Une question circule dans les communautés de praticiens de l'IA sans presque jamais remonter dans les discussions formelles de gouvernance : lorsqu'un système d'IA que vous avez payé produit un résultat faux, dommageable ou nettement inférieur à ce qui vous a été vendu, qui en répond et de quel recours disposez-vous ?
La question paraît simple. En pratique, elle croise le droit de la consommation, le droit des contrats de services numériques, la jurisprudence sur la responsabilité du fait des logiciels et les problèmes de gouvernance inédits que posent des systèmes probabilistes capables de se comporter demain autrement qu'aujourd'hui. La plupart des organisations, et la plupart des particuliers, qui déploient des services d'IA n'ont pas examiné ce croisement de près. Leurs contrats fournisseurs, leurs cartographies de risques et leurs politiques d'achat reposent encore sur les hypothèses d'un monde pré-IA : qu'un outil acheté fonctionnera de manière constante, qu'une dégradation du service sera visible, et qu'une faute sera imputable.
Aucune de ces hypothèses n'est fiable pour les plateformes d'IA. Cet essai cartographie le terrain. Il prolonge l'analyse structurelle publiée dans Les quatre angles morts de la gouvernance traditionnelle appliquée à l'IA et le panorama réglementaire de Naviguer la vague.
Le problème a deux dimensions. La première est transactionnelle : une session, une requête ou une tâche produit un résultat faux, inutilisable ou dommageable, et l'utilisateur estime que la plateforme devrait en porter une part. La seconde est temporelle : une plateforme ou un modèle qui donnait satisfaction au moment de l'abonnement s'est dégradé au fil des semaines ou des mois — changement de comportement, perte de capacité, régressions — et l'utilisateur paie pour un service qui ne correspond plus à ce qu'il a acheté.
Les conditions générales actuelles traitent mal ces deux dimensions. La première parce que les plateformes excluent purement et simplement toute garantie sur la qualité des résultats. La seconde parce que l'idée d'une dérive de la qualité comme défaut de conformité du service n'a jamais été transposée du monde des SLA logiciels — où une dégradation de performance déclenche normalement des conséquences contractuelles — vers celui des abonnements d'IA.
Le résultat pratique est un vide de responsabilité. Les organisations déploient des outils d'IA, les intègrent dans leurs processus, y forment leurs équipes et construisent des dépendances sur leurs capacités, puis découvrent, quand quelque chose tourne mal ou que la performance baisse, que leur position contractuelle est bien plus faible qu'elles ne le croyaient. Le risque appartient à l'acheteur. Que ce risque ne figure pas dans les cartographies de risques ni dans les dispositifs de gestion des fournisseurs constitue en soi une défaillance de gouvernance.
La distinction entre défaillance de la plateforme et comportement du modèle est la première catégorisation de toute analyse du droit à réparation. La défaillance de la plateforme recouvre les pannes de l'infrastructure qui délivre le service : interruptions de serveur, indisponibilité de l'API, échecs d'authentification, erreurs de facturation, pertes de données, violations de sécurité. Ce sont les défaillances que les SLA classiques savent traiter, et la plupart des contrats d'entreprise prévoient des clauses, aussi limitées soient-elles, pour ces cas. L'avoir pour indisponibilité est la catégorie la plus souvent traitée explicitement.
Le comportement du modèle recouvre la qualité, l'exactitude et la constance des résultats. Cela inclut l'hallucination, les erreurs de raisonnement, la production de contenus dommageables, le refus d'exécuter une tâche pourtant décrite, et la dégradation qui accompagne la dérive. La plupart des contrats d'entreprise excluent explicitement toute responsabilité sur ce terrain. La formule standard — accès au système « en l'état », aucune déclaration quant à l'exactitude, à l'exhaustivité ou à l'adéquation des résultats à un usage particulier — se retrouve, sous une forme très voisine, chez tous les grands fournisseurs commerciaux.
