Pourquoi la due diligence SaaS IA est devenue non négociable
Une PME industrielle picarde de 150 salariés utilise en 2026, en moyenne, dix-neuf services SaaS distincts, dont au moins quatre intègrent une fonction IA générative ou agentique. Cette accumulation, souvent décidée par les métiers sans validation centrale, crée trois zones de risque : exposition de données clients sensibles à des tiers non audités, dépendance non documentée à des éditeurs étrangers, et exposition juridique au titre de l'AI Act ou du RGPD si un service est requalifié comme système IA à haut risque. Le coût d'un incident — fuite de données via un connecteur, sanction CNIL, rupture de service en plein cycle commercial — dépasse rapidement le coût d'une procédure d'évaluation menée en amont. La méthode présentée ici n'est ni lourde ni longue : appliquée à un fournisseur, elle prend entre trois et sept jours ouvrés selon la complexité du périmètre.Couche 1 — Sécurité : les sept questions obligatoires
La couche sécurité couvre la manière dont le fournisseur traite les données qui lui sont confiées, depuis leur transmission jusqu'à leur stockage et leur destruction. Sept questions doivent recevoir une réponse écrite, vérifiable.- Quels sont les centres de traitement (data centers) utilisés et leur localisation géographique ? Y a-t-il un transfert hors UE et sous quelles garanties (clauses contractuelles types, certification adéquate) ?
- Quelles certifications le fournisseur détient-il : ISO 27001, SOC 2 Type II, HDS pour la santé, SecNumCloud pour les données sensibles ? Les rapports d'audit sont-ils communicables sous NDA ?
- Comment est gérée l'authentification : SSO compatible SAML/OIDC, MFA imposé, gestion des comptes à privilèges, journalisation des accès ?
- Les données du client sont-elles utilisées pour entraîner les modèles du fournisseur ou de ses sous-traitants ? Existe-t-il une option contractuelle d'opt-out par défaut ?
- Quelle est la politique de chiffrement : en transit, au repos, gestion des clés (KMS, possibilité de Bring Your Own Key) ?
- Quelle est la procédure en cas d'incident de sécurité : délai de notification, périmètre d'information, accompagnement post-incident ?
- Quelle est la politique de suppression et de réversibilité : à la fin du contrat, sous quel délai les données sont-elles effectivement effacées et avec quelle preuve ?
Couche 2 — RGPD et AI Act : la couche réglementaire 2026
Le RGPD reste le socle. L'AI Act y ajoute, depuis 2025, des obligations spécifiques selon la qualification du système IA utilisé. Pour une PME française, quatre éléments doivent figurer au dossier de due diligence. Premier élément : un Data Processing Agreement (DPA) à jour, qui détaille les rôles (responsable de traitement / sous-traitant), les transferts internationaux, les sous-traitants ultérieurs autorisés, et les obligations de coopération en cas de demande d'exercice des droits par une personne concernée. Le DPA doit refléter la version 2025 des clauses contractuelles types européennes pour les transferts hors UE. Deuxième élément : la classification AI Act du service. Le fournisseur doit indiquer s'il considère son service comme système IA à risque limité, à haut risque, ou à usage général. Cette classification détermine vos propres obligations — analyse d'impact, registre, information des personnes concernées. Un fournisseur qui refuse de se prononcer sur cette classification déplace une obligation réglementaire vers vous, ce qu'il faut documenter dans la décision d'achat. Troisième élément : la documentation des données d'entraînement. Pour les services IA générative, le fournisseur doit pouvoir indiquer la provenance générale des données ayant servi à l'entraînement, et les mécanismes prévus pour répondre à une réclamation portant sur des données à caractère personnel ayant pu y figurer. Quatrième élément : une analyse d'impact relative à la protection des données (AIPD) côté entreprise. Pour les usages sensibles — données RH, dossiers clients, informations stratégiques — l'AIPD doit être réalisée avant la mise en production. La CNIL a publié en 2024-2025 un guide pratique pour l'IA qui fournit la trame complète.Couche 3 — Intégration et architecture : les pièges techniques
