Vos équipes utilisent déjà l’IA générative, que vous l’ayez décidé ou non. Selon le rapport DBIR 2026 de Verizon, la part de salariés utilisant régulièrement des outils d’IA est passée de 15 % à 45 %, et 67 % d’entre eux le font avec des comptes personnels, hors de tout contrôle. La vraie question n’est donc plus « faut-il de l’IA ? », mais « où doivent aller nos données quand on s’en sert ? ». Contrats clients, dossiers RH, données de santé, plans techniques : selon leur sensibilité, la réponse n’est pas la même. Voici une grille pour choisir entre IA dans le cloud, IA européenne et IA installée chez vous.
L’essentiel en 30 secondes
- Il n’y a pas une bonne architecture, mais une architecture par niveau de sensibilité des données.
- Les comptes grand public gratuits sont à proscrire pour les données professionnelles ; les offres entreprise contractualisent la non-réutilisation des données.
- L’IA locale garde les données chez vous, mais impose du matériel, des compétences et une vraie sécurisation : des milliers de serveurs d’IA auto-hébergés sont exposés sans protection sur Internet.
- L’AI Act s’applique progressivement ; l’accord européen de mai 2026 repousse au 2 décembre 2027 les obligations des systèmes à haut risque autonomes.
Trois architectures, trois compromis
| Critère | IA cloud (offre entreprise) | IA cloud européenne ou qualifiée | IA locale (sur vos serveurs) |
|---|---|---|---|
| Qualité des modèles | Les plus performants | Très bons (modèles européens et ouverts) | Bons sur des tâches ciblées, en retrait sur le raisonnement complexe |
| Localisation et droit applicable | Selon contrat ; exposition possible aux lois extraterritoriales | Hébergement et droit européens | Totalement maîtrisés |
| Coût de départ | Faible (abonnement) | Faible à moyen | Élevé (serveur avec carte graphique) |
| Exploitation | Par le fournisseur | Par le fournisseur | Par vous : mises à jour, sauvegardes, sécurité |
| Usage type | Rédaction, synthèse de documents non sensibles | Données personnelles, documents internes | Données couvertes par un secret, données de santé, propriété intellectuelle critique |
Classer ses données d’abord
Avant de choisir un outil, définissez trois ou quatre niveaux :
- Public : site web, plaquettes, offres d’emploi. N’importe quelle IA convient.
- Interne : procédures, notes, comptes rendus sans données sensibles. Offre entreprise avec engagement contractuel.
- Confidentiel : données personnelles, contrats, données financières. Offre entreprise hébergée dans l’Union européenne, avec contrat de sous-traitance RGPD, ou IA locale.
- Secret : données de santé, secret professionnel (avocats, experts-comptables, médecins), secrets industriels. IA locale ou fournisseur qualifié (hébergement de données de santé, SecNumCloud selon les cas).
Cette classification devient une règle simple dans la charte informatique : « pour ce type de document, utilisez cet outil, et aucun autre ».
Ce qu’il faut vérifier dans une offre cloud
- Les données saisies servent-elles à entraîner les modèles ? (Elles ne doivent pas.)
- Où sont-elles hébergées et traitées, et combien de temps sont-elles conservées ?
- Un contrat de sous-traitance conforme à l’article 28 du RGPD est-il fourni ? Voir sous-traitance informatique et RGPD.
- L’authentification passe-t-elle par votre annuaire (SSO, MFA) et l’administrateur peut-il désactiver les comptes ?
- Les connecteurs vers vos documents (messagerie, SharePoint, Drive) respectent-ils les droits d’accès existants ? Un assistant qui « voit » tout ce que voit l’utilisateur hérite aussi des partages trop larges.
Ce que l’IA locale exige vraiment
Faire tourner un modèle chez soi est devenu accessible : des outils comme Ollama ou Open WebUI s’installent en quelques minutes (voir installer un assistant IA local). Mais un serveur d’IA reste un serveur :
- Matériel : à titre indicatif, un modèle compact (7 à 8 milliards de paramètres, quantifié) tourne avec 8 Go de mémoire graphique ; un modèle de 24 à 32 milliards demande environ 24 Go ; au-delà, il faut plusieurs cartes ou un serveur dédié.
- Sécurité : en février 2026, LeakIX a recensé plus de 12 000 serveurs Ollama accessibles sans authentification sur Internet, dont 1 425 en France, troisième pays le plus exposé. En mai 2026, la faille « Bleeding Llama » (CVE-2026-7482), corrigée dans Ollama 0.17.1, permettait à un attaquant non authentifié de lire la mémoire du serveur.
- Maintenance : mises à jour des outils et des modèles, sauvegardes, supervision.
Règle d’or : un service d’IA local n’est jamais exposé directement sur Internet ; il reste sur le réseau interne ou derrière un VPN et un proxy authentifiant.
Le cadre réglementaire en bref
- RGPD : toute donnée personnelle envoyée à une IA est un traitement, avec base légale, information et, le cas échéant, analyse d’impact.
- AI Act : la plupart des usages de PME (rédaction, synthèse, assistance) relèvent du risque minimal. Les usages en recrutement, évaluation des salariés ou accès à des services essentiels sont à haut risque ; l’accord européen sur l’omnibus numérique de mai 2026 décale leurs obligations au 2 décembre 2027.
- Secrets professionnels : les ordres professionnels publient des recommandations spécifiques ; vérifiez celles de votre profession.
Pour les risques propres aux assistants connectés à vos données, voir aussi la prompt injection et les serveurs MCP et agents IA.
Questions fréquentes
Une IA locale est-elle forcément plus sûre ?
Plus confidentielle, oui, si elle est bien installée. Plus sûre, pas forcément : un serveur mal configuré et exposé est plus dangereux qu’une offre cloud sérieuse.
Peut-on mélanger les approches ?
C’est souvent la meilleure solution : une offre cloud pour les usages courants, une IA locale pour les dossiers sensibles, avec une règle claire pour chaque catégorie.
Comment empêcher l’usage de comptes personnels ?
En proposant une alternative officielle pratique, puis en complétant par la charte, la sensibilisation et, si besoin, le filtrage des services non autorisés. L’interdiction seule ne fonctionne pas.
Les modèles ouverts sont-ils utilisables commercialement ?
Souvent oui, mais les licences varient : vérifiez-les pour chaque modèle avant un usage professionnel.
Sources
- Verizon, Data Breach Investigations Report 2026.
- LeakIX, « 12,000 Ollama Instances Exposed », 23 février 2026.
- Banque des Territoires, AI Act : délais supplémentaires pour les IA à haut risque, 11 mai 2026.
- ANSSI, recommandations de sécurité pour un système d’IA générative.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous vous conseillons sur le choix et la sécurisation de vos outils d’IA lors d’une consultation. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