Une catégorie plus complexe apparaît avec les plateformes agentiques — des systèmes comme Manus, qui ne se contentent pas de produire du texte mais enchaînent des actions pour accomplir une tâche. Quand une plateforme agentique échoue, la défaillance peut venir du modèle sous-jacent (il ne sait pas raisonner sur les étapes requises), de la logique d'orchestration (l'échafaudage qui séquence les appels au modèle et l'usage des outils), des intégrations d'outils (API ou systèmes externes dont l'agent dépend), ou d'une combinaison des trois. La question de l'imputation — quel composant a lâché et qui en répond — n'est pas tranchée en droit des contrats et n'est traitée clairement dans aucune condition générale de plateforme agentique.
Du point de vue GRC, cette zone grise compte pour la gestion du risque fournisseur : une organisation qui a déployé un système agentique sur un processus à enjeux a accepté un risque réparti sur plusieurs modes de défaillance, dont presque aucun n'est couvert contractuellement. La réponse appropriée n'est pas de fuir l'IA agentique, mais d'inscrire ce risque dans l'évaluation formelle du fournisseur et de négocier des clauses sur mesure lorsque le déploiement le justifie.
La dérive des modèles — la dégradation de la performance à mesure que les données de production s'écartent des données d'entraînement — donne au problème une forme particulièrement aiguë dans les projets de longue durée. Ses implications de gouvernance sont analysées en détail dans l'essai sur les quatre angles morts. L'implication en matière de réparation est distincte : une organisation qui souscrit un service d'IA au début d'un engagement de douze mois et découvre au sixième que la capacité du modèle sur son domaine a nettement baissé est fondée à se demander si elle reçoit encore le service pour lequel elle a contracté.
La première est la régression de capacité : le fournisseur met à jour le modèle d'une manière qui réduit la performance sur certaines catégories de tâches, parfois comme arbitrage délibéré (réduire une capacité pour en améliorer une autre, ou pour abaisser les coûts d'exploitation). Les utilisateurs qui s'appuyaient sur les capacités antérieures n'ont, sous les conditions standard, aucun fondement contractuel pour en exiger le rétablissement.
La seconde est la dérive de l'environnement : les données d'entraînement du modèle ne sont plus à jour au regard du domaine de l'utilisateur. Une IA de recherche juridique entraînée jusqu'à une date donnée produira des résultats de plus en plus incomplets à mesure que s'accumulent jurisprudence, lignes directrices et textes nouveaux au-delà de sa date de coupure. Là encore, les conditions standard traitent cela comme une limite inhérente et non comme une dégradation du service.
Savoir si une régression de capacité significative constitue une inexécution dépend de la juridiction et des stipulations du contrat, mais l'analyse ne penche pas toujours du côté de la plateforme. Un service vendu comme capable d'une fonction précise, puis modifié de sorte qu'il ne l'assure plus, peut, dans certains systèmes, constituer un défaut de conformité. La directive européenne sur le contenu numérique est l'expression la plus aboutie de cette analyse en droit positif, et son application aux régressions de capacité de l'IA fait l'objet de travaux doctrinaux actifs.
Pour les équipes GRC, la conséquence pratique n'est pas d'attendre que les tribunaux tranchent, mais de négocier en amont des clauses qui traitent les changements de capacité. C'est l'objet de la dernière section.
Le panorama ci-dessous reflète les politiques de remboursement et les clauses de responsabilité au début de 2026. Ces politiques évoluent ; il convient de vérifier les conditions en vigueur directement auprès des fournisseurs.
