Achat d'IA en collectivité : ce que dit le guide de l'État
Achat d'IA en collectivité : ce que dit le guide de l'État
Achat d'IA en collectivité : ce que dit le guide de l'État
Premier guide public des achats d'IA : ce qu'il dit, s'il s'applique aux collectivités, la procédure en 8 étapes et le point sur SecNumCloud.
Premier guide public des achats d'IA : ce qu'il dit, s'il s'applique aux collectivités, la procédure en 8 étapes et le point sur SecNumCloud.
Premier guide public des achats d'IA : ce qu'il dit, s'il s'applique aux collectivités, la procédure en 8 étapes et le point sur SecNumCloud.
13 min
En résumé : le 6 novembre 2026, l'État a publié le premier guide pratique des achats d'intelligence artificielle (IA) destiné aux acheteurs publics. Ce guide ne crée aucune obligation nouvelle, mais il fixe une méthode : vérifier d'abord qu'une IA est utile, décrire précisément le besoin, cartographier les données et interroger les fournisseurs avant de lancer le marché. Il s'adresse à tous les acheteurs soumis au Code de la commande publique, collectivités comprises, même si certaines consignes ne visent que l'État. Un second volet, consacré aux clauses des contrats, est attendu fin novembre.
Pendant deux ans, les collectivités ont acheté de l'IA sans repère commun. Une mairie s'équipait d'un assistant conversationnel, un département lançait un outil de tri du courrier, une intercommunalité testait la transcription de ses réunions. Chaque fois, l'acheteur public devait inventer seul ses critères, ses questions et ses garde-fous.
Ce n'est plus tout à fait le cas. La Direction des affaires juridiques (DAJ) du ministère de l'Économie a publié, sous l'égide du Conseil national de la commande publique (CNCP), le premier volet d'un guide pratique des achats d'IA. Les collectivités y ont contribué, et le guide s'adresse explicitement à elles.
Ce guide arrive à un moment où le besoin est réel. Selon la note de conjoncture 2026 de la Banque des Territoires et du groupe La Poste, 76 % des collectivités, hors communes de moins de 3 500 habitants, ont engagé ou vont engager au moins un projet d'IA. Mais seules 15 % estiment que la souveraineté numérique est clairement identifiée et intégrée à leur stratégie.
Cet article présente ce que contient le guide, ce qui s'applique ou non aux collectivités, et une procédure d'achat en huit étapes, chacune avec sa base juridique.
Que contient le guide des achats d'IA publié en novembre 2026 ?
Le document s'intitule Guide pratique des achats d'IA : fondamentaux de l'IA. Il a été conçu par la Direction des affaires juridiques pour le Conseil national de la commande publique, et publié en novembre 2026. Il est téléchargeable sur la page de présentation de la DAJ.
Il se compose de deux fiches et de trois annexes :
Partie | Contenu | Page |
|---|---|---|
Fiche 1 | Comprendre les composantes d'un système d'IA : modèle et système, modes d'hébergement, d'accès, d'adaptation et de licence | 5 |
Fiche 2 | Mettre en œuvre le sourçage fournisseur : définir le besoin, cartographier les données, qualifier leur régime juridique | 13 |
Annexe 1 | Les types de tâches réalisées par des modèles d'IA : prédiction, classification, détection, optimisation, IA générative, IA agentique | 22 |
Annexe 2 | Questionnaire type d'expression de besoin, à remplir par les services prescripteurs | 23 |
Annexe 3 | Questionnaire type de sourçage, à adresser aux fournisseurs | 31 |
Trois idées structurent l'ensemble.
L'objet de l'achat est un système, pas un modèle. Le guide s'appuie sur la distinction posée par l'article 3 du règlement européen sur l'IA. Il rappelle que « la plupart des achats d'IA portent sur des systèmes d'intelligence artificielle ou des solutions métier les intégrant plutôt que sur des accès directs à des modèles d'IA ». Un système comprend souvent un ou plusieurs modèles, une interface, des bases de données, des règles métier et des mécanismes de sécurité.
Les données passent avant la technologie. La fiche 2 demande de cartographier les données d'entraînement, les données d'inférence, les requêtes des utilisateurs, les lieux de stockage, les journaux techniques et les accès du fournisseur et de ses sous-traitants. Elle demande aussi de localiser chaque composant, afin d'identifier les risques de soumission des fournisseurs à des lois à portée extraterritoriale. Le guide cite en exemple le Clarifying Lawful Overseas Use of Data Act (CLOUD Act) américain de 2018.
Le sourçage doit rester proportionné. Le guide le dit explicitement : « l'objectif n'est pas d'alourdir excessivement la charge administrative de la phase de sourçage mais d'obtenir le juste niveau d'information ». Les deux questionnaires distinguent d'ailleurs les questions « socle », à poser dans tous les cas, des questions « selon besoin ».
Ce premier volet sera complété par un second, consacré aux clauses des contrats, et par une fiche sur les exigences réglementaires, que le guide annonce pour décembre 2026.
Le guide s'applique-t-il aux collectivités ?
Oui. Le guide l'écrit dès son introduction : il « s'adresse à l'ensemble des acheteurs soumis au code de la commande publique ». Les collectivités en font partie. Il rappelle aussi que les administrations, au sens de l'article L300-2 du Code des relations entre le public et l'administration, doivent préserver « la maîtrise, la pérennité et l'indépendance de leurs systèmes d'information », en application de l'article 16 de la loi pour une République numérique du 7 octobre 2016.
Les collectivités ont d'ailleurs participé à sa rédaction, représentées par le Réseau des grandes métropoles, aux côtés de la Direction interministérielle du numérique (DINUM), de la Direction des achats de l'État (DAE), de la Commission nationale de l'informatique et des libertés (CNIL) et de l'Agence nationale de la sécurité des systèmes d'information (ANSSI), selon la liste publiée par ID.CiTé.
