IA locale ou cloud : comment trancher quand vos données sont sensibles

Faut-il envoyer vos données dans le cloud pour utiliser l’IA ? La bonne réponse n’est pas « oui » ou « non ». Elle dépend de votre niveau de confidentialité. Et la plupart des dirigeants surestiment leur contrainte : ils envisagent une coûteuse IA locale alors qu’un simple outil cloud conforme au RGPD ferait l’affaire.

Avant de choisir le moindre outil, identifiez à quel niveau vous êtes.

En résumé : « confidentialité » ne veut pas dire une seule chose. Niveau 1, le cas de la majorité : vous devez être conforme au RGPD, et des plateformes cloud conformes (hébergement en Europe, zéro entraînement sur vos données) y répondent pour le prix d’un abonnement. Niveau 2 : un contrat vous interdit de faire sortir la moindre donnée, quel que soit l’hébergeur. Là, l’IA locale devient obligatoire, mais c’est un investissement lourd (plus de 10 000 € de mise en place via un prestataire, plus plusieurs milliers d’euros par an). Identifiez votre niveau avant de comparer quoi que ce soit.

« Confidentialité » ne veut pas dire une seule chose

L’erreur la plus fréquente est de traiter la confidentialité comme un interrupteur : soit mes données sont sensibles, soit elles ne le sont pas. Dans la réalité, il y a des niveaux, et ils n’appellent pas les mêmes réponses.

Confondre ces niveaux coûte cher dans les deux sens. Certains dirigeants envoient sans réfléchir des données clients dans un outil grand public qui s’en sert pour s’entraîner. D’autres, par excès de prudence, se lancent dans une infrastructure locale à cinq chiffres alors qu’un abonnement conforme aurait suffi.

Deux niveaux à distinguer avant tout choix d’outil.

Niveau 1 : vous devez être conforme au RGPD (le cas de la majorité)

C’est la situation de la grande majorité des PME. Vos données incluent des informations personnelles (clients, salariés, prospects), et vous devez respecter le RGPD. Mais aucun contrat ne vous interdit d’utiliser un hébergeur externe, à condition qu’il soit sérieux.

Bonne nouvelle : à ce niveau, une IA locale est inutile. Des plateformes cloud conformes couvrent le besoin. Dust, par exemple, affiche la conformité RGPD, la certification SOC2 Type II, un hébergement possible en Europe, le chiffrement des données, et l’engagement de ne jamais entraîner ses modèles sur vos données. Vous obtenez la conformité sans construire ni maintenir la moindre infrastructure.

La règle à ce niveau : vérifiez trois points chez votre fournisseur avant de signer. L’hébergement des données (en Europe si vous le souhaitez), l’engagement de non-entraînement sur vos données, et une certification indépendante (SOC2). Si les trois sont là, le cloud est un choix conforme et bien moins cher que toute alternative locale. C’est la même logique de vérification en amont que pour vos obligations liées à l’AI Act.

Niveau 2 : aucune donnée ne peut sortir, quel que soit l’hébergeur

C’est un cran au-dessus, et c’est une autre histoire. Dans certains secteurs (défense, aéronautique, parfois santé ou juridique), une clause contractuelle ou réglementaire interdit que la moindre donnée transite par un tiers. Peu importe que l’hébergeur soit européen, certifié, chiffré : la sortie des données est tout simplement interdite.

Lors d’un audit pour une PME industrielle d’un secteur réglementé, cette clause figurait noir sur blanc dans les contrats donneurs d’ordre. À ce niveau, le cloud est écarté d’office, quelle que soit sa qualité. L’IA locale, installée sur des serveurs que vous contrôlez, devient la seule option légale.

Il faut alors être lucide sur le coût, parce que c’est là que beaucoup de discours simplifient. L’IA locale n’est pas une version économique du cloud, c’est l’inverse. Quand vous passez par un prestataire, comptez plus de 10 000 € rien que pour la mise en place, puis plusieurs milliers d’euros par an de maintenance et d’infrastructure. Et pour obtenir un modèle réellement compétent, il faut du matériel puissant, qui alourdit encore la facture. À ce niveau, vous ne payez pas pour de la performance ou de la vitesse : vous payez pour rester dans la légalité. C’est un coût de conformité, assumé comme tel.

Ne surpayez pas la partie « intelligence artificielle »

Que vous soyez au niveau 1 ou 2, un piège revient : surdimensionner l’infrastructure pour l’IA, alors qu’elle ne représente qu’une petite fraction du travail réel.

