Modèle propriétaire, open source ou souverain : lequel choisir ?

En bref. « Souverain », « open source » et « propriétaire » ne sont pas trois cases étanches : ce sont trois questions différentes. Qui contrôle le modèle ? Où passent et où sont stockées vos données ? Que dit la licence sur votre usage ? Pour la plupart des PME, la bonne réponse n’est pas un modèle unique mais un choix par cas d’usage : une API propriétaire pour les tâches peu sensibles, un modèle à poids ouverts hébergé sous contrat européen pour les données confidentielles. Ce qui compte avant tout : lire la licence modèle par modèle et cartographier les flux de données.

Trois mots, trois questions différentes

Les dirigeants qui nous posent la question mélangent souvent trois notions. Les séparer évite la moitié des mauvaises décisions.

Propriétaire : vous appelez un modèle par API, l’éditeur le fait tourner chez lui. Vous ne voyez ni les poids ni l’infrastructure.
Open source / poids ouverts : les poids du modèle sont téléchargeables, vous pouvez les héberger vous-même ou chez un prestataire. Attention : « poids ouverts » ne veut pas dire « sans conditions d’usage ».
Souverain : il n’existe pas de label unique. Dans la pratique, on parle de souveraineté quand le modèle, l’hébergement et le contrat relèvent d’acteurs et de droits que vous maîtrisez. On peut être souverain avec un modèle propriétaire hébergé en Europe, et ne pas l’être avec un modèle ouvert déployé n’importe où.

Baie de serveurs et équipements réseau câblés dans une salle technique, illustrant l'hébergement d'un modèle de langage en interne

« Open source » : lisez la licence, modèle par modèle

Erreur fréquente : supposer qu’un éditeur applique la même licence à tous ses modèles. La documentation officielle de Mistral AI montre le contraire : Mistral Large 3, Mistral Small 4 et les Ministral 3 sont indiqués sous licence Apache 2.0, Mistral Medium 3.5 sous une licence MIT modifiée, Voxtral TTS sous CC BY-NC 4.0 (ce qui exclut l’usage commercial), et plusieurs modèles comme Codestral ou Mistral Embed sont classés « Premier » dans cette même documentation, une catégorie qui n’est pas présentée comme ouverte. Une même maison, quatre régimes différents.

Autre exemple, du côté de Meta : la licence de Llama impose de respecter une politique d’utilisation acceptable, n’accorde aucune licence de marque, et exige de demander une licence à Meta si vos produits dépassent 700 millions d’utilisateurs actifs mensuels. Le seuil ne concerne presque aucune PME, mais la politique d’utilisation, elle, s’applique à vous.

Réflexe à adopter : pour chaque modèle envisagé, ouvrez la page du modèle (sur Hugging Face, la licence est déclarée dans les métadonnées de la fiche), lisez le texte de la licence, et archivez-le avec la date. Une licence peut changer d’une version à l’autre du même modèle.

Souveraineté : suivez le chemin de la donnée

Le vrai sujet de souveraineté, c’est ce qui arrive aux données que vous envoyez au modèle : contrats clients, fiches RH, plans, tickets de support. Trois points à vérifier, dans cet ordre.

1. Où le traitement a-t-il lieu ?

Un prestataire d’IA qui fournit le modèle ou l’infrastructure agit en général comme sous-traitant au sens de l’article 28 du RGPD et doit être encadré par un contrat dédié. Et héberger le modèle hors de l’Union ne vous exonère pas : le RGPD s’applique dès lors que des résidents européens sont concernés, comme le rappellent des juristes spécialisés.

2. Si les données sortent de l’UE, sur quelle base juridique ?

La CNIL distingue plusieurs mécanismes : la décision d’adéquation de la Commission européenne, les clauses contractuelles types, et une analyse d’impact du transfert, pour laquelle elle a publié un guide. Demandez à votre fournisseur lequel il utilise, par écrit, avant de signer.

3. Vos données servent-elles à entraîner le modèle ?

C’est une clause contractuelle, pas une propriété du modèle. Vérifiez les conditions de l’offre professionnelle (et non celles de l’offre grand public), la durée de conservation des requêtes et la possibilité de désactiver toute réutilisation.