Deux consignes, en revanche, ne visent que l'État :
Consigne du guide | État | Collectivités |
|---|---|---|
Examiner d'abord les solutions mutualisées de l'État, puis le marché, et ne faire développer qu'en dernier recours | Oui, circulaire du Premier ministre du 5 février 2026 | Non : le guide précise que ces dispositions s'appliquent aux administrations de l'État et aux organismes sous tutelle |
Qualification SecNumCloud pour les données sensibles | Oui, pour les entités relevant de l'article 31 de la loi visant à sécuriser et réguler l'espace numérique (loi SREN) | Pas aujourd'hui, mais une proposition de loi le prévoit (voir plus bas) |
Définir le besoin avant la consultation | Oui | Oui, article L2111-1 du Code de la commande publique |
Sourçage auprès des fournisseurs | Oui | Oui, article R2111-1 du Code de la commande publique |
Cartographie des données et protection des données personnelles | Oui | Oui, RGPD |
Autrement dit, une collectivité peut reprendre l'essentiel de la méthode, et notamment les deux questionnaires, sans être tenue par les règles propres à l'État.
Faut-il vraiment une IA ? La première question du guide
C'est sans doute l'apport le plus utile du guide pour une collectivité. La fiche 2 s'ouvre sur ce principe : « l'IA doit apporter une réelle valeur ajoutée opérationnelle et non répondre à un simple effet d'innovation ». L'acheteur doit donc se demander si un système d'automatisation classique ne suffirait pas.
Selon le guide, ces outils classiques s'avèrent souvent :
plus frugaux en consommation de ressources ;
plus prévisibles, avec des résultats plus faciles à expliquer ;
moins coûteux à déployer et à mettre en conformité ;
plus adaptés aux tâches répétitives, normées et peu évolutives.
Le guide recommande une approche proportionnée : automatiser par des technologies classiques les processus simples et critiques, et réserver l'IA aux cas où sa valeur ajoutée justifie ses coûts, ses risques et ses obligations de contrôle. Le questionnaire prescripteur pose la question sans détour : « Est-il indispensable d'avoir recours à de l'IA pour répondre au besoin exprimé ? »
En pratique, trois questions permettent de trancher :
La tâche suit-elle des règles fixes ? Si oui (calculer un montant, router un formulaire), un outil d'automatisation classique suffit souvent.
Le résultat demande-t-il de comprendre un texte ou une parole ? Si oui (résumer un rapport, rédiger un compte rendu de réunion), l'IA apporte une valeur qu'un logiciel classique n'offre pas.
Une erreur aurait-elle des conséquences sur des personnes ? Si oui, l'IA reste possible, mais la validation humaine devient une étape du processus. Le questionnaire prescripteur demande d'ailleurs de préciser sur quoi, à quelle fréquence et à quelle étape elle intervient.
Cette question est aussi la meilleure parade au shadow IA, ces usages d'outils non validés que décrit notre article sur le shadow IA en 2026 : un agent qui n'a pas d'outil adapté finit par en trouver un lui-même.
Ce raisonnement rejoint le constat des Assises de l'IA et des territoires du 4 novembre 2026, où le retour sur investissement est devenu la question centrale. Notre article sur le retour sur investissement d'un assistant de réunion IApropose une méthode de calcul pour ce type d'outil.
Acheter une IA en collectivité en 2026 : la procédure en 8 étapes
Cette procédure reprend la méthode du guide et l'adapte au cadre juridique des collectivités. Chaque étape indique le texte sur lequel elle s'appuie.
Décrire le besoin métier avant de parler d'outil. Le service concerné décrit le processus, les tâches que le système devra accomplir, le résultat attendu et les contraintes. Le guide recommande d'associer le service prescripteur, le responsable de la sécurité des systèmes d'information (RSSI), le délégué à la protection des données (DPO) et les services juridiques, et de faire viser le questionnaire de l'annexe 2 par la direction des systèmes d'information (DSI). Base juridique : Code de la commande publique, article L2111-1, définition préalable du besoin.
Vérifier qu'une IA est nécessaire. Appliquer les trois questions de la section précédente. Si un outil classique suffit, l'achat change de nature. Base juridique : Code de la commande publique, article L2111-1, qui impose de déterminer « avec précision » la nature et l'étendue du besoin.
Cartographier et classer les données. Lister les données que le système utilisera (entrées, requêtes, fichiers, sorties, journaux), leur lieu de stockage, les accès du fournisseur et de ses sous-traitants, la durée de conservation et toute réutilisation pour l'entraînement. Puis les classer selon les quatre niveaux du guide, présentés plus bas. Base juridique : règlement général sur la protection des données (RGPD), articles 5, 28 et 30.
Réaliser une analyse d'impact si le traitement présente un risque élevé. C'est le cas dès que le système traite des données sensibles, à grande échelle ou concernant des personnes vulnérables. Base juridique : RGPD, article 35, analyse d'impact relative à la protection des données (AIPD).
Mener le sourçage auprès des fournisseurs. Adresser à plusieurs fournisseurs le questionnaire de l'annexe 3, accompagné du questionnaire prescripteur rempli : le guide recommande de transmettre les deux ensemble, pour que les fournisseurs adaptent leurs réponses au besoin réel. L'égalité de traitement entre fournisseurs doit être garantie. Le Code de la commande publique autorise expressément cette étape. Base juridique : Code de la commande publique, article R2111-1.
Classer le système au regard du règlement européen sur l'IA. Le questionnaire prescripteur demande de définir ce classement dès l'expression du besoin. Un assistant de rédaction ou de compte rendu relève en général du risque limité. Un système utilisé pour le recrutement, l'évaluation des agents ou l'accès à une prestation sociale bascule dans le haut risque, avec des obligations renforcées à partir du 2 décembre 2027. Base juridique : règlement (UE) 2024/1689 (AI Act), article 6 et annexe III.
Traduire les risques en exigences dans le marché. Le guide demande d'intégrer les exigences identifiées dans le cahier des clauses techniques particulières (CCTP) et le règlement de la consultation (RC), puis d'assurer un suivi pendant toute l'exécution du marché pour tracer les évolutions du système. Hébergement, réversibilité, absence d'entraînement sur les données et suppression des enregistrements sont les points à verrouiller. Le second volet du guide, attendu fin novembre, portera précisément sur ces clauses. Base juridique : RGPD, article 28, contrat de sous-traitance.
