Guide juridique sur l’utilisation de l’IA par les contractants gouvernementaux
Contexte général
L’intelligence artificielle (IA) transforme la façon dont les contractants fédéraux rédigent des propositions, gèrent des contrats, développent des logiciels et analysent des données. Malgré les gains d’efficacité, l’usage de l’IA soulève des questions juridiques, contractuelles et de cybersécurité. Les agences fédérales élaborent progressivement des politiques spécifiques, mais aucune interdiction globale n’existe à ce jour.
Possibilité d’utiliser l’IA
En règle générale, les contractants peuvent recourir à l’IA, y compris aux outils génératifs tels que ChatGPT, Claude, Microsoft Copilot ou Google Gemini, sauf interdiction explicite dans le contrat, la sollicitation ou la législation applicable. Des restrictions peuvent toutefois apparaître dans des programmes spécifiques, comme l’interdiction de certains systèmes d’IA « couverts » par la loi de défense de 2026 (NDAA).
Outils autorisés et considérations de sécurité
Il n’existe pas de liste officielle d’outils approuvés ou prohibés. Le choix dépend de :
- la sensibilité des données (CUI, informations classifiées, données personnelles),
- les exigences de l’agence (exigences de cybersécurité, clauses de sauvegarde),
- les conditions de licence du fournisseur d’IA.
Pour les données sensibles, les contractants privilégient souvent des modèles hébergés en interne ou des plateformes commerciales avec garanties de non‑transmission des informations.
Clause de sauvegarde proposée par la GSA
Le projet de clause GSAR 552.239‑7001, révisé en juin 2026, impose des obligations de protection des données lorsqu’un modèle de langage traite des informations gouvernementales. Bien que toujours en cours de validation, cette clause pourrait devenir une référence pour d’autres agences.
Utilisation de ChatGPT et d’autres IA génératives
ChatGPT peut accélérer la rédaction de documents, mais les contractants doivent vérifier que les informations soumises à l’outil ne violent pas les obligations contractuelles ou les règles de protection des données. Une revue humaine reste indispensable pour éviter les hallucinations de l’IA et garantir la conformité du livrable.
Risques principaux
Protection des informations sensibles : le téléchargement de CUI, de données classifiées ou de renseignements personnels sur une plateforme non autorisée peut entraîner des violations de sécurité et des sanctions contractuelles.
Exactitude des résultats : les IA génératives peuvent produire des réponses erronées qui, si elles ne sont pas vérifiées, peuvent compromettre la qualité des propositions ou des livrables.
Propriété intellectuelle : les questions de droits d’auteur sur le contenu généré, les licences de données d’entraînement et les risques d’infraction restent en évolution et nécessitent une vigilance juridique.
Conformité aux exigences d’acquisition : les contractants doivent maintenir des contrôles internes, sécuriser les informations gouvernementales et respecter les exigences de cybersécurité (ex. : DFARS, CMMC) même lorsqu’ils utilisent l’IA.
Obligations de divulgation
La nécessité de divulguer l’usage de l’IA dépend du contrat :
- Si l’IA n’affecte que les tâches internes, aucune divulgation explicite n’est généralement requise.
- Lorsqu’elle influence la performance du contrat, traite des données sensibles ou est mentionnée dans la sollicitation, une divulgation claire et précise devient obligatoire.
Une documentation interne détaillant les outils IA approuvés, les procédures de gouvernance, la formation du personnel et les contrôles de révision humaine facilite la démonstration de conformité lors d’audits ou d’enquêtes.
Étapes pratiques recommandées
1. Inventorier les usages actuels de l’IA dans l’entreprise (propositions, développement logiciel, support juridique, RH, etc.).
2. Analyser les contrats existants pour identifier les clauses relatives à la sécurité des données, à la confidentialité et à la technologie.
3. Élaborer une politique interne d’IA couvrant :
- les plateformes autorisées,
- les exigences de classification des données,
- les processus de révision humaine,
- les exigences de documentation et de formation.
4. Surveiller les évolutions réglementaires (NDAA 2026, mémorandums OMB M‑25‑21/22, nouvelles clauses FAR/DFARS, propositions GSA).
5. Préparer les réponses aux futures exigences de divulgation ou de sauvegarde de données, notamment en anticipant l’adoption de la clause GSAR 552.239‑7001.
Conclusion
L’IA représente un atout considérable pour les contractants gouvernementaux, mais son utilisation n’est pas exempte de contraintes légales. En l’absence d’interdiction générale, chaque cas d’usage doit être évalué à la lumière des exigences contractuelles, des règles de cybersécurité, des obligations de protection des données et des risques de propriété intellectuelle. Une gouvernance proactive, une documentation rigoureuse et une vigilance continue face aux évolutions réglementaires permettront aux entreprises de tirer parti de l’IA tout en maîtrisant les risques juridiques et contractuels.