Annexe IA.

Article 1 — Objet et champ d’application

1.1 Objet. La présente annexe complète les conditions générales de vente du Prestataire, référencées SFT-JUR-CGV-10, ci-après le « Socle ». Elle règle les questions propres à la mobilisation d’un Modèle d’IA.

1.2 Champ d’application. Elle s’applique à toute Prestation dans laquelle un Modèle d’IA est mobilisé, que ce soit comme outil de production du Prestataire ou comme composant d’un Livrable. Elle est en conséquence jointe au Devis dès que l’un ou l’autre de ces usages est mis en œuvre, quel que soit par ailleurs le régime de la Prestation. Les conditions opérationnelles de la Prestation — fournisseurs d’inférence et localisation des traitements, périmètre des connecteurs et des sources, plafond de coûts, journalisation, indicateurs de qualité — sont fixées par l’annexe « Conditions particulières relatives à l’intelligence artificielle », référencée SFT-JUR-IA-03, ci-après l'« Annexe technique », lorsqu’elle est jointe ; à défaut, par le Devis.

1.3 Hiérarchie. Les termes définis à l’article 1 du Socle ont la même signification dans la présente annexe. Le Socle demeure applicable dans toutes ses stipulations et prévaut sur la présente annexe en cas de contradiction, sauf sur les questions que celle-ci a spécifiquement pour objet de régler — Modèles d’IA, Prompts, Sorties et garde-fous — pour lesquelles elle prévaut. Elle s’articule avec le DPA pour tout ce qui touche aux Données à caractère personnel, celui-ci prévalant dans les conditions du paragraphe 14.2 du Socle. La présente annexe est matériellement jointe au Devis et en fait partie intégrante.

Article 2 — Transparence : fournisseurs d’inférence et localisation des traitements

2.1 Le Prestataire déclare recourir à des outils d’intelligence artificielle générative dans sa production, notamment à des assistants de génération et de revue de code. Il informe le Client des Modèles d’IA et des fournisseurs retenus pour un Livrable, du mode d’exploitation choisi, de la localisation des traitements et des principales limites connues du modèle ; ces éléments figurent à l’Annexe technique ou, à défaut, au Devis ou à la documentation d’architecture. Tout changement de modèle ou de fournisseur ayant une incidence sur la localisation des traitements, sur le coût ou sur la qualité des Sorties est notifié au Client préalablement à sa mise en œuvre.

2.2 Le Prestataire déclare en outre recourir, pour l’exploitation et l’administration des environnements qu’il gère, à un outil d’assistance fondé sur un Modèle d’IA fourni par un tiers établi hors de l’Union européenne, susceptible d’accéder à des configurations et à des extraits de journaux techniques, dans les limites et sous les exclusions de l’article 8, qui prévalent sur le présent article. Aucune base de production, aucune sauvegarde et aucun secret d’authentification ne lui est transmis. Cet outil est inscrit à la liste des Sous-traitants ultérieurs du DPA lorsqu’il traite des Données à caractère personnel et soumis aux garanties de transfert du paragraphe 14.6 du Socle. Le Client peut, par notification écrite, exclure le recours à cet outil pour ses propres environnements ; le Prestataire l’informe alors des incidences éventuelles sur les délais et le prix.

Article 3 — Rôle de chaque Partie

3.1 Les Parties se conforment au règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, selon la répartition suivante :

