Introduction

Hélène a trois offres sur son bureau. Toutes promettent « une IA conforme, sécurisée, européenne ». Toutes montrent une démonstration brillante. Le prix des trois est difficile à comparer et Thierry veut une réponse vendredi.

Elle résiste à la tentation de choisir la démonstration la plus impressionnante. La CNIL donne le même conseil : partir d’un besoin concret, pas de l’outil.

Ce chapitre vous donne une grille pour comparer, puis la liste des questions à poser sur le contrat et les données. Il ne classe aucun éditeur : les offres changent trop vite. La méthode, elle, reste.

1. Partir du besoin

Reprenez les quatre questions du chapitre 1.2 : quelle tâche, quelles données, quel effet sur une personne, qu’avons-nous déjà ? Puis écrivez le besoin en deux lignes :

« Aider le service RH à répondre aux questions courantes des salariés à partir de nos procédures validées. Pas de décision individuelle, pas de dossier personnel. Environ cinquante questions par mois. »

Ce texte change tout : vous comparez les outils sur votre tâche, plus sur leur catalogue.

Reprenez aussi le classement du chapitre 2.3. Un assistant de rédaction ne se traite pas comme un outil de classement de CV. Selon la CNIL, un agent conversationnel destiné aux salariés présente moins de risques qu’un outil d’aide à la décision sur des candidats. Le niveau d’exigence dépend de cette différence.

Avec l’IA. Donnez votre besoin écrit et demandez dix critères de comparaison, répartis entre utilité, données et usage. Ajoutez ensuite vos propres critères et retirez ceux qui ne vous concernent pas.

Exemples :

• Besoin net : préparer des modèles sans donnée individuelle.
• Besoin flou : « avoir de l’IA dans les RH ».
• Option à ne pas oublier : ne rien acheter, si un outil déjà payé convient.

2. Comparer trois familles sur une même tâche

Critère	Assistant professionnel	IA du SIRH	Outil spécialisé
Accès aux données RH	Selon ce que vous lui donnez ou lui connectez	Déjà dans le SIRH, selon les droits	Celles de son activité
Mise en place	Rapide	Dépend de l’éditeur et du paramétrage	Projet plus long
Vigilance principale	Saisies, connexions, formation	Fonctions actives, documents à jour	Effet sur les personnes, AI Act
Quand le regarder	Modèles, trames, supports	Questions courantes, processus du SIRH	Fort volume sur une activité

Une grille de notation simple. Notez chaque offre de 1 à 4 sur chaque critère, après un test. Définissez le poids à l’avance. Les critères éliminatoires ne se compensent pas : une réutilisation non maîtrisée de vos données RH ne se rattrape pas par une belle interface.

Critères	Poids
Répond à la tâche, testée sur vos cas	Élevé
Protection des données, contrat	Éliminatoire
Contrôle humain possible, explications	Éliminatoire pour un usage sur des personnes
Facilité d’usage, formation nécessaire	Moyen
Coût total : licences, paramétrage, temps de contrôle	Moyen
Réversibilité, dépendance à l’éditeur	Moyen

Exemples :

• Coût total : une licence peu chère, mais trois heures de contrôle par semaine.
• Critère éliminatoire : un éditeur qui refuse de répondre sur la réutilisation des données.
• Pour plus tard : ce critère peut être révisé si l’usage change.

3. Le contrat et les données

Un contrat de sous-traitance est obligatoire dès que l’éditeur traite des données pour votre compte. Les clauses proposées par la CNIL donnent une bonne liste à vérifier.

Sujet	Question à poser
Objet et finalités	Quelles données, pour quelles finalités, sur quelles instructions ?
Réutilisation	Mes données servent-elles à entraîner ou améliorer vos modèles ? Puis-je m’y opposer ? Par défaut ?
Hébergement et transferts	Où sont les données, y compris à distance ? Y a-t-il un transfert hors de l’Union européenne ? Sur quelle base ?
Conservation	Combien de temps gardez-vous prompts, fichiers, journaux ? Puis-je supprimer ? Que devient l’historique ?
Sous-traitants	Qui d’autre intervient, quel fournisseur de modèle ? Suis-je prévenu d’un changement ?
Accès et sécurité	Qui chez vous peut lire nos données ? Authentification, droits par rôle, journalisation ?
Incidents	Sous quel délai suis-je informé d’une violation de données ?
Fin de contrat	Restitution, destruction, preuve de destruction, format d’export ?
Aide à la conformité	Aide pour les droits des personnes et l’analyse d’impact ?

Sur la réutilisation, la CNIL recommande de s’opposer à la réutilisation des données d’usage quand c’est possible. Si le fournisseur peut les réutiliser, elle demande une analyse au cas par cas pour décider quelles données interdire.

Sur l’hébergement, la CNIL juge un déploiement sur site plus sûr pour des données personnelles ou sensibles. Ce n’est pas toujours réaliste pour une PME. Dans ce cas, le contrat doit préciser les responsabilités et les accès.