Former les utilisateurs avant le déploiement. Depuis le 2 février 2025, l'organisation qui utilise un système d'IA doit garantir un niveau suffisant de maîtrise de l'IA chez son personnel. Base juridique : AI Act, article 4.
Pour l'intégration technique de l'outil retenu, notre guide pour intégrer l'IA dans son système d'information détaille le rôle de chaque acteur. Et si l'outil sert à enregistrer des réunions, une étape s'ajoute : informer les participants avant l'enregistrement.
Quel niveau de protection pour quelles données ?
La fiche 2 propose un tableau de quatre niveaux de données, avec pour chacun les exigences de protection. C'est l'outil le plus directement utilisable par une collectivité.
Niveau | Exemples cités par le guide | Exigences principales |
|---|---|---|
Critique | Données classifiées ou à diffusion restreinte, dossiers médicaux, décisions de justice non publiées | Prestataires agréés, chiffrement, traçabilité de toutes les manipulations, interdiction des outils grand public |
Élevé | Données personnelles (ressources humaines, usagers), contrats stratégiques, certaines données internes | Interdiction de réutilisation par le fournisseur hors du contrat, suppression en fin de contrat, protection contre les lois extraterritoriales |
Moyen | Données administratives internes selon leur nature | Clauses sur les droits de réutilisation et preuves de destruction ; préférence de l'ANSSI pour des solutions hébergées et développées dans l'Union européenne |
Faible | Données ouvertes, textes publics | Respect des licences ouvertes |
Le guide précise que ces exigences se cumulent lorsqu'un système traite plusieurs catégories de données. Le compte rendu d'une réunion de direction, par exemple, mêle souvent des informations internes et des données personnelles sur des agents : il relève alors du niveau élevé.
Il ajoute un point souvent oublié : lorsqu'un système d'IA aide à prendre une décision individuelle, les droits des usagers s'appliquent. Il cite l'article 22 du RGPD, l'article 47 de la loi Informatique et libertés, et les articles L311-3-1 et L312-1-3 du Code des relations entre le public et l'administration sur les décisions fondées sur un traitement algorithmique.
Ce que demande le questionnaire fournisseur
L'annexe 3 évalue les fournisseurs sur sept axes : les enjeux juridiques et réglementaires, les capacités techniques, la cybersécurité, la gouvernance des données, la maîtrise des risques, la souveraineté, et la soutenabilité opérationnelle et financière. Le guide précise qu'il s'agit d'un outil de dialogue, et non d'un cahier des charges : les questions sont à choisir selon le cas d'usage et la sensibilité des données.
Voici les questions « socle » ou « selon besoin » les plus décisives pour une collectivité, telles que le guide les formule.
Thème | Ce que le guide demande au fournisseur | Section de l'annexe 3 |
|---|---|---|
Société | Le pays d'implantation, en distinguant la filiale locale du siège et de la maison mère, et la structure capitalistique | Présentation de la société |
Modèles | Le nom, le fournisseur, les données d'entraînement et le pays d'origine du fournisseur de chaque modèle utilisé | Conformité réglementaire |
Droit applicable | Si le fournisseur est soumis à des lois à portée extraterritoriale ou à des obligations d'accès gouvernemental aux données | Cybersécurité (périmètre produit) |
Certifications | Le périmètre exact des certifications, les composants couverts et les exclusions | Cybersécurité (périmètre produit) |
Hébergement | Le mode d'hébergement, le fournisseur et le pays, y compris pour l'inférence et les sauvegardes | Hébergement |
Données | Si les données sont accessibles au fournisseur, réutilisées pour entraîner un modèle proposé à d'autres clients, ou supprimées après traitement | Gestion des données |
Réversibilité | Les modalités d'export des données et d'effacement des données et des requêtes | Réversibilité et interopérabilité |
Supervision | Comment le système assure le contrôle et la supervision humaine prévus par l'article 14 du règlement sur l'IA | Prérequis et maîtrise de l'IA |
La question des certifications mérite une attention particulière. Le guide demande de vérifier « le périmètre de certification ou de qualification du fournisseur et le périmètre des fonctionnalités qualifiées ou certifiées ». Un éditeur peut se déclarer conforme à une norme sans audit, alors qu'une certification suppose un organisme accrédité. Pour l'hébergement de données de santé, la certification porte sur l'hébergeur, jamais sur le logiciel.
Pour voir comment les principaux assistants de réunion du marché se positionnent sur ces critères, notre comparatif 2026 des assistants de réunion IA conformes au RGPD les passe en revue. Notre article IA souveraine ou cloud américainrevient sur les lois extraterritoriales, et notre test pour savoir si vos données de réunion voyagent aux États-Unis les applique à un cas concret.
SecNumCloud : ce qui s'applique aux collectivités en 2026
Le guide mentionne l'article 31 de la loi SREN du 21 mai 2024. C'est le point qui suscite le plus de questions chez les acheteurs territoriaux.
Le guide le formule ainsi : la qualification SecNumCloud, « ou équivalente », est obligatoire pour les systèmes d'IA qui traitent des données sensibles « pour les personnes morales relevant du champ d'application de l'article 31 de la loi SREN ». Toute la question est donc de savoir qui relève de ce champ.
Aujourd'hui, les collectivités ne sont pas concernées. L'article 31 impose aux administrations de l'État, à certains de leurs opérateurs et à six groupements d'intérêt public de confier leurs données d'une sensibilité particulière à un prestataire cloud qualifié SecNumCloud par l'ANSSI. Le décret n° 2026-272 du 14 avril 2026 a précisé le dispositif, et l'arrêté du 12 août 2026 a rendu le référentiel SecNumCloud 3.2 opposable aux services de l'État.
Demain, une partie d'entre elles pourrait l'être. La proposition de loi relative à la sécurisation des marchés publics numériques étendrait l'obligation aux régions, aux départements, aux communes de plus de 30 000 habitants, aux communautés urbaines, aux communautés d'agglomération et aux métropoles. Adoptée à l'unanimité par le Sénat le 17 décembre 2025, elle a été adoptée par la commission des lois de l'Assemblée nationale le 25 février 2026. Elle doit encore être examinée en séance publique.
