

• la base légale du traitement — intérêt légitime documenté, ou consentement si le contexte l'exige ;
• si l'outil transfère les données hors Union européenne, et sous quel mécanisme (clauses contractuelles types, décision d'adéquation) ;
• la durée de conservation des données côté fournisseur, et si elles servent au ré-entraînement du modèle ;
• la mise à jour du registre des traitements et, le cas échéant, la nécessité d'une analyse d'impactAIPDConformitéAnalyse d'impact relative à la protection des données, obligatoire dès qu'un traitement est susceptible d'engendrer un risque élevé — ce qui couvre la plupart des systèmes de profilage.Voir dans le glossaire relative à la protection des données (AIPD) si le traitement présente un risque élevé pour les personnes concernées.

Verlio découvre, en lisant les conditions d'un premier outil testé, que les transcriptions de réunions étaient conservées 30 jours « à des fins d'amélioration du service », sans option de désactivation disponible sur le plan tarifaire souscrit. Le DPO écarte cet outil et retient un concurrent proposant un mode « entreprise » avec rétention nulle et opt-out contractuel du ré-entraînement, pour un coût légèrement supérieur mais jugé proportionné au risque évité.

Ce point illustre une règle générale déjà posée dans la formation : la conformité ne se décide pas sur la fiche marketing de l'outil, mais sur les conditions contractuelles réellement souscrites, plan par plan, à la date de la décision.

Étape 4 — Constituer le dossier de conformité

Le dossier de conformité n'est pas un document unique mais un ensemble de pièces, produites au fil de l'analyse et conservées comme preuve de diligence raisonnable :

• la cartographie des usages (étape 1) ;
• l'analyse propriété intellectuelle par usage, avec les décisions prises et leur justification (étape 2) ;
• la mise à jour du registre des traitements et, si requis, l'AIPD (étape 3) ;
• les conditions contractuelles des outilstool callingIACapacité d'un agent ou d'un LLM à invoquer des outils externes (API, calcul, recherche) pendant le raisonnement.Voir dans le glossaire retenus, annotées sur les clauses de garantie, de rétention et de licence des outputs ;
• la politique d'usage interne, décrite à l'étape suivante ;
• le plan de contrôle qualité humain (relecture, anti-plagiat) ;
• la trace des versions utilisées — quel modèle, quelle date — pour pouvoir reconstituer une éventuelle évolution des conditions fournisseur.

Dater et archiver chaque pièce, y compris les versions successives des conditions générales fournisseur. En cas de litige des mois plus tard, il faut pouvoir reconstituer l'état exact du contrat au moment de la décision, pas au moment du litige — les fournisseurs modifient régulièrement leurs CGU sans que la version antérieure reste facilement accessible.

Ce dossier a une double fonction : aide à l'arbitrage interne pour le comité de direction, et preuve de diligence raisonnable en cas de contrôle ou de réclamation d'un tiers, qu'il s'agisse d'un client, d'un ayant droit ou d'une autorité de contrôle comme la CNIL.

Étape 5 — Politique d'usage interne et gouvernance

Une fois les arbitrages pris, ils doivent être traduits en règles opposables aux équipes, pas seulement en principes généraux affichés sur une page intranet. Une politique d'usage interne efficace précise, pour Verlio :

• quels outils sont autorisés, pour quels usages, sur quels types de projets ;
• l'interdiction de saisir des données client confidentielles dans un outil non validé par le DPO ;
• l'obligation de relecture humaine avant toute livraison client, avec traçabilité de cette relecture ;
• l'interdiction de prompts reproduisant le style d'un auteur ou d'un artiste identifiable ;
• la procédure à suivre en cas de doute, avec un contact direct vers le DPO ou le service juridique ;
• les conséquences internes en cas de non-respect de la politique.

Cette politique est validée par un comité restreint réunissant direction, juridique, DPO et un représentant des équipes opérationnelles, puis diffusée avec une session de formation obligatoire. Un document non lu n'engage personne : la formation fait partie intégrante du dispositif, pas une case à cocher administrative.

