IA open source et souveraineté : comprendre, évaluer, décider

Durée : 3h30
Objectif opérationnel :
Qualifier ce qu'une offre d'IA « open source » met réellement à disposition, statuer par écrit sur deux licences réelles à l'aide de la grille de lecture, et retenir deux à trois options — familles de modèles, offres souveraines — à instruire l'après-midi pour son contexte.
Contenu :

• Pourquoi la question se pose en 2026 pour une TPE-PME : l'adoption de l'IA progresse fortement dans les petites entreprises françaises (26 % des TPE-PME utilisent des solutions d'IA, un doublement en un an — Baromètre France Num, septembre 2025) et la souveraineté de l'IA s'affirme comme préoccupation majeure des organisations européennes (priorité déclarée par 74 % des répondants d'une enquête Red Hat publiée le 27 novembre 2025 auprès de plus de 900 décideurs et ingénieurs informatiques de neuf pays de la zone EMEA, portant sur la stratégie IA des dix-huit prochains mois) ; les situations types qui déclenchent l'arbitrage : clause de confidentialité d'un client, proposition d'un prestataire, dépendance à un fournisseur unique, coûts d'abonnement croissants.
• « Open weights » ou open source ? La définition de référence OSAID 1.0 de l'Open Source Initiative (octobre 2024) — code, paramètres (poids) et informations suffisamment détaillées sur les données d'entraînement — et le constat : la plupart des modèles dits « ouverts » sont en réalité « open weights » ; ce que cette distinction change concrètement pour l'entreprise : ce qu'elle peut vérifier, adapter, redistribuer — et ce qui reste opaque.
• Lire une licence de modèle avant de s'engager : les licences permissives (Apache 2.0 — Qwen, Gemma 4, gpt-oss, plusieurs modèles Mistral : usage commercial, modification et redistribution sans redevance ; MIT — DeepSeek R1, GLM) et les licences maison à examiner de près — par exemple la Llama 4 Community License (avril 2025) : licence non approuvée par l'OSI, seuil de 700 millions d'utilisateurs actifs mensuels, mention « Built with Llama » obligatoire, politique d'usage acceptable et clause d'exclusion territoriale : les droits sur les modèles multimodaux de Llama 4 ne sont pas concédés aux personnes et entreprises domiciliées dans l'Union européenne — or toute la famille Llama 4 est nativement multimodale, si bien que l'ensemble de ces modèles n'est pas licencié pour une entreprise européenne, même pour un usage limité au texte (seule exception : l'utilisateur final d'un produit intégré par un tiers) — ou les anciennes conditions d'utilisation Gemma (politique d'usages interdits, droit de restriction à distance), levées avec Gemma 4, passé sous Apache 2.0 en avril 2026.
• Panorama raisonné des familles de modèles ouverts, à la date de juillet 2026 et actualisé à chaque session : Mistral côté français (Mistral Large 3 en open weight sous Apache 2.0, Mistral Small 4, gamme code Devstral), gpt-oss (OpenAI, Apache 2.0, août 2025), Gemma 4 (avril 2026), Qwen (série sous Apache 2.0, famille la plus téléchargée fin 2025), DeepSeek, GLM… ; un paysage qui évolue vite — cinq sorties majeures datées entre mars et avril pour le seul printemps 2026 — d'où la méthode : des critères durables (licence, taille, mode de mise à disposition, capacités : modalités texte ou texte et image, taille de contexte exprimée en pages traitables, aptitude à l'usage d'outils et aux modes agentiques) plutôt que le classement du moment.
• L'écosystème souverain français et européen : Mistral AI, éditeur français de modèles ouverts et d'offres commerciales ; OVHcloud AI Endpoints et Scaleway Generative APIs, interfaces de programmation servant des modèles ouverts depuis des centres de données européens, facturées à l'usage ; ce que « souverain » veut dire — et ne veut pas dire : localisation de l'hébergement, droit applicable, qualification SecNumCloud de l'ANSSI dont le périmètre exact se vérifie offre par offre à la source.
• Ce que l'open source change concrètement pour une TPE-PME — confidentialité (les données restent dans l'infrastructure que l'on choisit), dépendance et réversibilité (changer de modèle ou d'hébergeur sans renégocier une licence), coûts (aucune redevance de licence, mais des coûts déplacés vers le matériel et les compétences, instruits l'après-midi) — et ce qu'il ne garantit pas à lui seul : la qualité pour un usage donné, la sécurité, la conformité.
• Démonstration commentée « ouvrir le capot » : un assistant IA fonctionnant entièrement en local sur le poste du formateur — réseau coupé quelques instants : rien ne sort de la machine — puis lecture guidée, en ligne, d'une page officielle de licence et de la fiche d'un modèle ouvert ; les participants ne configurent rien.
• Cadrage du périmètre : cette journée outille une décision de direction ; elle ne comporte ni installation, ni terminal, ni configuration — la mise en œuvre (poste de travail, serveur d'entreprise, écosystème Mistral) relève des parcours d'approfondissement du catalogue, présentés en clôture.

