Clauses de transparence algorithmique dans le contrat avec votre fournisseur de logiciels

Pourquoi le décret royal 723/2026 aboutit au contrat avec le fournisseur

L’article 3.2.k du décret royal 723/2026 (en espagnol) oblige l’employeur, pas le fournisseur. C’est l’employeur qui doit informer de l’existence des systèmes algorithmiques ou automatisés de prise de décision et, lorsqu’ils décident des conditions de travail, de leurs orientations, critères et règles de fonctionnement. Le fournisseur n’apparaît pas dans le texte. Si l’information manque ou est incomplète, l’infraction légère de l’article 6.4 de la loi espagnole sur les infractions et sanctions dans l’ordre social (LISOS) est imputée à l’employeur, avec une amende de 70 à 750 euros.

Le problème est pratique. Dans beaucoup d’entreprises technologiques, les plannings, l’évaluation des performances ou les primes reposent sur un logiciel tiers, utilisé en mode service ou sous licence. L’entreprise sait ce que fait le système, mais pas toujours comment il décide. Les variables, leur pondération et les règles qui transforment une donnée en décision figurent dans la documentation interne du fournisseur.

Le modèle du SEPE le rend visible. Sa rubrique I, sur l’« existence de systèmes algorithmiques ou automatisés de prise de décision », est un cadre de texte libre. Pour y mettre davantage que le nom du programme, l’entreprise a besoin d’une explication du fournisseur qu’elle puisse transmettre. Ce qu’il faut dire aux salariés, à qui et quand, nous l’expliquons dans notre guide sur l’information algorithmique des salariés en Espagne.

Les six clauses à négocier avec le fournisseur

Six engagements couvrent ce dont l’entreprise a besoin pour respecter le décret royal 723/2026 et les règles qui l’entourent. Il n’est pas nécessaire de signer un nouveau contrat. Ils trouvent leur place dans le contrat de service ou de licence, dans l’accord de niveau de service ou dans un avenant.

Une description du système transmissible aux salariés

Le fournisseur s’engage à remettre, et à tenir à jour, une description du fonctionnement du système dans un langage compréhensible. Elle doit indiquer quelles décisions il appuie ou prend, quelles données il utilise, comment il pondère chaque variable, quelles règles il applique et quelle intervention humaine il permet. La clause doit préciser que la description est destinée à être communiquée aux salariés et à leurs représentants. Un document technique rédigé pour le service informatique ne remplit pas ce rôle.

Il convient aussi de fixer le format et le délai. Une annexe de deux ou trois pages, remise peu après la signature, suffit pour la plupart des systèmes de planning, d’évaluation ou de primes.

Préavis des changements du modèle ou de ses paramètres

Le fournisseur s’engage à prévenir à l’avance de tout changement qui modifie les variables, leur pondération ou les règles de décision. La raison se trouve à l’article 7.3 du décret royal, qui impose de communiquer les changements aux salariés dès que possible et, au plus tard, le jour où ils prennent effet. Un fournisseur qui met à jour son modèle sans prévenir place l’entreprise en infraction à son insu.

La clause fonctionne si elle définit ce qu’est un changement significatif et fixe un délai de préavis. Trente jours calendaires constituent un point de départ raisonnable pour les changements planifiés. Pour les corrections urgentes, un avis le jour même décrivant leur effet suffit.

Coopération face au salarié, au comité d’entreprise et à l’Inspection du travail

Le fournisseur s’engage à aider l’entreprise à répondre à trois types de demande. Les salariés embauchés avant le 5 octobre 2026 peuvent demander l’information, et l’entreprise dispose de trente jours ouvrables pour la fournir selon la disposition transitoire unique. Le comité d’entreprise a le droit de connaître les paramètres, règles et instructions des algorithmes en vertu de l’article 64.4.d du Statut des travailleurs espagnol. Et l’Inspection du travail peut exiger la documentation à tout moment.

Le contrat doit donner au fournisseur un délai de réponse plus court que celui de l’entreprise. Si l’entreprise dispose de trente jours ouvrables, le fournisseur devrait répondre en dix.

Documentation des tests, des biais et de l’intervention humaine

L’entreprise doit savoir davantage que la façon dont le système décide. Elle doit aussi connaître ses contrôles. Il est utile que le fournisseur remette un résumé des tests réalisés avant la mise sur le marché, des contrôles de biais et des options de révision humaine qu’il propose. Cela sert à répondre aux questions des salariés et à l’analyse d’impact de l’article 35 du RGPD lorsque le traitement l’exige.

Pour les systèmes d’intelligence artificielle à haut risque du domaine de l’emploi, cette documentation ne dépendra plus de la négociation à partir du 2 décembre 2027. À cette date, l’AI Act obligera leur fournisseur à les accompagner d’une notice d’utilisation contenant ces informations.

Confidentialité et secret des affaires sans laisser l’entreprise dans le flou

Expliquer un algorithme n’oblige pas à révéler son code. Le guide du ministère espagnol du Travail de mai 2022 l’a déjà précisé pour le droit d’information du Statut des travailleurs, et la lettre k emploie un langage équivalent. Le fournisseur peut protéger son code source et ses données d’entraînement au titre du secret des affaires, en vertu de la loi espagnole 1/2019 sur le secret des affaires (en espagnol).

