Vos réponses d'appels d'offres sont-elles protégées quand vous utilisez une IA

Qu'est-ce qu'un secret des affaires, au sens de la loi ?

Votre entreprise répond à des appels d'offres, à des questionnaires de sécurité, à des questionnaires de due diligence (le DDQ qu'un client vous adresse avant de vous confier un marché). Au fil des années, ces réponses forment une bibliothèque : votre organisation, vos méthodes, vos prix et leur construction, vos références clients, l'architecture de vos systèmes, vos engagements contractuels. Cette bibliothèque est ce qui vous permet de répondre vite et juste. C'est aussi, très probablement, un secret des affaires au sens de la loi.

Le Code de commerce, à l'article L. 151-1, issu de la loi du 30 juillet 2018 qui transpose la directive européenne sur la protection des savoir-faire et des informations commerciales non divulgués, dispose :

> « Est protégée au titre du secret des affaires toute information répondant aux critères suivants : > 1° Elle n'est pas, en elle-même ou dans la configuration et l'assemblage exacts de ses éléments, généralement connue ou aisément accessible pour les personnes familières de ce type d'informations en raison de leur secteur d'activité ; > 2° Elle revêt une valeur commerciale, effective ou potentielle, du fait de son caractère secret ; > 3° Elle fait l'objet de la part de son détenteur légitime de mesures de protection raisonnables, compte tenu des circonstances, pour en conserver le caractère secret. »

L'article suivant précise qui est ce détenteur légitime : « celui qui en a le contrôle de façon licite » (art. L. 151-2). Trois conditions, cumulatives. Les deux premières décrivent l'information. La troisième décrit ce que vous en faites. L'article L. 151-1 est un texte français, qui transpose la directive (UE) 2016/943 sur la protection des savoir-faire ; sur un autre marché, il se remplace par l'équivalent local, à transposer selon le droit applicable.

Ce site ne donne pas de conseil juridique. Il pose la question à laquelle votre conseil doit répondre, et il la pose parce qu'elle est rarement posée au moment où elle compte : celui où l'on choisit un outil.

Pourquoi une bibliothèque de réponses remplit-elle les deux premières conditions ?

Première condition : l'information n'est pas généralement connue. Prise pièce par pièce, une partie de votre bibliothèque est publique : vos certifications, votre effectif, votre adresse. Mais le texte de la loi vise aussi « la configuration et l'assemblage exacts de ses éléments ». L'assemblage de vos réponses, c'est-à-dire la façon dont vous décrivez votre méthode, dont vous construisez un prix, dont vous répondez à une question de sécurité sur votre architecture, n'est connu de personne d'autre que vous. C'est précisément pour cela qu'un concurrent aimerait la lire.

Deuxième condition : une valeur commerciale du fait du secret. La valeur de votre bibliothèque tient à ce que vos concurrents ne l'ont pas. Une grille de prix connue de tous n'est plus un avantage. Une réponse à un questionnaire de sécurité qui décrit vos contrôles et vos points faibles a une valeur pour vous, et une autre pour qui voudrait vous attaquer. Une référence client détaillée, une méthode de déploiement, un engagement de niveau de service : chacun vaut par ce que les autres ignorent.

Ces deux conditions sont remplies par la nature même de la bibliothèque. Personne n'a à décider quoi que ce soit pour qu'elles le soient.

La troisième condition est celle qui dépend de vous

« Des mesures de protection raisonnables, compte tenu des circonstances. » C'est la condition que l'entreprise remplit ou ne remplit pas par ses actes. Et c'est celle que le choix d'un outil d'IA met en jeu.

Verser sa bibliothèque de réponses dans un outil, c'est la confier. La question n'est pas de savoir si l'outil est utile ; il l'est. La question est de savoir si les circonstances de cette confiance constituent encore une mesure de protection raisonnable. Quatre points la déterminent, et chacun se lit dans les conditions contractuelles de l'outil, pas dans sa brochure.

Une entreprise qui peut répondre précisément à ces quatre questions a pris des mesures de protection, et peut le démontrer. Une entreprise qui ne le peut pas a peut-être, sans le vouloir, affaibli la troisième condition, et avec elle la protection de l'ensemble.

