Que faire de vos données sensibles à l'ère de l'IA ?

Données sensibles et IA générative : que faire ?

Vous avez des données sensibles : une gamme de fabrication, un cahier de laboratoire, un dossier de matériovigilance, un plan sous contrôle export. Et vos ingénieurs veulent un assistant d'IA pour travailler dessus. Le premier réflexe est d'interdire, et un technicien finit par coller la fiche d'atelier dans son compte personnel, sans aucune garantie choisie par l'entreprise. Le second, acheter un serveur, revient à environ 2 000 € par mois une fois exploité. Pour la plupart de vos documents, il existe plus simple. Tout part d'une question : ce document peut-il quitter votre réseau ?

Sommaire

• La réponse en bref
• Quelles données sont vraiment sensibles
• Quatre possibilités, quatre prix
• Quelle possibilité pour quel document
• Par où commencer
• Sources

La réponse en bref

Pour chaque document, demandez-vous s'il peut quitter votre réseau. Si oui, un service en ligne bien réglé suffit. Un abonnement d'entreprise couvre l'usage courant, pour 18 à 25 € HT par siège et par mois. Une API hébergée en Europe protège mieux le secret de fabrication et la R&D, pour quelques centaines d'euros par mois et une équipe de 20. Pour des données de santé, le service d'IA lui-même doit être certifié HDS : c'est possible chez un grand fournisseur comme Microsoft Azure, sous conditions. Si le document ne peut pas sortir, seul un LLM installé chez vous convient : environ 24 000 € HT à l'achat et 2 000 € HT par mois, exploitation comprise.

Quelles données sont vraiment sensibles

Dans une PME industrielle, les données les plus sensibles sont des documents techniques, consultés tous les jours, ceux que les équipes voudront justement confier à un assistant. On en distingue quatre familles :

• Le secret de fabrication : gammes, paramètres de procédé, tours de main notés dans une fiche d'atelier.
• La R&D : inventions pas encore déposées, cahiers de laboratoire, résultats d'essais.
• Les données de santé : essais cliniques, matériovigilance, retours de patients sur un dispositif médical.
• Les documents interdits de sortie, par contrat ou par réglementation : contrôle export, défense, Diffusion Restreinte, recherche relevant de la protection du potentiel scientifique et technique (PPST).

Pour les données sensibles, l'ANSSI proscrit les outils d'IA générative en ligne dont l'entreprise n'a pas la maîtrise. Elle exclut nommément les services d'IA tiers grand public pour la Diffusion Restreinte et les travaux relevant de la PPST [1]. Un service en ligne ne se défend donc que si son contrat et ses réglages vous donnent cette maîtrise. Quand un dossier touche plusieurs familles, la plus stricte décide. Le classement de chaque document revient au juriste ou au DPO.

Quatre possibilités, quatre prix

Les possibilités vont de la plus ouverte à la plus fermée. Leurs prix sont des ordres de grandeur, relevés entre le 24/09 et le 08/10/2026 sur les pages officielles. Les fournisseurs les font évoluer souvent.

Un abonnement d'entreprise, autour de 20 € par siège

Claude Team, ChatGPT Business ou Mistral Team coûtent de 18 à 25 € HT par siège et par mois [2][3][4]. Rien à développer : l'interface est prête à l'emploi. L'entraînement sur vos contenus y est désactivé par défaut, sauf chez Mistral, où il faut le couper soi-même [2][3][4]. Mistral héberge en Europe par défaut [5], ChatGPT Business non [3]. Cela suffit pour la documentation courante et les usages de tous les jours.

Une API hébergée en Europe, quelques centaines d'euros par mois

Le modèle se branche sur votre propre application, qui va chercher les passages utiles dans votre documentation avant de répondre. On paie au volume. L'API directe d'Anthropic ne traite pas les données en Europe [6]. Claude est en revanche disponible sur Amazon Bedrock, en région Paris. Le fournisseur du modèle n'y a accès ni aux questions ni aux réponses [7], et la conservation des échanges se règle, jusqu'à zéro quand le modèle l'admet [8]. Pour 20 ingénieurs posant chacun 40 questions par jour sur de longs extraits, comptez autour de 700 € HT par mois (estimation de l'auteur [9][10]). Elle convient au secret de fabrication et à la R&D, à condition de construire l'application.

