Un premier guide sur l’IA à destination spécifiquement des acheteurs publics

L’IA au service du sourçing dans les marchés publics

Après une première fiche consacrée à la distinction entre modèle IA et système IA (SIA), la fiche n° 2 du guide est consacrée à la mise en œuvre du sourçage fournisseurs : définir son besoin et cartographier les données et les enjeux associés. L’acheteur doit adapter sa démarche de sourçage auprès de ses fournisseurs en fonction du besoin métier, de la sensibilité des données et du système d’information concerné. Ainsi, l’objectif n’est pas d’alourdir excessivement la charge administrative de la phase de sourçage mais d’obtenir le juste niveau d’information, tant des interlocuteurs internes que des fournisseurs, pour permettre à l’acheteur d’adapter son cahier des charges aux besoins métier et aux exigences réglementaires et aux réalités économiques et techniques des fournisseurs de SIA. La définition du besoin de l’acheteur doit associer l’ensemble des interlocuteurs internes concernés par l’implémentation du SIA et permettre à l’acheteur d’identifier avec exactitude les exigences fonctionnelles souhaitées ainsi que les contraintes techniques et réglementaires. Lors de cette définition du besoin, le service prescripteur doit définir avec précision le processus métier qui fait l’objet de l’achat d’IA et l’ensemble des tâches à accomplir par le SIA, ainsi que les performances attendues et les contraintes opérationnelles. Le responsable de la sécurité des systèmes d’information doit contribuer au recensement des jeux de données concernées et des systèmes d’information impactés par le processus métier et définir les niveaux de sécurisation techniques attendus. Sur la base des travaux menés pendant cette phase de cadrage métier, l’acheteur pourra lancer la phase de sourçage fournisseur aux fins notamment d’identifier les acteurs du marché, d’évaluer leur capacité à répondre à son besoin, et d’identifier les facteurs de coûts et les ressources nécessaires à l’implémentation du SIA (formation du personnel, budget nécessaire pour mettre en œuvre le SIA et accompagner le passage à l’échelle). Une annexe 2 du guide présente un questionnaire qui a pour objet d’aider les acheteurs publics à structurer les informations d’expression de besoin en termes d’achat de systèmes d’intelligence artificielle et d’identifier les enjeux de protection des données, de sécurisation des systèmes d’information ainsi que les contraintes techniques de l’acheteur.

Mesurer les risques relatifs au recours à l’IA

Afin de permettre à l’acheteur de maîtriser les risques associés, il lui faut cartographier les données du système d’IA et les qualifier. Les données constituent le fondement des systèmes d’intelligence artificielle (IA). En effet, la qualité et la représentativité des données d’apprentissage et des données d’entrée détermine la performance et la fiabilité de l’outil. En outre, le déploiement, l’utilisation et le fonctionnement des systèmes d’IA crée des informations supplémentaires (métadonnées, journaux système, prompts, données utilisateurs etc.) qui peuvent influer sur leur évolutivité, en fonction des paramètres. Enfin, chaque catégorie de données peut faire l’objet de mesures de protection et d’exigences de gouvernance spécifiques en fonction de leur sensibilité. Il est essentiel que l’acheteur cartographie les jeux de données susceptibles d’être traités par le SIA, les flux de traitement, les conditions d’accès, de protection et les risques d’atteinte à la sécurité de ces données. La cartographie doit également permettre d’identifier les flux de retour des résultats vers l’administration et la localisation géographique des différents composants et flux impliqués afin d’identifier les risques de soumission des fournisseurs à des lois à portée extra-territoriale. La connaissance de ces flux constitue ainsi un préalable à la maîtrise des risques et à la définition des exigences contractuelles. Elle permet notamment de déterminer les données pouvant être utilisées dans le système, les restrictions d’accès et de réutilisation à imposer, les exigences relatives à leur conservation et à leur suppression, ainsi que les conditions de localisation et de transfert des données. La cartographie des flux doit ainsi permettre à l’acheteur de traduire les risques identifiés en exigences précises dans les documents de la consultation et dans le contrat, afin de garantir une maîtrise effective des données tout au long de leur traitement.

Un deuxième volet consacré aux clauses à intégrer dans les contrats avec les fournisseurs de solutions est annoncé pour fin novembre 2026.

Source : « Guide pratique des achats d’IA – Fondamentaux de l’IA », CNCP, novembre 2026