IA et confidentialité : Mistral, hébergement en France ou auto-hébergement ?
Vos données sont sensibles ? Il existe plusieurs façons d'utiliser l'IA sans les exposer. Tour d'horizon des options, de la plus simple à la plus maîtrisée.
L’essentiel en 3 points
- Trois niveaux de protection : un fournisseur d'IA par API bien configuré, un modèle français hébergé en France, ou l'auto-hébergement.
- Le bon choix dépend de la sensibilité de vos données, et un même projet peut combiner plusieurs options.
- Au-delà du modèle, limitez ce que l'IA peut voir : seulement ce dont elle a besoin pour sa tâche, et chaque accès tracé.
« Où vont mes données ? » C'est souvent la première question qu'on nous pose quand on parle d'IA. Elle est légitime : contrats, données clients, informations de santé ou financières n'ont pas vocation à circuler n'importe où. Bonne nouvelle, il existe plusieurs niveaux de protection, et le bon choix dépend de la sensibilité de vos données.
Option 1 : un fournisseur d'IA par API, bien configuré
Les grands fournisseurs (OpenAI, Anthropic, Google, Mistral AI…) proposent des offres professionnelles accessibles par API. En général, les données envoyées par ce biais ne servent pas à entraîner leurs modèles, et certaines offres permettent de choisir un hébergement en Europe.
Il faut tout de même lire les conditions : durée de conservation des données, sous-traitants, localisation des serveurs. C'est l'option la plus rapide à mettre en place, adaptée à la majorité des usages qui ne touchent pas à des données sensibles.
Option 2 : un modèle français, hébergé en France
Mistral AI est une entreprise française qui développe ses propres modèles. Ils sont accessibles par API, et plusieurs d'entre eux sont publiés en accès ouvert, ce qui permet aussi de les faire tourner chez un hébergeur français.
Pour une entreprise soumise au RGPD, travailler avec un acteur européen et des serveurs en France simplifie la conformité, et rassure vos propres clients quand ils vous posent la question.
Option 3 : l'auto-hébergement
Pour les données les plus sensibles, on peut installer un modèle open source directement sur vos serveurs, ou sur un serveur dédié chez un hébergeur de confiance. Aucune donnée ne quitte alors votre infrastructure.
Les contreparties : il faut une machine adaptée (souvent équipée d'une carte graphique), en assurer la maintenance, et accepter que les modèles que l'on héberge soi-même soient parfois moins performants que les plus gros modèles disponibles par API. Pour beaucoup de tâches ciblées, comme trier, extraire ou résumer, ils suffisent largement.
Comment choisir
Un repère simple :
- données publiques ou peu sensibles (contenus marketing, documentation publique) : un fournisseur par API suffit ;
- données internes ou personnelles (clients, RH, contrats) : privilégiez un modèle européen et un hébergement en France ;
- données critiques ou réglementées (santé, secret industriel) : l'auto-hébergement s'impose souvent.
Au-delà du modèle : ce que l'IA a le droit de voir
Le choix du modèle ne fait pas tout. Il faut aussi définir précisément ce à quoi l'IA a accès : quels documents, quelles bases de données, quelles actions. C'est le principe du moindre privilège : l'IA ne voit que ce dont elle a besoin pour sa tâche, et chaque accès est tracé.
Enfin, le règlement européen sur l'IA (AI Act), entré en vigueur en 2024, s'applique progressivement et fixe des obligations selon le niveau de risque des usages. Pour la plupart des outils internes (tri, recherche, aide à la rédaction), les exigences restent légères, mais mieux vaut y penser dès la conception.
Questions fréquentes
Les données envoyées à une IA par API servent-elles à l'entraîner ?
En général non : les offres professionnelles des grands fournisseurs (OpenAI, Anthropic, Google, Mistral AI…) n'utilisent pas les données envoyées par API pour entraîner leurs modèles. Lisez tout de même leurs conditions : durée de conservation, sous-traitants, localisation des serveurs.
Peut-on utiliser l'IA avec des données de santé ou un secret industriel ?
Pour des données critiques ou réglementées, l'auto-hébergement s'impose souvent : le modèle tourne sur vos serveurs, ou sur un serveur dédié chez un hébergeur de confiance, et aucune donnée ne quitte votre infrastructure.
Un modèle auto-hébergé est-il aussi performant ?
Parfois moins que les plus gros modèles disponibles par API. Mais pour beaucoup de tâches ciblées, comme trier, extraire ou résumer, il suffit largement.
L'AI Act concerne-t-il nos outils internes ?
Le règlement européen sur l'IA, entré en vigueur en 2024, fixe des obligations selon le niveau de risque des usages. Pour la plupart des outils internes (tri, recherche, aide à la rédaction), les exigences restent légères, mais mieux vaut y penser dès la conception.
Pour aller plus loin
- Les fiches pratiques IA, CNIL : les recommandations de la CNIL pour développer un système d'IA conforme au RGPD.
- Législation sur l'IA, Commission européenne : le cadre de l'AI Act et son calendrier d'application.
- Models Overview, Mistral AI : la liste des modèles de Mistral, dont ceux publiés en accès ouvert (en anglais).