Réponse · Chaîne de sous-traitance
Mon fournisseur d’IA est français : suis-je à l’abri ?
Pas nécessairement. Si votre fournisseur français appelle lui-même l’API d’un modèle américain, un transfert hors UE existe dans votre chaîne de traitement. Ce transfert est juridiquement le vôtre, même si votre contrat est signé avec une société française.
Pourquoi ce cas est le plus souvent manqué
- Les démarches s’arrêtent au contrat de premier rang. Or la majorité des éditeurs ayant ajouté une IA récemment ne l’ont pas développée : ils appellent un modèle tiers, le plus souvent américain.
Le scénario type
- Une mutuelle utilise un outil de relation client édité par une société française. L’assistant reformule les réponses aux adhérents via une API américaine. Les réponses contiennent des éléments de santé → transfert de données de santé hors UE, sans TIA ni mécanisme, alors que le contrat principal est en règle.
Les trois questions à poser
- Quels sont vos sous-traitants ultérieurs, nommément, et dans quels pays ? Utilisez-vous un modèle d’IA tiers, et lequel ? Quel mécanisme de transfert l’encadre, avec quelle documentation ? (L’article 28 vous donne le droit d’obtenir ces informations.)
Le guide complet : méthode en 6 étapes, mesures supplémentaires, plan de repli.
Lire le guideVoir aussi : Toutes les réponses · Checklist transferts IA · Comparatif des mécanismes