Sur une mission type de génération de documents, l’essentiel n’est pas de l’IA. C’est de la mise en forme (des modèles bien construits) et de la récupération automatique d’informations depuis votre logiciel de gestion. La part strictement « intelligence artificielle » (produire les quelques passages variables) est minoritaire.

La conséquence est directe : décomposez votre besoin réel avant de dimensionner quoi que ce soit. Vous découvrirez souvent que la brique IA est la plus petite, et que votre budget doit surtout aller dans la structuration de vos données. C’est le même principe que celui des données comme prérequis avant vos agents : la valeur est dans la donnée propre, pas dans le modèle.

Traçabilité : l’atout de l’IA en interne

Au niveau 2, l’IA locale a un avantage qu’on oublie souvent de mettre en face de son coût : la traçabilité. Certaines solutions internes savent pointer la source exacte d’une réponse, en indiquant la page précise du document d’où provient l’information.

Pour un audit qualité ou une certification, c’est un argument décisif. Une IA cloud « boîte noire » vous donne une réponse sans preuve de provenance, là où une solution interne peut justifier chaque affirmation. Dans les secteurs où la traçabilité est exigée, l’IA locale n’est pas seulement le choix contraint, c’est parfois le choix supérieur.

À quel niveau êtes-vous ? La grille de décision

Avant de comparer le moindre outil, répondez dans cet ordre.

1. Ai-je une clause contractuelle qui interdit toute sortie de données ? Si oui, vous êtes au niveau 2 : le cloud est écarté, l’IA locale s’impose, budgétez l’investissement en conséquence.

2. Sinon, ai-je des données personnelles à protéger au titre du RGPD ? Si oui, vous êtes au niveau 1 : un outil cloud conforme (hébergement EU, non-entraînement, SOC2) suffit. Inutile de payer une infrastructure locale.

3. Mon besoin justifie-t-il vraiment le modèle le plus puissant ? Dans les deux cas, décomposez votre besoin avant de dimensionner : la partie IA est souvent la plus petite.

Quand la contrainte n’est pas encore tranchée en interne, ne décidez pas à la place de votre organisation. Posez la question au bon interlocuteur (direction juridique, donneur d’ordre) avant de choisir un outil. Cette clarté vous évite aussi de vous enfermer dans une dépendance à un outil qui pourrait être coupé demain.

Par où commencer

Votre premier chantier n’est pas de tester des outils. C’est de déterminer votre niveau de confidentialité, en relisant vos contrats et votre cadre réglementaire. Une demi-journée avec la bonne personne suffit souvent à trancher entre « cloud conforme » et « local obligatoire », et à éviter des mois d’errance ou une dépense inutile.

Le reste des décisions techniques découle de cette réponse. Pas l’inverse.

Questions fréquentes

Le RGPD m’oblige-t-il à passer à l’IA locale ?

Non. Pour être conforme au RGPD, des plateformes cloud conformes suffisent : hébergement en Europe, certification SOC2, chiffrement, et engagement de ne pas entraîner les modèles sur vos données. Dust en est un exemple. L’IA locale ne devient nécessaire que si un contrat interdit tout partage de données, quel que soit l’hébergeur.

Combien coûte une IA locale ?

C’est un investissement lourd. Quand vous passez par un prestataire, comptez plus de 10 000 € de mise en place, puis plusieurs milliers d’euros par an de maintenance et d’infrastructure. Il faut en plus un modèle suffisamment puissant, ce qui alourdit encore le coût matériel. L’IA locale se justifie par une contrainte légale, pas par une économie.

Quelle est la différence entre être conforme au RGPD et interdire le cloud ?

Le RGPD encadre le traitement des données personnelles et se satisfait d’un cloud conforme (hébergement EU, engagements contractuels). Une clause du type « aucune donnée ne transite par un tiers » est bien plus stricte : elle interdit tout hébergement externe, quel qu’il soit, et impose une solution locale.

Mon logiciel de gestion doit-il aussi être hébergé en local ?

Non, ce sont deux sujets distincts. Garder l’IA en interne pour des raisons de confidentialité n’oblige pas à rapatrier votre ERP ou votre logiciel de gestion sur vos serveurs. Cette migration est souvent plus coûteuse qu’utile, avec des montées de version et des sauvegardes à votre charge.