Quels sont les risques contractuels liés à l'adoption de l'IA par les entreprises ? Explication de la "checklist" élaborée par le Ministère de l'Économie, du Commerce et de l'Industrie pour prévenir les crises avant qu'elles ne surviennent.

Récemment, l’intégration de l’IA (Intelligence Artificielle) dans le monde des affaires a connu une progression notable. Cependant, l’utilisation et le développement de l’IA comportent des risques et des défis juridiques spécifiques, différents de ceux des systèmes traditionnels.

Dans ce contexte, en février de l’ère Reiwa 7 (2025), le Ministère de l’Économie, du Commerce et de l’Industrie du Japon a élaboré et publié une “Checklist pour les contrats liés à l’utilisation et au développement de l’IA”. Cette checklist est conçue comme un outil pratique pour aider les entreprises de toutes tailles à organiser et vérifier les conditions contractuelles de manière efficace lorsqu’elles traitent avec des services d’IA.

Cet article se base sur la “Checklist pour les contrats liés à l’utilisation et au développement de l’IA” pour catégoriser les contrats relatifs à l’IA et expliquer comment conclure ces contrats en tenant compte des points importants, afin d’utiliser l’IA de manière efficace dans les affaires.

Services d’IA concernés par la “Checklist des contrats relatifs à l’utilisation et au développement de l’IA” en droit japonais

La “Checklist des contrats relatifs à l’utilisation et au développement de l’IA” s’applique à un large éventail de services liés à l’IA, y compris ceux impliquant l’IA générative, sans se limiter à un secteur d’activité ou une technologie d’IA spécifique.

Cette checklist est structurée autour de deux perspectives principales, “l’input” et “l’output”, afin d’organiser de manière systématique les points de discussion pratiques liés à la fourniture et à l’utilisation des services. Cette approche permet de couvrir tous les éléments à considérer tout au long du cycle de vie d’un service d’IA, tout en facilitant pour les parties concernées l’extraction des points pertinents pour leur propre entreprise.

Les entrées et sorties dans la “Checklist de contrôle des contrats liés à l’utilisation et au développement de l’IA” sous le droit japonais

La checklist est structurée sur la base des deux phases suivantes dans les services d’IA :

【Entrées】

Il s’agit des informations, données, spécifications et conditions fournies et utilisées pour la construction, l’apprentissage et l’exploitation des services d’IA. Cela inclut, par exemple, les données d’apprentissage, les algorithmes, les règles opérationnelles, les conditions systémiques, etc. Si ces entrées sont insuffisantes ou inappropriées, elles peuvent avoir un impact direct sur la performance et la fiabilité des sorties de l’IA, ce qui en fait des éléments cruciaux à examiner.

【Sorties】

Cela concerne les résultats traités, inférés ou générés par l’IA, ainsi que la manière dont ces résultats sont gérés, utilisés ou publiés. Cela peut inclure, par exemple, les textes et images générés, les résultats d’inférence, les justifications des décisions, l’étendue de la fourniture externe, la localisation des responsabilités, etc.

Les résultats de sortie de l’IA nécessitent des vérifications en termes de précision, de transparence et de risques juridiques. La “Checklist de contrôle des contrats liés à l’utilisation et au développement de l’IA” organise les points de discussion importants dans la pratique contractuelle à partir de ces deux perspectives : les entrées (fourniture d’informations préalables) et les sorties (résultats de l’IA et leur gestion).

Définition des différentes parties prenantes

Dans les contrats impliquant l’intelligence artificielle, les rôles des parties prenantes telles que « ceux qui développent l’IA », « ceux qui fournissent l’IA » et « ceux qui utilisent l’IA » peuvent varier en fonction du type de service d’IA.

Considérons, par exemple, le cas où un service d’IA générique est affiné et déployé spécifiquement pour une entreprise donnée (voir la section suivante, 【Type 2 : Personnalisé】). Dans ce cas, il est envisagé de fournir un service qui intègre un service d’IA générique offert par une autre société et l’ajuste (personnalise) selon les spécifications de l’entreprise cliente.

