Guide juridique complet sur l’utilisation de l’IA par les sous‑traitants du gouvernement
Contexte général
L’intelligence artificielle (IA) transforme rapidement la manière dont les sous‑traitants du gouvernement rédigent leurs propositions, gèrent les contrats, développent des logiciels et analyses des données. Malgré les gains d’efficacité offerts par des outils tels que ChatGPT, Claude, Microsoft Copilot ou Google Gemini, l’usage de l’IA soulève des questions juridiques, contractuelles et de cybersécurité.
Possibilité d’utiliser l’IA
En règle générale, les sous‑traitants peuvent recourir à l’IA, y compris aux IA génératives, à moins qu’un contrat, un appel d’offres, une politique d’agence ou une loi n’interdise ou ne limite son usage. Cependant, chaque utilisation doit être évaluée à la lumière des exigences contractuelles, de la protection des informations gouvernementales et des obligations de cybersécurité.
Restrictions et exigences spécifiques
Des restrictions catégoriques existent déjà dans certains programmes. Par exemple, l’article 1532 du National Defense Authorization Act (NDAA) 2026 interdit aux contractants du département de la Défense d’utiliser certaines IA « couverts », notamment celles développées par la société chinoise DeepSeek. Ainsi, même sans interdiction globale, des clauses spécifiques peuvent s’appliquer.
Outils autorisés et bonnes pratiques
Il n’existe pas de liste officielle d’outils IA approuvés ou interdits. Le choix dépend de plusieurs facteurs : directives de l’agence, restrictions contractuelles, exigences de sécurité des informations, licences et sensibilité des données. Les plateformes commerciales (ChatGPT, Claude, Microsoft Copilot, Google Gemini) sont souvent utilisées pour des tâches peu sensibles, tandis que les données classifiées, CUI (Controlled Unclassified Information), ou les informations personnelles nécessitent des environnements sécurisés, voire des modèles hébergés en interne.
Clause de sauvegarde proposée par la GSA
Le GSAR 552.239-7001, révisé en juin 2026, propose une clause de sauvegarde spécifique à l’IA pour les contrats du GSA Multiple Award Schedule. Elle impose des obligations de traitement des données, de divulgation et de droits d’utilisation lorsqu’un grand modèle de langage traite des données gouvernementales. Cette initiative devrait se généraliser à d’autres véhicules d’acquisition.
Utilisation de ChatGPT et risques associés
L’usage de ChatGPT est généralement autorisé, à condition de respecter les obligations contractuelles et les politiques internes. Les sous‑traitants doivent s’assurer que les informations sensibles ne sont pas soumises à des services externes non autorisés. Une révision humaine reste indispensable, car les IA génératives peuvent produire des hallucinations (informations factuellement incorrectes) ou incorporer du contenu protégé par le droit d’auteur.
Risques majeurs liés à l’IA
Protection des informations sensibles : le téléchargement de données classifiées ou de CUI sur des plateformes non sécurisées expose à des violations de cybersécurité et à des sanctions contractuelles.
Exactitude des résultats : les erreurs d’IA peuvent entraîner des propositions ou livrables défectueux.
Propriété intellectuelle : les questions de droits d’auteur, de licences et de formation des modèles restent en évolution et peuvent créer des litiges.
Conformité réglementaire : les sous‑traitants doivent maintenir des contrôles internes, respecter les exigences du DFARS, du CMMC et des futures clauses d’IA.
Réglementation fédérale de l’IA
Le cadre réglementaire s’articule autour de plusieurs textes : Executive Order 14179, les mémorandums OMB M‑25‑21 et M‑25‑22, les sections 1512, 1513, 1532 et 1533 du NDAA 2026, ainsi que les politiques spécifiques des agences. Ces instruments intègrent l’IA dans les cadres existants de cybersécurité, de confidentialité, d’éthique et de gestion des risques.
Obligation de divulguer l’usage de l’IA
La divulgation dépend du contrat et du degré d’impact de l’IA sur la performance. Si l’IA est uniquement un outil interne (rédaction, recherche), aucune notification n’est souvent requise. En revanche, lorsque l’IA influence directement le résultat contractuel, le traitement de données sensibles ou fait partie de la solution technique proposée, une divulgation précise devient nécessaire.
Recommandations pratiques pour les sous‑traitants
1. Inventorier les usages actuels de l’IA dans l’entreprise.
2. Analyser chaque contrat pour identifier les restrictions sur les données et la technologie.
3. Élaborer une politique interne d’IA couvrant les plateformes autorisées, la formation du personnel, la classification des données, la supervision humaine et la documentation.
4. Surveiller les évolutions législatives, notamment la mise en œuvre du GSAR 552.239-7001 et les futures exigences du DFARS et du CMMC.
5. Maintenir une documentation détaillée des processus d’utilisation de l’IA pour faciliter les audits et les enquêtes.
Conclusion
L’IA représente une opportunité stratégique pour les sous‑traitants du gouvernement, mais elle n’est pas exempte de contraintes. Une utilisation responsable implique une gouvernance solide, une conformité aux exigences contractuelles et réglementaires, ainsi qu’une vigilance constante face aux risques de cybersécurité et d’exactitude. Les entreprises qui adoptent dès aujourd’hui des cadres de conformité robustes seront mieux positionnées pour tirer parti de l’IA tout en minimisant les risques juridiques et contractuels.