• le Client qualifie ses cas d’usage. Il lui appartient de déterminer si un système relève des pratiques interdites de l’article 5, s’il constitue un système à haut risque au sens de l’annexe III, et d’assumer les obligations correspondantes. Il informe le Prestataire de cette qualification avant le démarrage des travaux ;
• le Prestataire refuse de concevoir, d’intégrer ou d’exploiter tout système relevant d’une pratique interdite par l’article 5 et peut, s’il découvre une telle finalité en cours d’exécution, suspendre puis résilier le Contrat aux torts du Client dans les conditions de l’article 20 du Socle ;
• les obligations de transparence de l’article 50 sont réparties par le règlement lui-même : celles de ses paragraphes 1 et 2 incombent au fournisseur du système ou du modèle, celles de ses paragraphes 3 et 4 au déployeur. Le Prestataire met en œuvre techniquement les dispositifs correspondants lorsque le Devis le prévoit ; chaque Partie assume les obligations que le règlement met à sa charge en fonction du rôle qu’elle exerce effectivement ;
• le Prestataire assure à son personnel et à ses intervenants un niveau suffisant de maîtrise de l’intelligence artificielle au sens de l’article 4, reposant sur les règles écrites qu’il s’impose dans l’usage des Modèles d’IA — classement de la donnée avant toute soumission, catégories de données interdites, relecture systématique des Sorties, confirmation humaine explicite avant toute mutation en production — et sur l’expérience opérationnelle de ses intervenants ;
• la répartition des rôles est la suivante, telle que les Parties la constatent : le Prestataire intervient comme intégrateur technique pour le compte du Client — il paramètre, connecte et livre sur les instructions de celui-ci, et emploie pour son propre compte des outils d’assistance ; le Client choisit le cas d’usage et le fournisseur de modèle, fournit les données, arbitre le paramétrage, contrôle les Sorties, décide de la mise en service et exploite le système sous son propre nom ou sa propre marque ; le Prestataire ne met aucun système d’intelligence artificielle sur le marché sous son nom ou sa marque et n’en modifie pas la destination ; les Modèles d’IA proviennent de fournisseurs tiers, qui conservent les obligations attachées à cette qualité.

La qualification de chaque Partie au regard du règlement (UE) 2024/1689 résulte de ces faits et des dispositions de ce règlement. Les Parties constatent qu’en l’état de cette répartition, la mise sur le marché ou la mise en service du système relève du Client, et que chacune assume les obligations que le règlement met à sa charge à raison du rôle qu’elle exerce effectivement. Tout changement de cette répartition — notamment la livraison par le Prestataire d’un système sous sa propre marque ou la modification par lui de sa destination — emporte le réexamen de cette qualification et, le cas échéant, la conclusion sans délai d’un avenant répartissant les obligations correspondantes et ajustant le prix.

Article 4 — Prompts

4.1 Les Prompts métier rédigés par le Client, ou rédigés par le Prestataire pour les besoins propres du Client et à partir de son contexte, constituent des Livrables et suivent le régime de cession du paragraphe 12.1 du Socle. Les Prompts système, gabarits d’instruction, chaînes d’orchestration et outils génériques du Prestataire relèvent du paragraphe 12.5 du Socle et demeurent sa propriété, sous licence d’usage au Client dans la mesure nécessaire à l’exploitation des Livrables. Lorsque l’Annexe technique est jointe, la licence qu’elle consent sur ces éléments — notamment le droit de les faire adapter par un tiers du choix du Client et leur cessibilité avec le Livrable — prévaut sur le paragraphe 12.5 du Socle.

Article 5 — Sorties

5.1 Les Sorties produites dans le cadre d’une Prestation sont mises à la disposition du Client, qui peut les exploiter librement pour ses besoins. Le Prestataire attire expressément l’attention du Client sur les points suivants :

• une Sortie dépourvue d’apport créatif humain caractérisé n’est pas nécessairement protégeable par le droit d’auteur ; le Prestataire ne garantit au Client aucun droit privatif sur les Sorties et ne peut donc lui en céder ; en conséquence, les Sorties ne relèvent de la cession du paragraphe 12.1 du Socle que dans la mesure où elles constituent des Livrables au sens de l’article 1 du Socle, le Prestataire ne consentant, pour les autres, qu’une mise à disposition sans garantie d’existence ni de titularité d’un droit privatif ;
• le Prestataire ne garantit ni l’exactitude, ni l’exhaustivité, ni l’actualité, ni l’originalité, ni le caractère non contrefaisant, ni la constance, ni la reproductibilité d’une Sortie ; un même Prompt peut produire des Sorties différentes ;
• une Sortie peut comporter des affirmations erronées, des références inexistantes ou des biais ;
• le Client ne peut se prévaloir d’aucune exclusivité de fait sur une Sortie, un tiers pouvant obtenir d’un même Modèle d’IA un contenu identique ou voisin.

Ces exclusions ne privent pas d’objet les obligations de méthode, de garde-fous et de validation humaine souscrites par ailleurs.

Article 6 — Contrôle humain des résultats

6.1 L’intelligence artificielle prépare, la personne décide. Aucune Sortie n’est appliquée à un système de production, transmise à un tiers ou opposée à une personne sans validation humaine préalable. Cette validation est donnée par une personne physique, explicitement, préalablement et de manière tracée ; elle ne peut être produite par un automate, un script, un ordonnanceur ou un Modèle d’IA, ni être déduite d’un silence, et porte sur une opération nommée et bornée. Le Prestataire conçoit les chaînes de traitement en conséquence : il prévoit les points de contrôle, la traçabilité de la décision et la possibilité d’une reprise manuelle. La mise en œuvre effective de cette validation, au sein de l’organisation du Client, relève de ce dernier.

