Guide · coûts, code, données et réversibilité

Contrat avec un prestataire IA : 8 clauses à exiger

Contrat avec un prestataire IA : les 8 clauses à exiger sur les coûts variables, le code, les comptes, le RGPD, la réversibilité et le suivi.

Par Yanis Zedira. Publié le 2 novembre 2026. 10 min de lecture.

Un contrat avec un prestataire IA doit fixer huit points : le périmètre et la recette, le plafond des coûts variables, la cession du code, les comptes à votre nom, les données personnelles, la réversibilité, le suivi et les responsabilités. Sans eux, vous découvrez le vrai prix ou la dépendance après la signature.

En bref

• Un projet d'IA a des coûts qui varient chaque mois et une qualité qui évolue. Un contrat de site internet classique ne couvre pas ces deux points.
• Le code n'est pas à vous par défaut : la cession doit être écrite et précise.
• Dès que le prestataire traite des données personnelles pour vous, l'article 28 du RGPD impose un contrat aux mentions obligatoires.
• Demandez à voir ce qui reste chez vous si vous arrêtez demain.
• Cet article est un guide pratique, pas un conseil juridique : pour un contrat important, faites relire le texte par un avocat.

Les 8 clauses en un coup d'œil

1. Le périmètre et les critères de recette

Écrivez ce que l'outil doit faire, ce qu'il ne fait pas, et comment on vérifie le résultat. Pour un agent, listez les intentions traitées et les cas transférés à un humain. Prévoyez un jeu de cas réels à passer avant la réception. Dans notre étude sur cinq TPE, l'agent du cabinet comptable reposait sur quatorze intentions déclarées : c'est le type de liste qui rend une recette possible.

Ajoutez une mesure de départ. Aucun de nos cinq clients n'avait de relevé initial, et sans lui, le contrat ne peut pas dire si le résultat est atteint.

2. Le plafond des coûts variables

C'est la clause qui évite les mauvaises surprises. Sur un agent vocal à ~430 appels par mois, nous avons relevé environ 40 € par mois de consommation en plus des 29 € d'abonnement. La somme reste modeste, mais elle dépend du volume. Le contrat devrait donc préciser :

• le détail de ce qui est refacturé (modèle, voix, minutes, SMS, licences) ;
• une estimation chiffrée au volume prévu ;
• un seuil d'alerte, et un plafond au-delà duquel le service se met en pause ou demande votre accord ;
• la règle en cas de hausse des tarifs des fournisseurs.

Sans plafond, vous portez seul un risque que vous ne contrôlez pas. La première année de cet agent a coûté 1 520 € au total, alors que le prix affiché commençait à 390 € : notre article sur le prix d'une automatisation détaille ce calcul.

Relire un devis ou un contrat avant de signer. En 15 minutes, on regarde ce qui est refacturé chaque mois, qui détient les comptes et ce que vous gardez si vous partez. Si le devis d'un autre prestataire tient la route, on vous le dit aussi. Réserver mon échange offert ou lire nos critères pour choisir un prestataire.

3. La propriété du code et des contenus

Payer une prestation ne suffit pas à devenir propriétaire. L'article L131-3 du code de la propriété intellectuelle exige que chaque droit cédé fasse l'objet d'une mention distincte, et que le domaine d'exploitation soit délimité quant à son étendue, sa destination, son lieu et sa durée. Faites donc lister :

• ce qui est cédé : code, workflows, instructions de l'agent, jeux de tests ;
• les droits cédés : reproduction, représentation, adaptation ;
• l'étendue, le territoire et la durée ;
• ce qui reste au prestataire : ses composants réutilisables, avec une licence d'usage durable pour vous, et les logiciels tiers soumis à leur propre licence.

La question des contenus produits par un modèle est plus incertaine : demandez qui garantit quoi plutôt que d'accepter une promesse générale.

4. Les comptes et les accès

Exigez que le nom de domaine, le numéro de téléphone, l'instance d'automatisation et les clés de modèle soient à votre nom, ou transférables dès la fin du contrat. Listez-les en annexe, avec le responsable de chaque renouvellement. C'est aussi ce qui protège une TPE qui passe par un indépendant, un point que nous détaillons dans agence IA ou freelance.

