Le vocabulaire de l'IA

Sous-traitant ultérieur : combien de mains touchent vos dossiers ?

Un sous-traitant ultérieur est un prestataire auquel votre fournisseur fait lui-même appel pour exécuter sa prestation. Vous n'avez pas de contrat avec lui, et vos données passent quand même par ses systèmes. La chaîne comporte typiquement 3–4 maillons, dont vous n'en connaissez qu'un.

À quoi ressemble la chaîne

Vous contractez avec un éditeur. Celui-ci héberge son service chez un fournisseur d'infrastructure. Il appelle un laboratoire pour le modèle. Il utilise peut-être un service tiers pour la supervision technique, un autre pour le stockage de fichiers.

Chacun de ces maillons est un sous-traitant ultérieur. Le règlement européen impose qu'ils soient identifiés, que les mêmes obligations leur soient imposées par contrat, et que vous soyez informé de tout changement.

Ce que le mécanisme organise, et ce qu'il ne réduit pas

Il organise une responsabilité en cascade : chaque maillon s'engage envers le précédent, et l'éditeur reste responsable devant vous des manquements de ses propres prestataires.

Il ne réduit en revanche pas le nombre d'endroits par lesquels l'information transite. C'est une distinction que le droit ne fait pas et que le secret professionnel impose de faire : le nombre de maillons compte autant que leur solidité.

Les trois questions à poser

Quelle est la liste complète, à jour, avec le rôle de chacun ? Elle doit être fournie, pas seulement disponible sur demande.

Où chacun est-il établi, et sous quelle juridiction ? Un maillon situé hors de l'Union européenne fait basculer le dossier dans le régime des transferts, avec les formalités correspondantes.

Comment serez-vous informé d'un changement ? Un fournisseur peut changer d'hébergeur en respectant toutes ses obligations ; encore faut-il que vous l'appreniez, et que vous puissiez vous y opposer ou résilier.

Pourquoi la question se pose davantage ici qu'ailleurs

Vous acceptez sans y penser des chaînes de sous-traitance dans d'autres domaines : votre messagerie, votre outil de gestion, votre hébergeur de site ont tous les leurs.

Deux différences justifient une attention particulière ici. La première est le contenu : ce qui transite n'est pas une facture ou un rendez-vous, ce sont des pièces couvertes par le secret professionnel. La seconde est la nouveauté de la chaîne : les fournisseurs de modèles sont apparus récemment, leurs pratiques évoluent vite, et les relations entre acteurs se recomposent à un rythme qu'aucun autre secteur de l'informatique ne connaît.

Ce que ça ne résout pas

La responsabilité en cascade suppose de découvrir le manquement pour l'invoquer. Or une fuite au troisième maillon d'une chaîne que vous ne connaissez pas se détecte difficilement, et l'incident de 2026 chez un fournisseur de recherche juridique a rappelé que ces événements se découvrent par leurs conséquences.

Et l'information des personnes concernées vous incombe, pas au sous-traitant. Si un maillon que vous n'aviez pas identifié subit un incident, c'est vous qui devrez l'expliquer à vos clients.

Une remarque sur la manière de formuler la demande. Réclamer « la liste des sous-traitants ultérieurs » à un commercial produit souvent un silence embarrassé ; demander « qui héberge le service, et quel modèle est appelé » obtient une réponse immédiate, parce que ce sont des faits que tout le monde connaît en interne. La liste formelle viendra ensuite, du service juridique du fournisseur.

Pourquoi ça compte pour un juriste

Parce que vous demandez à vos clients de vous faire confiance sur une chaîne dont vous ne connaissez pas la longueur. C'est une position inconfortable, et elle devient intenable le jour où un client pose la question par écrit.

Obtenir la liste avant de signer coûte un courriel. L'obtenir après un incident coûte beaucoup plus.