Mise en pratique : Atelier « Qualifier » en deux temps, sur dossiers et trames fournis (aucune manipulation d'outil IA par les participants). Premier temps — « lire une licence pour de vrai » : en binômes puis individuellement, analyse guidée de deux licences réelles (extraits officiels annotés fournis : une licence permissive type Apache 2.0, une licence maison type Llama 4 Community License) avec la grille de lecture ; chacun statue par écrit sur ce que chaque licence autoriserait ou interdirait pour SON usage envisagé — et pour l'étude de cas commune, une PME fictive de mécanique de précision sommée par un donneur d'ordre de ne plus faire transiter ses documents techniques par des services d'IA hors Union européenne. Second temps : chaque participant renseigne la fiche de qualification de son contexte (données sensibles et clauses, usages IA en place ou pressentis, besoins de capacités — texte seul ou documents et images, longueur des documents —, volumes, compétences mobilisables) et retient deux à trois options à instruire l'après-midi. Restitution flash : les verdicts de licence confrontés en groupe.
Livrable : Deux verdicts de licence écrits (grille de lecture appliquée : composantes réellement ouvertes, autorisations, restrictions, conséquences pour l'usage envisagé) et fiche de qualification de son contexte avec deux à trois options retenues — les premières pièces de son dossier de décision.

Durée : 3h30
Objectif opérationnel :
Comparer les quatre voies de déploiement sur les profils coût / confidentialité / compétences, chiffrer en fourchette un scénario open source face à une offre en ligne, vérifier le cadre applicable, puis rendre une décision argumentée sur la matrice multicritère, assortie de la feuille de route des 90 premiers jours.
Contenu :

