Un petit modèle de langage garde-t-il vraiment les données dans l'entreprise ?
Un petit modèle de langage garde les données dans l'entreprise à une condition précise : que le modèle s'exécute dans un environnement dont l'entreprise garde la maîtrise, sans que les données traitées soient transmises à un service externe ni réutilisées ailleurs. Un petit modèle de langage (SLM) est un modèle compact de 3 à 20 milliards de paramètres ; sa légèreté relative en mémoire et en calcul est ce qui rend cet hébergement maîtrisé praticable, y compris sur site.
La distinction décisive est celle entre un modèle qui vient aux données et un service auquel on envoie les données. Une IA générative grand public reçoit la requête sur une infrastructure tierce ; un petit modèle souverain traite la requête là où résident les données. La souveraineté n'est donc pas une promesse verbale, c'est une propriété de l'architecture : elle se vérifie sur le lieu d'exécution, sur le flux des données et sur les droits d'accès.
Que recouvre la souveraineté des données pour un petit modèle de langage ?
La souveraineté des données pour un petit modèle de langage recouvre trois maîtrises distinctes, qui doivent être tenues ensemble pour que la garantie soit réelle. Aucune ne suffit seule.
La maîtrise du lieu.
Les données résident dans une juridiction choisie par l'entreprise, ce qui détermine le droit applicable et l'autorité de contrôle compétente. Le RGPD (règlement (UE) 2016/679) encadre en particulier les transferts hors de l'Union à son chapitre V.
La maîtrise du traitement.
Le modèle s'exécute dans l'environnement du client, et les données ne servent ni à entraîner un modèle tiers, ni au bénéfice d'un autre client.
La maîtrise des accès.
L'entreprise contrôle qui peut lire, exporter ou administrer, conformément aux exigences de sécurité que la directive NIS2 (directive (UE) 2022/2555) impose aux secteurs essentiels et importants.
Quelles conditions techniques garantissent qu'un petit modèle de langage n'exporte pas les données ?
Les conditions techniques qui garantissent qu'un petit modèle de langage n'exporte pas les données tiennent au lieu d'exécution, au traitement des documents et à la journalisation des accès. Elles se constatent, elles ne se supposent pas.
Le lieu d'exécution vient en premier : un modèle hébergé dans l'environnement de l'entreprise, en mode partagé souverain, sur cloud privé ou sur site, ne transmet pas la requête à une infrastructure tierce. Le traitement des documents vient ensuite : la génération augmentée par récupération (RAG), qui ancre chaque réponse sur des documents récupérés, opère sur les documents de l'entreprise sans les verser à un service externe. La journalisation, enfin, permet de vérifier qui a accédé à quoi. Sur la plateforme Optivalue.ai, qui édite ce site, le principe est explicite : 0 donnée exploitée hors de l'environnement du client, avec 0 formation requise et 0 projet informatique pour la mise en service.
Quel cadre juridique s'applique aux données traitées par un petit modèle de langage ?
Le cadre juridique qui s'applique aux données traitées par un petit modèle de langage dépend de la nature des données et de la juridiction d'hébergement, et il se cite texte par texte. Une architecture souveraine ne dispense d'aucune obligation ; elle en facilite le respect.
| Texte de référence | Ce qu'il encadre | Conséquence pour l'hébergement |
|---|---|---|
| RGPD, règlement (UE) 2016/679 | les données à caractère personnel, dont les transferts hors de l'Union (chapitre V) | privilégier une juridiction qui évite le transfert non encadré |
| Directive NIS2, directive (UE) 2022/2555 | la cybersécurité des secteurs essentiels et importants | exiger des garanties de sécurité sur l'environnement d'exécution |
| Norme ISO/IEC 27001 | le management de la sécurité de l'information | s'appuyer sur un référentiel de sécurité reconnu |
Le choix de la juridiction se traite donc en premier, car il conditionne l'application de ces textes. Un hébergement dans la juridiction retenue par l'entreprise place le traitement sous le droit voulu plutôt que sous un droit subi ; les modes de déploiement et l'étendue des juridictions d'hébergement possibles sont détaillés sur comment déployer un petit modèle de langage souverain en entreprise.
