Vos données sont déjà en Amérique. Et maintenant ?

Mistral vient de présenter Mistral Large 4. Ce n'est pas le modèle le plus puissant du monde, et ce n'est pas le but. Mais c'est, selon Mistral, le meilleur modèle ouvert développé hors de Chine, entraîné sur 4 000 GPU pendant deux mois, dans ses propres centres de données en Europe. Et on pourra l'installer sur ses propres serveurs.

Je m'en réjouis vraiment. Faire aussi bien avec beaucoup moins de moyens, c'est une performance. Et ça tombe bien : dans ma dernière édition, je vous avais promis de parler de sécurité et de confidentialité des données, et Mistral, le champion européen, me donne l'intro.

Pour une PME, la souveraineté totale n'existe pas. Mais on peut construire quelque chose de solide, avec quatre réflexes.

Trier avant d'envoyer. Toutes les données ne se valent pas. Un brouillon de post LinkedIn n'a rien à voir avec un dossier client ou une fiche RH. De mon côté, quand une tâche touche des données personnelles, je les pseudonymise en local avec Presidio avant qu'elles ne partent vers un modèle : les noms et les adresses sont remplacés par des alias, et je réinjecte les vraies valeurs à la fin, chez moi. Petit clin d'œil : Presidio est un outil open source développé par Microsoft, mais il tourne entièrement sur ma machine. C'est également une bonne pratique que je mets en place chez tous mes clients, ou que je conseille fortement.

Savoir où c'est traité, et si c'est gardé. Ce sont deux questions différentes, et beaucoup les confondent. La région d'utilisation, c'est-à-dire l'emplacement des serveurs, dit où votre demande est traitée. Le ZDR (« zero data retention », zéro conservation) dit si le fournisseur garde quelque chose après coup. Un traitement en Europe peut être conservé, un traitement sans conservation peut se faire ailleurs. Il faut les deux. Personnellement, j'utilise OpenRouter en offre Business, avec un routage limité à l'Europe et le ZDR imposé sur mes appels. Côté solidité, Stripe a annoncé en août le rachat d'OpenRouter (le montant n'est pas officiel, la presse parle de 7,5 à plus de 8 milliards de dollars). Un acteur des paiements en ligne qui a cette assise ne disparaîtra pas demain. En revanche, ça reste une société américaine, et c'est justement pour ça que les réglages de région et de conservation comptent autant que le choix du fournisseur. C'est vrai chez chaque fournisseur, même chez Microsoft, qui bénéficie d'une aura de « sainteté » mais reste, au fond, comparable à tous les autres. Ce sont les réglages qui font la différence.

Limiter ce que les agents peuvent toucher. Un agent n'a pas besoin d'accéder à tout. Accès minimaux, et validation humaine avant toute action sensible : envoyer, supprimer, payer. Mes agents préparent beaucoup de choses, mais aucun n'envoie un email sans mon accord. Et je n'ai pas encore activé les paiements... même si, j'avoue, ça me taraude, avec une carte « jetable » plafonnée.

Faire des choix pérennes. En juin, un modèle de pointe a été coupé du jour au lendemain par décision d'un État. Le jour où votre fournisseur change ses prix, ses règles ou disparaît, vous devez pouvoir bouger. C'est là que Mistral Large 4 m'intéresse : un modèle ouvert, européen, qu'on peut faire tourner chez soi, c'est une carte de secours précieuse. C'est aussi là qu'un intermédiaire comme OpenRouter a du sens : on change de fournisseur « d'intelligence » en quelques minutes.

Le contexte pousse dans ce sens. Les obligations de transparence de l'AI Act s'appliquent depuis le 2 août, et aux États-Unis, la FTC vient d'ouvrir une enquête sur les risques des agents. Mieux vaut poser ces règles maintenant, tranquillement, que sous la pression. Documentez vos outils et gardez une trace de vos choix, c'est déjà la base.