5. Les données personnelles et les sous-traitants

Si le prestataire traite pour vous des données de clients ou de patients, l'article 28 du RGPD impose un contrat qui précise l'objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes. Il doit aussi prévoir :

• un traitement uniquement sur vos instructions documentées, y compris pour les transferts hors de l'Union ;
• la confidentialité et les mesures de sécurité ;
• l'aide pour répondre aux demandes des personnes ;
• la suppression ou la restitution des données à la fin ;
• les audits et les informations prouvant la conformité.

Point propre à l'IA : l'éditeur du modèle et le fournisseur de téléphonie sont souvent des sous-traitants ultérieurs. Le prestataire doit disposer de votre autorisation écrite, générale ou spécifique, et vous prévenir de tout changement. Demandez leur liste, leur localisation, et si vos données servent à entraîner un modèle. La CNIL rappelle dans sa note du 20 juillet 2026 que le RGPD s'applique pleinement aux agents qui enchaînent des services (CNIL). Pour le reste du cadre, voir RGPD et automatisation IA en PME.

6. La réversibilité

Décrivez la sortie avant d'entrer : export des données, des conversations et des workflows dans un format exploitable, documentation remise, durée d'assistance et prix maximum. Ajoutez la date de suppression des données chez le prestataire.

Faites le test en pensée : si le prestataire disparaît demain, qui peut relancer l'outil, avec quels accès et quelle documentation ?

7. Le suivi, les corrections et la maintenance

Un agent n'est pas terminé à la livraison. La première version de notre agent vocal transférait 41 % des appels ; il a fallu trois itérations pour atteindre 22 %. Le contrat doit donc inclure :

• le nombre de cycles de correction compris après la mise en ligne ;
• qui surveille les pannes, sous quel délai il réagit, et comment vous êtes prévenu ;
• la gestion des changements d'API ou de version de modèle ;
• le prix du suivi, ou la mention explicite qu'il n'y en a pas.

Nous comptons environ une heure par mois et par automatisation. Trois clients sur cinq de notre étude n'avaient pas de contrat de suivi : nous l'avons publié comme une faiblesse, à ne pas reproduire.

8. Les responsabilités et les obligations propres à l'IA

Une réponse fausse de l'agent reste un problème pour votre client, donc pour vous. Précisez :

• La répartition des rôles. Depuis le 2 août 2026, l'article 50 de l'AI Act impose d'informer une personne qu'elle échange avec une IA, sauf si c'est évident. Qui rédige et installe cette mention ? Le cadre général figure dans notre article sur l'AI Act pour les PME.
• Les limites de l'agent. Sujets interdits, transfert vers un humain, conservation des conversations.
• Le contrôle humain. Qui relit un échantillon, et à quelle fréquence.
• La responsabilité. Une limitation est courante ; une exclusion totale, sans possibilité de contrôle, mérite une discussion avec votre conseil.

Pour un contrat d'au moins 5 000 € HT, ajoutez la demande d'attestation de vigilance à la signature, puis tous les six mois (Urssaf).

Conclusion

Ces huit clauses ne servent pas à se méfier du prestataire. Elles évitent les deux surprises les plus coûteuses d'un projet d'IA : une facture mensuelle imprévue et une dépendance découverte trop tard. Un prestataire solide accepte d'en parler avant de signer, et c'est déjà un bon test. Pour comparer plusieurs acteurs, servez-vous de notre guide choisir une agence d'automatisation IA.

Sources

• Règlement (UE) 2016/679, article 28, texte publié par la CNIL, consulté le 2 novembre 2026
• CNIL, guide du sous-traitant, septembre 2017
• CNIL et CIANum, note exploratoire sur l'IA agentique, 20 juillet 2026
• Code de la propriété intellectuelle, article L131-3, consulté le 2 novembre 2026
• Commission européenne, lignes directrices sur les obligations de transparence de l'AI Act, consultées le 2 novembre 2026
• Urssaf, Obtenir et vérifier une attestation de vigilance, consulté le 2 novembre 2026
• YZ Automation, étude sur cinq missions d'automatisation IA en TPE, 1er novembre 2026