Vous utilisez l'IA pour vos offres ? Ce qu'il faut savoir sur vos données

L'intelligence artificielle est devenue pour beaucoup un élément naturel du travail sur les offres. Mais lorsque vous téléversez une offre précédente contenant des calculs de prix et des descriptions de processus sensibles sur le plan commercial, la question est légitime : où vont réellement ces données ? Nous y répondons calmement, nous montrons quelles règles s'appliquent réellement aujourd'hui, et ce qu'il faut vérifier avant de faire confiance à un outil.

Ce que vous partagez réellement

Il vaut la peine de distinguer deux types de documents. Les documents de la consultation émanant de l'acheteur sont publics, et les verser dans un outil pose rarement problème.

Votre propre matériel est une autre affaire. Calculs de prix et marges, méthodologie et descriptions de processus que vous avez mis des années à construire, évaluations internes de votre propre capacité, et en règle générale des données personnelles également : noms, fonctions et CV des personnes que vous proposez.

Si vous utilisez un outil d'IA, ces informations sortent de la maison. Ce n'est pas nécessairement dangereux. Mais il vaut la peine de savoir où elles arrivent, combien de temps elles y restent et ce que le prestataire est autorisé à en faire.

Deux cadres réglementaires, pas un seul

Il est facile ici de confondre deux choses liées, mais qui ne s'appliquent pas de la même façon.

Les règles de protection des données (RGPD) s'appliquent déjà, dans tout l'EEE. Si l'outil traite des données personnelles, elles s'appliquent pleinement. Le règlement laisse place à certaines adaptations nationales, mais les obligations de base sont les mêmes. Cela simplifie l'analyse si vous vendez dans plusieurs pays : vous pouvez poser les mêmes questions à un prestataire, que vous répondiez à une consultation en France, en Belgique ou aux Pays-Bas.

Le règlement sur l'IA s'applique déjà. Le cadre européen sur l'intelligence artificielle a commencé à être appliqué le 2 août 2026, en même temps que de nouvelles obligations de transparence sont entrées en vigueur. Celles-ci prévoient notamment que les utilisateurs doivent savoir quand ils s'adressent à une IA et non à une personne, et que les contenus générés par IA doivent être signalés. Les exigences les plus lourdes, celles qui concernent les systèmes dits à haut risque, sont reportées au 2 décembre 2027 et au 2 août 2028.

La Norvège, d'où nous écrivons, fait exception. Le règlement n'y est pas encore intégré à l'accord EEE, et la loi nationale n'est pas adoptée. Cela illustre un point qui vaut pour tout le monde : le cadre qui vous concerne dépend de l'endroit où vous et votre prestataire êtes établis.

Les questions à poser à votre prestataire

Avant d'adopter un outil, posez quelques questions simples. Elles ne sont pas techniques, et il n'est pas nécessaire d'être spécialiste pour juger les réponses.

• Où les données sont-elles stockées et traitées ? Dans l'EEE, ou ailleurs ? Un stockage hors EEE n'est pas illicite en soi, mais il exige une base juridique propre. Demandez au prestataire de la nommer.
• Les données servent-elles à entraîner le modèle ? Ou sont-elles isolées et utilisées uniquement pour vous ? Cela doit figurer dans le contrat, pas seulement dans un texte marketing.
• Qui a accès, et combien de temps les données sont-elles conservées ? Posez des questions concrètes sur la suppression et sur les sous-traitants.
• Existe-t-il un contrat de sous-traitance ? Si le prestataire traite des données personnelles pour votre compte, un contrat écrit est une obligation au titre de l'article 28, paragraphe 3, du RGPD. Ce n'est pas une formalité que l'on peut sauter.
• Peuvent-ils documenter leur travail de sécurité ? Par exemple par une certification comme ISO 27001, ou par un aperçu public des sous-traitants et des mesures de sécurité.

Les bons prestataires répondent clairement à cela et ont les réponses prêtes. Si les réponses sont vagues ou difficiles à obtenir, c'est en soi un signal.

Un mot sur le stockage hors EEE

Beaucoup d'outils d'IA sont américains. Les transferts de données personnelles vers les États-Unis reposent aujourd'hui principalement sur la décision d'adéquation de l'UE, le EU-US Data Privacy Framework. Elle est toujours valide. Le Tribunal de l'UE a rejeté un recours contre elle en septembre 2025, mais la décision a été frappée d'appel, et en juillet 2026 le Comité européen de la protection des données a demandé à la Commission européenne de réexaminer si le fondement tient.

Notre appréciation est qu'il n'y a pas là de quoi perdre le sommeil. Mais c'est une bonne raison de savoir où se situe votre prestataire, et de demander quel est le plan si le cadre change.

Le point de vue de l'acheteur

Ce n'est pas seulement votre problème. Les acheteurs publics reçoivent désormais des orientations assez détaillées sur les mêmes questions. L'exemple ci-dessous vient de Norvège, d'où nous écrivons.

DFØ, l'agence norvégienne de l'administration publique et de la gestion financière, écrit dans son guide sur la sécurité et le traitement de l'information lors de l'usage de l'IA que les organisations doivent classifier l'information avant de l'introduire dans un service d'IA. L'information ouverte et interne peut dans de nombreux cas être traitée dans des services cloud commerciaux, l'information sensible exige une appréciation distincte, et l'information classifiée ne doit pas du tout être introduite dans des services d'IA commerciaux. Les informations couvertes par une obligation de confidentialité relèvent de la même catégorie. Le guide indique aussi que les données doivent en principe être traitées dans l'EEE, et que l'organisation doit vérifier activement que le service est réellement configuré ainsi.

Telle que nous la lisons, cette orientation mérite d'être notée si vous êtes fournisseur. Le client de l'autre côté de la table est invité à réfléchir exactement aux mêmes questions que celles que vous devriez poser à votre propre prestataire. Il peut alors être avantageux d'avoir les réponses prêtes avant que quiconque ne les demande. Les acheteurs d'autres pays travaillent selon des principes équivalents, mais les orientations concrètes diffèrent et les pratiques nationales varient.

Ce que vous devriez faire

• Établissez une règle interne simple. Que peut-on verser dans quel outil ? Il est déraisonnable de demander à chaque rédacteur d'offres de trancher seul, chaque fois.
• Vérifiez s'il existe un contrat de sous-traitance pour les outils que vous utilisez déjà. Souvent la réponse est non, simplement parce que personne n'a posé la question.
• Rassemblez la documentation. Certifications, procédures et contrats devraient se trouver au même endroit, prêts à être présentés.
• Interrogez le prestataire directement. Vous avez droit à une réponse compréhensible, et vous n'êtes pas tenu d'accepter une réponse qui ne l'est pas.

Pour finir

Il n'est pas nécessaire d'être spécialiste de la sécurité des données pour faire de bons choix dans les achats publics. Il suffit de savoir quelles règles s'appliquent réellement, de poser les bonnes questions et de choisir des outils qui y répondent clairement.

Chez Cobrief, nous avons publié notre propre documentation en accès libre dans un Trust Center, afin que vous puissiez nous évaluer sur les points mêmes sur lesquels nous vous invitons à évaluer les autres. N'hésitez pas à nous contacter si vous souhaitez parler de la manière d'utiliser l'IA dans le travail sur les offres en toute tranquillité.