Les achats d'IA dans les secteurs régulés : pourquoi c'est désormais un enjeu de conseil d'administration

Dans les secteurs régulés, services financiers, santé, énergie, infrastructures critiques, secteur public, les achats d'IA ne relèvent plus simplement du sourcing informatique. Il s'agit désormais d'un enjeu de gouvernance au niveau du conseil d'administration, avec des conséquences directes en matière réglementaire et de responsabilité. Cette évolution résulte de trois pressions convergentes : les obligations de répercussion contractuelle de l'AI Act européen, applicables à compter du 2 août 2026 ; les exigences sectorielles de résilience opérationnelle (DORA, APRA (Australian Prudential Regulation Authority) CPS 230, guide de surveillance de la BCE sur les modèles internes) ; et les exigences de diligence raisonnable sur la chaîne d'approvisionnement (CSDDD, dispositions de NIS2 relatives à la chaîne d'approvisionnement en cybersécurité).

Pour les organisations régulées, le changement essentiel est que les décisions de sélection des fournisseurs créent désormais une responsabilité directe et continue. Le manquement à la conformité, l'incident de sécurité ou le problème de données d'entraînement d'un fournisseur d'IA important devient le manquement à la conformité de l'entité régulée elle-même. Les processus d'achats standard, conçus pour les fournisseurs de logiciels traditionnels, ne saisissent pas le risque spécifique à l'IA et ne répondent pas aux attentes des régulateurs.

Les cinq cadres réglementaires qui redéfinissent les achats d'IA en 2026

L'AI Act européen impose des obligations à la fois aux fournisseurs (providers) et aux déployeurs (clients). Pour les systèmes d'IA à haut risque (catégories de l'annexe III telles que l'emploi, le crédit, la biométrie, l'éducation, les infrastructures critiques), les obligations du déployeur à compter du 2 décembre 2027 comprennent : garantir une supervision humaine ; surveiller le fonctionnement du système ; assurer la journalisation ; informer les personnes concernées ; et réaliser des analyses d'impact sur les droits fondamentaux. Le déployeur ne peut satisfaire à ces obligations sans dispositions contractuelles spécifiques dans le contrat d'achat. L'Union européenne a publié des clauses contractuelles types pour les achats d'IA (MCC-AI), en version allégée et en version à haut risque, afin d'aider les organisations à mettre en œuvre ces exigences contractuelles.

Le DORA européen (Digital Operational Resilience Act, règlement sur la résilience opérationnelle numérique), applicable depuis le 17 janvier 2025, impose des exigences spécifiques de gestion du risque lié aux prestataires TIC aux acteurs des services financiers de l'UE. Les fournisseurs d'IA sont qualifiés de prestataires TIC. Les contrats doivent inclure des descriptions de service précises, les localisations, les obligations de sécurité, les droits d'audit, les règles de sous-traitance ultérieure et les dispositions de sortie. Les prestataires tiers critiques (PTC) désignés au titre de DORA font l'objet d'une surveillance directe de la part des autorités européennes de surveillance.

La norme APRA CPS 230 (Australie, en vigueur depuis le 1er juillet 2025, modifications au 1er juillet 2026) impose aux entités australiennes de services financiers d'identifier et de gérer leurs prestataires de services importants, y compris les fournisseurs d'IA. Les orientations de Norton Rose Fulbright de février 2026 confirment que les contrats avec les fournisseurs d'IA doivent être conformes à la norme CPS 230 dès le prochain renouvellement, et au plus tard le 1er juillet 2026. Les fournisseurs d'IA ne relèvent pas des catégories restreintes de NTSP exemptées au titre de CPS 230.

La directive NIS2 de l'UE, applicable depuis le 17 octobre 2024, impose des exigences de cybersécurité de la chaîne d'approvisionnement aux entités essentielles et importantes dans de nombreux secteurs. Les services d'IA qualifiés d'éléments de la chaîne d'approvisionnement TIC relèvent du champ d'application de NIS2, avec des obligations de notification (signalement des incidents significatifs sous 24 heures) et des exigences de cybersécurité substantielles.

La CSDDD européenne (Corporate Sustainability Due Diligence Directive, directive sur le devoir de vigilance des entreprises en matière de durabilité), dont l'application est échelonnée de 2027 à 2029, impose aux entreprises concernées d'évaluer les impacts sur les droits humains et l'environnement dans l'ensemble de leur chaîne d'approvisionnement, y compris les composants d'IA et les outils d'IA utilisés pour réaliser cette vigilance.

Classification des fournisseurs d'IA fondée sur le risque

Le point de départ consiste à classer les fournisseurs d'IA selon l'importance réglementaire de ce qu'ils fournissent :

Fournisseurs d'IA importants, fournisseurs dont l'IA est importante pour les activités au sens de CPS 230 (ou équivalent), dont l'IA est utilisée dans des applications à haut risque au titre de l'annexe III de l'AI Act européen, ou dont la défaillance du service provoquerait une perturbation significative de l'activité ou sur le plan réglementaire. Ils exigent une rigueur d'achat complète : due diligence détaillée, contrats exhaustifs, surveillance continue, planification de sortie.

Fournisseurs d'IA significatifs, fournisseurs dont l'IA a une incidence sur les résultats pour les clients, les obligations réglementaires ou les opérations critiques, sans être « importants » au sens réglementaire. Ils nécessitent une due diligence substantielle et des dispositions contractuelles adaptées.

Fournisseurs d'IA non importants, fournisseurs proposant des services d'IA périphériques ou non critiques. Les processus d'achats standard suffisent, bien que des dispositions de base spécifiques à l'IA (restrictions sur les données d'entraînement, transparence) doivent tout de même être incluses.

