Avec Franklin Brousse, avocat au Barreau de Paris et expert en intelligence artificielle — épisode Vigilance Professionnelle par Provigis
Le risque fournisseur a profondément changé de nature. Ce qui relevait autrefois d’un risque opérationnel — rupture d’approvisionnement, défaillance de prestation — engage aujourd’hui la responsabilité juridique du donneur d’ordre sur des sujets aussi divers que la conformité réglementaire, la cybersécurité, la dépendance économique et l’intelligence artificielle. Dans cet épisode de Vigilance Professionnelle, Franklin Brousse, avocat au Barreau de Paris depuis 1995 et expert en IA et en litiges de sécurité informatique, décrypte les angles morts que trop d’entreprises laissent encore ouverts.
1. Pourquoi le risque fournisseur est devenu un risque stratégique
« Aujourd’hui, on pilote pas seulement un risque opérationnel, mais un risque qui est beaucoup plus global », explique Franklin Brousse. L’obligation de vigilance, le RGPD, la responsabilité sociale et environnementale, l’IA Act : chacun de ces cadres réglementaires porte des sanctions, et chacun engage le donneur d’ordre, pas seulement le fournisseur.
Acheter, c’est désormais hériter d’une partie du risque de conformité de l’autre. Ce glissement n’est pas cosmétique. Il est structurel, et il transforme le périmètre de responsabilité des directions achats.
2. Dépendance économique fournisseur : le risque invisible en sortie de contrat
Qu’est-ce que la dépendance économique fournisseur ?
La dépendance économique désigne la situation dans laquelle un fournisseur réalise une part significative de son chiffre d’affaires avec un unique donneur d’ordre. Dans la pratique, le seuil communément retenu est de 30 % : au-delà, le fournisseur est considéré comme économiquement dépendant.
Cette situation n’est pas illégale en elle-même. Ce qui est sanctionnable, c’est l’abus de cette dépendance ou la rupture brutale de la relation commerciale sans transition suffisante.
Pourquoi ce risque est-il sous-estimé ?
Parce qu’il se manifeste à la sortie, pas à l’entrée. « Le jour où vous allez vouloir vous séparer de ce profil de fournisseur », précise Franklin Brousse, « il peut mettre en œuvre des mécaniques juridiques. Il peut dire que son contrat de mission était en réalité un contrat de travail. Il peut menacer d’une requalification. »
La pression s’exerce alors sur le donneur d’ordre, y compris lorsque le contrat prévoyait une clause limitant la part de chiffre d’affaires réalisée avec lui. Car la loi, dans certains cas, est d’ordre public. Elle prime sur les dispositions contractuelles.
Comment détecter la dépendance économique en amont ?
Deux leviers complémentaires : surveiller le taux de dépendance du fournisseur (part du CA réalisé avec le donneur d’ordre) et anticiper la sortie de relation dès la contractualisation, en prévoyant une phase de transition suffisante.
3. Clause contractuelle fournisseur : outil de pilotage, pas bouclier
L’erreur la plus fréquente observée en contentieux n’est pas l’absence de clause. C’est la clause qui ne correspond pas à la réalité de ce qui s’est passé.
« Un bon contrat, c’est un contrat dans lequel les clauses collent à la réalité, correspondent à ce que je vais pouvoir exécuter demain », résume Franklin Brousse. La surprotection contractuelle est une illusion : une clause mal calibrée ou déconnectée des processus réels ne protège pas davantage que son absence.
En matière de conformité, le principe est constant : ce qui compte devant le juge ou le régulateur, c’est ce qui s’est passé dans les faits, documenté, vérifiable, démontrable. Les annexes contractuelles restent utiles pour encadrer les règles du jeu, mais elles ne valent que si elles s’adossent à des processus réels.
4. Cyberattaque chez le fournisseur : qui est responsable ?
Le mécanisme du risque par rebond
Les cyberattaques les plus redoutables ne ciblent pas toujours directement l’entreprise cliente. Elles visent ses fournisseurs, en particulier ceux qui hébergent des systèmes en mode SaaS ou cloud. Par effet de rebond, c’est le client qui en subit les conséquences et qui en assume une partie de la responsabilité.
Concrètement : si une violation de données personnelles survient chez un fournisseur hébergeur, c’est le donneur d’ordre, en qualité de responsable de traitement au sens du RGPD, qui devra notifier ses propres clients et salariés.
Trois éléments à vérifier auprès des fournisseurs critiques
Le plan d’assurance sécurité, qui décrit l’organisation et la méthodologie de gestion de la sécurité en interne chez le fournisseur.
Le plan de reprise d’activité, qui organise la continuité opérationnelle en cas d’incident et limite l’impact sur le donneur d’ordre.
