Quatre questions à poser avant de brancher un outil d'IA — quand on est trois et sans juriste

Les guides d'évaluation d'un fournisseur sont écrits pour des organisations qui ont un service achats, un service juridique et un délégué à la protection des données. Ils demandent une analyse de risque, une revue contractuelle, parfois un audit sur site.

Quand on est trois, on installe l'outil un mardi soir parce qu'il résout un problème qu'on a depuis quinze jours.

Nous ne prétendrons pas que ces deux mondes se rejoignent. Mais entre l'audit fournisseur complet et le rien du tout, il existe un intermédiaire honnête : quatre questions, un quart d'heure, et des réponses qui se trouvent dans des documents publics.

Nous les avons dégagées en travaillant un cas réel — un scanner de code publié sous licence libre, dont les deux modes de connexion ne relèvent pas du même contrat. Nous l'avons documenté à part, sources et verbatims à l'appui : Deux portes, deux contrats : ce que la licence d'un outil ne dit pas. Ici, nous donnons la méthode — pas le cas.

Pourquoi quatre questions plutôt qu'une checklist

Une checklist de vingt points n'est jamais remplie par une équipe de trois. Elle est imprimée, elle est admirée, elle n'est pas utilisée.

Ces quatre-là ont une propriété différente : chacune a une réponse écrite quelque part, dans un document que l'éditeur publie lui-même. On ne demande pas un jugement, on ne demande pas une expertise — on demande de retrouver quatre phrases. Si l'une d'elles est introuvable, ce n'est pas un échec de la recherche : c'est le résultat.

Question 1 — Où l'analyse est-elle faite ?

Sur votre machine, ou ailleurs ?

C'est la question qui commande toutes les autres, et c'est aussi la plus facile à trancher. Un outil qui fonctionne sans connexion réseau ne pose aucune des trois questions suivantes. Un outil qui exige un compte, une clé ou une authentification quelconque envoie nécessairement quelque chose quelque part.

Où chercher : le fichier de présentation du paquet, sa configuration par défaut, et la présence d'une variable d'environnement contenant un jeton. Un outil qui déclare un modèle distant dans sa configuration ne travaille pas en local, quoi que sa page de vente laisse entendre.

Ce que ce n'est pas : une accusation. Un traitement distant est parfaitement légitime, et souvent le seul moyen d'obtenir le résultat. La question n'est pas de savoir si c'est mal ; c'est de savoir si c'est le cas.

Question 2 — Sous quel contrat, exactement ?

Un même éditeur publie régulièrement plusieurs jeux de conditions : un pour les particuliers, un pour les entreprises et les développeurs, parfois un troisième pour un service spécifique.

Ce qui surprend, et que nous n'attendions pas en commençant ce travail : il arrive que le contrat applicable dépende de la façon dont on se connecte, pas de ce qu'on fait ni de qui on est. Deux personnes de la même équipe, utilisant le même outil pour le même travail, peuvent relever de deux textes différents parce que l'une a cliqué sur « se connecter » et l'autre a collé une clé.

Où chercher : le premier paragraphe des conditions d'utilisation. Les bons textes délimitent eux-mêmes leur périmètre et nomment l'autre document dans leurs premières lignes. Ce renvoi est un cadeau : il vous évite de deviner lequel s'applique.

Le piège : lire un seul des deux textes et conclure. C'est l'erreur la plus facile à commettre, parce que le texte qu'on a sous les yeux est toujours cohérent avec lui-même.

Question 3 — Que devient ce que je donne ?

Trois sous-questions, et elles ne se confondent pas :

L'entraînement. Vos données servent-elles à améliorer le modèle ? C'est la question que nous avons creusée dans quand votre IA apprend de votre travail. Cherchez le verbe. « Sauf si vous acceptez » et « sauf si vous vous y opposez » décrivent deux mondes opposés. Une clause d'opposition n'existe que lorsque la chose est le comportement par défaut — sinon, elle n'aurait rien à quoi s'opposer.

La conservation. Combien de temps, et pour quoi ? Une durée de conservation pour surveillance des abus n'est pas un usage d'entraînement, et la confondre avec lui fait dire aux textes ce qu'ils ne disent pas. Les deux existent souvent en parallèle, avec des durées et des finalités distinctes.