Sur la plateforme Optivalue.ai, qui édite ce site, l'instance est privée par client et jamais mutualisée entre organisations ; elle se déploie en mode partagé, sur cloud privé ou sur site, avec un hébergement possible dans plus de 80 pays, dans la juridiction choisie ; et la réversibilité est contractuelle : restitution dans un format réutilisable, suppression datée couvrant les dérivés, les sauvegardes et les sous-traitants, attestation auditable, et interdiction d'utiliser vos données, même agrégées, au bénéfice d'autres clients. Vos documents restent chez vous, et vous pouvez le prouver.

La concession qui clarifie tout

Toutes les données que vous confiez à une IA ne sont pas un secret des affaires. Reformuler un courriel, résumer un article public, mettre au propre une note de réunion sans contenu sensible : l'IA générique fait cela très bien, et la question de l'article L. 151-1 ne se pose pas, parce que la première condition n'est pas remplie.

La question se pose au moment précis où c'est la bibliothèque elle-même que l'on verse : les réponses accumulées, les prix, les méthodes, les descriptions de vos systèmes. C'est là que l'outil cesse d'être un assistant de rédaction et devient le dépositaire de ce qui vous distingue. Un brouillon n'engage personne. Votre bibliothèque, si.

Trois questions qui tracent la ligne

Avant de verser vos réponses dans un outil, trois questions à poser à votre conseil juridique et au fournisseur, dans cet ordre :

1. Que contient exactement ce que nous versons ? Faites la liste : prix et leur construction, méthodes, références nominatives, architecture de sécurité, engagements contractuels. Si la liste contient l'un de ces éléments, la première et la deuxième condition de l'article L. 151-1 sont vraisemblablement remplies.
2. Les conditions du fournisseur nous permettent-elles d'affirmer que nous avons pris des mesures raisonnables ? Localisation du traitement, usage des données, réversibilité, traçabilité : les quatre lignes du tableau ci-dessus, avec la clause qui les couvre.
3. Pourrions-nous le démontrer devant un tribunal ou un auditeur ? La troisième condition ne demande pas seulement des mesures ; elle demande de pouvoir établir qu'elles ont été prises. Un contrat, un journal d'accès, une attestation de suppression sont des preuves. Une brochure n'en est pas une.

Questions fréquentes

Une IA générique grand public est-elle nécessairement incompatible avec le secret des affaires ? Non. Tout dépend des conditions d'usage souscrites et de ce que l'on y verse. La question de l'article L. 151-1 ne porte pas sur l'outil en soi, mais sur les mesures de protection prises, compte tenu des circonstances. Ce sont les conditions contractuelles et le contenu confié qui répondent, pas la marque de l'outil.

Le fait de perdre la protection du secret des affaires a-t-il des conséquences concrètes ? La protection du Code de commerce ouvre des recours contre l'obtention, l'utilisation ou la divulgation illicites d'un secret. Si la troisième condition n'est plus remplie, ces recours deviennent incertains. Votre conseil juridique est le bon interlocuteur pour mesurer ce que cela signifie dans votre situation.

Nos réponses à des questionnaires de sécurité sont-elles concernées ? Elles le sont particulièrement. Une réponse à un questionnaire de sécurité décrit vos contrôles, votre architecture et, souvent, vos écarts. Sa valeur commerciale tient à son caractère secret, et sa divulgation aurait aussi une conséquence de sécurité.

Que vaut une clause qui promet de ne pas entraîner de modèle sur nos données ? Elle vaut ce qu'elle couvre. Lisez si elle s'étend aux données agrégées, aux dérivés (index, représentations vectorielles), aux sous-traitants, et à ce qui se passe après la fin du contrat. Une clause qui couvre les quatre est une mesure de protection ; une clause qui n'en couvre qu'une laisse trois portes ouvertes.

Une instance privée suffit-elle à remplir la troisième condition ? Elle y contribue, avec la localisation du traitement, la réversibilité et la traçabilité. Elle ne dispense pas des mesures internes : droits d'accès, journalisation, sensibilisation des équipes. La loi parle de mesures « compte tenu des circonstances » : c'est l'ensemble qui compte.

Rédigé par le pôle conformité et avant-vente d'Optivalue.ai. Dernière revue : 31 août 2026. Cette page ne constitue pas un conseil juridique.

Version Markdown