[{"data":1,"prerenderedAt":273},["ShallowReactive",2],{"footer-latest-articles":3,"blog-/blog/rgpd-ia-marche-public":16},[4,8,12],{"path":5,"title":6,"date":7},"/blog/ted-europa-marches-publics","TED Europa : rechercher des marchés publics européens","2026-09-27",{"path":9,"title":10,"date":11},"/blog/boamp-marches-publics","BOAMP : comment l'utiliser pour trouver des marchés publics","2026-09-20",{"path":13,"title":14,"date":15},"/blog/veille-appel-offre","Comment automatiser sa veille d'appels d'offres publics","2026-09-13",{"id":17,"title":18,"body":19,"date":261,"description":262,"extension":263,"image":264,"imageAlt":265,"meta":266,"navigation":267,"path":268,"seo":269,"stem":270,"tag":271,"__hash__":272},"blog/blog/rgpd-ia-marche-public.md","RGPD et IA dans les marchés publics : ce qu'il faut savoir",{"type":20,"value":21,"toc":247},"minimark",[22,26,29,34,37,60,63,67,73,79,85,89,92,98,104,110,116,120,123,126,130,133,136,140,143,147,150,195,198,202,205,209,221,227,233,237,240],[23,24,25],"p",{},"Confier ses réponses aux appels d'offres à un outil d'intelligence artificielle, c'est lui confier des données sensibles : mémoires techniques, prix, références clients, CV des équipes, méthodologies internes. Dans la commande publique, la question croise deux corpus juridiques : le RGPD dès que des données personnelles sont traitées, et le droit de la commande publique qui régit la relation entre l'acheteur et les opérateurs économiques. Trois questions méritent une réponse claire avant de s'équiper : où sont hébergées les données, qui est responsable du traitement, et que deviennent-elles une fois traitées ?",[23,27,28],{},"Cet article fait le point sur le cadre applicable et sur les garanties à exiger d'un fournisseur. Il aborde les deux points de vue, celui de l'entreprise candidate qui s'équipe et celui de l'acheteur public qui rédige ses consultations.",[30,31,33],"h2",{"id":32},"quelles-données-manipule-un-outil-de-réponse-aux-appels-doffres","Quelles données manipule un outil de réponse aux appels d'offres",[23,35,36],{},"On pense d'abord aux documents du marché, qui sont publics. Mais l'essentiel de la valeur, et du risque, se trouve dans ce que vous apportez :",[38,39,40,48,54],"ul",{},[41,42,43,47],"li",{},[44,45,46],"strong",{},"Des données à caractère personnel"," au sens du RGPD : CV et qualifications des collaborateurs cités dans le mémoire technique, coordonnées de contacts et de références clients, informations sur les personnes impliquées dans l'exécution du contrat.",[41,49,50,53],{},[44,51,52],{},"Des données commercialement sensibles"," : politique de prix, marges implicites, méthodologies différenciantes, retours d'expérience.",[41,55,56,59],{},[44,57,58],{},"Des données contractuelles"," : engagements passés, attestations, pièces administratives de candidature.",[23,61,62],{},"Dès qu'il y a données personnelles, le RGPD et la loi Informatique et Libertés s'appliquent. Et même pour les données non personnelles, la confidentialité commerciale se pose avec la même acuité.",[30,64,66],{"id":65},"le-cadre-en-trois-couches","Le cadre en trois couches",[23,68,69,72],{},[44,70,71],{},"Le RGPD et la loi Informatique et Libertés"," encadrent tout traitement de données à caractère personnel : licéité, minimisation, sécurité, droits des personnes concernées. La CNIL en est l'autorité de contrôle en France. L'article 83 du RGPD prévoit, pour les manquements les plus graves, des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.",[23,74,75,78],{},[44,76,77],{},"Le code de la commande publique"," régit la mise en concurrence, l'attribution et l'exécution des marchés. Il ne traite pas de l'IA en tant que telle, mais impose ses propres exigences de confidentialité des offres et d'égalité de traitement des candidats.",[23,80,81,84],{},[44,82,83],{},"Le règlement européen sur l'intelligence artificielle",", dit AI Act, ajoute une couche spécifique : classification des systèmes par niveau de risque, obligations de transparence et de documentation, avec une application progressive. Pour un outil d'aide à la rédaction de réponses, l'impact reste mesuré, mais la tendance est claire : la traçabilité des systèmes devient une exigence réglementaire et plus seulement une bonne pratique.",[30,86,88],{"id":87},"qui-est-responsable-de-quoi","Qui est responsable de quoi",[23,90,91],{},"La conformité