Une fois la sécurité et la conformité validées, vient la couche technique. Beaucoup de projets IA échouent moins sur le modèle que sur l'incapacité du service à s'insérer proprement dans l'architecture existante. Cinq points doivent être instruits. Premier point : les API exposées par le fournisseur, leurs limites de débit, leurs SLA, leur stabilité dans le temps. Une API documentée au format OpenAPI 3, versionnée, avec un changelog public, est un signe de maturité. Une intégration via webhooks propriétaires non documentés est un signal négatif. Deuxième point : les connecteurs vers les outils déjà utilisés en interne. Si l'entreprise utilise Microsoft 365, Google Workspace, Salesforce, SAP ou un ERP métier, le fournisseur doit disposer de connecteurs natifs ou d'une voie d'intégration documentée. Un connecteur natif maintenu par l'éditeur dégage la responsabilité du client en cas d'évolution. Troisième point : la gestion des autorisations OAuth. C'est précisément le point qu'a révélé l'incident Vercel d'avril 2026. Le service doit exposer la liste des scopes demandés, justifier chacun, et permettre une revue par un administrateur central. Tout connecteur qui demande un accès large sans granularité est un drapeau rouge. Quatrième point : la portabilité des données et des paramétrages. À la fin du contrat, peut-on extraire dans un format ouvert (CSV, JSON, Parquet) les données générées par l'usage et les paramétrages personnalisés ? Cette portabilité conditionne la capacité à changer de fournisseur sans coût prohibitif. Cinquième point : la souveraineté technologique. Un fournisseur qui dépend lui-même de plusieurs sous-traitants — modèle d'un éditeur tiers, hébergement chez un hyperscaler, base de données chez un troisième — multiplie les juridictions et les risques de rupture. Une cartographie de la chaîne de sous-traitance technique fait désormais partie du dossier d'achat.Couche 4 — Contractualisation : les clauses non négociables
Une fois la sécurité, la conformité et l'intégration validées, le contrat doit traduire ces engagements en clauses tenables. Cinq clauses sont devenues non négociables en 2026 pour les organisations qui veulent dormir tranquilles.- Clause de confidentialité étendue couvrant les données générées par l'usage (prompts, sorties, traces de session), avec interdiction explicite de réutilisation pour entraînement sans consentement écrit séparé.
- Clause de notification d'incident sous 48 heures avec engagement d'accompagnement (forensic, communication aux personnes concernées si requis par le RGPD).
- Clause de réversibilité explicite : durée de la phase d'extraction, format des données restituées, coût plafonné, suppression certifiée à échéance.
- Clause d'évolution du service : si le fournisseur ajoute une fonctionnalité IA majeure (par exemple intégration d'un nouveau modèle tiers), notification préalable et droit de revue par le client avant activation par défaut.
- Clause de limite de responsabilité réaliste : dans les services SaaS IA en 2026, plafonner la responsabilité à six mois d'abonnement n'est plus acceptable pour des usages stratégiques. Un plafond à douze ou vingt-quatre mois est un standard atteignable en négociation.
Couche 5 — Économique : modélisation du coût total
Le coût total d'un service SaaS IA dépasse largement la facture d'abonnement mensuelle. Quatre composantes doivent être modélisées avant la décision finale. Première composante : la facturation à l'usage des modèles. Beaucoup d'éditeurs facturent un abonnement de base puis un coût variable au token, à la requête ou au document traité. Une projection à douze mois fondée sur l'usage attendu, avec une fourchette haute, doit accompagner la proposition commerciale. Les écarts entre facture estimée et facture réelle dépassent fréquemment 40 % la première année. Deuxième composante : les coûts d'intégration internes. Mise en place du SSO, configuration des connecteurs, formation des utilisateurs, accompagnement des cas d'usage. Sur une PME de 150 salariés, ce poste représente entre 15 000 et 60 000 euros la première année selon la complexité. Troisième composante : les coûts d'audit et de conformité. AIPD, mise à jour du registre des traitements, audit de sécurité du connecteur, formation RGPD ciblée. Compter entre 5 000 et 25 000 euros selon le périmètre. Quatrième composante : les coûts de réversibilité. Cette ligne, souvent oubliée, comptabilise ce qu'il en coûterait de changer de fournisseur dans dix-huit mois. Elle pousse à choisir des architectures et des formats favorisant la portabilité.Couche 6 — Opérationnelle : la méthode POC en 30 jours
