"Est-ce que nos données sont utilisées pour entraîner le modèle ?" C'est LA question que me posent 90% des DSI et RSSI. Réponse courte : ça dépend. Réponse longue : lisez la suite.
Comprendre le flux de données
Quand vous utilisez un LLM, vos données passent par plusieurs étapes :
- Transit : vos données voyagent de votre serveur à l'API du fournisseur
- Traitement : le modèle génère une réponse
- Stockage : selon le fournisseur, logs temporaires ou permanents
- Entraînement : potentielle utilisation pour améliorer le modèle
Chaque étape présente des risques différents et des solutions différentes.
État des lieux par fournisseur
OpenAI (ChatGPT, API)
- ChatGPT gratuit/Plus : données potentiellement utilisées pour l'entraînement (opt-out possible)
- API : données NON utilisées pour l'entraînement par défaut
- Enterprise / Team : garanties contractuelles, SOC 2 Type II, logs limités, DPA disponible
- Hébergement : USA (infrastructure Azure)
- Azure OpenAI : permet de choisir une région Europe (Suède, France Central pour certains modèles), DPA Microsoft
Mon avis : L'API directe est correcte pour des données non sensibles. Pour des données RH, financières, juridiques ou médicales, passez par Azure OpenAI région Europe avec un contrat Microsoft.
Anthropic (Claude)
- API : données NON utilisées pour l'entraînement
- Logs : 30 jours maximum par défaut, "zero-data-retention" possible sur certaines offres entreprise
- Hébergement : USA (AWS / GCP). Disponible aussi via AWS Bedrock et GCP Vertex AI avec choix de région.
- SOC 2 Type II, HIPAA-eligible selon les offres
Mon avis : Politique plus claire qu'OpenAI sur le papier. Pour un usage Europe sensible, passer par AWS Bedrock région Paris/Francfort ou GCP Vertex AI Europe.
Mistral
- API : données NON utilisées pour l'entraînement
- Hébergement : Europe par défaut, dont infrastructures françaises pour certaines offres
- Conformité : RGPD native, entreprise française, ISO 27001
- Offre on-premise / VPC disponible pour les grands comptes
Mon avis : Le meilleur choix par défaut pour les entreprises françaises soucieuses de souveraineté. À privilégier dès que la conformité prime sur le bench pur.
LLM Open Source (Llama, Mistral open-weight, DeepSeek, Qwen)
- Contrôle total : vous hébergez (ou un provider français le fait pour vous), rien ne sort de votre périmètre
- Coût self-hosting : infrastructure GPU H100/H200 ou MI300X (~1500-6000€/mois selon volumétrie) ou location à l'heure (RunPod, Vast)
- Providers français/européens managés : OVHcloud AI Endpoints, Scaleway Generative APIs — vous gardez les avantages sans gérer l'infra
- Cas DeepSeek/Qwen : NE PAS utiliser l'API officielle pour des données sensibles (les serveurs sont en Chine). Préférer un déploiement on-premise ou un provider occidental hébergeant le modèle.
Mon avis : Idéal pour les données très sensibles (santé, défense, finance, juridique) si vous avez les ressources, ou via un provider souverain pour rester light.
AI Act européen : ce qui change en 2026
Le règlement européen sur l'IA (AI Act) entre en application progressive. Les pratiques interdites sont en vigueur depuis février 2025. Les obligations sur les modèles à usage général (GPAI) s'appliquent depuis août 2025. Les obligations sur les systèmes à haut risque entrent en vigueur en août 2026.
Ce que cela change concrètement pour vous :
- Transparence : vous devez informer les utilisateurs qu'ils interagissent avec une IA (chatbot, génération de contenu).
- Watermarking : les contenus générés (texte, image, audio) doivent être identifiables comme tels.
- Documentation : si vous classez votre système comme "à haut risque" (RH, scoring crédit, biométrie, etc.), vous devez documenter datasets, performances, mesures de mitigation.
- Gouvernance des données : traçabilité de l'entraînement, droits sur les données, registres.
Pour la plupart des usages courants (assistant interne, génération de contenu marketing, RAG sur base de connaissances), vous n'êtes pas en zone "haut risque" — mais la transparence et le watermarking s'appliquent. À cadrer dès la conception, pas en fin de projet.
Recommandations par secteur
🏥 Santé
Données de santé = HDS obligatoire. Options :
- Azure OpenAI sur infrastructure HDS
- LLM open source auto-hébergé sur cloud HDS (OVH, Scaleway)
Évitez : API OpenAI/Anthropic directe.
🏦 Finance / Banque
Exigences réglementaires fortes. Options :
- Azure OpenAI avec région Europe + contrat entreprise
- Mistral API (conformité RGPD)
- On-premise pour les cas très sensibles
🏭 Industrie / PME
Généralement moins de contraintes réglementaires. Options :
- API OpenAI/Claude pour prototypage
- Mistral pour production avec données France
⚖️ Juridique
Secret professionnel à respecter. Options :
- Mistral (souveraineté)
- On-premise pour les cabinets les plus exigeants
Architecture hybride : le meilleur des deux mondes
Ma recommandation pour la plupart des entreprises : une approche hybride.
┌─────────────────────────────────────────────────────┐ │ VOTRE SI │ ├─────────────────────────────────────────────────────┤ │ │ │ ┌─────────────┐ ┌─────────────────────────┐ │ │ │ Données │ │ Données │ │ │ │ sensibles │ │ non-sensibles │ │ │ └──────┬──────┘ └───────────┬─────────────┘ │ │ │ │ │ │ ▼ ▼ │ │ ┌─────────────┐ ┌─────────────────────────┐ │ │ │ LLM local │ │ API Cloud │ │ │ │ (LLaMA) │ │ (OpenAI/Mistral) │ │ │ └─────────────┘ └─────────────────────────┘ │ │ │ └─────────────────────────────────────────────────────┘
Le routeur intelligent envoie les requêtes vers le bon modèle selon la sensibilité des données détectée.
Checklist sécurité avant déploiement IA
- ☐ Avez-vous cartographié les données qui seront traitées ?
- ☐ Connaissez-vous les obligations réglementaires de votre secteur ?
- ☐ Avez-vous lu les CGU et DPA du fournisseur choisi ?
- ☐ Le transit est-il chiffré (TLS 1.3) ?
- ☐ Les logs sont-ils désactivables ou limités dans le temps ?
- ☐ Avez-vous un DPO ou référent RGPD impliqué ?
Cet article vous a été utile ? Partagez-le.
