Votre fournisseur d'IA a des fournisseurs

Points clés

• Microsoft, Google et AWS figurent dans 19, 17 et 20 des 29 listes publiées. Le risque de concentration a une forme concrète.
• OpenAI et Anthropic apparaissent un étage plus bas, hérités des fonctions d’IA d’un fournisseur plutôt que de votre contrat.
• 58 entreprises sur 87 ne publient aucune liste utilisable : 54 introuvables, 3 derrière une connexion, 1 partielle. La plupart sont des fabricants de matériel et de semi-conducteurs.
• Au prochain renouvellement, demandez quels modèles d’IA se trouvent dans le produit, et depuis quand.

Source : github.com/movahedi-ca/AI-data-map, data/subprocessor-graph/ (instantané du 5 octobre 2026). 87 entreprises, 1 498 nœuds, 2 518 liens, chacun avec son URL source et sa date.

Microsoft nomme Anthropic comme sous-traitant. Pas dans un billet de blogue. Dans sa liste de sous-traitants, la page juridique ennuyeuse que personne ne lit : Claude apparaît dans Microsoft 365 Copilot. Grok arrive plutôt par une porte de côté : un paramètre d’administration documenté, désactivé par défaut, qui amène les modèles de xAI dans Word, Excel et PowerPoint pour les clients Frontier admissibles. Votre pile d’IA d’entreprise a une chaîne d’approvisionnement, et cette chaîne a des choses à dire sur vos données.

Je l’ai cartographiée. Quatre-vingt-sept entreprises technos, le secteur TI du S&P 500 plus les noms technos du Nasdaq-100 qui n’y figurent pas, sur deux niveaux : qui traite des données pour qui, puis qui traite pour eux. Résultat : 1 498 nœuds et 2 518 liens, chacun avec son URL source et sa date. (Photo prise le 5 octobre 2026. Les listes changent; voyez-y un instantané, pas un recensement.)

Voici ce que montre la photo.

Interactif : la carte des sous-traitants

Chaque fournisseur d'IA repose sur une pile de fournisseurs. Nous avons vérifié 87 sociétés technologiques des grands indices en fonction des listes de sous-traitants qu'elles publient. La vue ci-dessous montre les 30 nœuds les plus connectés : les carrefours par où passe la majeure partie de l'indice.

• Liste publiée
• Liste partielle
• Aucune liste publique
• Sous-traitant partagé

Sur petit écran, la carte est remplacée par la liste classée ci-dessus. La carte interactive reste offerte ci-dessous.

Les liens les plus forts, en texte

Les 20 liens société-fournisseur les plus forts des données.

1. Alphabet Inc. → Cognizant Worldwide: Technical Support; Assured Support (Israel); Assured Support (EU - Ireland, Romania); Data Labeling
2. Alphabet Inc. → Palo Alto Networks: Technical Support
3. Alphabet Inc. → Google: Service Maintenance; Technical Support
4. Alphabet Inc. → Google: Service Maintenance; Technical Support
5. Alphabet Inc. → Google: Data Center Operations
6. Alphabet Inc. → Google: Service Maintenance; Technical Support
7. Alphabet Inc. → Google: Service Maintenance; Technical Support
8. Alphabet Inc. → Google: Service Maintenance; Technical Support
9. Alphabet Inc. → Google: Data Center Operations; Service Maintenance; Technical Support
10. Alphabet Inc. → Google: Service Maintenance; Technical Support
11. Alphabet Inc. → Google: Data Center Operations; Service Maintenance; Technical Support
12. Alphabet Inc. → Google: Service Maintenance; Technical Support
13. Alphabet Inc. → Google: Service Maintenance; Technical Support
14. Alphabet Inc. → Google: Service Maintenance; Technical Support
15. Alphabet Inc. → Google: Service Maintenance; Technical Support
16. Alphabet Inc. → Google: Service Maintenance; Technical Support
17. Alphabet Inc. → Google: Service Maintenance; Technical Support
18. Alphabet Inc. → Google: Service Maintenance; Technical Support
19. Alphabet Inc. → Google: Data Center Operations; Service Maintenance; Technical Support
20. Alphabet Inc. → Google: Service Maintenance; Technical Support

Trois nuages sous tout le reste. Les noms les plus fréquents dans les 87 entreprises ne surprennent personne, mais les chiffres frappent : Microsoft est nommé dans 19 des 29 listes publiées, Google dans 17, Amazon Web Services dans 20. Trois hyperinfonuagiques portent tout l’indice. Le risque de concentration, dont on parle d’habitude dans l’abstrait, prend ici une forme très concrète. La liste d’AWS nomme à elle seule 64 sociétés affiliées d’infrastructure dans des dizaines de pays. Celle de Twilio compte 40 lignes et inclut ses propres dépendances envers les hyperinfonuagiques. Tout le monde loue chez les mêmes trois propriétaires, et les propriétaires sont aussi clients les uns des autres.

Les labos d’IA ont emménagé. OpenAI est nommé dans 8 listes d’entreprises de l’indice. Anthropic dans 4. C’est la partie visible. La partie intéressante, c’est comment ils arrivent : pas comme le fournisseur vedette avec qui vous avez signé, mais un étage plus bas, à l’intérieur du produit de quelqu’un d’autre. Quand votre fournisseur ajoute une fonction d’IA, le labo devient votre sous-traitant par héritage. Si votre révision des fournisseurs est annuelle et que leur feuille de route IA est trimestrielle, faites le calcul.

