Série « IA locale », épisode 3. Épisodes précédents : Ollama ou LM Studio et quel ordinateur choisir.

« Si l’IA tourne sur nos ordinateurs, on est tranquilles avec le RGPD, non ? » C’est l’un des arguments les plus séduisants de l’IA locale, et il est en grande partie vrai : aucune donnée ne part chez un fournisseur. Mais « en grande partie » ne veut pas dire « entièrement ». Voici ce qu’une PME doit savoir avant de se lancer, avec les recommandations de la CNIL, le point sur l’AI Act en 2026 et une checklist concrète.

Cet article partage un retour d’expérience de DSI, pas un avis juridique. Pour un traitement sensible, faites valider votre démarche par votre DPO ou un juriste.

Ce que l’IA locale règle vraiment

Avec un modèle téléchargé et exécuté sur vos propres machines (via LM Studio ou Ollama), plusieurs sujets délicats disparaissent :

• Pas de transfert de données hors de l’Union européenne vers un fournisseur d’IA.
• Pas de sous-traitant IA à encadrer par contrat pour le modèle lui-même.
• Pas de réutilisation de vos données pour entraîner le modèle d’un tiers.

La CNIL va d’ailleurs dans ce sens. Dans ses premières précisions sur le déploiement de l’IA générative (juillet 2024), elle recommande aux organismes de choisir un système adapté « en privilégiant le recours à des systèmes locaux, sécurisés et spécialisés ».

Ce qu’elle ne règle pas

Si vous traitez des données personnelles avec votre IA locale (un CV, un dossier client, un compte rendu d’entretien), vous restez responsable de traitement. Le RGPD s’applique à l’usage, pas seulement à l’hébergement. Concrètement :

• Finalité et minimisation : vous devez savoir pourquoi vous traitez ces données et n’utiliser que celles qui sont nécessaires.
• Sécurité : l’historique des conversations est stocké sur le poste. Un ordinateur portable perdu et non chiffré, c’est une violation de données.
• Durées de conservation : les conversations ne doivent pas s’accumuler indéfiniment.
• Registre et, si nécessaire, analyse d’impact (AIPD) : un usage qui touche des données sensibles ou qui aide à prendre des décisions sur des personnes (recrutement, par exemple) doit être documenté, et peut exiger une AIPD.
• Fiabilité des résultats : une IA peut se tromper ou inventer. Une décision qui concerne une personne ne doit pas reposer uniquement sur sa réponse.

Attention aux fonctions « cloud » cachées

LM Studio et Ollama proposent aussi des modèles hébergés dans le cloud, de la recherche web ou l’accès à distance entre appareils. Dès qu’un collaborateur active l’une de ces fonctions, vos données sortent du poste. En entreprise, décidez clairement ce qui est autorisé et vérifiez les paramètres des postes. L’IA locale n’est locale que si elle est configurée comme telle.

Et l’AI Act dans tout ça ?

Le règlement européen sur l’IA s’ajoute au RGPD, et son calendrier a bougé cet été avec l’« omnibus numérique » :

• Depuis février 2025 : les pratiques interdites s’appliquent, ainsi que l’exigence de former les personnes qui utilisent l’IA dans l’entreprise.
• Depuis le 2 août 2026 : les obligations de transparence (informer les personnes qu’elles interagissent avec une IA, signaler les contenus générés) sont en principe applicables.
• Report au 2 décembre 2027 : les obligations des systèmes « à haut risque » listés à l’annexe III, dont le recrutement et la gestion du personnel. Août 2028 pour ceux intégrés à des produits réglementés.

Pour une PME qui utilise une IA locale pour rédiger, résumer ou analyser des documents, l’essentiel est donc : former les utilisateurs, être transparent, et repérer dès maintenant les usages qui pourraient relever du haut risque, comme le tri de candidatures. Le report donne du temps, pas une dispense.

La checklist en 10 points pour une PME

1. Lister les usages prévus et les données concernées.
2. Choisir les outils et les modèles autorisés, en vérifiant leur licence d’utilisation commerciale.
3. Désactiver ou interdire les fonctions cloud si l’objectif est la confidentialité.
4. Chiffrer les postes (BitLocker, FileVault) et protéger l’accès aux serveurs partagés.
5. Définir une durée de conservation des conversations et la faire respecter.
6. Mettre à jour le registre des traitements et impliquer votre DPO s’il existe.
7. Réaliser une AIPD pour les usages sensibles (RH, santé, données de clients vulnérables).
8. Rédiger une charte d’utilisation courte : ce qui est permis, ce qui est interdit.
9. Former les utilisateurs aux limites de l’IA et à la vérification des résultats.
10. Garder un humain dans la boucle pour toute décision qui concerne une personne.

Et en Suisse ?

Pour les entreprises suisses, c’est la loi fédérale sur la protection des données (nLPD), en vigueur depuis septembre 2023, qui s’applique. Ses principes sont très proches : transparence, proportionnalité, sécurité. La logique de cette checklist reste donc valable. Et si vous travaillez avec des clients européens, le RGPD peut aussi vous concerner.

Questions fréquentes

Une IA locale est-elle automatiquement conforme au RGPD ?

Non. Elle supprime les risques liés au transfert des données vers un fournisseur, mais vous restez responsable de l’usage : finalité, sécurité, conservation, information des personnes.

Peut-on utiliser un modèle d’origine chinoise comme Qwen en local ?

Techniquement, un modèle exécuté en local n’envoie pas de données à son éditeur. Les vrais points d’attention sont sa licence, ses éventuels biais et la politique de votre entreprise. C’est une décision à prendre et à documenter, pas un interdit automatique.

Faut-il une analyse d’impact (AIPD) ?

Pas systématiquement. Elle devient nécessaire quand le traitement présente un risque élevé pour les personnes, par exemple l’analyse de candidatures ou le traitement de données de santé. En cas de doute, faites-la : c’est aussi un excellent outil de cadrage.

L’AI Act concerne-t-il une petite entreprise qui utilise LM Studio ?

Oui, dans une mesure limitée : former les utilisateurs et respecter les obligations de transparence. Les obligations lourdes concernent les systèmes à haut risque, dont l’entrée en application a été reportée à fin 2027.

En résumé

L’IA locale est l’une des meilleures réponses aux enjeux de confidentialité, et la CNIL la recommande. Mais elle ne remplace pas une démarche de conformité : un usage clair, des postes sécurisés, des utilisateurs formés et une documentation à jour. Bien cadrée, c’est un moyen simple de profiter de l’IA sans exposer vos données.

Sources : CNIL — Comment déployer une IA générative ? ; CNIL — Questions-réponses sur l’utilisation d’un système d’IA générative ; Quantic Avocats — AI Act, report des obligations haut risque.

Article rédigé par Sylvain Jacquemard, DSI avec plus de 25 ans d’expérience en informatique, Regional Leader de la Microsoft Global Community Initiative en Suisse et auteur de livres sur l’IA générative.