Un contrat AI Act pour un produit IA fixe trois choses avant toute signature : le rôle de chaque partie (fournisseur, déployeur, utilisateur), le niveau de risque du système et les obligations de documentation qui en découlent. En 2026, ce n'est plus une clause optionnelle - c'est la clause qui détermine si le contrat tient en cas de contrôle.
- Un contrat AI Act pour produit IA distingue fournisseur et déployeur avant toute clause de responsabilité - Buy la distinction, Skip le modèle générique.
- Le DPA RGPD classique ne couvre pas la gouvernance des données d'entraînement IA - à ajouter en 2026.
- Les obligations pour systèmes à haut risque entrent en application le 2 août 2026 - prévoir une clause d'adaptation dans tout contrat signé avant.
- Amende maximale pour pratique IA interdite : 35 millions d'euros ou 7% du chiffre d'affaires mondial, article 99 de l'AI Act.
- Lina livre un contrat AI Act type sous 36 heures avec devis fixe en une heure.
Pourquoi ce sujet compte
L'AI Act (Règlement UE 2024/1689) ne s'applique pas de la même façon à tous les produits IA. Un chatbot de support client et un outil de scoring RH n'ont pas les mêmes obligations contractuelles, parce qu'ils n'ont pas le même niveau de risque au sens du règlement.
Le calendrier est déjà en marche. Les pratiques interdites sont sanctionnées depuis février 2025, les obligations sur les modèles à usage général s'appliquent depuis août 2025, et les obligations pour les systèmes à haut risque de l'annexe III entrent en application le 2 août 2026. Un contrat signé aujourd'hui sans clause d'adaptation à ce calendrier expose le fournisseur comme le déployeur.
La mise en conformité RGPD d'une startup SaaS ne suffit plus à couvrir un produit IA : la gouvernance des données d'entraînement, la documentation technique et la répartition des responsabilités entre fournisseur et déployeur sont des sujets contractuels distincts du RGPD, même s'ils se recoupent largement.
Qui est concerné
Ce guide s'adresse aux fondateurs de startups SaaS B2B qui intègrent un LLM tiers dans leur produit, aux éditeurs qui proposent un outil de scoring ou de recrutement potentiellement classé à haut risque, aux entreprises deeptech qui vendent un modèle propriétaire à d'autres entreprises, et aux sociétés qui déploient de l'IA en interne pour du crédit scoring ou de la gestion RH. Si votre produit IA touche à la santé, à l'emploi, au crédit ou à l'accès à un service essentiel, la question du contrat AI Act n'est pas théorique.
Ce qu'il faut vérifier dans un contrat AI Act pour produit IA
Classification du risque du système
Le contrat doit indiquer explicitement si le système est classé risque minimal, risque limité ou risque élevé au sens de l'AI Act. Sans cette classification écrite, aucune des clauses suivantes n'a de valeur pratique, parce que les obligations de documentation et de transparence dépendent entièrement de ce niveau.
Répartition des rôles fournisseur et déployeur
L'AI Act distingue le fournisseur (qui développe ou fait développer le système) du déployeur (qui l'utilise sous sa propre autorité). Le contrat doit dire noir sur blanc qui porte quelle obligation, parce que ce sont deux régimes de responsabilité différents, pas une nuance rédactionnelle.
Documentation technique et transparence
Pour un système à haut risque, le fournisseur doit remettre une documentation technique exploitable, pas une fiche marketing. Le contrat doit préciser le format, la fréquence de mise à jour et les modalités d'accès à cette documentation en cas de contrôle.
Gouvernance des données d'entraînement
Au-delà du RGPD classique, le contrat doit couvrir la provenance des données d'entraînement, les droits de réutilisation et les garanties anti-biais. C'est le point le plus souvent absent des DPA génériques signés avant 2024.
Responsabilité, assurance et audit
Le partage de responsabilité en cas de dommage causé par le système doit être chiffré, pas vague. Une clause d'audit permettant au déployeur de vérifier les allégations de conformité du fournisseur protège les deux parties en cas de contrôle réglementaire.
Calendrier de mise en conformité
Le contrat doit prévoir une clause de révision liée aux échéances de l'AI Act, en particulier le 2 août 2026 pour les systèmes à haut risque et le 2 août 2027 pour les produits IA intégrés dans des dispositifs déjà réglementés (dispositifs médicaux, machines).
“Un contrat AI Act qui ne distingue pas fournisseur et déployeur ne protège ni l'un ni l'autre.”
Les contrats prioritaires pour un produit IA conforme
Le contrat de sous-traitance RGPD pour prestataires tech - la base incontournable
Ce contrat encadre déjà le traitement des données par un prestataire tech, mais pour un produit IA il doit intégrer une clause sur les données d'entraînement, pas seulement les données d'exploitation. Un contrat de sous-traitance RGPD pour prestataires tech bien rédigé sert de socle avant d'ajouter les clauses spécifiques AI Act. Verdict : Buy - c'est le document de départ pour toute startup qui externalise une brique IA.
