Synthèse des principaux enseignements du webinaire présenté par Edern TRANVOUEZ, Brandon IP – Groupe Brandon avec son partenaire PI Motion représenté par Frédéric DUQUET.
- Le constat : l’IA accélère, mais à quel prix ?
Vous utilisez probablement un assistant IA au quotidien dans le cadre de l’évaluation et le développement de vos innovations : pour la veille, résumer et comparer l’art antérieur, tester vos idées, rechercher des évolutions possibles… Le gain de temps est réel. La question n’est plus « faut-il s’y mettre ? », mais « comment l’utiliser sans livrer, sans le savoir, ce que votre entreprise a de plus précieux ? ».
Le risque n’est plus théorique. En septembre dernier, un modèle de ChatGPT non divulgué a affirmé avoir résolu l’un des sept problèmes du millénaire (les équations de Navier-Stokes). En parallèle, les mathématiciens Buckmaster et Alpöge, s’appuyant sur Codex d’OpenAI, ont annoncé une avancée comparable et ont été interrogés sur le fait que le modèle d’OpenAI n’avait pas pu être influencé par leur propre travail. La réponse d’OpenAI est éloquente :
« Bien que cela soit peu probable, nous ne pouvons pas exclure que des données anonymisées issues de l’utilisation de nos produits aient contribué à l’amélioration de nos modèles. »
Transposé à votre réalité : soumettre une idée, une hypothèse technique ou un axe de contournement sans précaution, c’est accepter que cette contribution devienne, un jour, la matière première des innovations de vos concurrents. Pour un brevet non encore déposé, il existe un risque de perte de nouveauté et de l’avantage concurrentiel que vous êtes en train de construire.
La donnée est le nerf de la guerre des modèles. Les gisements de textes humains de haute qualité s’épuisent. D’où la vague d’acquisitions et de partenariats récents : rachat de GitHub par Microsoft (7,5 Md$), accord OpenAI–Reddit (60 M$), acquisition de Cursor évoquée à 60 Md$, projet « Panama » d’Anthropic. La conséquence à garder en tête : une offre gratuite ou très bon marché repose souvent sur un modèle économique de collecte de données. Le prix que vous ne payez pas en euros, vous le payez en données.
- Le paysage : un risque structurel, pas seulement contractuel
L’étude LARA (Aithos) conclut qu’en situation réelle, sans supervision humaine, la quasi-totalité des modèles et agents IA disponibles enfreint régulièrement le RGPD et l’IA Act. Les incidents récents, par exemple la compromission de Hugging Face (juillet 2026) et l’intrusion visant des administrations australiennes et des agences de l’ONU via des agents d’OpenAI (septembre 2026), l’illustrent sans ambiguïté.
Pour une PME, l’enjeu est double :
- Contractuel : vous êtes responsable des données que vous confiez à un sous-traitant technologique.
- Réputationnel : vos données clients, salariales ou stratégiques ne vous appartiennent pas toujours ; les engager dans un service dont vous ne maîtrisez pas la politique de rétention vous expose personnellement.
Qui plus est, le Cloud Act (2018) complique la donne. Il permet aux autorités américaines (FBI, DOJ) d’obtenir des données auprès de fournisseurs relevant de la juridiction américaine, même si ces données sont hébergées en Europe. Un datacenter Microsoft, AWS ou Google situé à Paris, Francfort ou Dublin reste sous le contrôle d’une entreprise américaine. Des données stockées en France, chiffrées et couvertes par le RGPD, peuvent, en droit, être communiquées sur injonction, sans que vous en soyez informé. Il est donc important de savoir où sont hébergées ses données et par qui.
Côté fournisseurs, la vigilance s’impose :
Anthropic (Claude) : la communication met en avant une approche « Privacy by design », mais la version grand public entraîne par défaut les modèles sur les conversations des utilisateurs. Il a fallu attendre août 2025 pour qu’un opt-out soit proposé, et la rétention des données peut aller jusqu’à cinq ans. Pire encore, les changements introduits en juillet 2026 autorisent la transmission des données aux autorités sur simple appréciation interne, sans contrôle externe. En pratique, seules les offres Team, Enterprise ou API garantissent qu’aucun entraînement ne soit réalisé sur vos données.
OpenAI / Google : la juridiction est américaine, ce qui les expose directement au Cloud Act. Encore une fois, les offres gratuites d’OpenAI et de Google exposent vos données directement à l’entraînement de leurs modèles. S’ajoute, pour Google, une intégration profonde à l’écosystème (Search, Workspace, Cloud) qui multiplie les canaux de circulation des données au-delà du simple service de conversation.