L'obligation ne viserait pas toutes les données. Elle ne concerne que les données qui répondent à deux critères cumulatifs : une sensibilité particulière, et un risque d'atteinte grave en cas de violation, notamment à l'ordre public. La plupart des données de gestion courante d'une collectivité n'entrent pas dans ce champ.
Pour une collectivité de plus de 30 000 habitants, la conséquence pratique est simple : identifier dès maintenant, lors de la cartographie des données (étape 3), celles qui pourraient relever de cette définition. Le sujet rejoint la mise en conformité à la directive européenne NIS2, détaillée dans notre article sur NIS2 et la loi Résilience.
Le calendrier à suivre d'ici fin 2026
Date | Échéance | Ce que la collectivité doit faire |
|---|---|---|
Fin novembre 2026 | Second volet du guide : clauses des contrats | Reprendre ses modèles de cahier des charges |
2 décembre 2026 | Nouvelles interdictions de l'AI Act et fin du délai de marquage des contenus générés pour les outils déjà sur le marché | Vérifier que ses fournisseurs d'outils génératifs sont prêts |
Décembre 2026 | Fiche sur les exigences réglementaires, annoncée par le guide | La lire avant de lancer un nouveau marché |
2 décembre 2027 | Obligations des systèmes d'IA à haut risque (annexe III) | Recenser les usages en recrutement, évaluation ou accès aux prestations |
À déterminer | Examen en séance de la proposition de loi sur les marchés publics numériques | Suivre le texte si la collectivité dépasse 30 000 habitants |
Le détail du calendrier de l'AI Act, après la révision de juillet 2026, figure dans notre guide sur l'AI Act et le RGPD pour les collectivités. Et pour inscrire ces sujets à l'agenda de la direction, notre article sur les cinq dossiers IA à mettre en comité de direction (CODIR) propose un ordre de priorité.
Questions fréquentes sur l'achat d'IA en collectivité
Le guide des achats d'IA est-il obligatoire pour une collectivité ?
Non. Le guide est une méthode et une boîte à outils : il ne crée pas d'obligation nouvelle. Il s'adresse toutefois à tous les acheteurs soumis au Code de la commande publique, collectivités comprises. Une collectivité reste tenue par ce code et par le RGPD, et elle a tout intérêt à reprendre les deux questionnaires pour structurer son sourçage.
Une collectivité doit-elle passer par les solutions mutualisées de l'État ?
Non. L'ordre d'examen qui place d'abord les solutions mutualisées de l'État découle d'une circulaire du Premier ministre du 5 février 2026. Le guide précise qu'elle s'applique aux administrations de l'État et à leurs organismes sous tutelle. Une collectivité choisit librement ses outils, dans le respect du Code de la commande publique.
Le sourçage auprès des fournisseurs est-il autorisé avant un marché public ?
Oui. L'article R2111-1 du Code de la commande publique autorise l'acheteur à effectuer des consultations, à réaliser des études de marché, à solliciter des avis ou à informer les opérateurs économiques de son projet. La seule condition est de respecter l'égalité de traitement et la transparence, notamment en ne donnant pas d'avantage à un fournisseur consulté.
SecNumCloud est-il obligatoire pour une commune de plus de 30 000 habitants ?
Pas aujourd'hui. L'article 31 de la loi SREN vise l'État, certains de ses opérateurs et six groupements d'intérêt public. Une proposition de loi, adoptée par le Sénat puis par la commission des lois de l'Assemblée nationale, l'étendrait aux communes de plus de 30 000 habitants et à d'autres collectivités. Elle doit encore être examinée en séance publique.
Quelles questions poser à un fournisseur d'IA avant de signer ?
Le questionnaire de l'annexe 3 couvre sept axes, du juridique à la souveraineté. Les questions clés portent sur le pays de la maison mère, l'exposition aux lois extraterritoriales, le périmètre exact des certifications, le lieu d'hébergement, la réutilisation des données pour l'entraînement, leur suppression et les conditions de réversibilité.
Faut-il une analyse d'impact avant d'acheter une IA ?
Elle est obligatoire lorsque le traitement est susceptible d'engendrer un risque élevé pour les personnes, au titre de l'article 35 du RGPD. C'est souvent le cas pour un outil qui traite des données sensibles, de santé ou relatives aux agents. Le DPO de la collectivité doit être associé dès la définition du besoin.
Un assistant de compte rendu de réunion est-il un système d'IA à haut risque ?
En général non. Un outil qui aide à rédiger un compte rendu relève du risque limité au sens de l'AI Act. Il devient à haut risque s'il est utilisé pour le recrutement, l'évaluation des agents ou une procédure disciplinaire, qui figurent à l'annexe III. Les obligations de cette catégorie s'appliqueront à partir du 2 décembre 2027.
Que contiendra le second volet du guide ?
Le second volet, annoncé pour fin novembre 2026, portera sur les clauses à intégrer dans les contrats avec les fournisseurs de solutions d'IA. Le guide annonce aussi une fiche sur les exigences réglementaires pour décembre 2026. Cet article sera mis à jour à la publication de chacun de ces documents.
Sources
Textes européens
Règlement (UE) 2016/679 du 27 avril 2016, règlement général sur la protection des données, articles 5, 22, 28, 30 et 35
Règlement (UE) 2024/1689 du 13 juin 2024 sur l'intelligence artificielle, articles 3, 4, 6 et 14, annexe III
Textes français
Code de la commande publique, articles L2111-1 (définition du besoin) et R2111-1 (sourçage)
Code des relations entre le public et l'administration, articles L300-2, L311-3-1 et L312-1-3
Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, article 47
Loi n° 2016-1321 du 7 octobre 2016 pour une République numérique, article 16
Loi n° 2024-449 du 21 mai 2024 visant à sécuriser et réguler l'espace numérique, article 31
Décret n° 2026-272 du 14 avril 2026 relatif à la protection des données d'une sensibilité particulière
Assemblée nationale, rapport n° 2522 de la commission des lois, 25 février 2026
Administrations de l'État
Organismes d'observation
Médias spécialisés
ID.CiTé, Achats d'IA : publication du premier volet du guide pratique, 6 novembre 2026
TNTIC, IA dans les collectivités : le retour sur investissement devient la clef, 6 novembre 2026
Vous préparez l'achat d'un assistant de réunion IA ? NeoMeet est hébergé exclusivement en France, en Suisse et en Allemagne, et les enregistrements sont supprimés immédiatement après traitement. Découvrez les offres NeoMeet ou prenez rendez-vous avec notre équipe pour recevoir nos réponses au questionnaire fournisseur.