Les trois options face à face

Critère	API propriétaire	Poids ouverts, auto-hébergé	Modèle hébergé sous contrat européen
Mise en route	Très rapide	Plus longue : infrastructure, exploitation	Intermédiaire
Contrôle des données	Contractuel uniquement	Maximal si vous maîtrisez l’hébergement	Contractuel, avec localisation choisie
Compétences internes	Faibles	Élevées (sécurité, mises à jour, supervision)	Moyennes
Risque principal	Dépendance à un éditeur et à ses conditions	Charge d’exploitation sous-estimée	Contrat mal lu, sous-traitants en cascade

Un arbre de décision en cinq questions

Les données sont-elles personnelles ou confidentielles ? Non : une API propriétaire suffit souvent. Oui : passez aux questions suivantes.
Pouvez-vous anonymiser ou masquer les champs sensibles avant l’appel ? Si oui, un modèle propriétaire reste envisageable, avec un filtre en amont.
Avez-vous des exigences contractuelles de vos propres clients (localisation, sous-traitance) ? Elles priment sur vos préférences techniques.
Avez-vous quelqu’un pour exploiter un serveur de modèles : mises à jour, supervision, sécurité ? Sinon, préférez un hébergement géré sous contrat européen.
La tâche exige-t-elle le meilleur modèle du marché ? Beaucoup de tâches (classement, extraction, résumé, questions-réponses sur vos documents) se contentent d’un modèle plus petit. Testez-le sur vos propres exemples avant de décider.

Baies de serveurs sombres derrière des portes grillagées, avec câbles réseau orange et bleus et voyants verts

Les erreurs à éviter

Choisir sur un classement. Un palmarès général ne dit rien de la qualité sur vos contrats ou vos tickets, en français. Construisez un jeu de test de 30 à 50 cas réels et comparez.
Oublier le coût d’exploitation. « Sans frais de licence » ne veut pas dire gratuit : serveurs, supervision, mises à jour et temps d’équipe comptent. Notre article Combien coûte un projet d’IA en PME ? détaille les postes à budgéter.
Se verrouiller sans le voir. Si votre application dépend des particularités d’un seul fournisseur, changer de modèle devient un chantier. Une couche d’abstraction entre votre application et le modèle garde la porte ouverte : c’est le cœur d’une intégration de LLM par API bien conçue.
Traiter l’IA comme un outil isolé. Le choix du modèle dépend de ce qu’il doit faire : un chatbot IA branché sur vos documents n’a pas les mêmes besoins qu’un agent IA qui agit dans vos outils.
Ne pas relire le contrat. Sous-traitants ultérieurs, durée de conservation, réutilisation des données : c’est là que se joue la souveraineté, pas dans le nom du modèle.

Notre recommandation pour une PME

Commencez par classer vos cas d’usage en trois niveaux de sensibilité : public, interne, confidentiel. Associez ensuite un type de déploiement à chaque niveau, plutôt qu’un modèle unique à toute l’entreprise. Un assistant qui rédige des brouillons d’articles n’a pas les mêmes contraintes qu’un outil qui lit des contrats. Et prévoyez dès le départ de pouvoir changer de modèle : les offres évoluent vite, et vos choix de licence et d’hébergement doivent pouvoir suivre.

FAQ

Un modèle open source est-il forcément gratuit pour un usage commercial ?

Non. La licence décide. Chez un même éditeur, certains modèles sont sous Apache 2.0, d’autres sous des licences modifiées ou non commerciales. Lisez la licence de la version exacte que vous déployez.

Héberger un modèle chez soi suffit-il pour être conforme au RGPD ?

Non. L’hébergement réduit les flux vers des tiers, mais la conformité repose aussi sur la base légale, l’information des personnes, la durée de conservation et la sécurité. Héberger en interne déplace des responsabilités vers vous, il ne les supprime pas.

Peut-on mélanger plusieurs modèles dans une même entreprise ?

Oui, et c’est souvent le meilleur compromis : un modèle hébergé pour les données sensibles, une API pour le reste. Il faut alors un point d’entrée unique qui route les requêtes selon leur sensibilité.