• Les quatre voies de déploiement d'une IA ouverte, présentées sans manipulation : le poste de travail individuel (outils d'exécution locale grand public, par exemple LM Studio ou Ollama — montrés en démonstration commentée) ; le serveur interne mutualisé (moteur d'inférence capable de servir plusieurs dizaines d'utilisateurs, interface web séparée — l'architecture type des guides publiés en 2026) ; l'API souveraine (modèles ouverts servis depuis des centres de données européens, facturés au million de jetons) ; le cloud à la demande (capacité de calcul louée) ; pour chaque voie : coût d'entrée et coût récurrent, niveau de confidentialité et de sécurité, compétences requises, délai réaliste de mise en œuvre.
• L'économie réelle du « gratuit » : zéro redevance de licence ne signifie pas zéro coût — investissement matériel (repères publiés en 2026 : de l'ordre de 6 000 à 8 000 dollars US pour un serveur adapté aux petits modèles, de 20 000 à 30 000 pour les grands modèles), compétences récurrentes (de l'ordre de 10 à 20 heures d'ingénierie par mois pour maintenir et surveiller une installation, en interne ou via un prestataire), et seuils de volume : les seuils de bascule publiés divergent fortement selon les études — ils se présentent en fourchette, jamais en promesse ; en deçà d'un volume soutenu, l'abonnement ou l'API restent généralement moins chers en coût complet — d'autant que la comparaison honnête intègre les remises standard des API (traitement par lots autour de −50 %, cache de contexte jusqu'à −90 % sur l'entrée répétée) et une ligne « intégration et mise au travail », souvent absente des devis. Conclusion honnête : l'open source ne supprime pas le coût, il le déplace — de la licence vers l'infrastructure et les compétences — et devient pertinent à volume soutenu ou pour des exigences fortes de confidentialité et de souveraineté.
• Démonstration commentée « vérifier à la source » : lecture en direct de la page tarifaire d'une API souveraine (prix au million de jetons) mise en regard d'une offre d'abonnement en ligne ; la méthode — retrouver l'information sur la page officielle, la dater, la consigner — vaut plus que le relevé du jour.
• Le cadre applicable au choix — AI Act (Règlement (UE) 2024/1689) : obligations des fournisseurs de modèles à usage général applicables depuis le 2 août 2025 ; exemption partielle pour les modèles publiés sous licence libre, qui ne dispense ni de la politique de respect du droit d'auteur ni du résumé public suffisamment détaillé des contenus d'entraînement (art. 53, §1, points c) et d)) et ne s'applique pas aux modèles à risque systémique ; en auto-hébergeant un modèle, l'entreprise reste déployeur au sens du règlement et l'obligation de littératie IA (art. 4, applicable depuis le 2 février 2025) concerne son personnel — cette formation y contribue sans constituer une prestation de mise en conformité. À la date de conception de ce programme (juillet 2026), la formulation de cette obligation évolue : le « Digital Omnibus », adopté par le Parlement européen le 16 juin 2026 puis par le Conseil le 29 juin 2026, remplacerait l'obligation de « garantir » un niveau suffisant de littératie par une mission d'en « soutenir et faciliter » le développement ; ce texte n'étant pas encore publié au Journal officiel de l'Union européenne, le règlement (UE) 2024/1689 reste la base applicable, son application générale intervenant le 2 août 2026. RGPD : il s'applique aussi aux modèles auto-hébergés (recommandations de la CNIL sur les systèmes d'IA, publiées le 22 juillet 2025 — fiches pratiques et liste de vérification) ; sécurité : recommandations de l'ANSSI pour les systèmes d'IA générative (guide ANSSI-PA-102, avril 2024). Le formateur tient cette veille à jour.
• La matrice de décision multicritère, pièce maîtresse de la journée : confidentialité et sensibilité des données, dépendance et réversibilité, coût complet en fourchette, compétences disponibles, adéquation aux tâches visées (à mesurer lors du pilote, sur un échantillon de tâches réelles), conformité, maturité de l'organisation ; pondération selon le contexte ; quatre issues possibles et toutes légitimes — adopter l'open source (et par quelle voie), panacher (offre en ligne pour le courant, modèle ouvert pour le sensible), différer avec des critères de revoyure, ou rester en connaissance de cause sur une offre en ligne — en sachant que les grands fournisseurs proposent désormais une résidence des données en Europe (OpenAI, février 2025) : une réponse possible à une exigence de localisation, qui ne change ni le droit applicable ni la dépendance au fournisseur.
• La feuille de route des 90 premiers jours selon la décision rendue : pilote cadré (périmètre et données autorisées, échantillon de 20 à 30 tâches représentatives anonymisées pour mesurer l'adéquation, responsable, prestataire éventuel, critères de succès et d'arrêt), jalons à 30, 60 et 90 jours, budget en fourchette ; et l'orientation vers les parcours de mise en œuvre du catalogue Akademia — « IA locale et gratuite : installation, souveraineté et confidentialité des données » (poste de travail), « IA locale d'entreprise : serveur mutualisé, base documentaire (RAG) et administration », et la formation dédiée à la mise en œuvre de l'écosystème français Mistral — présentés en clôture sans être entamés.

Mise en pratique : Atelier « J'évalue et je décide » en trois temps. Premier temps, collectif et guidé : le groupe instruit l'étude de cas commune de la PME fictive — matrice des quatre voies renseignée, estimation de coût complet en fourchette sur la trame tableur pré-formulée, confrontation au devis « serveur IA open source » reçu de son prestataire informatique. Deuxième temps, individuel : chacun transpose à SON organisation — matrice des quatre voies (dont au moins une voie écartée de façon motivée), estimation en fourchette, puis matrice de décision multicritère pondérée et décision argumentée par écrit (5 à 10 lignes citant au moins trois critères, dont un de confidentialité ou de conformité). Troisième temps : formalisation de la feuille de route des 90 premiers jours (pilote cadré, jalons 30-60-90, budget en fourchette). Clôture : chaque participant présente sa décision en deux minutes ; le groupe rend son verdict sur le cas commun.
Livrable : Matrice des quatre voies renseignée (dont au moins une voie écartée de façon motivée), estimation de coût complet en fourchette, matrice de décision multicritère pondérée avec décision argumentée par écrit, et feuille de route des 90 premiers jours — le dossier de décision complet de son organisation.