Cinquante-huit entreprises ne publient aucune liste utilisable. C’est le fil que je n’arrive pas à lâcher. On s’attendait à ce que chaque entreprise ait une liste : l’article 28(2) du RGPD oblige les sous-traitants à divulguer les ajouts et remplacements de sous-traitants, et la liste publique est le moyen habituel de le faire. Vingt-neuf entreprises en avaient une. Cinquante-huit, non, et ce après une recherche exhaustive, avec la trace de recherche pour chacune, pour que l’absence soit un constat, pas un haussement d’épaules.

Les absents ne sont pas aléatoires. Ce sont surtout des fabricants de matériel et de semi-conducteurs : AMD, Nvidia, Micron, Applied Materials, ASML, Corning. Plus Apple. Leur posture : des politiques de confidentialité côté responsable de traitement, sans aucune divulgation côté sous-traitant. Or, l’objection honnête : un fabricant de puces qui vous vend du silicium n’est pas votre sous-traitant, donc l’article 28(2) ne s’appliquerait jamais. Ça se tient, jusqu’à ce qu’on se rappelle que ces mêmes entreprises vendent des services infonuagiques, des plateformes pour développeurs et des offres gérées où elles sont bel et bien sous-traitantes. La lecture juridique et la réalité commerciale tirent dans des directions opposées, et personne n’a publié de chiffre sur laquelle l’emporte.

Petite ride : certaines listes existent, mais derrière des connexions. Workday, NetApp et IBM verrouillent les leurs. Un responsable de traitement qui fait sa diligence raisonnable frappe un mur de connexion, ce qui est un drôle d’endroit pour un mécanisme de transparence.

Les listes les plus longues racontent leur histoire. Alphabet : 157 lignes. Palo Alto Networks : 107. Motorola Solutions : 96. Adobe : 80. La longueur n’est pas une vertu, une longue liste peut vouloir dire de l’éparpillement, mais elle veut dire que quelqu’un a fait l’inventaire. Les 58 chaises vides sont le signal le plus fort.

Alors, qu’est-ce qu’on fait de tout ça? Si vous menez des révisions de fournisseurs, téléchargez les listes de vos dix principaux fournisseurs cette semaine et comparez-les à ce que vous croyiez avoir. Regardez un niveau plus bas, pas seulement le logo sur le contrat. Et posez la question gênante au prochain renouvellement : quels modèles d’IA se trouvent dans ce produit, et depuis quand?

Une chose que je n’ai pas pu trancher : combien de responsables de traitement vérifient vraiment ces listes par rapport à leurs propres dossiers, au lieu de classer le PDF du fournisseur et de passer à autre chose. Si vous avez un chiffre là-dessus, je veux l’entendre.

Comment nous avons compté

L’indice couvre 87 entreprises : le secteur TI du S&P 500 plus les noms technos du Nasdaq-100 qui n’y figurent pas. Une entreprise compte comme publiant une liste quand sa liste publique de sous-traitants a pu être relevée ligne par ligne; 29 ont franchi ce seuil. Une de plus, Akamai, compte comme partielle : sa liste principale a bloqué la récupération automatisée, donc seules 4 lignes de sa liste propre à Linode ont été relevées. Les 57 autres se répartissent en 54 sans liste trouvée et 3 dont les listes sont derrière des connexions (Workday, NetApp, IBM). « Nommé dans N listes » signifie que N des 29 listes publiées comptaient au moins une ligne correspondant à la famille de noms du fournisseur (Microsoft inclut Azure, Google inclut GCP, AWS inclut Amazon); l’appariement se fait sur le seul champ du nom du sous-traitant, et les comptes incluent les entreprises nommant leurs propres sociétés affiliées (la liste d’Alphabet nomme des dizaines d’entités Google, par exemple). Sur les 1 400 liens de deuxième niveau, 572 sont marqués comme synthétisés : déduits de la propre liste publiée d’une entreprise de l’indice plutôt que saisis depuis une page distincte, et étiquetés comme tels partout où ils apparaissent. Date de l’instantané : 5 octobre 2026. Les listes changent, certaines listes saisies sont des extraits, et une entrée des données brutes étiquetée « SpaceXAI » a été normalisée en xAI. Le deuxième niveau couvre les propres fournisseurs des fournisseurs (la liste de 40 lignes de Twilio et les 64 sociétés affiliées de la liste d’AWS, toutes deux étudiées comme sous-traitants partagés); il se trouve dans le panneau latéral de la carte réseau, pas dans les tableaux.

Note juridique

Cet article repose sur des listes de sous-traitants et des politiques de confidentialité qui étaient publiques le 5 octobre 2026. Les entreprises modifient ces listes sans préavis; voyez donc chaque chiffre comme un instantané, pas un registre à jour. Nous avons cherché chaque entreprise de façon exhaustive, en gardant une trace de chaque recherche, mais une liste introuvable peut exister derrière une connexion, dans une autre langue ou sous un autre nom. Une absence de cet indice est un constat sur ce qui est disponible publiquement, pas un verdict sur la façon dont une entreprise traite les données. Les noms d’entreprises n’y figurent qu’à des fins d’identification. Il s’agit d’information générale pour les gens qui mènent des révisions de fournisseurs, pas d’un avis juridique adapté à votre situation. Si vous repérez une erreur, ou si la liste de votre entreprise a déménagé, écrivez-nous et nous corrigerons.