Comment choisir un prestataire IA pour sa PME : quelles questions lui poser ?

Un dirigeant de PME qui veut automatiser une partie de son travail avec l'IA reçoit vite plusieurs propositions qui se ressemblent : démonstration impressionnante, promesse de gain de temps, prix au forfait. Ce qui les distingue se voit rarement dans la présentation. Cela se voit dans les réponses à quelques questions simples, posées avant de signer. En voici huit, valables pour n'importe quel prestataire, Défilable compris.

Qui va faire le travail, et avec quels outils ?

La première chose à savoir est qui écoute votre besoin, qui écrit le code et qui sera là dans six mois. Ce ne sont pas toujours les mêmes personnes, et ce n'est pas un défaut en soi. Mais chaque passage de relais fait perdre des détails, et ces détails sont souvent vos cas particuliers. La deuxième est de savoir ce que cette personne compte construire, et si l'IA y est vraiment utile.

1. Qui construit, concrètement ?

Demandez le nom de la personne qui développera la solution, et si elle participera à l'analyse de votre besoin. Demandez aussi si une partie du travail est confiée à un tiers. Une réponse vague (« notre équipe technique ») n'est pas forcément mauvaise, mais elle mérite une deuxième question.

2. Avez-vous vraiment besoin d'IA pour ça ?

Un bon prestataire peut vous répondre « non ». Beaucoup de tâches répétitives se règlent par une règle simple : un export, une formule, un envoi programmé. L'IA sert quand il faut lire un texte libre, résumer, classer ou rédiger. Si toutes les propositions mettent de l'IA partout, demandez pour chaque étape ce qu'elle apporte par rapport à une règle fixe, et ce qu'elle coûte en plus à faire tourner.

Où vont vos données ?

Dans un outil d'IA, vos documents passent par au moins un fournisseur de modèle, parfois plusieurs. Il faut savoir lesquels, et ce qu'ils en font.

3. Quels services verront mes données, et où sont-ils ?

Demandez la liste : hébergeur, modèle d'IA, outil d'automatisation, stockage. Pour chacun, le pays de traitement, la durée de conservation et l'usage éventuel pour entraîner un modèle. Un schéma d'une page suffit. Si le prestataire ne peut pas le produire, il ne sait probablement pas lui-même où passent vos données. Les questions à poser à chaque fournisseur d'IA, article du RGPD par article, sont détaillées dans le guide Une IA conforme au RGPD.

4. Quel contrat signe-t-on pour les données personnelles ?

Dès que le prestataire traite des données personnelles pour votre compte (clients, salariés, adhérents), il est sous-traitant au sens du RGPD. Le traitement doit alors être régi par un contrat ou un autre acte juridique, dont l'article 28 fixe le contenu minimal : traiter les données seulement sur vos instructions documentées, n'appeler un autre sous-traitant qu'avec votre autorisation écrite, prendre les mesures de sécurité de l'article 32, vous aider à répondre aux demandes des personnes, permettre des audits. La CNIL recommande en outre de demander au prestataire sa politique de sécurité et de vérifier que ses garanties sont effectives. Ce contrat se signe avant de toucher au premier fichier, pas après le pilote.

Comment saurez-vous que ça marche ?

Un gain de temps promis ne vaut que s'il est mesuré. Et un outil qui fonctionne en démonstration peut se tromper sur vos vrais dossiers.

5. Comment mesure-t-on le gain ?

La seule réponse solide commence par mesurer le temps passé aujourd'hui sur la tâche : combien de fois par mois, combien de minutes, par qui. Sans ce point de départ, personne ne pourra dire dans trois mois si l'automatisation valait son prix. Méfiez-vous d'un chiffre de gain annoncé avant que quiconque ait regardé comment vous travaillez.