Article 7 — Code produit avec l’assistance d’un Modèle d’IA et garantie d’éviction

7.1 Le code produit avec l’assistance d’un Modèle d’IA est revu, testé et intégré sous la responsabilité du Prestataire, dans les mêmes conditions que le code écrit manuellement. Le Prestataire garantit l’absence, à sa connaissance, de reproduction servile de code soumis à une licence incompatible avec l’usage prévu. Il ne met en œuvre, à la date des présentes, aucun contrôle de similarité de code ni aucune analyse instrumentée de conformité des licences, et n’en promet aucun ; il remet au Client, sur demande écrite, l’inventaire des composants tiers du Livrable et de leurs licences dans les conditions du paragraphe 12.4 du Socle. Cette garantie s’exerce dans les limites du paragraphe 12.7 du Socle.

7.2 La garantie d’éviction du Prestataire sur les Livrables, ses modalités de mise en œuvre et son exclusion du plafond de responsabilité demeurent régies par le paragraphe 12.6 du Socle.

Article 8 — Données et entraînement

8.1 Aucune donnée du Client n’est utilisée pour entraîner, affiner ou évaluer un Modèle d’IA sans son accord écrit préalable et spécifique. Le Prestataire retient, pour les fournisseurs auxquels il recourt, les options contractuelles ou techniques excluant l’entraînement sur le contenu transmis et, lorsque cette option existe, la rétention des requêtes. Sont exclus de toute transmission à un Modèle d’IA, sans qu’aucun accord du Client ne puisse y déroger : le contenu des bases de production et des sauvegardes ; tout mot de passe, clé privée, jeton, certificat ou autre secret d’authentification ou de chiffrement ; toute information couverte par un secret professionnel ou de nature financière ou bancaire ; toute donnée relevant des articles 9 et 10 du RGPD. Les secrets d’affaires du Client et les identifiants techniques non nécessaires à la tâche sont exclus des Prompts ; les extraits de journaux techniques ne sont soumis qu’après retrait des adresses de réseau, identifiants et noms de comptes non nécessaires à l’analyse. Le Prestataire privilégie, lorsque le cas d’usage le permet, la minimisation, la pseudonymisation ou le caviardage des données transmises au modèle.

Article 9 — Garde-fous et maîtrise des coûts d’inférence

9.1 L’Annexe technique ou, à défaut, le contrat spécifique ou le Devis fixe, pour chaque cas d’usage : le plafond de consommation d’interfaces de programmation refacturée au Client et le seuil d’alerte, le périmètre exact des connecteurs et des sources accessibles au Modèle d’IA, les règles de journalisation des appels et de conservation des Prompts et des Sorties, ainsi que les indicateurs de qualité et le moment de leur mesure. Le Prestataire alerte le Client au franchissement du seuil d’alerte et suspend les appels au-delà du plafond, sauf instruction écrite contraire du Client emportant relèvement du plafond et acceptation du surcoût. Cette suspension n’est pas imputable au Prestataire : elle n’engage pas sa responsabilité, ne constitue pas une indisponibilité au sens des SLA souscrits par ailleurs et n’ouvre droit à aucune pénalité ni à aucun avoir.

9.2 Les consommations d’interfaces de programmation des fournisseurs de Modèles d’IA sont refacturées au coût réel, sur justificatifs, dans les conditions du paragraphe 6.2 du Socle. Leur augmentation par un fournisseur amont relève du paragraphe 6.5 du Socle.

Article 10 — Absence de garantie de résultat sur le contenu produit

10.1 Le Prestataire est tenu d’une obligation de moyens sur la conception, le réglage et les garde-fous de la chaîne de traitement. Il n’assume aucune garantie de résultat sur le contenu produit par le modèle. Le Client dispose d’une procédure de signalement des dérives, hallucinations ou réponses inappropriées ; le Prestataire analyse chaque signalement et met en œuvre, dans le cadre du contrat de maintenance applicable, les mesures correctives raisonnablement disponibles, notamment l’ajustement des Prompts, le renforcement des filtres, la restriction du périmètre documentaire ou le changement de modèle.