Dans cette situation, le prestataire B qui offre le service de personnalisation devient le « fournisseur du service d’IA (vendeur) » dans sa relation avec l’entreprise A (utilisateur de l’IA) qui reçoit la personnalisation (voir illustration ①).

En revanche, dans la relation avec l’entreprise C qui fournit l’IA générique à l’origine (développeur d’IA / fournisseur d’IA) (voir illustration ②), le prestataire B se positionne en tant qu’utilisateur du service d’IA (utilisateur).

Ainsi, un même prestataire peut, selon le partenaire en relation, être tantôt « fournisseur », tantôt « utilisateur ». Il est donc crucial, lors de la conclusion d’un contrat, de clarifier les positions et les étendues des responsabilités de chacun.

Référence : Ministère de l’Économie, du Commerce et de l’Industrie | Checklist pour les contrats liés à l’utilisation et au développement de l’IA[ja]

Types de contrats relatifs à l’utilisation et au développement de l’IA sous le droit japonais

Cette checklist vise à classer les contrats liés aux services d’intelligence artificielle en organisant trois types de contrats représentatifs. L’objectif est de permettre aux parties contractantes de comprendre facilement les points de vérification correspondant à leur position et à leurs objectifs.

Chaque type de contrat présente des points de discussion et des risques caractéristiques, et il est crucial de comprendre le type approprié en fonction de l’objectif de l’implémentation de l’IA et de la forme de prestation de services.

Nous vous présentons ci-dessous plus en détail ces trois types de contrats.

Type 1 : Modèle d’utilisation de services génériques

Ce modèle est couramment caractérisé par des contrats où l’utilisateur utilise tel quel un service d’IA déjà développé et mis à disposition publiquement.

Comme exemples typiques, on peut penser à l’utilisation de services d’IA générative tels que ChatGPT ou des IA de création d’images (par exemple : DALL·E, Stable Diffusion) disponibles sur le web.

Dans ces services, il est généralement prévu que l’utilisateur accepte les termes et conditions d’utilisation ainsi que les conditions de service préalablement définis par le fournisseur. Il est rare que l’utilisateur puisse négocier ou modifier le contenu du contrat.

La liste de vérification mettra l’accent sur la manière dont l’utilisateur comprend et appréhende les risques liés à l’utilisation de services d’IA proposés selon des conditions prédéterminées.

Type 2 : Modèle personnalisé

Ce modèle contractuel implique la personnalisation des modèles et technologies existants détenus par le fournisseur de services d’IA, afin de répondre aux besoins spécifiques de l’entreprise cliente.

Par exemple, cela peut concerner l’ajout de données ou de règles détenues par l’utilisateur à un modèle d’IA existant pour un apprentissage supplémentaire, ou l’ajustement et la modification de certaines parties du système. Imaginons le développement d’un chatbot marketing conçu pour être déployé au sein d’une entreprise. En intégrant la base de données des produits de l’entreprise et en apprenant à partir des questions des clients, le chatbot générique initial peut être affiné pour fournir des réponses sur mesure pour l’entreprise.

Dans de tels contrats, le fournisseur tire parti de la technologie et du savoir-faire originaux développés tout en répondant aux exigences spécifiques de l’utilisateur. La liste de vérification comprendra des éléments tels que la propriété intellectuelle des parties personnalisées, la possibilité de réutilisation, ainsi que la répartition des responsabilités.

De plus, en fonction du contenu de la personnalisation, la nature du produit final et le type de contrat peuvent changer, il est donc essentiel de définir clairement les rôles de chaque partie ainsi que les définitions des inputs et outputs.

Type 3 : Développement de Nouveaux Systèmes

Ce type de contrat implique qu’un utilisateur confie à un fournisseur de services d’IA le développement d’un système d’IA entièrement nouveau. Communément appelé “développement from scratch”, il consiste à construire un modèle ou un système d’IA sur mesure, adapté aux opérations et aux besoins spécifiques de l’utilisateur.

Dans ce cas, les données d’apprentissage et les spécifications sont souvent fournies par l’utilisateur, et le modèle d’IA ou les livrables développés sont conçus sur la base des exigences propres à l’utilisateur.