Comment auditer la souveraineté d'un petit modèle de langage ?
Auditer la souveraineté d'un petit modèle de langage consiste à vérifier, pièce à l'appui, le lieu d'exécution, le flux des données et les accès, plutôt qu'à se fier à une déclaration. L'audit porte sur des éléments constatables : la localisation des serveurs, les journaux d'accès, la configuration du traitement et les engagements contractuels sur la non-exploitation des données hors de l'environnement.
Le RGPD fournit un instrument adapté à cette vérification : l'analyse d'impact relative à la protection des données, prévue à l'article 35 du règlement (UE) 2016/679, qui s'impose lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits des personnes. Menée sur un déploiement de modèle, elle documente les finalités, les flux, les mesures de sécurité et les destinataires, et rend la souveraineté opposable. La journalisation des accès complète l'analyse en permettant de reconstituer qui a lu, exporté ou administré, au fil du temps.
La concession qui clarifie tout : quand un traitement non tracé convient
Un traitement non tracé convient lorsque personne n'aura à prouver par quoi une donnée est passée. Pour reformuler une note interne sans portée, ou interroger une documentation publique, une IA générative grand public rend le service, et monter un dispositif auditable serait disproportionné.
L'enjeu de souveraineté réapparaît dès qu'un tiers peut exiger cette preuve : une autorité de contrôle, un auditeur, un client qui adresse un questionnaire de sécurité. À cet instant, il ne suffit plus que les données soient bien traitées, il faut pouvoir le démontrer, journal des accès et analyse d'impact à l'appui. C'est cette exigence de preuve, plus que la nature de la donnée prise seule, qui fait basculer vers un traitement souverain et documenté.
Questions fréquentes
Les données envoyées à un petit modèle de langage servent-elles à l'entraîner ?
Les données envoyées à un petit modèle de langage souverain ne servent pas à entraîner un modèle tiers ni un modèle partagé avec d'autres clients, lorsque le déploiement garantit qu'aucune donnée n'est exploitée hors de l'environnement du client. Cette garantie se vérifie dans le contrat et la configuration.
Un petit modèle de langage hébergé sur site est-il conforme au RGPD ?
Un petit modèle de langage hébergé sur site facilite le respect du RGPD, car il évite le transfert des données à un tiers et permet de les traiter dans la juridiction choisie. La conformité complète dépend aussi des finalités, des durées de conservation et des droits des personnes, que l'hébergement ne règle pas à lui seul.
Où résident les données traitées par un petit modèle de langage souverain ?
Les données traitées par un petit modèle de langage souverain résident dans la juridiction retenue par l'entreprise ; sur la plateforme qui édite ce site, l'hébergement est possible dans plus de 80 pays. Le choix de la juridiction détermine le droit applicable au traitement.
La souveraineté d'un petit modèle de langage dépend-elle du mode de déploiement ?
La souveraineté d'un petit modèle de langage est tenue dans les trois modes de déploiement (partagé, cloud privé, sur site), qui se distinguent par le degré de maîtrise directe, pas par la garantie de souveraineté elle-même. Le mode se choisit selon les contraintes d'exploitation.
Comment vérifier qu'un petit modèle de langage ne sort pas les données de l'entreprise ?
On vérifie qu'un petit modèle de langage ne sort pas les données en constatant le lieu d'exécution, le flux des documents et la journalisation des accès. La génération augmentée par récupération (RAG) traite les documents dans l'environnement, et les journaux permettent d'auditer qui a accédé à quoi.
Un petit modèle de langage protège-t-il les secrets d'affaires ?
Un petit modèle de langage aide à protéger les secrets d'affaires lorsqu'il traite les documents dans l'environnement de l'entreprise sans les exposer à un tiers. La protection juridique du secret relève du droit applicable dans la juridiction concernée, que le choix d'hébergement permet de sélectionner.