Le DPA RGPD pour éditeurs SaaS - à muscler pour l'IA
Un DPA standard couvre le traitement des données personnelles, mais rarement la gouvernance des modèles d'IA hébergés. Un DPA RGPD pour éditeurs de logiciels SaaS doit ajouter une annexe sur les journaux d'utilisation du modèle et les droits d'audit. Verdict : Buy, à condition d'ajouter l'annexe IA - un DPA non adapté est Skip pour un produit qui embarque un LLM.
Les CGU pour applications mobiles - le point de contact utilisateur
Si votre produit IA a une interface utilisateur finale, les CGU doivent informer l'utilisateur qu'il interagit avec un système d'IA - c'est une obligation de transparence directe de l'AI Act, pas une option de communication. Des CGU pour applications mobiles mises à jour avec cette mention protègent contre le grief de manque d'information. Verdict : Buy, en particulier pour les produits grand public.
La clause de gouvernance des données d'entraînement - sur mesure, pas de modèle générique
Ce n'est pas un contrat autonome mais une clause à intégrer dans les contrats existants : provenance des données, droits de réutilisation, garanties anti-biais et procédure de retrait en cas de contestation. Aucun modèle standard ne la couvre correctement, parce qu'elle dépend du modèle utilisé et de son fournisseur. Verdict : Consider - à faire rédiger sur mesure plutôt qu'à copier d'un contrat existant.
Sécurisez le contrat AI Act de votre produit IA
Devis fixe en 1 heure, réponse avocat en 30 minutes, livraison type en 36 heures.
Ce qu'il faut éviter
- Des CGU copiées d'un concurrent sans mention de l'interaction avec un système d'IA - l'obligation de transparence de l'AI Act est individuelle, pas transférable d'un produit à l'autre.
- Un contrat de licence logicielle classique sans clause d'audit ni de documentation technique - il protège la propriété intellectuelle mais laisse le fournisseur exposé sur la conformité AI Act.
- Un DPA RGPD standard non daté signé avant 2024 - il ne couvre presque jamais les données d'entraînement ni les obligations de traçabilité propres à l'IA.
Tableau de verdict
| Contrat | Rôle couvert | Point de vigilance 2026 | Verdict |
|---|---|---|---|
| Sous-traitance RGPD tech | Fournisseur / prestataire | Ajouter clause données d'entraînement | Buy |
| DPA RGPD éditeur SaaS | Fournisseur SaaS | Annexe audit modèle IA | Buy |
| CGU applications mobiles | Déployeur / utilisateur final | Mention transparence IA obligatoire | Buy |
| Clause gouvernance données d'entraînement | Fournisseur | Rédaction sur mesure, pas de modèle | Consider |
FAQ
Qu'est-ce qu'un contrat AI Act pour un produit IA ?
C'est un contrat qui répartit les obligations de l'AI Act entre fournisseur et déployeur d'un système d'IA, avec la classification de risque, la documentation technique et la responsabilité en cas de dommage. Il complète, sans le remplacer, le DPA RGPD existant.
Quelle est l'amende maximale prévue par l'AI Act ?
L'amende maximale atteint 35 millions d'euros ou 7% du chiffre d'affaires mondial annuel pour les pratiques IA interdites, selon l'article 99 du règlement. Les autres manquements sont sanctionnés jusqu'à 15 millions d'euros ou 3% du chiffre d'affaires.
Un DPA RGPD suffit-il pour un produit IA en 2026 ?
Non, un DPA RGPD classique ne couvre pas la gouvernance des données d'entraînement ni les obligations de documentation propres à l'AI Act. Il faut y ajouter une annexe spécifique ou un contrat distinct selon le niveau de risque du système.
Quand les obligations pour systèmes à haut risque entrent-elles en application ?
Les obligations pour les systèmes à haut risque de l'annexe III de l'AI Act entrent en application le 2 août 2026. Les produits IA intégrés dans des dispositifs déjà réglementés ont jusqu'au 2 août 2027.
Qui est fournisseur et qui est déployeur au sens de l'AI Act ?
Le fournisseur développe ou fait développer le système d'IA et le met sur le marché ; le déployeur l'utilise sous sa propre autorité dans le cadre de son activité. Un contrat AI Act doit nommer explicitement lequel des deux rôles chaque partie occupe.
Combien coûte la rédaction d'un contrat AI Act pour produit IA ?
Le coût dépend du niveau de risque du système et du nombre de clauses à intégrer aux contrats existants. Un devis fixe, établi après examen du produit, permet de connaître le montant avant toute rédaction.
Les CGU doivent-elles mentionner l'usage d'un système d'IA ?
Oui, l'AI Act impose une obligation de transparence directe envers l'utilisateur final lorsqu'il interagit avec un système d'IA, notamment un chatbot ou un système de reconnaissance d'émotion. Cette mention doit figurer clairement dans les CGU, pas dans une page annexe.
Un dernier point
La plupart des contrats IA rédigés avant 2024 n'ont aucune clause de révision liée au calendrier de l'AI Act - ils ont été rédigés avant que le règlement n'existe. Faire réviser les contrats en cours, pas seulement les nouveaux, est souvent le chantier le plus rentable avant l'échéance du 2 août 2026.