Qu'est-ce qu'une IA privée ?
Une IA privée désigne un système d'intelligence artificielle dont le traitement des données se fait dans un périmètre maîtrisé par l'entreprise : sur son propre matériel, ou chez un hébergeur identifié, sous contrat, sans réutilisation des données pour entraîner des modèles tiers. C'est un terme commercial plus qu'un standard technique, ce qui oblige à vérifier ce qu'il recouvre dans chaque cas.
Définition
Une IA privée désigne un système d'intelligence artificielle dont le traitement des données se déroule dans un périmètre maîtrisé par l'entreprise : sur son propre matériel, ou chez un hébergeur identifié et sous contrat, sans que les contenus soumis servent à entraîner des modèles tiers.
Il faut le dire d'emblée : « IA privée » est un terme commercial, pas un standard technique. Aucune norme ne définit ce qu'il recouvre. Deux fournisseurs peuvent l'employer pour décrire des architectures très différentes. La seule attitude utile est de demander précisément ce qui est entendu dans chaque cas.
Les degrés, du plus ouvert au plus fermé
Entre « tout part chez un géant du cloud » et « rien ne quitte le bâtiment », il existe plusieurs niveaux intermédiaires. Les confondre est la source principale de malentendus.
| Niveau | Où a lieu le traitement | Ce qu'il faut vérifier |
|---|---|---|
| API publique grand public | Chez le fournisseur, conditions standard | Réutilisation possible des contenus ; à éviter pour des données client |
| API professionnelle sous contrat | Chez le fournisseur, conditions négociées | Non-réutilisation écrite, durée de conservation, région de traitement |
| Instance dédiée chez un hébergeur | Sur une infrastructure réservée, région choisie | Identité de l'hébergeur, sous-traitants, juridiction applicable |
| Modèle ouvert sur serveur loué | Sur un serveur que vous administrez | Qui a l'accès administrateur, comment sont gérés les journaux |
| Modèle ouvert sur matériel propre | Dans vos locaux | Capacité matérielle, maintenance, mises à jour, sauvegardes |
Les trois derniers niveaux sont généralement ceux que l'on désigne par « IA privée ». Le deuxième l'est parfois aussi, et ce n'est pas abusif tant que le contrat est explicite.
Les six points à faire écrire
Plutôt que de se fier au mot, il vaut mieux poser six questions et obtenir les réponses par écrit.
- Où se trouve physiquement le traitement ? Pays, et le cas échéant centre de données.
- Qui a un accès technique aux données ? Le fournisseur, ses sous-traitants, l'hébergeur.
- Les contenus soumis servent-ils à entraîner un modèle ? La réponse doit être un non écrit, pas une case décochée par défaut.
- Combien de temps les données sont-elles conservées ? Y compris dans les journaux techniques, souvent oubliés.
- Quelle juridiction s'applique en cas de réquisition par une autorité étrangère ?
- Que se passe-t-il à la fin du contrat ? Restitution, suppression, et preuve de suppression.
Le cadre suisse
La loi fédérale sur la protection des données (LPD) s'applique au traitement de données personnelles. Elle n'impose pas d'architecture technique particulière et n'interdit pas le recours à un prestataire étranger. Ce qu'elle exige, c'est de savoir quelles données sont traitées, à quelle fin, par qui, et d'encadrer la sous-traitance.
Autrement dit : une IA privée n'est pas une obligation légale, c'est un moyen parmi d'autres de tenir ses obligations — souvent le plus simple à expliquer lorsque les données sont sensibles. Le PFPDT publie des informations sur la protection des données et le NCSC sur la sécurité informatique ; ce sont les sources à consulter avant de s'engager sur des affirmations juridiques.
Certains secteurs ajoutent leurs propres contraintes — secret professionnel de l'avocat, secret médical, exigences de la FINMA — qui peuvent être plus strictes que la LPD.
Une fiduciaire souhaite automatiser le classement des pièces comptables de ses clients. Ces documents contiennent des salaires, des relevés bancaires, parfois des informations personnelles.
Deux architectures sont envisageables. La première fait appel à un service en ligne sous contrat professionnel, avec non-réutilisation écrite et traitement dans une région définie. La seconde exécute un modèle ouvert sur un serveur dédié, où l'extraction a lieu sans que le document sorte du périmètre. La seconde est plus exigeante à exploiter, mais elle est plus facile à expliquer à un client qui pose la question. Le choix se fait sur le niveau d'explication que l'entreprise veut pouvoir donner, autant que sur la technique.
Ce que ça apporte
- Une réponse simple à une question de client — « où vont nos documents ? » — ce qui vaut souvent plus que l'argument technique lui-même.
- Une maîtrise de la conservation : ce qui est effacé l'est réellement, sur une infrastructure que l'on contrôle.
- Une indépendance vis-à-vis des changements de conditions ou de tarifs d'un fournisseur.
- Un coût prévisible à charge soutenue, sans facturation à l'usage.
Limites et risques
- La charge d'exploitation change de camp. Mises à jour, surveillance, sauvegardes, reprise après incident deviennent votre responsabilité.
- Les modèles exécutables localement sont plus petits que les plus gros modèles commerciaux. Sur des tâches délimitées, l'écart est souvent négligeable ; sur du raisonnement long, il se voit.
- Le faux sentiment de sécurité. Un serveur interne mal configuré est moins sûr qu'un service professionnel bien contractualisé. « Privé » ne veut pas dire « sécurisé » : ce sont deux sujets distincts.
- Le coût d'entrée. Matériel et mise en service représentent un investissement qui ne se justifie qu'à partir d'un certain usage.
Quand cette approche se justifie
Elle se justifie lorsque les données traitées sont couvertes par un secret professionnel, lorsque des clients posent explicitement la question de l'hébergement, lorsque le volume est régulier et important, ou lorsque l'entreprise veut rester indépendante d'un fournisseur unique.
Elle se justifie moins pour un premier essai à faible volume sur des données non sensibles, ou lorsqu'aucune compétence d'exploitation n'est disponible. Dans ce cas, un service sous contrat clair, avec une couche d'abstraction permettant d'en changer plus tard, est un point de départ raisonnable — voir IA locale ou IA cloud.
Questions fréquentes
IA privée veut-elle dire que rien ne sort de l'entreprise ?
Pas nécessairement. Selon l'architecture retenue, le traitement peut avoir lieu sur votre matériel, ou chez un hébergeur sous contrat. Ce sont deux niveaux différents, à préciser avant de s'engager.
Faut-il une IA privée pour respecter la LPD ?
Non, la loi n'impose pas une architecture particulière. Elle impose de savoir quelles données sont traitées, par qui, où, et sur quelle base. Une IA privée est un moyen d'y répondre, pas une obligation.
Une IA privée est-elle moins performante ?
Un modèle exécuté sur du matériel local est généralement plus petit que les plus gros modèles commerciaux. Pour des tâches délimitées — extraction, classement, reformulation — l'écart est souvent sans conséquence pratique.
Articles liés
Sources
- Préposé fédéral à la protection des données et à la transparence (PFPDT) — https://www.edoeb.admin.ch/fr
- Loi fédérale sur la protection des données (LPD, RS 235.1) — https://www.fedlex.admin.ch/eli/cc/2022/491/fr