# Le DPA d'OpenAI, de Mistral et d'Infomaniak : les clauses à lire

> OpenAI, Anthropic, Mistral, Infomaniak, Runpod : application du DPA, suppression, sous-traitants, violations, transferts, entraînement et demandes des autorités.


*Ou : le document que tout le monde accepte d'un clic et que personne n'ouvre, alors qu'il est plus court qu'un roman et plus utile qu'une plaquette.*

La réponse courte : le DPA, ou contrat de sous-traitance, est le document que l'article 28 du RGPD exige entre votre entreprise et le fournisseur qui traite des données personnelles pour vous. Chez OpenAI, Anthropic, Mistral et Infomaniak, il s'applique automatiquement aux offres commerciales et à l'API, pas à l'abonnement grand public. Chez Runpod, il faut le signer. Les clauses qui comptent sont la suppression en fin de contrat, les sous-traitants ultérieurs, les transferts hors de l'Union, le délai de notification d'une violation, l'entraînement et les demandes des autorités. Aucun des cinq ne promet de contester une demande d'un gouvernement. C'est la pièce contractuelle quand on cherche [où partent vos prompts](/guides/gpu-cloud-ia/donnees-souverainete-ia/).

Premier réflexe : vérifier que le DPA couvre bien l'offre utilisée. [Le DPA d'OpenAI](https://openai.com/fr-FR/policies/data-processing-addendum/), en vigueur depuis le 1er janvier 2026, complète le contrat de services qui régit ChatGPT Business, Enterprise et l'API ; il est conclu avec OpenAI Ireland pour un client de l'Espace économique européen ou de Suisse. Un salarié qui utilise ChatGPT Plus avec sa carte bancaire n'est couvert par aucun DPA : il relève des conditions grand public, où OpenAI Ireland est responsable de ses propres traitements.

Deuxième réflexe : lire la clause d'entraînement, qui n'est pas toujours là où on l'attend. Le DPA d'OpenAI n'en parle pas ; c'est sa page de confidentialité entreprise qui exclut l'entraînement par défaut. Celui de Mistral, en vigueur depuis le 27 juillet 2026, fait de Mistral un responsable de traitement pour l'entraînement de ses modèles « unless Customer is or has opted-out of training », et ses conditions commerciales réservent le cas des modèles en préversion. Celui d'Infomaniak renvoie aux conditions de son API, qui excluent explicitement d'utiliser les prompts pour entraîner ses modèles.

> **Pour qui** : une entreprise qui veut un contrat de sous-traitance appliqué d'office, un droit suisse, des données qui ne quittent pas les infrastructures du fournisseur et une suppression datée en fin de contrat.
>
> **À partir de** : 0,20 CHF le million de tokens en entrée et 0,75 CHF en sortie pour Mistral Small 4 chez Infomaniak AI Services, hors taxes, avec un million de crédits offerts le premier mois.
>
> **Pour démarrer** : activer Infomaniak AI Services ; le contrat de sous-traitance fait partie des conditions générales, il suffit de l'archiver avec votre registre.

## DPA fournisseur IA : les clauses du contrat de sous-traitance, fournisseur par fournisseur

| Clause | OpenAI | Anthropic | Mistral | Infomaniak | Runpod |
|---|---|---|---|---|---|
| Application | intégré au contrat, par clic ou usage | intégré aux conditions commerciales | intégré au contrat commercial | partie des conditions générales | à signer, sinon non contraignant |
| Suppression en fin de contrat | selon vos instructions, sans délai chiffré | sous 30 jours | données inaccessibles 30 jours après la fin | sous 10 jours ouvrables, avec attestation écrite | à votre demande, sans délai chiffré |
| Opposition à un nouveau sous-traitant | 30 jours, résiliation possible | 15 jours | 10 jours, Mistral peut résilier | 30 jours | 10 jours ouvrables |
| Notification d'une violation | sans délai indu | 48 heures au plus | sans délai indu | sans retard excessif | sans délai indu |
| Transferts | clauses types ou décision d'adéquation | clauses types, droit irlandais | pays adéquats ou clauses types | pas hors UE ou EEE sans votre accord écrit | clauses types, droit irlandais |
| Demandes des autorités | information si la loi le permet | rien dans le DPA | information sauf interdiction | information, et communication limitée au strict demandé | rien dans le DPA |

Clauses relevées le 28 septembre 2026 dans les DPA publiés par chaque fournisseur. Infomaniak applique le droit suisse, avec for à Genève.