Modèles chinois (DeepSeek, etc.) : le coût est jusqu’à 80 fois inférieur, mais au prix d’une collecte étendue de données personnelles (adresse e-mail, numéro de téléphone, rythme de frappe, contenu des échanges) hébergées en Chine et partageables avec les autorités. Aucune référence au RGPD ni à l’AI Act ne figure dans les conditions d’utilisation. En l’état, la fourniture de données est déconseillée. Une nuance toutefois : lorsque les poids du modèle sont ouverts (c’est-à-dire fournis en libre accès pour permettre une utilisation du modèle sur des serveurs tiers), il est possible de les héberger soi-même sur une infrastructure souveraine, ce qui neutralise le risque de collecte.
Le guide de la CNIL constitue une référence pratique : il détaille, plateforme par plateforme (Gemini, Meta AI, ChatGPT, Copilot, Grok, DeepSeek, Mistral, Claude, WhatsApp, LinkedIn), les démarches concrètes pour s’opposer à la réutilisation de ses données à des fins d’entraînement. Refuser cette réutilisation n’est pas une option de confort, c’est un droit. De ce fait, nous vous encourageons à suivre ses conseils.
- Une stratégie pragmatique pour protéger vos actifs
Si aucune solution unique ne s’impose à tous, trois voies crédibles et cumulables s’offrent à vous :
(i) Usage raisonné des grands modèles américains : il s’agit d’utiliser les assistants généralistes (Copilot, Claude, Gemini…) en appliquant un paramétrage rigoureux de la confidentialité, conformément aux préconisations du guide de la CNIL. Cette voie reste strictement réservée aux données non sensibles. Il faut être clair : c’est une solution d’usage, pas une solution de protection. Le risque structurel lié à la juridiction et au modèle économique du fournisseur demeure.
(ii) Solution éditée et hébergée en Europe : vous confiez vos données à un éditeur dont l’infrastructure est située en France (Mistral AI, Safebrain, Algo IA, Scaleway) ou en Suisse (Infomaniak/ Euria, Proton, Lumo). Le service est conforme au RGPD et à l’IA Act, et un engagement contractuel garantit qu’aucun entraînement n’est effectué sur vos données. De plus, vous sortez du périmètre du Cloud Act sans sacrifier les performances.
(iii) Hébergement de modèles en poids ouverts : vous installez vous-même le modèle (Gemma, Muse, Qwen, DeepSeek, Nemotron) sur votre propre infrastructure, et vous en maîtrisez l’intégralité du cycle de vie. L’échelle est aujourd’hui très accessible : un portable récent fait tourner un modèle de 4 à 9 B de paramètres, une carte graphique de bonne facture ou certains MacBook Pro gèrent des modèles de 17 à 35 B de paramètres, et un serveur dédié permet d’héberger des modèles de 70 à 512 B de paramètres, voire au-delà. L’avantage : vos données ne quittent jamais votre entreprise.
A titre d’exemple, notre fonctionnement chez Brandon IP : une approche hybride en trois niveaux :
- Données non confidentielles, non identifiantes (recherche d’art antérieur, demande déjà publiée, rapport de recherche) : Grands modèles (Copilot, Claude) avec les réglages de confidentialité selon les préconisations de la CNIL.
- Données non sensibles mais identifiantes (dossiers internes, échanges avec les clients) : IA hébergée en Europe, conforme au RGPD et à l’AI Act (Euria d’Infomaniak).
- Données sensibles (mémoire d’invention, projet de brevet, dossier de litige, etc.) : Serveur local sur lequel sont hébergés des modèles en poids ouverts (Qwen 3.8 27B, Qwen 3.6 35B A3B, Gemma 26B A4B).
Cette approche permet de tirer parti de l’IA tout en garantissant que nos données et celles de nos clients ne soient pas compromises.
- Ce qu’il faut retenir
L’IA est devenue un outil indispensable dans vos fonctions de direction, de R&D ou de gestion. Utilisée à bon escient et avec le bon fournisseur, elle accroît la productivité. Utilisée à l’aveugle, elle expose vos données sensibles sans que vous en soyez parfois conscient.
La bonne nouvelle, c’est que la maîtrise est à portée de main. Comme exposé ci-dessus, quelques mesures suffisent à séparer la valeur de l’exposition : une politique interne claire sur ce qui peut être saisi dans un assistant, un paramétrage de confidentialité rigoureux, et le choix d’un hébergement adapté au niveau de sensibilité de vos données.