Un modèle ouvert chez un hébergeur européen, environ 200 € par mois

Scaleway sert depuis Paris des modèles ouverts comme Qwen3.8-27B. Avec le même usage, la facture tombe à environ 200 € HT par mois (même estimation [11]). Les données ne servent pas à l'entraînement et restent inaccessibles aux créateurs du modèle [12]. Comparez-le à Claude sur vos propres documents avant de choisir. Autre atout, il peut ensuite tourner sur votre propre serveur si le besoin change.

Un LLM chez vous, environ 2 000 € par mois

Pour ce qui ne doit jamais sortir, seul un serveur interne convient, car il peut fonctionner sur un réseau coupé d'Internet. Une carte graphique de 96 Go suffit pour une équipe de cette taille (calcul de l'auteur). Elle coûte environ 16 000 € HT [13], le serveur complet autour de 24 000 € HT. Il faut surtout que quelqu'un installe les mises à jour, teste chaque nouvelle version sur vos documents et réponde aux utilisateurs. Avec l'amortissement sur trois ans, l'électricité [14] et trois jours de travail par mois, le serveur revient à environ 2 000 € par mois, dont la moitié pour cette personne (estimation de l'auteur). Prévoyez un suppléant : sans lui, un départ fige le système. Et l'isolement ne protège pas l'assistant des instructions cachées dans un PDF fournisseur.

Quelle possibilité pour quel document

Le tableau reprend chaque famille de documents, la possibilité qui lui convient et son prix indicatif.

La plupart des entreprises combineront deux possibilités : un abonnement pour l'essentiel des usages, une API européenne ou un serveur pour le seul périmètre qui l'exige. Pour la santé, un service en ligne reste possible, à condition que la certification HDS couvre le service d'IA lui-même, pas seulement l'hébergeur. Chez Scaleway, par exemple, les services d'IA générative ne figurent pas parmi les produits certifiés [15]. Microsoft, lui, étend sa certification HDS aux services Azure couverts par son certificat ISO 27001 dans ses régions européennes, hors préversions [16]. Azure OpenAI peut donc convenir, à trois conditions. Vérifiez qu'il figure dans la liste des services couverts. Choisissez un déploiement qui traite les données en Europe, « Data Zone » européenne ou régional, et non « Global », qui peut les traiter dans n'importe quelle région [17]. Enfin, signez avec Microsoft les clauses contractuelles HDS [16]. Si aucun service retenu n'est couvert, ces données restent chez vous. Les assistants de réunion posent la même question : où partent l'audio et la transcription dépend de l'outil et de ses réglages.

Par où commencer

1. Interdire les comptes personnels pour les documents sensibles, en fournissant un outil à la place.
2. Lister les documents que les équipes veulent confier à un assistant.
3. Les ranger dans les quatre familles avec le juriste ou le DPO.
4. Ouvrir un abonnement d'entreprise pour la documentation courante, en vérifiant que l'entraînement est désactivé.
5. Réserver une API hébergée en Europe, conservation des échanges réglée, au secret de fabrication et à la R&D.
6. Vérifier, pour les données de santé, que la certification HDS couvre le service d'IA lui-même et son type de déploiement.
7. Garder le serveur interne pour le seul périmètre qui ne doit pas quitter le réseau, avec une personne formée et un suppléant.
8. Tester les modèles candidats sur vos propres documents avant de choisir.

Le plus long, c'est de ranger chaque document dans la bonne famille. C'est le travail du diagnostic Data IA, qui livre pour chaque document la possibilité retenue et son coût, en 8 jours et pour 6 000 € HT à votre charge après l'aide de 40 % de Bpifrance.

