Réversibilité : préparer la sortie d'un fournisseur d'IA RH

Au 4 novembre 2026, l'article 28 du RGPD impose que le contrat prévoie la suppression ou le renvoi de toutes les données au terme de la prestation, selon le choix de l'employeur. La loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique plafonne en outre, pour les services d'informatique en nuage, les frais de transfert de données et de changement de fournisseur aux coûts réellement supportés, et impose des exigences d'interopérabilité et de portabilité.

Ce que le RGPD impose

L'article 28, paragraphe 3, point g, oblige le sous-traitant, selon le choix du responsable de traitement, à supprimer toutes les données ou à les lui renvoyer au terme de la prestation. Le contrat doit donc dire ce qui est rendu, dans quel format, dans quel délai, et comment la suppression est prouvée. La CNIL rappelle aussi qu'un sous-traitant ne peut pas conserver les données pour les réutiliser à son compte sans autorisation écrite spécifique.

Le cadre de l'informatique en nuage

La loi n° 2024-449 du 21 mai 2024 consacre un chapitre aux pratiques commerciales dans l'informatique en nuage et un autre à leur interopérabilité. Dans la version publiée sur Légifrance, son article 27 prévoit que les frais de transfert de données et les autres frais de changement de fournisseur ne peuvent pas dépasser les coûts supportés par le fournisseur et directement liés à l'opération, hors frais de service standard et pénalités de résiliation anticipée, et que le client doit être informé de leur nature et de leur montant, y compris avant la signature. Son article 28 impose aux fournisseurs l'interopérabilité de leurs services, la portabilité des actifs numériques et des données exportables, et un accès gratuit aux interfaces nécessaires. Ces règles visent les services d'informatique en nuage ; leur application à un outil RH donné dépend de sa qualification et de la version du texte en vigueur au moment du contrat.

Ce qu'il faut pouvoir récupérer

Pour un outil d'IA RH, la réversibilité ne se limite pas aux fichiers déposés. Elle couvre les documents de référence, les paramétrages, les réponses validées, les historiques utiles et les journaux nécessaires à la preuve, chacun dans un format réutilisable. À l'inverse, les données arrivées au terme de leur durée de conservation n'ont pas à être reprises.

Organiser la sortie dès l'achat

La réversibilité se négocie au moment de la signature, pas à la résiliation. Un plan de sortie annexé au contrat fixe le calendrier, le format d'export, l'assistance éventuelle du fournisseur et son coût, la période de chevauchement entre l'ancien et le nouvel outil, puis l'attestation de suppression chez le fournisseur et ses sous-traitants. Tester un export complet avant la mise en production évite les mauvaises surprises et vérifie que les formats annoncés sont réellement exploitables.

À faire

1. Inscrire au contrat le choix entre renvoi et suppression des données, avec délai et format.
2. Exiger une attestation de suppression couvrant les sous-traitants du fournisseur.
3. Lister les éléments à récupérer : documents, paramétrages, réponses validées, journaux utiles.
4. Tester un export complet avant la mise en production.
5. Faire préciser les éventuels frais de sortie et leur base.

Textes de référence

• Article 28 du RGPD (CNIL, chapitre IV)
• CNIL : réutilisation par un sous-traitant de données confiées
• CNIL : 6 bonnes pratiques responsable de traitement et sous-traitant
• Loi n° 2024-449 du 21 mai 2024, article 27 : frais de changement de fournisseur (Légifrance)
• Loi n° 2024-449 du 21 mai 2024, article 28 : interopérabilité et portabilité (Légifrance)

Questions fréquentes

Contenu d'information générale, qui ne constitue pas un conseil juridique.