Les rapports d’audits de sécurité réguliers, que le fournisseur doit être en mesure de communiquer, notamment pour les profils critiques.
5. IA Act et achats de solutions IA : les quatre documents indispensables
Depuis l’entrée en application de l’IA Act, les systèmes d’intelligence artificielle sont traités comme des produits réglementés, classifiés selon leur niveau de risque. Certains sont interdits. D’autres soumis à des obligations fortes, y compris des marquages CE. Même les systèmes aux obligations allégées — qui représentent 80 à 90 % du marché — ne sont pas exempts de contraintes.
Acheter une solution d’IA impose désormais quatre documents structurants :
La clause IA intégrée au contrat, pour cadrer la nature du système acheté, sa classification de risque et les obligations qui s’y attachent.
Une annexe de transparence, incluant une notice d’utilisation et de conception précisant le fonctionnement de l’IA, ses limites, les garde-fous contre les hallucinations, et la politique de traitement des données.
Un questionnaire de conformité IA, pour évaluer objectivement la maturité réglementaire du fournisseur vis-à-vis de l’IA Act.
Une charte d’utilisation IA, déclinée en version interne et en version fournisseurs, pour encadrer aussi bien les usages internes que les prestations réalisées par des tiers avec l’aide de l’IA.
6. Sous-traitance et IA : comment suivre ce qui se passe en cascade
La chaîne de sous-traitance complique la surveillance. La réponse s’appuie sur un principe structurant de l’IA Act : l’obligation de transparence. Les fournisseurs sont tenus de communiquer sur le fonctionnement de leurs systèmes d’IA, les modèles utilisés (Mistral, Anthropic, OpenAI), les serveurs d’hébergement.
C’est dans cette logique que s’inscrit la notion de souveraineté numérique : privilégier des IA hébergées en France ou dans l’Union Européenne permet de garantir que les données restent dans un cadre juridique maîtrisé, cohérent avec les obligations du RGPD.
7. Ce que cela change pour le métier d’acheteur
« L’acheteur aujourd’hui, ce n’est pas uniquement faire des achats, négocier un prix, c’est piloter des risques », résume Franklin Brousse. La gestion des risques fournisseurs est devenue une dimension centrale du métier.
Plusieurs tendances vont amplifier cette réalité dans les prochaines années :
L’arrivée d’Omnibus, réglementation européenne qui viendra modifier simultanément le RGPD, l’IA Act et d’autres textes, représente un nouveau défi de mise en conformité.
La montée des freelances et microstructures amplifie les risques de dépendance économique, avec des prestataires qui peuvent réaliser 70 à 100 % de leur chiffre d’affaires avec un seul donneur d’ordre.
L’IA dans les prestations fournisseurs crée des enjeux inédits de confidentialité et de protection des données, y compris lorsque le fournisseur utilise des outils IA pour réaliser ses missions sans en être lui-même éditeur.
Dans deux à trois ans, selon Franklin Brousse, tous les acheteurs travailleront au quotidien avec des outils d’IA. La clé réside dans la culturation : comprendre ces outils, leurs opportunités, et leurs limites juridiques et opérationnelles.
8. FAQ — Risque fournisseur et conformité
La dépendance économique désigne la situation dans laquelle une entreprise est tributaire d’un partenaire commercial pour une part significative de son activité. En pratique, un fournisseur réalisant plus de 30 % de son chiffre d’affaires avec un seul client est considéré comme économiquement dépendant. Ce n’est pas interdit, mais l’abus de cette dépendance et la rupture brutale de la relation commerciale sont sanctionnables.
Non. En matière de conformité, ce qui compte devant le régulateur ou le juge, c’est ce qui s’est effectivement passé dans les faits, documenté et vérifiable. Une clause ne vaut que si elle reflète des processus réels et a été exécutée dans la réalité.
Si la cyberattaque entraîne une violation de données personnelles, le donneur d’ordre, en tant que responsable de traitement au sens du RGPD, est tenu de notifier ses propres clients et salariés, quelle que soit la responsabilité du fournisseur dans l’incident.
Quatre documents sont recommandés : une clause IA dans le contrat, une annexe de transparence sur le fonctionnement du système, un questionnaire de conformité IA, et une charte d’utilisation IA déclinée en version interne et fournisseurs.
En l’exigeant contractuellement via une charte d’utilisation IA fournisseurs. L’obligation de transparence prévue par l’IA Act impose aux fournisseurs de communiquer sur les modèles IA utilisés, les serveurs d’hébergement et la politique de traitement des données.
En l’exigeant contractuellement via une charte d’utilisation IA fournisseurs. L’obligation de transparence prévue par l’IA Act impose aux fournisseurs de communiquer sur les modèles IA utilisés, les serveurs d’hébergement et la politique de traitement des données.