| Plateforme | Droit à remboursement pour qualité des résultats | Droit en cas de dérive ou de régression | Points notables |
|---|---|---|---|
| OpenAI (ChatGPT / API) | Aucun dans les conditions standard. Avoirs discrétionnaires pour erreur de facturation uniquement. | Aucun. Mises à jour des modèles à la discrétion du fournisseur. | Les contrats d'entreprise peuvent inclure des SLA sur mesure. Préavis d'obsolescence généralement de 30 à 90 jours pour les modèles API. |
| Anthropic (Claude) | Aucun dans les conditions standard. SLA de disponibilité pour les entreprises. | Aucun. Transitions de modèles gérées par un calendrier d'obsolescence. | Les contrats d'entreprise comportent des engagements de transition. Offres grand public : appréciation au cas par cas par le support. |
| Google (Gemini / Vertex AI) | Aucun sur la qualité. Avoirs d'indisponibilité de l'API selon le SLA GCP standard. | Aucun. Mises à jour régies par la politique de cycle de vie produit. | Vertex AI propose des canaux de modèles stables qui peuvent atténuer le risque de régression. Le SLA entreprise couvre la disponibilité. |
| Perplexity | Aucun dans les conditions standard. | Aucun. | Abonnement grand public : litiges de facturation traités au cas par cas. Aucune politique d'avoir publiée. |
| Manus | Aucune politique publiée sur la qualité des résultats au début de 2026. | Aucune politique publiée sur la dérive ou la régression. | Plateforme agentique : l'imputation d'un échec de tâche s'étend au modèle, à la logique d'orchestration et aux intégrations d'outils, dont aucune n'est couverte explicitement. |
Le schéma est constant : les grandes plateformes placent la qualité des résultats hors du champ de la responsabilité contractuelle. Les droits à remboursement, lorsqu'ils existent, couvrent la disponibilité et les erreurs de facturation, jamais la substance de ce que la plateforme produit. C'est une position commerciale rationnelle pour un fournisseur confronté à une qualité imprévisible à grande échelle. C'est une mauvaise position pour la gestion du risque d'entreprise, et une position contestable dans les pays dotés d'un droit de la consommation numérique solide.
La fonction de directeur de la conformité IA, l'un des postes qui évoluent le plus vite dans le paysage des métiers GRC, est dans bien des organisations le premier point où cette exposition contractuelle trouve un responsable. Voir aussi l'analyse de fond sur les raisons pour lesquelles la gouvernance de l'IA appelle une expertise nouvelle.
La directive relative aux droits des consommateurs (2011/83/UE) accorde un droit de rétractation de quatorze jours, sans motif, pour les contrats à distance portant sur du contenu et des services numériques. Ce droit s'applique sauf si le consommateur a expressément consenti à l'exécution immédiate et reconnu qu'il perdait alors son droit de rétractation — un consentement que beaucoup de plateformes recueillent au moment de l'inscription, de sorte que le délai de quatorze jours est souvent écarté en pratique pour les abonnements.
Lorsque ce consentement n'a pas été recueilli correctement, le délai de rétractation peut s'étendre à douze mois. Les autorités nationales de protection des consommateurs ont concentré leurs contrôles sur la clarté de l'information, et plusieurs décisions ont estimé qu'une simple case « J'accepte » ne satisfait pas à l'exigence de consentement exprès pour la renonciation au droit de rétractation.
L'instrument le plus important en pratique est la directive sur le contenu numérique (2019/770/UE), qui impose que les services numériques restent conformes, pendant toute la durée du contrat, à leur fonctionnalité, leur finalité et leur qualité annoncées. La conformité s'apprécie au regard de la description contractuelle et des attentes légitimes du consommateur au vu de la manière dont le service a été commercialisé.
Appliquée aux services d'IA, l'exigence de conformité soulève plusieurs questions vivement discutées en doctrine européenne : une plateforme qui se présente comme capable d'une fonction précise et qui la retire ou la dégrade ensuite manque-t-elle à son obligation de conformité ? Une mise à jour qui modifie sensiblement la qualité des résultats constitue-t-elle une modification non conforme ? Et la tendance inhérente d'un système à produire des résultats inexacts dans certains domaines, si elle n'a pas été signalée au moment de la vente, constitue-t-elle un défaut de conformité ?