La définition. Que recouvre le mot employé ? Beaucoup de conditions définissent un terme générique — « Contenu », « Données d'entrée » — puis raisonnent dessus. Si votre code, vos documents ou vos requêtes entrent dans cette définition, tout ce qui est dit du terme s'applique à eux. C'est une lecture de vocabulaire, pas de droit.

Où chercher : la section « contenu » ou « vos données » des conditions, et la documentation technique destinée aux développeurs — qui est souvent plus précise que la page commerciale, parce qu'elle s'adresse à des gens qui intègrent.

Question 4 — Quel droit, et quel tribunal ?

Celle-là, on l'oublie toujours. Elle est en bas de page, elle est ennuyeuse, et elle décide de tout le jour où quelque chose tourne mal.

Deux choses à relever, et deux seulement :

Qui est votre cocontractant ? Une même marque contracte souvent via des entités différentes selon votre pays de résidence. L'entité européenne et l'entité américaine ne sont pas la même personne morale, et cela change ce que vous pouvez faire valoir.

Quelle loi s'applique à votre usage ? Et attention : certaines conditions destinées aux particuliers comportent une annexe pour l'usage professionnel qui prévaut sur le reste. Utiliser un outil grand public pour son travail peut suffire à la déclencher — y compris quand elle bascule le droit applicable et le tribunal compétent vers une autre juridiction que la vôtre.

Le contre-sens qu'il faut se retirer de la tête : on suppose spontanément que le contrat « entreprise » sera le plus étranger des deux, et le contrat grand public le plus protecteur. Nous avons rencontré exactement l'inverse. Le contrat professionnel peut rattacher un client européen au droit et aux tribunaux d'un pays de l'Union, là où l'annexe professionnelle du contrat grand public l'envoie de l'autre côté de l'Atlantique. Même travail, même outil — deux fors judiciaires, selon la porte.

Où chercher : la toute fin du document, sections « droit applicable », « résolution des litiges », « juridiction compétente », et toute annexe. Dans les contrats professionnels, ces deux notions sont souvent définies dans le glossaire final plutôt que dans le corps — c'est la dernière page qu'il faut lire, pas la première.

Ce que quatre réponses vous donnent — et ce qu'elles ne vous donnent pas

À l'arrivée, vous savez : si vos données sortent, sous quel contrat, ce qu'on peut en faire, et devant quel juge. C'est peu. C'est infiniment plus que ce dont dispose la plupart des équipes au moment où elles cliquent sur « installer ».

Ce n'est pas une analyse de risque, ni un avis juridique, et cela ne vous rend conforme à rien du tout. Nous documentons, nous ne certifions pas, et nous ne jugeons pas à votre place : ces quatre questions produisent de la matière pour décider, pas une décision.

Et elles ne couvrent pas la sécurité technique de l'outil, ni sa qualité, ni ce qu'il vaut. Un outil peut répondre parfaitement aux quatre et être mauvais.

L'écueil que nous avons rencontré nous-mêmes

En travaillant le cas qui a produit cette méthode, nous avons buté deux fois.

Une absence n'est pas une réponse. Quand une page de documentation ne traite pas d'un sujet, il est tentant d'en déduire quelque chose. Ça ne se déduit pas : le silence d'un document ne dit rien de ce que fait le service. Il dit seulement que la réponse est ailleurs — ou nulle part. Nous avons vérifié, avant de conclure au silence, que nous avions bien lu la page entière et pas une coquille vide.

Le document qu'on n'a pas pu ouvrir reste un document qu'on n'a pas lu. Plusieurs pages de politiques sont inaccessibles aux outils automatiques. « Je n'ai pas pu vérifier » n'est pas « il n'y a rien à voir ». Nous avons fini par lire ces pages à la main, et l'une d'elles contenait le passage le plus utile de tout le travail.

Une remarque, pour finir

Rien de ce qui précède ne demande de compétence juridique. Cela demande de retrouver quatre phrases dans des documents que l'éditeur publie déjà, et de les lire dans l'ordre.

L'écart entre ce qu'on croit accepter et ce qu'on accepte réellement ne vient presque jamais d'une clause cachée. Il vient d'un document qu'on n'a pas ouvert — parce que rien, au moment d'installer, ne nous a dit qu'il existait.