Sur les transferts, un transfert hors de l’Union suppose un niveau de protection suffisant : décision d’adéquation, clauses contractuelles types ou autre outil prévu. « Hébergé en Europe » ne dit pas tout : demandez aussi qui accède aux données et d’où.

Avec l’IA. Préparez un questionnaire à partir de ce tableau, adapté à votre besoin. Vous pouvez faire résumer des conditions générales publiques : vérifiez ensuite chaque point dans le texte. Faites lire le contrat par une personne compétente.

Exemples :

• Réponse floue : « Nous prenons la sécurité au sérieux. »
• Réponse utile : « Aucune réutilisation pour l’entraînement ; conservation 30 jours ; liste des sous-traitants en annexe. »
• À lire : la différence entre l’offre gratuite, individuelle et professionnelle du même éditeur.

4. Les questions spécifiques à l’IA et aux RH

Le contrat ne dit pas tout sur le fonctionnement. Ajoutez :

Fonctionnement. Que fait exactement l’IA ? Classe-t-elle, note-t-elle, résume-t-elle ? Les fonctions sont-elles désactivables ? Que se passe-t-il quand une nouvelle fonction arrive ?

Qualité. Sur quelles données a-t-il été entraîné ? Quelles évaluations externes existent ? La CNIL recommande de consulter la documentation du système et de demander des évaluations externes si nécessaire.

Biais. Quels tests ont été menés, sur quels publics, en France ? Que peut-on vérifier nous-mêmes ?

Contrôle humain. Que voit le recruteur ou le manager ? Peut-il corriger, comprendre, expliquer ? Une fonction de tri peut-elle être coupée ?

AI Act. L’éditeur se considère-t-il comme fournisseur d’un système à haut risque ? Quelle notice fournira-t-il ? Où sont les journaux ? Attention : l’étiquette « conforme à l’AI Act » ne vous dispense pas de vos propres obligations de déployeur.

Exemples :

• Bonne réponse : une documentation écrite, avec les limites connues.
• Alerte : « Notre algorithme est propriétaire, nous ne pouvons rien dire. »
• Vigilance : une mise à jour qui active un classement sans vous prévenir.

5. Tester et prévoir la sortie

Testez sur vos cas, avec des données fictives. Préparez dix cas : cinq courants, trois difficiles, deux pièges. Comparez les réponses avec ce que vous attendez et notez les erreurs. Le test des offres se fait avant tout déploiement, sur des personnes fictives.

Faites venir les utilisateurs. Yanis et un manager essaient l’outil. Ils verront ce que la démonstration cache.

Demandez une référence comparable, si possible auprès d’une entreprise de votre taille.

Prévoyez la sortie. Comment récupérer vos modèles, vos paramétrages et vos données ? Que se passe-t-il si le prix double ou si l’éditeur est racheté ? Une durée d’engagement courte vous laisse une marge.

Gardez une trace. La grille remplie et les réponses de l’éditeur alimentent votre registre, votre analyse d’impact et votre présentation au CSE (chapitre 2.5).

Hélène retient finalement l’assistant professionnel déjà disponible dans la suite bureautique de l’entreprise, pour un usage sans donnée individuelle. Elle reporte l’option du SIRH au test du chapitre 7.3.

Exemples :

• Cas piège : une question dont la réponse ne figure pas dans vos documents ; l’outil doit le dire.
• Trace : réponses écrites de l’éditeur, datées, jointes à la grille.
• Sortie : export de la bibliothèque de modèles en format ouvert.

Résumé

Partez d’un besoin écrit, pas d’une démonstration. Comparez les offres avec une grille, avec des critères éliminatoires sur les données et le contrôle humain.

Vérifiez le contrat de sous-traitance : réutilisation, hébergement et transferts, conservation, sous-traitants, accès, incidents, fin de contrat. Posez les questions propres à l’IA : fonctionnement, qualité, biais, contrôle humain, AI Act. L’étiquette « conforme » ne remplace pas votre propre vérification.

Testez sur des cas fictifs avec de vrais utilisateurs, prévoyez la sortie et gardez une trace écrite.

Questions fréquentes

Quel est le meilleur outil d’IA pour les RH ?

Il n’existe pas de réponse générale. Le bon outil dépend de la tâche, des données, de l’effet sur les personnes et de ce que vous avez déjà.

Un outil français est-il forcément conforme ?

Non. L’origine ne suffit pas. Regardez le contrat, l’hébergement, les sous-traitants, la réutilisation et le fonctionnement réel.

Un compte gratuit peut-il suffire ?

Pour tester sur des cas sans aucune donnée personnelle, peut-être. Pour un usage en entreprise, la CNIL recommande de ne jamais partager de données personnelles sur un service grand public.

Qui doit lire le contrat ?