En résumé : le 6 novembre 2026, l'État a publié le premier guide pratique des achats d'intelligence artificielle (IA) destiné aux acheteurs publics. Ce guide ne crée aucune obligation nouvelle, mais il fixe une méthode : vérifier d'abord qu'une IA est utile, décrire précisément le besoin, cartographier les données et interroger les fournisseurs avant de lancer le marché. Il s'adresse à tous les acheteurs soumis au Code de la commande publique, collectivités comprises, même si certaines consignes ne visent que l'État. Un second volet, consacré aux clauses des contrats, est attendu fin novembre.
Pendant deux ans, les collectivités ont acheté de l'IA sans repère commun. Une mairie s'équipait d'un assistant conversationnel, un département lançait un outil de tri du courrier, une intercommunalité testait la transcription de ses réunions. Chaque fois, l'acheteur public devait inventer seul ses critères, ses questions et ses garde-fous.
Ce n'est plus tout à fait le cas. La Direction des affaires juridiques (DAJ) du ministère de l'Économie a publié, sous l'égide du Conseil national de la commande publique (CNCP), le premier volet d'un guide pratique des achats d'IA. Les collectivités y ont contribué, et le guide s'adresse explicitement à elles.
Ce guide arrive à un moment où le besoin est réel. Selon la note de conjoncture 2026 de la Banque des Territoires et du groupe La Poste, 76 % des collectivités, hors communes de moins de 3 500 habitants, ont engagé ou vont engager au moins un projet d'IA. Mais seules 15 % estiment que la souveraineté numérique est clairement identifiée et intégrée à leur stratégie.
Cet article présente ce que contient le guide, ce qui s'applique ou non aux collectivités, et une procédure d'achat en huit étapes, chacune avec sa base juridique.
Que contient le guide des achats d'IA publié en novembre 2026 ?
Le document s'intitule Guide pratique des achats d'IA : fondamentaux de l'IA. Il a été conçu par la Direction des affaires juridiques pour le Conseil national de la commande publique, et publié en novembre 2026. Il est téléchargeable sur la page de présentation de la DAJ.
Il se compose de deux fiches et de trois annexes :
Partie | Contenu | Page |
|---|---|---|
Fiche 1 | Comprendre les composantes d'un système d'IA : modèle et système, modes d'hébergement, d'accès, d'adaptation et de licence | 5 |
Fiche 2 | Mettre en œuvre le sourçage fournisseur : définir le besoin, cartographier les données, qualifier leur régime juridique | 13 |
Annexe 1 | Les types de tâches réalisées par des modèles d'IA : prédiction, classification, détection, optimisation, IA générative, IA agentique | 22 |
Annexe 2 | Questionnaire type d'expression de besoin, à remplir par les services prescripteurs | 23 |
Annexe 3 | Questionnaire type de sourçage, à adresser aux fournisseurs | 31 |
Trois idées structurent l'ensemble.
L'objet de l'achat est un système, pas un modèle. Le guide s'appuie sur la distinction posée par l'article 3 du règlement européen sur l'IA. Il rappelle que « la plupart des achats d'IA portent sur des systèmes d'intelligence artificielle ou des solutions métier les intégrant plutôt que sur des accès directs à des modèles d'IA ». Un système comprend souvent un ou plusieurs modèles, une interface, des bases de données, des règles métier et des mécanismes de sécurité.
Les données passent avant la technologie. La fiche 2 demande de cartographier les données d'entraînement, les données d'inférence, les requêtes des utilisateurs, les lieux de stockage, les journaux techniques et les accès du fournisseur et de ses sous-traitants. Elle demande aussi de localiser chaque composant, afin d'identifier les risques de soumission des fournisseurs à des lois à portée extraterritoriale. Le guide cite en exemple le Clarifying Lawful Overseas Use of Data Act (CLOUD Act) américain de 2018.
Le sourçage doit rester proportionné. Le guide le dit explicitement : « l'objectif n'est pas d'alourdir excessivement la charge administrative de la phase de sourçage mais d'obtenir le juste niveau d'information ». Les deux questionnaires distinguent d'ailleurs les questions « socle », à poser dans tous les cas, des questions « selon besoin ».
Ce premier volet sera complété par un second, consacré aux clauses des contrats, et par une fiche sur les exigences réglementaires, que le guide annonce pour décembre 2026.
Le guide s'applique-t-il aux collectivités ?
Oui. Le guide l'écrit dès son introduction : il « s'adresse à l'ensemble des acheteurs soumis au code de la commande publique ». Les collectivités en font partie. Il rappelle aussi que les administrations, au sens de l'article L300-2 du Code des relations entre le public et l'administration, doivent préserver « la maîtrise, la pérennité et l'indépendance de leurs systèmes d'information », en application de l'article 16 de la loi pour une République numérique du 7 octobre 2016.
Les collectivités ont d'ailleurs participé à sa rédaction, représentées par le Réseau des grandes métropoles, aux côtés de la Direction interministérielle du numérique (DINUM), de la Direction des achats de l'État (DAE), de la Commission nationale de l'informatique et des libertés (CNIL) et de l'Agence nationale de la sécurité des systèmes d'information (ANSSI), selon la liste publiée par ID.CiTé.
Deux consignes, en revanche, ne visent que l'État :
Consigne du guide | État | Collectivités |
|---|---|---|
Examiner d'abord les solutions mutualisées de l'État, puis le marché, et ne faire développer qu'en dernier recours | Oui, circulaire du Premier ministre du 5 février 2026 | Non : le guide précise que ces dispositions s'appliquent aux administrations de l'État et aux organismes sous tutelle |
Qualification SecNumCloud pour les données sensibles | Oui, pour les entités relevant de l'article 31 de la loi visant à sécuriser et réguler l'espace numérique (loi SREN) | Pas aujourd'hui, mais une proposition de loi le prévoit (voir plus bas) |
Définir le besoin avant la consultation | Oui | Oui, article L2111-1 du Code de la commande publique |
Sourçage auprès des fournisseurs | Oui | Oui, article R2111-1 du Code de la commande publique |
Cartographie des données et protection des données personnelles | Oui | Oui, RGPD |
Autrement dit, une collectivité peut reprendre l'essentiel de la méthode, et notamment les deux questionnaires, sans être tenue par les règles propres à l'État.
