Conditions d'utilisation Enterprise et DPA

Le cadre juridique de l’offre Enterprise

Avant qu’un modèle d’IA n’entre en production chez vous, votre service juridique voudra savoir à quoi xAI s’engage exactement. Mieux vaut aborder ce passage obligé avec les bons documents en main. L’offre Enterprise s’accompagne de textes contractuels spécifiques, accessibles sur x.ai/legal, qui encadrent la relation entre votre organisation et xAI. Deux d’entre eux structurent la discussion : les conditions d’utilisation Enterprise et le Data Processing Agreement.

Ce que disent les Terms of Service Enterprise

Les conditions d’utilisation Enterprise s’écartent des conditions standard sur des points qui correspondent, chacun, à une question que quelqu’un vous posera tôt ou tard.

La propriété des données est celle qui inquiète les directions métier. Vos prompts comme les réponses du modèle restent votre propriété : xAI ne revendique aucun droit de propriété intellectuelle sur les contenus générés, et les données transmises à l’API ne sont pas utilisées pour l’entraînement des modèles dans le cadre Enterprise. Faites analyser des contrats clients par Grok et le contenu de ces contrats n’ira nourrir aucun apprentissage ultérieur.

La responsabilité intéresse davantage votre direction financière. Le SLA de 99.9 % est contractuellement garanti, avec des pénalités prévues en cas de non-respect ; il ne s’agit donc pas d’un engagement de moyens affiché sur une page marketing. La responsabilité de xAI est en revanche encadrée par des plafonds définis dans le contrat, eux-mêmes négociables selon le volume d’engagement. Autrement dit, le montant que vous pourrez espérer récupérer en cas d’incident majeur dépend de ce que vous aurez discuté avant signature, jamais après.

La durée et les conditions de résiliation déterminent enfin votre marge de manœuvre opérationnelle. L’engagement minimum est de 30 jours pour le débit provisionné, les conditions de résiliation anticipée sont définies contractuellement, et un préavis est généralement requis pour les modifications de capacité. Si vous attendez un pic saisonnier, préparez donc l’ajustement plusieurs semaines à l’avance : personne ne bascule sa capacité le jour même.

Le DPA, pièce maîtresse de la conformité GDPR

Le Data Processing Agreement définit les obligations de xAI en tant que sous-traitant de données personnelles. C’est le document que votre DPO lira ligne à ligne et celui qu’un auditeur réclamera en premier. Il précise d’abord les finalités du traitement, en cantonnant l’usage des données à la fourniture du service API demandé, puis les catégories de données personnelles que vous êtes susceptible de transmettre — un service RH et une plateforme e-commerce ne cochent évidemment pas les mêmes cases. Viennent ensuite les mesures techniques et organisationnelles mises en place par xAI pour protéger ces données.

La seconde moitié du document concerne la chaîne de traitement. Le DPA énumère les sous-traitants ultérieurs auxquels xAI peut faire appel, détaille les garanties applicables aux transferts de données hors de l’Union européenne, et décrit les procédures permettant de répondre aux demandes d’exercice de droits des personnes concernées. Cette dernière rubrique n’est pas théorique : le jour où un salarié demande l’effacement de données le concernant, c’est elle qui vous dira quelle procédure déclencher et dans quel délai.

Pour une entreprise européenne, quatre passages appellent une lecture particulièrement attentive. L’article 28 du RGPD pose que xAI agit sur instruction documentée, ce qui suppose que votre documentation interne décrive ce que vous faites traiter au lieu de se contenter de renvoyer au contrat. La résidence des données peut être demandée pour maintenir le traitement dans une région géographique donnée, ce qui change radicalement la conversation avec un régulateur national. La notification de violation engage xAI à signaler les incidents dans les délais prévus par le RGPD, délais que votre propre procédure interne doit être capable d’absorber sans improviser. Le droit d’audit, enfin, vous autorise à auditer les pratiques de xAI ou à mandater un tiers pour le faire ; encore faut-il avoir désigné, chez vous, qui exercerait ce droit le jour où la question se pose.

Ce qui est négociable

C’est la différence la plus mal comprise entre les deux régimes. Les conditions standard s’acceptent d’un clic et ne se discutent pas ; les conditions Enterprise, elles, se négocient. Votre équipe juridique peut demander des adaptations sur les plafonds de responsabilité, les clauses de confidentialité, les conditions de résiliation, les garanties propres à votre secteur — santé, finance, défense — et les clauses d’exclusivité ou de non-concurrence. Un établissement de santé n’est donc pas condamné à s’aligner sur un texte générique, à condition d’utiliser cet espace de discussion avant la signature et non après.

Quelques réflexes rendent cette revue nettement plus rapide. Faites examiner le DPA par votre DPO avant toute signature, jamais après l’activation du compte. Vérifiez la liste des sous-traitants ultérieurs ainsi que leur localisation, car c’est souvent là que se loge l’écart avec votre politique interne. Assurez-vous que les clauses de transfert international sont conformes à cette même politique. Et mettez en regard les mesures techniques annoncées par xAI et vos propres exigences : ce tableau de correspondance se constitue sans douleur pendant la négociation, beaucoup moins un an plus tard devant un auditeur.

Points clés à retenir

• Les ToS Enterprise et le DPA sont disponibles sur x.ai/legal
• Vos données restent votre propriété et ne sont pas utilisées pour l’entraînement des modèles
• Le DPA couvre les obligations GDPR de xAI en tant que sous-traitant
• Les conditions Enterprise sont négociables, contrairement aux conditions standard
• Impliquez votre DPO et votre service juridique avant toute signature