Le service RH, avec la personne chargée de la protection des données, de la sécurité informatique ou un conseil juridique, selon votre organisation.

Termes clés

• Contrat de sous-traitance : contrat obligatoire entre le responsable de traitement et le prestataire qui traite des données pour lui.
• Sous-traitant ultérieur : autre prestataire auquel l’éditeur fait appel.
• Transfert hors UE : envoi de données ou accès à des données depuis l’extérieur de l’Union européenne.
• Réutilisation pour l’entraînement : usage de vos données pour améliorer les modèles de l’éditeur.
• Réversibilité : capacité à récupérer ses données et à changer d’outil.
• Grille d’évaluation : tableau de critères pour comparer des offres.

Références

• CNIL — Questions-réponses sur l’utilisation d’un système d’IA générative (18/07/2024, consulté le 07/11/2026)
• CNIL — Comment déployer une IA générative ? (18/07/2024, consulté le 07/11/2026)
• CNIL — Sous-traitance : exemple de clauses (04/10/2017, consulté le 07/11/2026)
• CNIL — Transférer des données hors de l’UE (consulté le 07/11/2026)
• CNIL — RGPD : comment bien identifier son rôle (06/06/2025, consulté le 07/11/2026)
• AI Act Explorer — Article 26 (site d’information non officiel, consulté le 07/11/2026)

QCM (une seule bonne réponse par question)

Question 1 — Selon la CNIL, on déploie une IA générative en partant :

1. Du besoin concret
2. De la démonstration la plus récente
3. Du tarif le plus bas

Question 2 — Pourquoi prévoir des critères éliminatoires ?

1. Pour accélérer l’achat
2. Pour plaire à l’éditeur
3. Parce qu’une faiblesse sur les données ne se compense pas par une belle interface

Question 3 — Un contrat de sous-traitance avec l’éditeur est :

1. Facultatif
2. Obligatoire s’il traite des données pour votre compte
3. Réservé aux grandes entreprises

Question 4 — Sur la réutilisation des données d’usage, la CNIL recommande de :

1. S’y opposer ou la désactiver lorsque c’est possible
2. L’accepter dans tous les cas
3. Ne pas se poser la question

Question 5 — « Hébergé en Europe » :

1. Règle toutes les questions
2. Ne dit pas tout : il faut aussi demander qui accède aux données et d’où
3. Interdit tout sous-traitant

Question 6 — La mention « conforme à l’AI Act » :

1. Dispense de vos obligations de déployeur
2. Est une garantie d’absence de biais
3. Ne vous dispense pas de vos propres obligations

Question 7 — Le test d’une solution se fait de préférence :

1. Sur des cas fictifs représentatifs
2. Sur les dossiers réels des salariés, sans précaution
3. Par l’éditeur seul

Question 8 — Prévoir la sortie consiste à :

1. Ne pas signer
2. Vérifier comment récupérer ses données et changer d’outil
3. Supprimer tous les modèles

Voir les réponses et les explications

Réponses : 1→1 · 2→3 · 3→2 · 4→1 · 5→2 · 6→3 · 7→1 · 8→2

Explications.

1. C’est la première recommandation de la CNIL.
2. Certains risques ne se compensent pas.
3. La CNIL le rappelle.
4. C’est la recommandation de la CNIL, avec une analyse au cas par cas si la réutilisation est possible.
5. Les accès distants et les sous-traitants comptent aussi.
6. Vos obligations restent les vôtres.
7. Aucune personne réelle n’est exposée.
8. C’est la réversibilité.

Exercices

Exercice — Évaluez une solution (3 min) Pour un outil que vous utilisez ou envisagez, écrivez le besoin en une phrase, deux critères éliminatoires et trois questions à poser à l’éditeur.

Corrections des exercices

Exercice — Exemple : un assistant pour répondre aux questions courantes. Besoin : répondre à partir des procédures validées, sans dossier individuel. Critères éliminatoires : réutilisation des données non maîtrisée ; absence de contrat de sous-traitance. Questions : « Combien de temps gardez-vous les échanges ? » ; « Qui sont vos sous-traitants ? » ; « Comment dire « je ne sais pas » quand la réponse manque ? » Pensez à garder les réponses écrites.

Annexe — Carnet IA RH, page 20 : ma grille d’évaluation d’un outil

Besoin en deux lignes : ___

Critère	Poids	Offre A	Offre B	Offre C
Répond à la tâche, sur nos cas
Contrat et données (éliminatoire)
Contrôle humain
Facilité, formation
Coût total
Réversibilité

Vérifié : réutilisation ☐ · hébergement et transferts ☐ · conservation ☐ · sous-traitants ☐ · accès ☐ · incidents ☐ · fin de contrat ☐

Test sur dix cas fictifs : réalisé ☐ · erreurs notées ☐ · Décision et motif : ___

Ce chapitre a été rédigé avec l’aide de l’IA, puis relu, amélioré et validé par Acadigit.