Faut-il vraiment une IA ? La première question du guide
C'est sans doute l'apport le plus utile du guide pour une collectivité. La fiche 2 s'ouvre sur ce principe : « l'IA doit apporter une réelle valeur ajoutée opérationnelle et non répondre à un simple effet d'innovation ». L'acheteur doit donc se demander si un système d'automatisation classique ne suffirait pas.
Selon le guide, ces outils classiques s'avèrent souvent :
plus frugaux en consommation de ressources ;
plus prévisibles, avec des résultats plus faciles à expliquer ;
moins coûteux à déployer et à mettre en conformité ;
plus adaptés aux tâches répétitives, normées et peu évolutives.
Le guide recommande une approche proportionnée : automatiser par des technologies classiques les processus simples et critiques, et réserver l'IA aux cas où sa valeur ajoutée justifie ses coûts, ses risques et ses obligations de contrôle. Le questionnaire prescripteur pose la question sans détour : « Est-il indispensable d'avoir recours à de l'IA pour répondre au besoin exprimé ? »
En pratique, trois questions permettent de trancher :
La tâche suit-elle des règles fixes ? Si oui (calculer un montant, router un formulaire), un outil d'automatisation classique suffit souvent.
Le résultat demande-t-il de comprendre un texte ou une parole ? Si oui (résumer un rapport, rédiger un compte rendu de réunion), l'IA apporte une valeur qu'un logiciel classique n'offre pas.
Une erreur aurait-elle des conséquences sur des personnes ? Si oui, l'IA reste possible, mais la validation humaine devient une étape du processus. Le questionnaire prescripteur demande d'ailleurs de préciser sur quoi, à quelle fréquence et à quelle étape elle intervient.
Cette question est aussi la meilleure parade au shadow IA, ces usages d'outils non validés que décrit notre article sur le shadow IA en 2026 : un agent qui n'a pas d'outil adapté finit par en trouver un lui-même.
Ce raisonnement rejoint le constat des Assises de l'IA et des territoires du 4 novembre 2026, où le retour sur investissement est devenu la question centrale. Notre article sur le retour sur investissement d'un assistant de réunion IApropose une méthode de calcul pour ce type d'outil.
Acheter une IA en collectivité en 2026 : la procédure en 8 étapes
Cette procédure reprend la méthode du guide et l'adapte au cadre juridique des collectivités. Chaque étape indique le texte sur lequel elle s'appuie.
Décrire le besoin métier avant de parler d'outil. Le service concerné décrit le processus, les tâches que le système devra accomplir, le résultat attendu et les contraintes. Le guide recommande d'associer le service prescripteur, le responsable de la sécurité des systèmes d'information (RSSI), le délégué à la protection des données (DPO) et les services juridiques, et de faire viser le questionnaire de l'annexe 2 par la direction des systèmes d'information (DSI). Base juridique : Code de la commande publique, article L2111-1, définition préalable du besoin.
Vérifier qu'une IA est nécessaire. Appliquer les trois questions de la section précédente. Si un outil classique suffit, l'achat change de nature. Base juridique : Code de la commande publique, article L2111-1, qui impose de déterminer « avec précision » la nature et l'étendue du besoin.
Cartographier et classer les données. Lister les données que le système utilisera (entrées, requêtes, fichiers, sorties, journaux), leur lieu de stockage, les accès du fournisseur et de ses sous-traitants, la durée de conservation et toute réutilisation pour l'entraînement. Puis les classer selon les quatre niveaux du guide, présentés plus bas. Base juridique : règlement général sur la protection des données (RGPD), articles 5, 28 et 30.
Réaliser une analyse d'impact si le traitement présente un risque élevé. C'est le cas dès que le système traite des données sensibles, à grande échelle ou concernant des personnes vulnérables. Base juridique : RGPD, article 35, analyse d'impact relative à la protection des données (AIPD).
Mener le sourçage auprès des fournisseurs. Adresser à plusieurs fournisseurs le questionnaire de l'annexe 3, accompagné du questionnaire prescripteur rempli : le guide recommande de transmettre les deux ensemble, pour que les fournisseurs adaptent leurs réponses au besoin réel. L'égalité de traitement entre fournisseurs doit être garantie. Le Code de la commande publique autorise expressément cette étape. Base juridique : Code de la commande publique, article R2111-1.
Classer le système au regard du règlement européen sur l'IA. Le questionnaire prescripteur demande de définir ce classement dès l'expression du besoin. Un assistant de rédaction ou de compte rendu relève en général du risque limité. Un système utilisé pour le recrutement, l'évaluation des agents ou l'accès à une prestation sociale bascule dans le haut risque, avec des obligations renforcées à partir du 2 décembre 2027. Base juridique : règlement (UE) 2024/1689 (AI Act), article 6 et annexe III.
Traduire les risques en exigences dans le marché. Le guide demande d'intégrer les exigences identifiées dans le cahier des clauses techniques particulières (CCTP) et le règlement de la consultation (RC), puis d'assurer un suivi pendant toute l'exécution du marché pour tracer les évolutions du système. Hébergement, réversibilité, absence d'entraînement sur les données et suppression des enregistrements sont les points à verrouiller. Le second volet du guide, attendu fin novembre, portera précisément sur ces clauses. Base juridique : RGPD, article 28, contrat de sous-traitance.
Former les utilisateurs avant le déploiement. Depuis le 2 février 2025, l'organisation qui utilise un système d'IA doit garantir un niveau suffisant de maîtrise de l'IA chez son personnel. Base juridique : AI Act, article 4.
Pour l'intégration technique de l'outil retenu, notre guide pour intégrer l'IA dans son système d'information détaille le rôle de chaque acteur. Et si l'outil sert à enregistrer des réunions, une étape s'ajoute : informer les participants avant l'enregistrement.