Les remèdes prévus par la directive comprennent la mise en conformité, le remplacement, la réduction proportionnée du prix et, en cas de défaut important, la résolution du contrat. Ce sont des remèdes plus forts que tout ce qu'offrent les conditions générales, et les consommateurs établis dans l'Union, particuliers comme entreprises, peuvent disposer de droits que les politiques des plateformes ne reconnaissent pas.
Aux États-Unis, il n'existe pas d'équivalent fédéral au cadre européen de conformité du contenu numérique. La compétence de la Federal Trade Commission en matière de pratiques déloyales et trompeuses (article 5 du FTC Act) s'applique en principe aux plateformes qui font des déclarations substantiellement fausses sur leurs capacités, et la FTC a signalé une attention croissante aux allégations commerciales en matière d'IA. Mais le dispositif de sanction — actions de la FTC, injonctions, éventuelles amendes civiles — joue au niveau réglementaire, non au niveau du consommateur. Un particulier qui cherche un remboursement doit s'appuyer sur les lois de son État, sur la rétrofacturation bancaire et sur l'appréciation du support de la plateforme.
La conséquence, pour une organisation présente dans plusieurs juridictions, est que ses dispositifs de gestion des fournisseurs doivent intégrer le fait que le socle juridique diffère fortement entre les États-Unis et l'Union. Un contrat conclu avec un fournisseur américain peut contenir des clauses inopposables à des entités européennes du groupe au regard du droit applicable.
Le mécanisme de gouvernance le plus efficace est un niveau de performance de référence arrêté à la signature. Cela suppose d'identifier, avant de signer, les dimensions qui comptent pour l'usage prévu — exactitude des résultats sur des domaines désignés, taux d'accomplissement des tâches, latence, constance sur des requêtes similaires répétées — et de documenter une référence mesurable que le fournisseur reconnaît.
Cette référence n'a pas besoin d'être une batterie d'évaluation complexe. Pour beaucoup d'usages, un échantillon représentatif de vingt à cinquante cas de test, évalués selon des critères convenus, suffit à détecter une dégradation significative. L'essentiel est que la référence figure au contrat, que les deux parties reconnaissent qu'elle reflète le service au jour de la signature, et que le contrat précise ce qui se passe si elle n'est plus atteinte : réexamen, renégociation, ajustement de prix ou droit de résiliation.
Les organisations qui déploient de l'IA sur des processus à enjeux devraient négocier deux clauses supplémentaires : un droit de suivi de la dérive et une obligation de préavis sur les mises à jour. Le droit de suivi permet de réévaluer périodiquement la plateforme au regard de la référence, à partir des cas de test convenus, et d'obtenir une réponse du fournisseur en cas de dégradation significative. L'obligation de préavis contraint le fournisseur à annoncer, généralement trente à quatre-vingt-dix jours à l'avance, toute mise à jour susceptible d'affecter les caractéristiques de performance sur lesquelles l'organisation s'appuie.
Ces clauses sont courantes dans les contrats d'entreprise sophistiqués et absentes de la plupart des contrats de taille moyenne. La taille de l'organisation n'est pourtant pas un bon indicateur du risque : une association de taille moyenne qui a intégré une plateforme d'IA dans la rédaction de ses demandes de subvention, ses rapports de conformité ou son analyse financière porte un risque de dépendance considérable, qu'elle dispose ou non du pouvoir de négociation d'un grand groupe.
Les contrats standard font peser sur le client la quasi-totalité du risque lié à la qualité des résultats. La question de gouvernance n'est pas de savoir s'il faut accepter cette répartition pour des usages à faible enjeu — où le coût de négocier des clauses sur mesure dépasse le risque — mais s'il faut l'accepter pour des déploiements où une erreur pourrait engendrer une responsabilité juridique, une exposition réglementaire ou un préjudice réel.