La clause équilibre les deux intérêts. Le fournisseur indique quelles informations il considère comme secrètes, et l’entreprise s’engage à ne pas les divulguer au-delà de ce qu’exige la loi. En contrepartie, le fournisseur ne peut pas invoquer le secret pour refuser la description compréhensible de la façon dont le système décide, qui est précisément ce que l’entreprise doit transmettre.

Responsabilité, indemnisation et sortie du contrat

La clause de responsabilité boucle le dispositif. Si l’entreprise est sanctionnée parce que le fournisseur n’a pas remis l’information ou n’a pas annoncé un changement, le contrat doit lui permettre de répercuter ce coût. Les contrats de logiciel en mode service plafonnent souvent la responsabilité du fournisseur à une année de redevances et excluent les amendes. Il convient que le manquement à ces obligations échappe à ce plafond ou dispose d’un plafond propre.

Il faut aussi prévoir la sortie. Si le fournisseur manque de façon répétée à ses obligations, l’entreprise doit pouvoir résilier le contrat et récupérer ses données sans pénalité.

Quelle obligation couvre chaque clause

Chaque clause répond à une règle précise. Le tableau permet de vérifier si un contrat couvre toutes celles qui s’appliquent à un système qui décide sur les salariés.

Contrats déjà signés et fournisseurs aux conditions standard

Les contrats signés avant le 5 octobre ne contiennent pas ces clauses, et l’obligation est déjà en vigueur. La voie la plus rapide est un avenant de transparence algorithmique d’une ou deux pages, signé sans rouvrir le reste du contrat. Si le contrat arrive bientôt à échéance, on le négocie au renouvellement.

Les grands fournisseurs négocient rarement leurs conditions. Dans ce cas, il convient de demander par écrit la documentation produit qui décrit le système et de vérifier si elle suffit pour remplir la rubrique I du modèle du SEPE. Si elle ne suffit pas, l’entreprise doit décider si elle complète l’information elle-même, ce qui suppose de comprendre le système, ou si elle change de fournisseur.

Exemple d’une chaîne de cliniques avec un logiciel de planning

Le cas est fictif. Clínicas Vereda, S.L. gère six cliniques de kinésithérapie à Valence avec 85 professionnels. Depuis 2024, elle utilise un logiciel en ligne qui attribue les plannings de chaque semaine selon la demande de rendez-vous, la disponibilité déclarée et l’ancienneté. Le contrat est le contrat standard du fournisseur et ne mentionne pas les algorithmes.

En octobre 2026, l’entreprise prépare le document d’information pour trois nouvelles embauches. En remplissant la rubrique I, elle découvre qu’elle ne sait pas combien pèse l’ancienneté par rapport à la disponibilité. Elle demande au fournisseur un avenant comportant quatre engagements, à savoir une annexe descriptive sous quinze jours, un préavis de trente jours pour les changements, une réponse sous dix jours à toute demande des salariés et l’exclusion de ces obligations du plafond de responsabilité.

Le fournisseur accepte les trois premiers et propose, pour le quatrième, un plafond propre égal au double de la redevance annuelle. Grâce à l’annexe, Clínicas Vereda complète le document avant l’arrivée des nouveaux salariés et conserve l’avenant pour le prochain examen du comité d’entreprise.

L’articulation avec le contrat de sous-traitance RGPD et l’AI Act

Presque tout fournisseur de logiciel RH traite des données personnelles des salariés pour le compte de l’entreprise, et il a déjà signé avec elle un contrat de sous-traitance au titre de l’article 28 du RGPD. Ce contrat l’oblige à aider l’entreprise à répondre aux demandes d’exercice des droits des personnes concernées, selon l’article 28.3.e. Parmi ces droits figure celui d’obtenir des informations utiles concernant la logique sous-jacente, prévu à l’article 15.1.h, que le RGPD reconnaît au moins pour les décisions fondées exclusivement sur un traitement automatisé de l’article 22.

Le décret royal 723/2026 va plus loin que le RGPD. Il vise tout système qui intervient dans une décision sur les conditions de travail, même si une personne a le dernier mot. C’est pourquoi le contrat de sous-traitance ne suffit pas, et la clause de transparence algorithmique a sa place dans le contrat principal ou dans l’accord de niveau de service. En pratique, il est utile de revoir les deux documents en même temps.

L’AI Act prendra en charge une partie de ce travail à partir du 2 décembre 2027. Les systèmes d’IA destinés à décider des conditions de la relation de travail, de la promotion ou du licenciement, à attribuer des tâches sur la base du comportement ou de caractéristiques personnelles, ou à évaluer les performances sont à haut risque selon son annexe III. Leur fournisseur devra remettre une notice d’utilisation décrivant leurs capacités, leurs limites et les mesures de contrôle humain. Les obligations de chaque partie sont expliquées dans notre guide de l’AI Act pour les entreprises. Les systèmes qui ne relèvent pas de l’IA, ou qui ne sont pas à haut risque, continueront de dépendre uniquement du contrat.