repose sur une répartition claire des rôles, et c'est souvent là que ça coince.",[23,93,94,97],{},[44,95,96],{},"Votre entreprise est responsable de traitement"," pour les données qu'elle soumet à l'outil. C'est elle qui détermine la finalité, répondre à un appel d'offres, et qui répond des principes du RGPD vis-à-vis des personnes concernées, ses collaborateurs au premier chef.",[23,99,100,103],{},[44,101,102],{},"Le fournisseur est sous-traitant"," au sens de l'article 28 du RGPD : il traite les données pour votre compte, selon vos instructions. Cela impose un contrat écrit précisant les finalités, les mesures de sécurité, le sort des données en fin de contrat et le recours éventuel à des sous-traitants ultérieurs.",[23,105,106,109],{},[44,107,108],{},"Le délégué à la protection des données",", quand votre entreprise ou votre collectivité en a désigné un, doit être associé au choix de l'outil. C'est typiquement le genre d'opération où son regard est utile en amont plutôt qu'en pompier.",[23,111,112,115],{},[44,113,114],{},"Côté acheteur",", le pouvoir adjudicateur porte ses propres responsabilités : confidentialité des offres reçues, conformité de ses propres traitements s'il utilise lui-même des outils automatisés pour analyser les candidatures, et rédaction de clauses adaptées quand le marché implique des traitements de données personnelles par le titulaire.",[30,117,119],{"id":118},"ce-que-recommande-la-cnil","Ce que recommande la CNIL",[23,121,122],{},"La CNIL a publié une série de recommandations sur le développement et l'usage des systèmes d'IA, avec un fil conducteur : distinguer la phase d'apprentissage, l'entraînement des modèles, de la phase de production, l'utilisation du système. Chacune constitue un traitement avec sa base légale propre. Elle rappelle également les fondamentaux applicables à tout usage professionnel : minimisation des données soumises, information des personnes, encadrement contractuel des sous-traitants, et analyse d'impact lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits des personnes.",[23,124,125],{},"Pour une entreprise candidate, la conséquence pratique est simple : pouvoir démontrer que sa chaîne de réponse repose sur des outils conformes n'est pas qu'une précaution juridique, c'est un argument de sérieux face à des acheteurs de plus en plus sensibilisés.",[30,127,129],{"id":128},"la-question-propre-à-lia-vos-données-entraînent-elles-les-modèles","La question propre à l'IA : vos données entraînent-elles les modèles ?",[23,131,132],{},"C'est le point qui distingue la conformité classique du sujet IA. Certains outils grand public se réservent, dans leurs conditions d'utilisation, le droit d'utiliser les contenus soumis pour améliorer leurs modèles. Concrètement, votre mémoire technique, vos tournures, vos méthodologies, potentiellement des données personnelles de vos équipes, pourraient contribuer à un système qui sert aussi vos concurrents. On passe alors de la phase de production à la phase d'apprentissage, avec un traitement supplémentaire que vous n'avez ni prévu ni encadré.",[23,134,135],{},"Pour un usage professionnel sur des appels d'offres, la règle devrait être simple : exigez l'engagement contractuel que vos données ne sont jamais utilisées pour entraîner les modèles, dans le contrat de sous-traitance, pas dans une option à décocher.",[30,137,139],{"id":138},"la-localisation-des-données","La localisation des données",[23,141,142],{},"Un hébergement dans l'Union européenne simplifie considérablement la mise en conformité. Un hébergement hors UE, ou chez un prestataire soumis à des législations extraterritoriales, soulève des questions supplémentaires sur les transferts. Pour des documents liés à l'achat public, beaucoup d'entreprises comme de collectivités préfèrent par principe un hébergement en France : c'est un critère de sécurité juridique autant que de sécurité tout court.",[30,144,146],{"id":145},"la-checklist-avant-de-choisir-un-outil","La checklist avant de choisir un outil",[23,148,149],{},"Avant de signer, posez ces questions et faites-les documenter :",[151,152,153,159,165,171,177,183,189],"ol",{},[41,154,155,158],{},[44,156,157],{},"Où sont hébergées les données ?"," Pays, prestataire d'infrastructure, exposition à des législations extraterritoriales.",[41,160,161,164],{},[44,162,163],{},"Les données sont-elles chiffrées ?"," En transit et au repos.",[41,166,167,170],{},[44,168,169],{},"Mes données servent-elles à entraîner des modèles ?"," La réponse doit être un non contractuel.",[41,172,173,176],{},[44,174,175],{},"Qui accède aux données côté fournisseur ?"," Politique d'accès, journalisation, clauses de confidentialité des équipes.",[41,178,179,182],{},[44,180,181],{},"Que se passe-t-il en fin de contrat ?"," Restitution et suppression, avec des délais précis.",[41,184,185,188],{},[44,186,187],{},"Un contrat de sous-traitance conforme à l'article 28 est-il fourni ?"," Avec la liste des sous-traitants ultérieurs.",[41,190,191,194],{},[44,192,193],{},"Le fournisseur peut-il documenter sa conformité ?"," Mesures de sécurité, certifications éventuelles, interlocuteur dédié.",[23,196,197],{},"Un fournisseur sérieux répond aux sept sans détour, et les fait figurer dans ses documents contractuels.",[30,199,201],{"id":200},"côté-acheteurs-publics","Côté acheteurs publics",[23,203,204],{},"Le sujet dépasse les entreprises candidates. Un acheteur qui lance une consultation impliquant des traitements de données, ou qui s'équipe lui-même d'outils automatisés pour analyser les offres, doit intégrer la protection des données dès la rédaction du dossier de consultation : clauses de traitement dans le contrat, exigences de localisation ou de sécurité proportionnées au besoin et sans fausser la mise en concurrence, information sur l'usage éventuel de systèmes automatisés dans l'analyse des candidatures, et maintien d'une appréciation humaine dans l'attribution.",[30,206,208],{"id":207},"questions-fréquentes","Questions fréquentes",[23,210,211,214,215,220],{},[44,212,213],{},"Puis-je utiliser un assistant généraliste pour rédiger une réponse à un marché public ?","\nTechniquement oui, juridiquement c'est à vos risques. Vérifiez le paramétrage relatif à l'utilisation de vos contenus et la localisation des données, et évitez d'y soumettre des données personnelles ou des pièces sensibles. Pour un usage récurrent, un outil dédié avec contrat de sous-traitance est la voie sûre. Voir aussi ",[216,217,219],"a",{"href":218},"/blog/risques-ia-memoire-technique","les risques de l'IA générative dans les réponses",".",[23,222,223,226],{},[44,224,225],{},"Une analyse d'impact est-elle obligatoire ?","\nPas systématiquement. Elle s'impose quand le traitement présente un risque élevé pour les droits des personnes. Pour un outil alimenté de CV et de données de contact, la question mérite au minimum d'être posée avec votre DPO.",[23,228,229,232],{},[44,230,231],{},"Quelles sanctions en cas de manquement ?","\nOutre les amendes prévues par l'article 83 du RGPD, le risque le plus concret est opérationnel : perte de confiance d'un acheteur, mise en cause contractuelle, exposition de votre savoir-faire.",[30,234,236],{"id":235},"lessentiel","L'essentiel",[23,238,239],{},"L'usage de l'IA et la protection des données ne sont pas incompatibles, à quatre conditions : un hébergement maîtrisé, un contrat de sous-traitance en règle, la garantie explicite que vos données n'entraînent aucun modèle, et une gouvernance interne qui associe le DPO. Ces garanties existent, il suffit de les exiger.",[23,241,242,243,220],{},"Pour la vue d'ensemble, voir le ",[216,244,246],{"href":245},"/blog/ia-appel-offre","guide de l'IA au service des appels d'offres",{"title":248,"searchDepth":249,"depth":249,"links":250},"",2,[251,252,253,254,255,256,257,258,259,260],{"id":32,"depth":249,"text":33},{"id":65,"depth":249,"text":66},{"id":87,"depth":249,"text":88},{"id":118,"depth":249,"text":119},{"id":128,"depth":249,"text":129},{"id":138,"depth":249,"text":139},{"id":145,"depth":249,"text":146},{"id":200,"depth":249,"text":201},{"id":207,"depth":249,"text":208},{"id":235,"depth":249,"text":236},"2026-08-18","Données personnelles, responsable de traitement, sous-traitance, recommandations CNIL, AI Act : le cadre applicable à l'IA dans la commande publique, et les garanties à exiger.","md","/images/blog/rgpd-ia-marche-public.jpeg","Coupe d'un bâtiment d'archives ceint d'une enceinte hexagonale : chambre forte, guichet d'archiviste et casiers de tri, quelques feuilles s'échappant au-dessus des murs.",{},true,"/blog/rgpd-ia-marche-public",{"title":18,"description":262},"blog/rgpd-ia-marche-public","Conformité","HlYp-oOcZsWVCK4z_jztM4Of_dscKDKnyZ0p63M4oco",1790673306580]