Les déploiements à fort enjeu — rédaction d'actes, rapports de conformité, analyse financière, information médicale, décisions en ressources humaines — appellent une attention contractuelle explicite. Au minimum, le contrat doit préciser quelles déclarations le fournisseur consent sur l'exactitude des résultats (s'il en consent), quelle est son obligation si l'organisation démontre qu'une erreur donnée relevait de ce qu'il pouvait raisonnablement prévenir, et s'il détient une assurance couvrant la responsabilité liée aux résultats produits par l'IA.
Le problème est, à la racine, un problème de gouvernance des achats qui n'a pas encore été intégré aux dispositifs classiques de gestion du risque fournisseur. La fonction GRC en est le foyer naturel : elle se tient au croisement de la gestion des fournisseurs, de l'évaluation des risques, de l'exposition juridique et de la conformité.
Concrètement, les équipes GRC doivent être associées à la sélection des fournisseurs et à la négociation des contrats — non pas une fois le contrat signé et l'intégration construite, mais pendant l'évaluation. Les questions de référence de performance, de suivi de la dérive, de droits sur les mises à jour et de responsabilité en cas d'erreur se négocient bien plus facilement avant qu'une relation soit établie qu'après.
Le vocabulaire dont les équipes GRC ont besoin pour aborder ces questions avec précision se trouve dans le lexique GRC-IA 2026.
Dans l'Union européenne, les services d'IA par abonnement relèvent de la directive relative aux droits des consommateurs et de la directive sur le contenu numérique, qui prévoient un droit de rétractation de quatorze jours et une exigence de conformité pendant toute la durée de l'abonnement. Aux États-Unis, il n'existe pas d'équivalent fédéral : la couverture dépend de la compétence de la FTC et des lois de chaque État, très variables. Les organisations établies dans l'Union peuvent disposer de droits légaux supérieurs à ce que reconnaissent les conditions des plateformes.
La dérive est la dégradation de la performance d'un modèle à mesure que les données de production s'écartent des données d'entraînement. Savoir si elle constitue une inexécution dépend de la juridiction et des stipulations du contrat. La plupart des conditions actuelles sont muettes sur ce point. Les équipes GRC qui négocient un contrat d'entreprise devraient exiger des clauses de référence de performance et un droit de réexamen du SLA déclenché par la dérive. L'analyse de gouvernance figure dans Les quatre angles morts de la gouvernance traditionnelle appliquée à l'IA.
Aucune grande plateforme d'IA ne prévoit aujourd'hui de droit automatique à remboursement pour un défaut de qualité des résultats. OpenAI, Anthropic, Google et Perplexity excluent toute garantie sur ce point dans leurs conditions standard. Manus, en tant que plateforme agentique, y ajoute la difficulté d'imputer une défaillance à la couche d'orchestration. Les utilisateurs établis dans l'Union peuvent disposer de remèdes au titre de la conformité que les conditions des plateformes ne reflètent pas.
La directive européenne accorde au consommateur quatorze jours pour se rétracter d'un contrat portant sur un service numérique, sauf s'il a expressément consenti à l'exécution immédiate et reconnu perdre ce droit. La directive sur le contenu numérique impose en outre une conformité pendant toute la durée du contrat : un service qui reste nettement en deçà des capacités annoncées peut ouvrir droit à mise en conformité, remplacement, réduction du prix ou résolution. Ces remèdes dépassent ce qu'offrent les conditions générales.
Un achat éclairé par la fonction GRC comprend : un niveau de performance de référence arrêté à la signature ; un droit de suivi de la dérive ; une obligation de préavis avant toute mise à jour du modèle ; une répartition explicite de la responsabilité en cas d'erreur sur les usages à fort enjeu ; et un droit de résiliation fondé sur la performance. Les postes en conformité sont publiés sur ExecSearches.
Suivez GRC Careers sur LinkedIn
Nos essais, les référentiels qui bougent vraiment, et les postes de gouvernance qui méritent votre attention. Écrit par des praticiens, publié au fil de l'eau.
Suivre sur LinkedIn →