Les dispositions contractuelles que les achats d'IA doivent couvrir

Un contrat avec un fournisseur d'IA défendable dans un secteur régulé devrait inclure :

Classification des risques et conformité (AI Act européen). Garantie du fournisseur concernant la classification du système d'IA au sein du cadre de risque de l'AI Act européen, la documentation technique, les preuves d'évaluation de la conformité et le marquage CE le cas échéant.

Garanties sur les données d'entraînement. Le fournisseur garantit que les données d'entraînement ont été obtenues licitement, dans le respect de la propriété intellectuelle et de la protection des données. Le fournisseur indemnise en cas de réclamations pour atteinte à la propriété intellectuelle découlant des données d'entraînement.

Restrictions sur l'utilisation des données. Interdiction explicite d'utiliser les données du client pour entraîner, évaluer ou améliorer les modèles du fournisseur. C'est la disposition la plus lourde de conséquences, sans elle, des données propriétaires viennent améliorer un modèle que vos concurrents peuvent utiliser. Les offres de niveau entreprise des principaux fournisseurs incluent par défaut une option de retrait de l'entraînement (« opt-out ») ; vérifiez-le par écrit.

Divulgation et contrôle des sous-traitants. Liste des sous-traitants à la signature du contrat, notification des changements, droits d'approbation pour les changements importants de sous-traitants dans le cas des applications à haut risque.

Droits d'audit. Rapports d'attestation indépendants (SOC 2 Type II, ISO 27001, ISO/IEC 42001 lorsque disponible), ainsi que des droits d'audit de l'organisation et des autorités compétentes pour les fournisseurs d'IA importants. L'article 30 de DORA impose des droits d'audit spécifiques pour les acteurs des services financiers de l'UE.

Notification des incidents. Délais de notification définis pour les incidents spécifiques à l'IA, les anomalies de comportement du modèle, les incidents de sécurité, les problèmes liés aux données d'entraînement et les demandes des régulateurs. Les dispositions standard de notification des violations doivent être étendues aux scénarios de défaillance de l'IA.

Gestion des changements. Notification préalable aux mises à jour importantes du modèle, contrôle des versions lorsque cela est possible, droits de retour en arrière lorsque les cas d'usage du client seraient significativement affectés.

Niveaux de service. Indicateurs de performance adaptés aux systèmes d'IA, seuils de précision et de performance définis lorsqu'ils sont mesurables, objectifs de disponibilité, délais de réponse.

Responsabilité et indemnisation. Répartition du risque en cas d'erreurs de l'IA, d'amendes réglementaires découlant de l'utilisation de l'IA, de réclamations de tiers liées aux résultats produits par l'IA. Les plafonds de responsabilité standard sont généralement insuffisants pour les risques spécifiques à l'IA.

Sortie et transition. Procédures de restitution et de suppression des données, transition des résultats du modèle, préavis suffisant pour une substitution ordonnée. Pour les dépendances importantes à l'IA, des dispositifs définis de fournisseur alternatif ou de solution de repli en interne.

Due diligence : ce qu'il faut vérifier avant de contracter

La due diligence des fournisseurs d'IA importants dans les secteurs régulés devrait vérifier : le statut réglementaire du fournisseur et sa classification en tant que provider au titre de l'AI Act ; la politique d'IA publiée, la documentation du modèle et les rapports de transparence ; les attestations de sécurité (SOC 2 Type II au minimum, ISO 27001, ISO 42001 de plus en plus attendue) ; la documentation des données d'entraînement, y compris tout contentieux associé (l'affaire NYT v OpenAI et les affaires similaires créent une incertitude en aval) ; les preuves de tests de biais du modèle avec ventilation démographique ; les indicateurs de performance issus de tests contradictoires réalistes ; la stabilité financière et l'actionnariat ; les clients de référence dans des secteurs régulés comparables ; le risque de concentration, le fournisseur constitue-t-il une source unique critique de capacité ?

Surveillance continue après la contractualisation

Le risque lié aux fournisseurs d'IA n'est pas figé dans le temps. Une fois le contrat signé, les entités régulées doivent surveiller : le comportement du modèle, à la recherche d'une dérive ou de changements inattendus ; les rapports d'incidents de sécurité et les mesures correctives ; les évolutions réglementaires affectant l'une ou l'autre des parties ; les changements d'actionnariat et les indicateurs de stabilité financière ; les changements de sous-traitants ; la performance du service au regard des SLA contractuels. La lettre de l'APRA du 30 avril 2026 a désigné la « validation continue » comme une attente réglementaire, ce qui signifie une surveillance permanente de l'IA du fournisseur en production, et non des revues annuelles.

Premières étapes concrètes

Mettez à jour votre inventaire des fournisseurs d'IA en y intégrant une classification des risques. Pour chaque fournisseur d'IA important, auditez le contrat existant au regard des dispositions spécifiques à l'IA et identifiez les lacunes. Engagez le dialogue avec les fournisseurs sur les avenants au contrat, ceux dont l'offre d'IA est mature disposent généralement de modèles d'avenants déjà alignés sur l'AI Act. Mettez à jour votre questionnaire standard de due diligence fournisseur et votre modèle de contrat avec des clauses spécifiques à l'IA (les MCC-AI de l'UE constituent un bon point de départ). Formez les équipes achats et juridiques aux dispositions spécifiques à l'IA et aux moteurs réglementaires. Pour les organisations relevant de plusieurs cadres (APRA + AI Act européen + DORA), élaborez une norme d'achat unifiée qui satisfait à l'ensemble de ces exigences plutôt que des processus distincts pour chacune.

Lectures complémentaires

Pour aller plus loin : l'OCDE sur l'IA dans le secteur public