6. Que se passe-t-il quand l'outil se trompe ?

Il se trompera : un modèle de langage peut mal lire un document ou inventer une information. Demandez où se situe l'étape de validation humaine, qui la fait, et ce qui se passe quand l'outil ne sait pas traiter un cas. La bonne réponse ressemble à : le cas revient à une personne, avec une alerte, et rien ne part chez un client sans relecture. Demandez aussi si un pilote sur vos cas réels est prévu avant la mise en production, et comment le taux d'erreur y sera suivi.

Que se passe-t-il après la livraison ?

Une automatisation vieillit. Un fournisseur change le format de ses factures, un logiciel met à jour son interface, une règle interne évolue. La question n'est pas de savoir si quelque chose cassera, mais qui s'en occupera.

7. Qui maintient, et comment suis-je prévenu ?

Demandez ce que couvre le suivi : surveillance, correction, évolutions. Demandez comment vous êtes averti d'une panne, et si quelqu'un regarde régulièrement avec vous ce que l'outil rapporte vraiment. Un projet livré puis oublié s'arrête souvent sans bruit, et l'équipe retourne au travail manuel.

8. Si on arrête, qu'est-ce que je récupère ?

C'est la question qui protège le plus, parce qu'elle se règle avant de signer, quand vous avez encore le choix. Trois points à faire écrire : à qui appartient le code et où il est hébergé (chez vous ou chez le prestataire) ; si un autre développeur peut le reprendre, avec une documentation ; ce que deviennent vos données. Sur ce dernier point, le RGPD tranche pour les données personnelles : au terme de la prestation, le sous-traitant les supprime ou vous les renvoie, selon votre choix, et détruit les copies, sauf obligation légale de conservation (article 28, paragraphe 3, point g).

Comment lire les réponses ?

En les comparant à ce qui ressemble à une bonne réponse, et à ce qui doit vous alerter :

Question	Réponse rassurante	Signal d'alerte
1. Qui construit ?	Un nom, présent dès l'analyse	« Notre équipe », sans plus
2. Besoin d'IA ?	Certaines étapes sans IA, expliquées	De l'IA à chaque étape
3. Où vont les données ?	Un schéma, service par service	« Tout est sécurisé »
4. Quel contrat ?	Contrat de sous-traitance avant le démarrage	« On verra après le pilote »
5. Quel gain ?	Mesure du temps actuel, puis comparaison	Un chiffre avant toute analyse
6. Et les erreurs ?	Validation humaine, alerte, pilote sur cas réels	« L'IA ne se trompe pas »
7. Qui maintient ?	Suivi décrit, point régulier	Rien de prévu après la livraison
8. Si on arrête ?	Code et données restitués, reprise possible	Code inaccessible hors abonnement

Aucune réponse isolée ne disqualifie un prestataire. Ce qui compte, c'est qu'il accepte de répondre par écrit, et que ses réponses restent les mêmes une fois le contrat signé.

Ce que ça veut dire pour vous

Ces questions valent aussi pour Défilable, et voici ses réponses. La personne qui vous écoute est celle qui construit : je suis ingénieur de formation et développeur, et je reste ensuite pour le suivi. La méthode répond dans l'ordre aux questions 5 à 7 : un audit sur place qui mesure le temps passé aujourd'hui, une maquette puis un pilote sur vos cas réels avec une personne référente, et un suivi mensuel sans engagement de durée où l'on regarde les gains mesurés. Quand une tâche ne peut pas être traitée automatiquement, elle revient à la main avec une alerte.

Pour la question 3, l'architecture suit vos données : quand elles sont sensibles, elles restent en Europe, et la page métiers réglementés montre qui voit quoi. Pour la question 8, le code est livré dans votre propre environnement, documenté et reprenable par un autre développeur, comme l'explique la page à propos. Les cas concrets montrent ce qui tourne déjà.

Sources

• Règlement (UE) 2016/679 (RGPD), articles 28 et 32, texte lu sur le Journal officiel de l'Union européenne (publications.europa.eu), consulté le 25 octobre 2026.
• CNIL, Responsable de traitement et sous-traitant : 6 bonnes pratiques pour respecter les données personnelles, 8 juillet 2020, consulté le 25 octobre 2026.