Questions à poser à un fournisseur d'IA avant d'acheter

Avant d'acheter un logiciel d'IA, interrogez les fournisseurs sur sept domaines : ce que le produit apporte à votre cas d'usage, la façon dont sa qualité est mesurée, le stockage de vos données et leur éventuel usage pour l'entraînement, les mesures de sécurité, la manière dont l'éditeur voit son rôle au regard de l'AI Act, l'évolution du prix avec votre volume et les conditions de sortie. Les réponses dignes de confiance sont précises, écrites, cohérentes avec le contrat et confirmées par un essai sur vos propres données.

Cette checklist liste les questions par domaine, décrit une bonne réponse et signale les alertes qui doivent stopper un achat. Elle complète notre guide pour choisir un LLM pour votre entreprise : celui-ci compare des modèles, alors qu'ici il s'agit d'acheter un produit ou un service d'IA à un éditeur.

Avant de rencontrer les fournisseurs

Les échanges avec les éditeurs sont plus productifs quand vous savez ce dont vous avez besoin. Préparez quatre éléments :

1. Le cas d'usage : la tâche que l'outil doit faciliter, qui l'utilisera et ce que devient le résultat.
2. Les critères de réussite : ce que signifie « suffisamment bon », par exemple la part de brouillons utilisables ou le temps par dossier.
3. Les données concernées : des données personnelles, confidentielles ou clients entreront-elles dans l'outil ?
4. Une première classification du risque : c'est la finalité qui détermine les obligations. Le vérificateur de risque AI Act, gratuit, donne une orientation rapide ; si l'usage semble à haut risque, les questions prioritaires changent.

Si vous tenez un inventaire des systèmes d'IA, inscrivez-y l'usage prévu avant l'achat, pas après.

1. Produit et adéquation

Question	Une bonne réponse
Pour quelles tâches le produit est-il conçu, et pour lesquelles non ?	Des limites claires, pas « il sait tout faire »
Quels modèles d'IA utilise-t-il, et qui les fournit ?	Des modèles ou fournisseurs nommés, et la possibilité ou non de choisir
Comment prévenez-vous les clients d'un changement de modèle ?	Un préavis et des notes de version, idéalement avec une période de test
Quels clients ayant un cas d'usage proche pouvons-nous contacter ?	Des références dans un secteur ou une taille comparable

La question du modèle compte, car le comportement peut changer quand l'éditeur change de modèle. Un prompt ou un workflow qui fonctionnait le mois dernier devra peut-être être retesté.

2. Qualité et preuves

Question	Une bonne réponse
Comment mesurez-vous la qualité sur un cas d'usage comme le nôtre ?	Une méthode décrite et des indicateurs, pas seulement des témoignages
Pouvons-nous faire un essai avec nos propres données ?	Oui, sur une période définie et avec un accompagnement
Quels sont les modes d'échec connus ?	Des exemples honnêtes, comme les types de questions mal traitées
Comment le produit gère-t-il une information incertaine ou manquante ?	Il peut répondre « je ne sais pas », citer ses sources ou passer la main à une personne
Quelles fonctions facilitent la relecture humaine ?	Files de validation, suivi des modifications, références aux sources, journaux

Un essai sur vos propres cas est la seule preuve fiable. Préparez 20 à 50 exemples réalistes, y compris difficiles, et notez les résultats selon vos critères de réussite. Notre article pour réduire les hallucinations de l'IA explique quelles fonctions rendent les mauvaises réponses moins probables.

3. Protection des données et confidentialité

Question	Une bonne réponse
Nos données servent-elles à entraîner ou améliorer des modèles, les vôtres ou ceux d'un tiers ?	Un oui ou un non clair pour votre offre, conforme au contrat
Combien de temps conservez-vous entrées, sorties et journaux ?	Des durées de conservation définies et une suppression paramétrable
Où les données sont-elles traitées et stockées ?	Des régions nommées, et la mention d'éventuels transferts hors UE
Quels sous-traitants interviennent ?	Une liste à jour, avec information en cas de changement
Proposez-vous un accord de sous-traitance des données ?	Oui : l'article 28 du RGPD l'exige quand l'éditeur traite des données personnelles pour votre compte
Qui chez vous peut accéder à nos données, et quand ?	Un accès restreint et journalisé, par exemple uniquement pour le support avec votre accord

Vérifiez que les réponses concordent avec les documents. Pages commerciales, conditions générales, accord de sous-traitance et paramètres réels du produit doivent dire la même chose. Associez votre DPO avant que la moindre donnée personnelle n'entre dans l'outil.

4. Sécurité

Question	Une bonne réponse
Quelles certifications ou rapports d'audit de sécurité pouvez-vous partager ?	Des référentiels reconnus comme ISO/IEC 27001 ou des rapports SOC 2, avec périmètre et date
Gérez-vous l'authentification unique (SSO), les rôles et les droits ?	Oui, pour que les accès suivent votre gestion des utilisateurs
Quelles activités sont journalisées, et y avons-nous accès ?	Des journaux d'administration et d'utilisation mis à votre disposition
Comment vous protégez-vous contre l'injection de prompt et les fuites de données entre clients ?	Des mesures concrètes, des tests et un cloisonnement des données clients
Comment et sous quel délai les clients sont-ils informés d'un incident de sécurité ?	Une procédure et un délai inscrits au contrat

L'IA ajoute des risques spécifiques aux contrôles logiciels habituels, comme des contenus piégés dans des documents ou des e-mails qui tentent de contourner les instructions du système. Un éditeur doit pouvoir expliquer comment il teste ce risque.