Par conséquent, les points suivants sont particulièrement importants dans le contrat :

• Clarification de la portée et du contenu des livrables
• Définition des objectifs de précision et de performance
• Fourniture et gestion des données d’apprentissage
• Attribution des droits de propriété intellectuelle et des livrables
• Partage des responsabilités en matière de maintenance et de mise à jour

Ce type de contrat exige une coordination très précise entre le fournisseur et l’utilisateur concernant la conception et les spécifications, ce qui nécessite une évaluation détaillée dans la checklist.

Examinons maintenant des exemples concrets d’inputs et d’outputs en nous référant à nouveau au schéma ci-dessous.

Référence : Ministère de l’Économie, du Commerce et de l’Industrie | Checklist pour les contrats relatifs à l’utilisation et au développement de l’IA[ja]

Checklist : Les Inputs

Comme mentionné précédemment, les inputs désignent le contenu que l’on saisit dans l’IA. Cela inclut des exemples concrets tels que les données d’apprentissage, les algorithmes et les prompts (instructions ou commandes adressées à l’IA).

Dans les services d’IA, les inputs sont essentiels. Sans eux, le fournisseur ne peut pas procéder à la conception, à l’apprentissage et au traitement inférentiel de l’IA. Alors, à quels aspects devons-nous prêter attention lorsqu’il s’agit d’inputs dans ce contexte ?

Gestion des contributions des utilisateurs aux fournisseurs sous le droit japonais

Il est donc essentiel que les contrats spécifient clairement si les utilisateurs ont l’obligation de fournir des informations (contributions) telles que des données d’apprentissage, des règles, des spécifications, etc., au fournisseur, et le cas échéant, le contenu de ces informations. Plus précisément, les éléments suivants doivent être définis :

• Quel type de contributions les utilisateurs doivent-ils fournir ?
• Les délais, formats et critères de qualité de la fourniture
• Si les utilisateurs doivent satisfaire certaines conditions concernant la nature, la quantité, la granularité et autres aspects des contributions fournies au fournisseur
• Si le contenu susmentionné est acceptable au regard des objectifs d’utilisation du service par les utilisateurs

Gestion des informations fournies par les vendeurs à des tiers au Japon

Dans les services d’IA, les vendeurs utilisent les informations fournies par les utilisateurs (par exemple, des données ou des spécifications) pour construire et fournir l’IA.

Cependant, il est crucial de vérifier dans le contrat la possibilité et les conditions de “fourniture externe” de ces informations par le vendeur à des tiers, car il est possible qu’elles soient partagées ou réutilisées.

En particulier, les informations fournies peuvent inclure le savoir-faire commercial de l’utilisateur, des informations confidentielles, des données personnelles et des droits de propriété intellectuelle, ce qui peut entraîner des risques importants si elles sont fournies à des tiers.

Il est donc nécessaire de vérifier si les points suivants sont clairement établis dans le contrat :

• Si le vendeur est autorisé à fournir les informations reçues de l’utilisateur à des tiers
• En cas de fourniture externe autorisée, y a-t-il des restrictions concernant les destinataires, l’étendue et l’objectif de cette fourniture ?
• La gestion des droits de propriété intellectuelle et des informations confidentielles incluses dans les informations de l’utilisateur

Si des préoccupations subsistent concernant ces trois points, des mesures telles que “ne pas fournir d’informations inutiles” ou “envisager de renoncer à la conclusion du contrat si la fourniture de ces informations à des tiers est inacceptable” peuvent être envisagées.

Gestion des inputs des fournisseurs sous le droit japonais

Dans les services d’IA, les inputs fournis par les utilisateurs aux fournisseurs, tels que les données d’apprentissage, les règles opérationnelles, les cahiers des charges, etc., contiennent souvent des informations personnelles, confidentielles ou de propriété intellectuelle.

Il est donc crucial de clarifier les responsabilités que les fournisseurs assument en matière de traitement et de gestion de ces inputs.