Trois lignes du tableau méritent une lecture attentive. La suppression d'abord : seuls Anthropic, Mistral et Infomaniak donnent un délai, et Infomaniak est le seul à promettre une attestation écrite, ce qu'un auditeur appréciera. Les sous-traitants ensuite : [la liste publiée par Mistral](https://trust.mistral.ai/subprocessors) mentionne Microsoft en Suède et en Norvège, Google aux Pays-Bas et en Belgique, et aux États-Unis pour son point d'accès américain, CoreWeave dans l'Espace économique européen et sa propre infrastructure en France ; Runpod, lui, prévoit des sous-traitants « confidentiels » dont l'identité n'est révélée que sous accord de confidentialité. Infomaniak renvoie à une annexe de sous-traitants tiers que je n'ai pas trouvée publiée avec son DPA.

Les demandes des autorités, enfin. Aucun des cinq textes ne contient d'engagement propre à contester une demande de divulgation. Cet engagement existe pourtant : il figure à la clause 15.2 des clauses contractuelles types adoptées par la Commission en 2021, que les DPA d'Anthropic et de Runpod intègrent par référence, et qui obligent l'importateur à contester une demande qu'il juge illégale. Infomaniak, de son côté, s'engage à limiter la communication à ce que l'autorité a expressément demandé.

Ma liste de contrôle tient en six questions, à poser avant la signature ou le premier appel : le DPA couvre-t-il l'offre que j'utilise ? Qui entraîne quoi, et où est le réglage ? Sous combien de jours mes données sont-elles supprimées à la fin ? Où est la liste des sous-traitants, et combien de jours ai-je pour m'opposer ? Mes données peuvent-elles quitter l'Union, et sur quelle base ? En combien d'heures serai-je prévenu d'une fuite ? Un fournisseur qui répond à tout par écrit vaut mieux qu'un fournisseur moins cher qui renvoie à sa page d'accueil.

![Illustration : parchemin vierge déroulé sur un bureau sombre, marqué de deux cachets de cire ambrée, une plume, un rouleau et une bougie posés autour dans une lumière bleue froide](/images/dpa-contrats-fournisseurs-ia-cachet.original.webp "Les cachets sont posés ; reste à savoir ce que dit le parchemin.")

### Si vous devez défendre ce contrat devant une autorité

Le DPA n'est qu'une des pièces que le RGPD vous demandera de produire. Les autres sont dans [RGPD et IA générative](/guides/gpu-cloud-ia/donnees-souverainete-ia/rgpd-ia-generative-obligations/).

### Si le fournisseur est américain et le datacenter européen

Un contrat signé avec une filiale irlandaise ne dit pas tout de la loi qui s'applique au serveur. La question est traitée dans [un serveur GPU à Paris ou en Virginie](/guides/gpu-cloud-ia/donnees-souverainete-ia/localisation-gpu-datacenter-europe-etats-unis/).

### Si vous vous demandez ce que l'AI Act ajoute

Le règlement sur l'IA ne remplace pas le DPA, mais il ajoute ses propres obligations au déployeur. Le calendrier est dans [l'AI Act pour une PME](/guides/gpu-cloud-ia/donnees-souverainete-ia/ai-act-ce-qui-change-pme/).


---

Cette page contient des liens d'affiliation. Si tu souscris via ces liens, je peux toucher une commission sans coût supplémentaire pour toi. Mon avis reste indépendant et basé sur mon usage réel des outils que je recommande.


---

**Tarifs :** prix relevés le 28 septembre 2026 sur les sites officiels des fournisseurs, dans la devise qu'ils affichent : dollars américains pour les plateformes américaines, euros hors taxes pour les européennes. Les tarifs du GPU bougent souvent, et sur une place de marché chaque hôte fixe son prix : les montants cités peuvent avoir changé depuis cette date.