Quel niveau de protection pour quelles données ?
La fiche 2 propose un tableau de quatre niveaux de données, avec pour chacun les exigences de protection. C'est l'outil le plus directement utilisable par une collectivité.
Niveau | Exemples cités par le guide | Exigences principales |
|---|---|---|
Critique | Données classifiées ou à diffusion restreinte, dossiers médicaux, décisions de justice non publiées | Prestataires agréés, chiffrement, traçabilité de toutes les manipulations, interdiction des outils grand public |
Élevé | Données personnelles (ressources humaines, usagers), contrats stratégiques, certaines données internes | Interdiction de réutilisation par le fournisseur hors du contrat, suppression en fin de contrat, protection contre les lois extraterritoriales |
Moyen | Données administratives internes selon leur nature | Clauses sur les droits de réutilisation et preuves de destruction ; préférence de l'ANSSI pour des solutions hébergées et développées dans l'Union européenne |
Faible | Données ouvertes, textes publics | Respect des licences ouvertes |
Le guide précise que ces exigences se cumulent lorsqu'un système traite plusieurs catégories de données. Le compte rendu d'une réunion de direction, par exemple, mêle souvent des informations internes et des données personnelles sur des agents : il relève alors du niveau élevé.
Il ajoute un point souvent oublié : lorsqu'un système d'IA aide à prendre une décision individuelle, les droits des usagers s'appliquent. Il cite l'article 22 du RGPD, l'article 47 de la loi Informatique et libertés, et les articles L311-3-1 et L312-1-3 du Code des relations entre le public et l'administration sur les décisions fondées sur un traitement algorithmique.
Ce que demande le questionnaire fournisseur
L'annexe 3 évalue les fournisseurs sur sept axes : les enjeux juridiques et réglementaires, les capacités techniques, la cybersécurité, la gouvernance des données, la maîtrise des risques, la souveraineté, et la soutenabilité opérationnelle et financière. Le guide précise qu'il s'agit d'un outil de dialogue, et non d'un cahier des charges : les questions sont à choisir selon le cas d'usage et la sensibilité des données.
Voici les questions « socle » ou « selon besoin » les plus décisives pour une collectivité, telles que le guide les formule.
Thème | Ce que le guide demande au fournisseur | Section de l'annexe 3 |
|---|---|---|
Société | Le pays d'implantation, en distinguant la filiale locale du siège et de la maison mère, et la structure capitalistique | Présentation de la société |
Modèles | Le nom, le fournisseur, les données d'entraînement et le pays d'origine du fournisseur de chaque modèle utilisé | Conformité réglementaire |
Droit applicable | Si le fournisseur est soumis à des lois à portée extraterritoriale ou à des obligations d'accès gouvernemental aux données | Cybersécurité (périmètre produit) |
Certifications | Le périmètre exact des certifications, les composants couverts et les exclusions | Cybersécurité (périmètre produit) |
Hébergement | Le mode d'hébergement, le fournisseur et le pays, y compris pour l'inférence et les sauvegardes | Hébergement |
Données | Si les données sont accessibles au fournisseur, réutilisées pour entraîner un modèle proposé à d'autres clients, ou supprimées après traitement | Gestion des données |
Réversibilité | Les modalités d'export des données et d'effacement des données et des requêtes | Réversibilité et interopérabilité |
Supervision | Comment le système assure le contrôle et la supervision humaine prévus par l'article 14 du règlement sur l'IA | Prérequis et maîtrise de l'IA |
La question des certifications mérite une attention particulière. Le guide demande de vérifier « le périmètre de certification ou de qualification du fournisseur et le périmètre des fonctionnalités qualifiées ou certifiées ». Un éditeur peut se déclarer conforme à une norme sans audit, alors qu'une certification suppose un organisme accrédité. Pour l'hébergement de données de santé, la certification porte sur l'hébergeur, jamais sur le logiciel.
Pour voir comment les principaux assistants de réunion du marché se positionnent sur ces critères, notre comparatif 2026 des assistants de réunion IA conformes au RGPD les passe en revue. Notre article IA souveraine ou cloud américainrevient sur les lois extraterritoriales, et notre test pour savoir si vos données de réunion voyagent aux États-Unis les applique à un cas concret.
SecNumCloud : ce qui s'applique aux collectivités en 2026
Le guide mentionne l'article 31 de la loi SREN du 21 mai 2024. C'est le point qui suscite le plus de questions chez les acheteurs territoriaux.
Le guide le formule ainsi : la qualification SecNumCloud, « ou équivalente », est obligatoire pour les systèmes d'IA qui traitent des données sensibles « pour les personnes morales relevant du champ d'application de l'article 31 de la loi SREN ». Toute la question est donc de savoir qui relève de ce champ.
Aujourd'hui, les collectivités ne sont pas concernées. L'article 31 impose aux administrations de l'État, à certains de leurs opérateurs et à six groupements d'intérêt public de confier leurs données d'une sensibilité particulière à un prestataire cloud qualifié SecNumCloud par l'ANSSI. Le décret n° 2026-272 du 14 avril 2026 a précisé le dispositif, et l'arrêté du 12 août 2026 a rendu le référentiel SecNumCloud 3.2 opposable aux services de l'État.
Demain, une partie d'entre elles pourrait l'être. La proposition de loi relative à la sécurisation des marchés publics numériques étendrait l'obligation aux régions, aux départements, aux communes de plus de 30 000 habitants, aux communautés urbaines, aux communautés d'agglomération et aux métropoles. Adoptée à l'unanimité par le Sénat le 17 décembre 2025, elle a été adoptée par la commission des lois de l'Assemblée nationale le 25 février 2026. Elle doit encore être examinée en séance publique.
L'obligation ne viserait pas toutes les données. Elle ne concerne que les données qui répondent à deux critères cumulatifs : une sensibilité particulière, et un risque d'atteinte grave en cas de violation, notamment à l'ordre public. La plupart des données de gestion courante d'une collectivité n'entrent pas dans ce champ.