Alors, quels aspects contractuels devriez-vous organiser concernant la gestion des inputs ? Voici quelques exemples :

(L’existence et le niveau des obligations de gestion)

• Quelles obligations de gestion les fournisseurs assument-ils pour les inputs reçus des utilisateurs ?
• Si les fournisseurs ont des obligations de gestion, quel niveau de gestion et quelles mesures sont exigés ?
• Les utilisateurs peuvent-ils demander des audits ou des informations sur le système de gestion des fournisseurs ?
• Le système de gestion est-il approprié au regard des objectifs d’utilisation du service par les utilisateurs ?

(La durée de conservation des inputs)

• Combien de temps les fournisseurs peuvent-ils conserver les inputs ?
• Quelles mesures les fournisseurs prennent-ils après la fin de la période de conservation ?

(L’obligation de suppression)

• Les fournisseurs ont-ils l’obligation de supprimer les inputs à la demande des utilisateurs ou à la fin du contrat ?
• Les fournisseurs sont-ils tenus de délivrer un certificat prouvant la suppression (certificat de suppression, etc.) ?
• Ces mesures de suppression sont-elles raisonnables au regard des objectifs opérationnels des utilisateurs ?

Lorsque la fourniture de données personnelles est impliquée, il est nécessaire d’organiser le schéma de traitement des données personnelles en tenant compte du fait que l’utilisation à des fins propres ou la comparaison par le fournisseur peut constituer une fourniture à un tiers et nécessiter le consentement de la personne concernée.

En cas de sous-traitance de données personnelles, il est essentiel d’examiner si les pouvoirs de supervision que l’on peut exercer sur le fournisseur sont suffisants pour traiter les données en tant que sous-traitance (et envisager de les traiter comme une fourniture à un tiers si le niveau n’est pas atteint). De plus, lors du transfert de données personnelles à l’étranger, il est important de noter que des informations sur les données personnelles détenues peuvent être requises, indépendamment de l’existence d’une “fourniture” selon la loi sur la protection des informations personnelles.

En cas de fourniture de données personnelles, une attention particulière est requise car en cas de fuite d’informations personnelles par le fournisseur, l’utilisateur peut être tenu de signaler l’incident à l’autorité de surveillance.

Concernant l’obligation de suppression, si la législation applicable exige une obligation de suppression de la part du fournisseur, il est également possible de demander la suppression en tant qu’exercice de droits hors contrat.

Checklist : Les Outputs

Les outputs, pour le dire simplement, sont les résultats produits par l’IA. Ils se présentent généralement sous forme de textes ou d’images, mais peuvent également inclure du code de programmation, des plans de conception ou des documents stratégiques de marketing, et leur format est très varié. Ils peuvent contenir des informations hautement confidentielles, donc leur gestion nécessite une attention particulière.

Quand l’utilisateur diffuse des outputs à l’extérieur

En utilisant des services d’IA tels que la génération d’AI, les utilisateurs peuvent obtenir divers outputs (textes générés, images, résultats d’inférence, etc.).

Ces outputs ne sont pas seulement utilisés en interne, mais sont aussi souvent fournis ou rendus publics à des tiers tels que des clients, des partenaires commerciaux ou des utilisateurs généraux.

Cependant, les outputs générés par l’IA peuvent inclure des risques tels que des informations inexactes, des violations de droits ou des problèmes éthiques. Afin d’éviter une divulgation non intentionnelle à des tiers (y compris les fuites d’informations), il est essentiel de mettre en place un système de gestion et de réaliser une formation interne adéquate.

Par conséquent, lorsque les utilisateurs fournissent des outputs à l’extérieur de l’entreprise, les arrangements contractuels et la gestion des risques deviennent des points de considération importants. Vérifiez les points suivants :

• Si l’utilisateur peut fournir des outputs à des tiers
• Si l’utilisateur peut fournir à des tiers, quelles sont les conditions de cette fourniture (destinataires, étendue de la fourniture et autres conditions). Dans le cas d’une utilisation de type service, est-il nécessaire d’indiquer que les outputs proviennent d’un service utilisant l’IA
• Compte tenu de l’objectif d’utilisation du service par l’utilisateur, si le contenu ci-dessus est acceptable

Les Outputs du vendeur à l’utilisateur (b−5−1)

Les outputs obtenus grâce à l’utilisation de services d’IA (textes générés, images, plans de conception, rapports, etc.) constituent des produits de valeur pour les utilisateurs.