La meilleure due diligence reste insuffisante sans test sur un périmètre réel. La méthode opérationnelle qui s'est imposée en 2026 dans les ETI matures suit une logique de POC sécurisé en 30 jours. Semaine 1 : cadrage. Définition du cas d'usage, du périmètre de données impliqué, des indicateurs de succès chiffrés (temps économisé, taux de qualité, coût unitaire). Préparation du jeu de données de test, anonymisé si nécessaire. Validation par le DPO et le RSSI. Semaines 2 et 3 : test en conditions réelles. Utilisation par un groupe restreint d'utilisateurs (cinq à quinze personnes selon la taille), avec mesure quotidienne des indicateurs et collecte des incidents. Le fournisseur participe à un point hebdomadaire pour traiter les blocages. Semaine 4 : évaluation et décision. Comparaison aux indicateurs cibles, projection du retour sur investissement à douze mois, présentation au comité d'engagement. Décision de déploiement, d'abandon ou de prolongation du POC sur un périmètre élargi. Cette méthode présente trois vertus : elle écarte les fournisseurs qui ne supportent pas un test rigoureux, elle force les utilisateurs à mesurer le gain réel plutôt que ressenti, et elle produit un dossier de décision auditable. Sur trois ETI accompagnées en 2025-2026 par les programmes Diagnostic IA de Bpifrance, elle a permis d'éviter trois projets coûteux sur cinq, et de sécuriser les deux qui ont été déployés.La checklist condensée : à imprimer et à utiliser
- Couche 1 - Sécurité : 7 questions répondues par écrit, certifications fournies, transferts hors UE encadrés
- Couche 2 - RGPD/AI Act : DPA à jour, classification AI Act, documentation entraînement, AIPD réalisée
- Couche 3 - Architecture : API documentées, connecteurs natifs, OAuth maîtrisé, portabilité, chaîne de sous-traitance
- Couche 4 - Contrat : 5 clauses non négociables, durée 12 mois, réversibilité chiffrée
- Couche 5 - Économique : coût total modélisé sur 12 mois, intégration et conformité chiffrées, ligne réversibilité
- Couche 6 - POC : 30 jours, indicateurs chiffrés, validation DPO/RSSI, dossier de décision auditable
Foire aux questions
Faut-il faire valider chaque service SaaS IA par le DPO et le RSSI ?
Oui pour les services qui traitent des données personnelles, des données stratégiques ou qui se connectent à des systèmes internes via OAuth. La pratique consiste à mettre en place une procédure légère pour les services à faible enjeu (ex : générateur d'images marketing sans donnée personnelle) et une procédure complète pour les services à enjeu (RH, commercial, production).Comment savoir si un service SaaS IA tombe sous l'AI Act ?
La qualification dépend de l'usage final, pas du seul produit. Un même outil peut être à risque limité dans un usage marketing et à haut risque dans un usage RH (sélection de candidats). La règle pratique : si le service intervient dans une décision affectant les droits des personnes (emploi, accès au crédit, accès à un service), il faut considérer le scénario haut risque par défaut et instruire la classification avec le DPO.Quelle durée d'engagement contractuel choisir ?
Pour un premier déploiement IA, douze mois constituent un bon équilibre entre stabilité et flexibilité. Au-delà, le marché évolue trop vite pour qu'un engagement long soit raisonnable. Si l'éditeur propose une remise importante pour trois ans, la valeur de cette remise doit être comparée au coût attendu de migration vers un concurrent qui sera apparu entretemps.Quels dispositifs régionaux peuvent aider une PME des Hauts-de-France ?
Plusieurs dispositifs existent. Le Diagnostic IA de Bpifrance, accessible directement, finance une partie d'un audit d'opportunité et de cadrage. Les programmes de la French Tech régionale animent des cohortes thématiques. La CCI Hauts-de-France propose des accompagnements à la transformation numérique avec des consultants référencés. Eurasanté pour les acteurs de la santé dispose de référentiels spécifiques au secteur.Que faire si le fournisseur refuse de répondre aux 7 questions de sécurité ?
Ce refus est une réponse en soi. Pour un service à enjeu, il faut écarter le fournisseur ou n'utiliser son service que sur des données non sensibles, avec une isolation forte. La pratique de marché en 2026 a évolué : les fournisseurs sérieux disposent de questionnaires de sécurité préparés et d'un processus dédié. Un refus signale soit une immaturité opérationnelle, soit une volonté délibérée d'opacité — dans les deux cas, la confiance est entamée.Sources et ressources institutionnelles
- CNIL — Recommandations sur l'intelligence artificielle et la protection des données : https://www.cnil.fr/fr/intelligence-artificielle
- Cyber.gouv.fr — Guides et référentiels de cybersécurité : https://cyber.gouv.fr/
- Commission européenne — Cadre réglementaire de l'IA (AI Act) : https://digital-strategy.ec.europa.eu/fr/policies/regulatory-framework-ai
- Bpifrance — Diagnostic IA et accompagnement à la transformation : https://www.bpifrance.fr/
- CCI Hauts-de-France — Accompagnement à la transformation numérique : https://hautsdefrance.cci.fr/