Transparence contractuelle vis-à-vis des clients

Un point souvent négligé dans ce type de dossier concerne la relation avec les clients finaux de Verlio, pour qui les livrables sont produits. Deux options existent : rester silencieux sur l'usage de l'IA générative dans le processus de production, ou l'inscrire explicitement dans le contrat de prestation.

La seconde option, retenue par Verlio, comporte une clause précisant le périmètre exact d'usage (rédaction assistée avec relecture humaine systématique), le niveau de contrôle qualité appliqué, et l'engagement contractuel de Verlio quant à l'originalité du livrable final. Cette transparence réduit le risque de litige si un client découvre l'usage par un autre biaisbiaisIARégularité correctement apprise dans des données qui ne représentent pas la réalité visée, ou qui enregistrent des décisions passées avec leurs préjugés. Changer d'algorithme ne le corrige pas.Voir dans le glossaire — un outil de détection de contenu généré, par exemple — qui transformerait une pratique assumée en dissimulation apparente.

Étape 6 — Déploiement encadré et audit continu

Le déploiement n'est pas un point final mais l'ouverture d'une phase de suivi. Trois mécanismes sont mis en place chez Verlio :

• un contrôle qualité par sondage sur les livrables produits avec IA générative, sur une base mensuelle ;
• une veille sur les évolutions contractuelles des fournisseurs retenus, en particulier tout changement de conditions générales ou de politique de rétention ;
• une revue annuelle de la cartographie des usages, car de nouveaux cas d'usage apparaissent en continu et échappent sinon à l'analyse initiale.

Le risque le plus fréquent en pratique n'est pas l'usage validé au départ, mais l'usage « dérivé » qui apparaît ensuite sans repasser par le circuit de validation — un chargé de compte qui commence, par exemple, à utiliser l'outil de rédaction pour des contrats clients. La gouvernance doit prévoir un canal simple de signalement de ces nouveaux usages, sinon ils prospèrent hors cadre, invisibles jusqu'à ce qu'un incident les révèle.

Pièges fréquents observés dans ce type de dossier

• Traiter la conformité comme un jalon unique, validé une fois pour toutes, alors que les conditions fournisseur, la jurisprudence et le cadre réglementaire évoluent en continu.
• Confondre garantie commerciale et garantie contractuelle : une déclaration publique affirmant respecter le droit d'auteur n'a de valeur juridique que si elle figure dans le contrat signé.
• Négliger le volet RGPD au profit du seul volet propriété intellectuelle, alors que c'est souvent le premier qui génère le contrôle ou la réclamation — un salarié, un contact client.
• Ne pas former les équipes opérationnelles, qui contournent alors la politique par méconnaissance plutôt que par mauvaise foi.
• Sous-dimensionner le contrôle qualité humain, en particulier pour les livrables publiés publiquement, où le risque réputationnel s'ajoute au risque juridique.

Checklist de clôture

• Cartographie des usages à jour, incluant les usages dérivés détectés depuis la dernière revue
• Analyse propriété intellectuelle documentée pour chaque usage à risque moyen ou élevé
• Registre des traitements et AIPD mis à jour si le projet implique des données personnelles
• Conditions contractuelles des outils lues et annotées sur les clauses critiques (garantie, rétention, licence)
• Politique d'usage interne rédigée, validée par le comité et diffusée avec une session de formation
• Circuit de signalement des nouveaux usages en place et connu des équipes
• Calendrier de revue périodique fixé, à minima annuel

Ce qu'il faut retenir avant de passer à l'action

Un dossier de conformité IA générative n'a pas vocation à éliminer le risque — aucun dossier ne le peut. Il a vocation à le rendre visible, arbitré consciemment et documenté, plutôt que subi. C'est cette différence que retiendra un juge, un client ou une autorité de contrôle : non pas l'absence totale d'incident, mais la preuve d'une diligence raisonnable exercée en amont, à chaque étape du parcours décisionnel présenté dans ce chapitre.