Cependant, les accords concernant la propriété des droits sur ces outputs, tels que “qui détient les droits” ou “peut-on les utiliser librement”, doivent être clairement établis dans le contrat pour éviter les conflits ultérieurs. Plus précisément, les points suivants doivent être clarifiés :

• Si l’utilisateur acquiert certains droits, tels que des droits de propriété intellectuelle, sur les outputs
• Si l’utilisateur acquiert des droits, quelles sont les conditions d’acquisition de ces droits (objet du transfert de droits, présence ou absence de contrepartie, existence et contenu de la licence et autres conditions)
• Compte tenu de l’objectif d’utilisation du service par l’utilisateur, si le contenu ci-dessus est acceptable

Points à considérer lors de l’utilisation d’une checklist

Cette checklist n’a pas la force juridique d’un contrat, mais vise à organiser les points de discussion contractuels relatifs à la fourniture et à l’utilisation de services liés à l’IA, du point de vue des utilisateurs et des fournisseurs. Par conséquent, lors de la conclusion d’un contrat, il est nécessaire de sélectionner les éléments pertinents de la checklist et de concrétiser les conditions contractuelles pour chaque point, en tenant compte des faits spécifiques liés à ce contrat (type de contrat, contenu du service, nature des inputs et outputs, droits et obligations des parties, etc.).

La manière appropriée de répondre en se basant sur la checklist dépend des circonstances spécifiques de chaque utilisateur. Il est donc essentiel de prendre en compte de manière globale les circonstances connexes, y compris les éléments suivants :

• Le contenu des services liés à l’IA fournis par le fournisseur
• La forme du contrat (conditions d’utilisation ou contrat individuel)
• Les risques associés à l’acceptation des termes contractuels
• La faisabilité de l’exécution des obligations contractuelles
• La disponibilité de services ou de moyens alternatifs en fonction de l’objectif d’utilisation de l’IA
• L’effort nécessaire pour la négociation du contrat
• La possibilité de réduire les risques par des méthodes hors contrat (comme l’exploitation réelle)

Résumé : Consultez un expert pour les contrats liés à l’IA

Jusqu’à présent, nous avons examiné en détail les points de discussion contractuels relatifs aux entrées et sorties, les types de contrats, et les considérations à prendre en compte lors de l’utilisation, en nous basant sur la “Checklist des contrats pour l’utilisation et le développement de l’IA” publiée par le Ministère de l’Économie, du Commerce et de l’Industrie du Japon.

Il est prévu que les technologies d’IA, y compris l’IA générative, soient de plus en plus intégrées au cœur des affaires dans le futur. Cependant, leur utilisation nécessite une organisation minutieuse en raison de nombreux points juridiques et pratiques tels que les droits d’auteur, les informations personnelles, la confidentialité, la possibilité de réutilisation, et la répartition des responsabilités.

Pour utiliser l’IA de manière appropriée, il ne suffit pas simplement d’introduire la technologie ; il est essentiel de clarifier les droits et obligations des parties à travers les “contrats” et de prévenir les risques avant qu’ils ne surviennent. En particulier, pour les contrats d’IA complexes, il est sécuritaire et pratique de procéder avec les conseils du département juridique et de la propriété intellectuelle de l’entreprise, ainsi qu’avec l’aide d’experts externes.

Tout en favorisant l’utilisation de l’IA, veillez à minimiser les risques juridiques en vérifiant le contenu des contrats et en collaborant avec des spécialistes.

Présentation des mesures proposées par notre cabinet

Le cabinet d’avocats Monolith se distingue par son expertise de haut niveau dans les domaines de l’IT, et plus particulièrement du droit de l’internet et des technologies. Nous offrons un large éventail de services de soutien juridique, allant de la rédaction et de la révision de contrats à une clientèle variée, incluant des entreprises cotées sur la Bourse de Tokyo jusqu’aux entreprises en phase de démarrage. Pour plus d’informations, veuillez consulter l’article ci-dessous.

Domaines d’intervention du cabinet Monolith : Droit des affaires pour les IT et les startups[ja]