Pour une collectivité de plus de 30 000 habitants, la conséquence pratique est simple : identifier dès maintenant, lors de la cartographie des données (étape 3), celles qui pourraient relever de cette définition. Le sujet rejoint la mise en conformité à la directive européenne NIS2, détaillée dans notre article sur NIS2 et la loi Résilience.
Le calendrier à suivre d'ici fin 2026
Date | Échéance | Ce que la collectivité doit faire |
|---|---|---|
Fin novembre 2026 | Second volet du guide : clauses des contrats | Reprendre ses modèles de cahier des charges |
2 décembre 2026 | Nouvelles interdictions de l'AI Act et fin du délai de marquage des contenus générés pour les outils déjà sur le marché | Vérifier que ses fournisseurs d'outils génératifs sont prêts |
Décembre 2026 | Fiche sur les exigences réglementaires, annoncée par le guide | La lire avant de lancer un nouveau marché |
2 décembre 2027 | Obligations des systèmes d'IA à haut risque (annexe III) | Recenser les usages en recrutement, évaluation ou accès aux prestations |
À déterminer | Examen en séance de la proposition de loi sur les marchés publics numériques | Suivre le texte si la collectivité dépasse 30 000 habitants |
Le détail du calendrier de l'AI Act, après la révision de juillet 2026, figure dans notre guide sur l'AI Act et le RGPD pour les collectivités. Et pour inscrire ces sujets à l'agenda de la direction, notre article sur les cinq dossiers IA à mettre en comité de direction (CODIR) propose un ordre de priorité.
Questions fréquentes sur l'achat d'IA en collectivité
Le guide des achats d'IA est-il obligatoire pour une collectivité ?
Non. Le guide est une méthode et une boîte à outils : il ne crée pas d'obligation nouvelle. Il s'adresse toutefois à tous les acheteurs soumis au Code de la commande publique, collectivités comprises. Une collectivité reste tenue par ce code et par le RGPD, et elle a tout intérêt à reprendre les deux questionnaires pour structurer son sourçage.
Une collectivité doit-elle passer par les solutions mutualisées de l'État ?
Non. L'ordre d'examen qui place d'abord les solutions mutualisées de l'État découle d'une circulaire du Premier ministre du 5 février 2026. Le guide précise qu'elle s'applique aux administrations de l'État et à leurs organismes sous tutelle. Une collectivité choisit librement ses outils, dans le respect du Code de la commande publique.
Le sourçage auprès des fournisseurs est-il autorisé avant un marché public ?
Oui. L'article R2111-1 du Code de la commande publique autorise l'acheteur à effectuer des consultations, à réaliser des études de marché, à solliciter des avis ou à informer les opérateurs économiques de son projet. La seule condition est de respecter l'égalité de traitement et la transparence, notamment en ne donnant pas d'avantage à un fournisseur consulté.
SecNumCloud est-il obligatoire pour une commune de plus de 30 000 habitants ?
Pas aujourd'hui. L'article 31 de la loi SREN vise l'État, certains de ses opérateurs et six groupements d'intérêt public. Une proposition de loi, adoptée par le Sénat puis par la commission des lois de l'Assemblée nationale, l'étendrait aux communes de plus de 30 000 habitants et à d'autres collectivités. Elle doit encore être examinée en séance publique.
Quelles questions poser à un fournisseur d'IA avant de signer ?
Le questionnaire de l'annexe 3 couvre sept axes, du juridique à la souveraineté. Les questions clés portent sur le pays de la maison mère, l'exposition aux lois extraterritoriales, le périmètre exact des certifications, le lieu d'hébergement, la réutilisation des données pour l'entraînement, leur suppression et les conditions de réversibilité.
Faut-il une analyse d'impact avant d'acheter une IA ?
Elle est obligatoire lorsque le traitement est susceptible d'engendrer un risque élevé pour les personnes, au titre de l'article 35 du RGPD. C'est souvent le cas pour un outil qui traite des données sensibles, de santé ou relatives aux agents. Le DPO de la collectivité doit être associé dès la définition du besoin.
Un assistant de compte rendu de réunion est-il un système d'IA à haut risque ?
En général non. Un outil qui aide à rédiger un compte rendu relève du risque limité au sens de l'AI Act. Il devient à haut risque s'il est utilisé pour le recrutement, l'évaluation des agents ou une procédure disciplinaire, qui figurent à l'annexe III. Les obligations de cette catégorie s'appliqueront à partir du 2 décembre 2027.
Que contiendra le second volet du guide ?
Le second volet, annoncé pour fin novembre 2026, portera sur les clauses à intégrer dans les contrats avec les fournisseurs de solutions d'IA. Le guide annonce aussi une fiche sur les exigences réglementaires pour décembre 2026. Cet article sera mis à jour à la publication de chacun de ces documents.
Sources
Textes européens
Règlement (UE) 2016/679 du 27 avril 2016, règlement général sur la protection des données, articles 5, 22, 28, 30 et 35
Règlement (UE) 2024/1689 du 13 juin 2024 sur l'intelligence artificielle, articles 3, 4, 6 et 14, annexe III
Textes français
Code de la commande publique, articles L2111-1 (définition du besoin) et R2111-1 (sourçage)
Code des relations entre le public et l'administration, articles L300-2, L311-3-1 et L312-1-3
Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, article 47
Loi n° 2016-1321 du 7 octobre 2016 pour une République numérique, article 16
Loi n° 2024-449 du 21 mai 2024 visant à sécuriser et réguler l'espace numérique, article 31
Décret n° 2026-272 du 14 avril 2026 relatif à la protection des données d'une sensibilité particulière
Assemblée nationale, rapport n° 2522 de la commission des lois, 25 février 2026
Administrations de l'État
Organismes d'observation
Médias spécialisés
ID.CiTé, Achats d'IA : publication du premier volet du guide pratique, 6 novembre 2026
TNTIC, IA dans les collectivités : le retour sur investissement devient la clef, 6 novembre 2026
Vous préparez l'achat d'un assistant de réunion IA ? NeoMeet est hébergé exclusivement en France, en Suisse et en Allemagne, et les enregistrements sont supprimés immédiatement après traitement. Découvrez les offres NeoMeet ou prenez rendez-vous avec notre équipe pour recevoir nos réponses au questionnaire fournisseur.