5. AI Act et conformité

Question	Une bonne réponse
Comment qualifiez-vous la destination du produit au regard de l'AI Act ?	Une qualification argumentée, pas un « nous sommes conformes » général
Pour les usages à haut risque : quelle documentation et quelle notice d'utilisation fournissez-vous ?	Une notice couvrant finalité, limites, contrôle humain et journaux
Quelles fonctions nous aident à respecter les obligations de transparence ?	Par exemple, la mention de l'IA dans un chatbot ou le marquage des contenus générés
Que se passe-t-il si nous personnalisons le produit ou le commercialisons sous notre nom ?	La conscience que des modifications substantielles ou une nouvelle finalité peuvent transférer des obligations de fournisseur
Fournissez-vous des supports de formation pour les utilisateurs ?	Des contenus qui alimentent vos mesures de maîtrise de l'IA

Au sens de l'AI Act, la plupart des acheteurs sont des déployeurs et l'éditeur est le fournisseur. Pour les usages à haut risque, vous dépendez largement de lui ; notre article sur les obligations des déployeurs précise ce qui reste de votre ressort. Selon la Commission européenne, les règles applicables aux systèmes à haut risque dans les domaines listés, comme l'emploi, s'appliquent à partir du 2 décembre 2027 : demandez comment l'éditeur s'y prépare. Il s'agit d'une information générale, pas d'un conseil juridique ; faites appel à un juriste pour tout usage potentiellement à haut risque.

6. Coûts et conditions commerciales

Question	Une bonne réponse
Que facturez-vous exactement : utilisateurs, usage, conversations, tokens ?	Un modèle de prix calculable pour votre volume
Qu'est-ce qu'une unité d'usage, et que se passe-t-il au-delà du quota ?	Des définitions claires, des prix de dépassement, des plafonds de dépense
Quel préavis avant une hausse de prix ?	Un délai inscrit au contrat
Quels coûts s'ajoutent : mise en place, intégration, support premium ?	Une liste complète, pas seulement la licence
Y a-t-il une durée ou un engagement minimal ?	Des conditions compatibles avec un pilote, comme une première période courte

Calculez le coût total pour votre volume prévisionnel sur au moins un an, temps interne compris. Pour une tarification à l'usage, le calculateur de coût d'API LLM aide à estimer les frais liés aux tokens, et le calculateur de ROI de l'automatisation IA montre si le temps gagné couvre les coûts.

7. Intégration, support et réversibilité

Question	Une bonne réponse
À quels systèmes peut-il se connecter, et comment ?	Des intégrations ou API documentées, pas « tout est possible »
Quel support est inclus, avec quels délais de réponse ?	Des canaux et niveaux de service définis
Pouvons-nous exporter données, configuration et prompts ?	Oui, dans des formats exploitables, à tout moment
Que deviennent nos données à la fin du contrat ?	Une suppression dans un délai défini, avec confirmation
Que prévoit la feuille de route sur douze mois ?	Une feuille de route crédible, sans que votre décision dépende de fonctions promises

Les questions de réversibilité passent facilement à la trappe quand un produit enthousiasme. Elles déterminent pourtant le coût d'un changement si l'éditeur augmente ses prix, change de cap ou disparaît.

Les signaux d'alerte

• Des promesses de précision parfaite ou quasi parfaite.
• Aucun essai avec vos données, seulement une démonstration scénarisée.
• Des réponses floues ou changeantes sur l'entraînement et le stockage des données.
• Pas d'accord de sous-traitance, ou des sous-traitants impossibles à nommer.
• Une tarification impossible à calculer pour votre volume.
• Aucun moyen d'exporter vos données.
• Des questions de conformité balayées comme sans objet pour votre cas, sans explication.

Comparer les fournisseurs

Transformez les réponses en grille d'évaluation simple. Pondérez chaque domaine selon son importance pour votre cas d'usage, notez chaque éditeur de 1 à 5 et multipliez. Exemple hypothétique :

Domaine	Poids	Éditeur A	Éditeur B
Qualité lors de notre essai	30 %	4	3
Protection des données	20 %	3	5
Sécurité	15 %	4	4
Coûts sur 12 mois	15 %	3	4
Intégration et support	10 %	4	3
Réversibilité	10 %	2	4
Note pondérée		3,45	3,8

La grille ne décide pas à votre place, mais elle rend les arbitrages visibles : ici, l'éditeur A a mieux réussi l'essai, tandis que l'éditeur B l'emporte sur la protection des données et la réversibilité. Si un éditeur manque un critère éliminatoire, par exemple l'absence d'accord de sous-traitance, il est écarté quelle que soit sa note.

Une courte liste de questions à copier

1. Pour quoi le produit est-il conçu, et pour quoi non ?
2. Quels modèles utilise-t-il, et comment serons-nous informés des changements ?
3. Pouvons-nous faire un essai avec nos propres données ?
4. Nos données servent-elles à l'entraînement, et combien de temps sont-elles conservées ?
5. Où les données sont-elles traitées, et quels sous-traitants interviennent ?
6. Proposez-vous un accord de sous-traitance des données ?
7. Quels audits ou certifications de sécurité pouvez-vous partager ?
8. Comment vous protégez-vous contre l'injection de prompt ?
9. Comment qualifiez-vous le produit au regard de l'AI Act, et que fournissez-vous aux déployeurs ?
10. Comment l'usage est-il facturé exactement, et que se passe-t-il au-delà du quota ?
11. Quel préavis avant une hausse de prix ?
12. Pouvons-nous tout exporter, et que deviennent nos données à la fin ?

En résumé

Un bon achat d'IA commence par votre cas d'usage, vos données et votre classification du risque, pas par une démonstration. Posez des questions précises dans sept domaines, obtenez les réponses importantes par écrit, confrontez-les au contrat et testez le produit avec vos propres données. Avant de signer, vérifiez que l'usage respecte votre charte IA et que l'équipe peut utiliser l'outil en toute sécurité.