Sources

1. ANSSI, « Recommandations de sécurité pour un système d'IA générative », 29/04/2024, consulté le 05/10/2026. https://messervices.cyber.gouv.fr/documents-guides/Recommandations_de_s%C3%A9curit%C3%A9_pour_un_syst%C3%A8me_d_IA_g%C3%A9n%C3%A9rative.pdf
2. Anthropic, « Tarifs Claude » (Team, Enterprise), relevé le 24/09/2026 et revérifié le 08/10/2026. https://claude.com/pricing
3. OpenAI, « Tarifs Business », page française lue dans un navigateur le 24/09/2026 (inaccessible aux robots) ; copie archivée du 13/08/2026, relue le 05/10/2026 : http://web.archive.org/web/20260813130943/https://openai.com/business/chatgpt-pricing/. https://openai.com/business/chatgpt-pricing/
4. Mistral AI, « Pricing » (offres Free, Pro, Team, Enterprise), relevé le 24/09/2026. https://mistral.ai/pricing
5. Mistral AI, centre d'aide, « Where do you store my data or my Organization's data? », 12/08/2026. https://help.mistral.ai/en/articles/347629-where-do-you-store-my-data-or-my-organization-s-data
6. Anthropic, « Data residency », documentation de la plateforme Claude, consultée le 24/09/2026. https://platform.claude.com/docs/en/manage-claude/data-residency
7. AWS, « Data protection », guide utilisateur Amazon Bedrock, consulté le 05/10/2026. https://docs.aws.amazon.com/bedrock/latest/userguide/data-protection.html
8. AWS, « Data retention », guide utilisateur Amazon Bedrock, consulté le 05/10/2026. https://docs.aws.amazon.com/bedrock/latest/userguide/data-retention.html
9. AWS, « Price List API », offre AmazonBedrockFoundationModels, région eu-west-3 (Paris), version du 07/10/2026, relevée le 08/10/2026. https://pricing.us-east-1.amazonaws.com/offers/v1.0/aws/AmazonBedrockFoundationModels/20261007183733/eu-west-3/index.json
10. Banque centrale européenne, « Taux de référence EUR/USD », 07/10/2026, relevé le 08/10/2026. https://data.ecb.europa.eu/data/datasets/EXR/EXR.D.USD.EUR.SP00.A
11. Scaleway, « Model-as-a-Service pricing » (Generative APIs, Managed Inference), région Paris, relevé le 24/09/2026 et revérifié le 08/10/2026. https://www.scaleway.com/en/pricing/model-as-a-service/
12. Scaleway, « Generative APIs: data privacy », documentation, consultée le 24/09/2026. https://www.scaleway.com/en/docs/generative-apis/reference-content/data-privacy/
13. LDLC.pro, « PNY NVIDIA RTX PRO 6000 Blackwell Workstation Edition, version OEM », relevé le 08/10/2026. https://www.ldlc.pro/fiche/PB00715553.html
14. Eurostat, « Electricity prices for non-household consumers » (nrg_pc_205), France, 2025-S2, prix hors TVA et autres taxes récupérables, mis à jour le 24/09/2026, consulté le 05/10/2026. https://ec.europa.eu/eurostat/databrowser/view/nrg_pc_205/default/table?lang=fr
15. Scaleway, « HDS », sécurité et conformité, consulté le 05/10/2026. https://www.scaleway.com/fr/security-and-compliance/hds/
16. Microsoft, « Hébergement de données de santé (HDS) France », Microsoft Learn, 06/08/2026, consulté le 20/10/2026. https://learn.microsoft.com/fr-fr/compliance/regulatory/offering-hds-france
17. Microsoft, « Understanding deployment types in Microsoft Foundry Models », Microsoft Learn, 06/08/2026, consulté le 20/10/2026. https://learn.microsoft.com/en-us/azure/ai-foundry/foundry-models/concepts/deployment-types