Modèle d'IA ouvert ou propriétaire : lequel choisir pour son entreprise ?

Trois choix qui ne se résument pas à "Mistral ou GPT"

Un service propriétaire fournit le modèle et son infrastructure par API. Le fournisseur gère l'inférence, la capacité et une partie de la sécurité opérationnelle. L'entreprise reste responsable de son intégration, des données envoyées et des décisions prises à partir des sorties.

Un modèle à poids ouverts peut être exécuté chez un hébergeur, sur une infrastructure privée ou par un prestataire. "Ouvert" ne signifie pas automatiquement gratuit, local, adapté au besoin ou sans restriction. Il faut lire la licence de chaque modèle, dimensionner le matériel et gérer son exploitation.

Une architecture hybride affecte plusieurs modèles à des tâches différentes. Par exemple, un modèle déployé par l'entreprise peut classer des documents internes, tandis qu'une API traite certains dossiers complexes après filtrage et validation. Ce choix réduit parfois le volume envoyé à un service externe, mais ajoute du code, des tests et plusieurs fournisseurs à surveiller.

Ce qui a changé en 2026

OpenAI a rendu la famille GPT-5.6 disponible le 9 juillet 2026 avec trois niveaux, Sol, Terra et Luna. Anthropic propose Claude Fable 5 pour les tâches de connaissance et de code les plus exigeantes. Les comparaisons publiées par les fournisseurs donnent des indications, mais elles ne remplacent pas un test sur vos documents, vos consignes et vos critères d'erreur.

Côté modèles ouverts, Mistral Small 4 est publié sous licence Apache 2.0. Sa fiche officielle décrit un modèle multimodal à poids ouverts, avec plusieurs moteurs d'inférence compatibles. Cela rend le déploiement personnalisé possible. Cela ne signifie pas qu'un simple VPS sans accélérateur convient à toutes les charges. La mémoire, le débit, la latence et la quantification doivent être mesurés sur l'infrastructure envisagée.

Les offres commerciales évoluent aussi sur la protection des données. OpenAI indique que les données de son API et de ses offres professionnelles ne servent pas à entraîner les modèles par défaut. Le fournisseur propose également des options de résidence et de traitement en Europe pour les projets éligibles, avec des conditions et des limites documentées.

La nationalité du fournisseur ne suffit donc pas pour trancher. Il faut vérifier le contrat, les sous-traitants, la localisation du traitement, la conservation, les transferts éventuels, les habilitations et la sensibilité des données.

Les cinq critères qui comptent pour une entreprise

1. Les données et leur cadre d'utilisation

Commencez par classer les données : publiques, internes, confidentielles, données personnelles, données couvertes par un secret ou soumises à une règle sectorielle.

Pour un service externe, vérifiez au minimum :

• les conditions d'utilisation des données ;
• la durée de conservation ;
• la région de traitement disponible ;
• les sous-traitants ;
• les mécanismes de transfert hors Espace économique européen ;
• les possibilités de suppression, d'audit et de contrôle des accès.

Le CLOUD Act ne rend pas automatiquement illégal tout recours à une entreprise américaine. Inversement, choisir un fournisseur européen ou un serveur situé en France ne crée pas automatiquement une conformité RGPD. L'entreprise doit documenter le traitement et apprécier ses risques avec les personnes compétentes.

2. La tâche réelle

Un benchmark général ne dit pas si un modèle reconnaît vos références produit, respecte votre format JSON ou sait refuser un dossier incomplet.

Constituez un jeu d'essai représentatif avec les cas ordinaires et les exceptions. Mesurez des critères liés au métier : exactitude des champs extraits, citations correctes, respect d'un schéma, taux de dossiers envoyés à tort, temps de traitement et qualité des refus.

Le résultat peut différer selon le prompt, les outils, la longueur du contexte, la langue et la quantification. Il faut donc comparer les configurations complètes, pas seulement les noms de modèles.

3. Le coût complet

Une API facture généralement l'usage. Un modèle auto-hébergé consomme une infrastructure réservée, même lorsqu'il traite peu de demandes.

Le calcul doit inclure :

• les entrées et sorties facturées par l'API ;
• le stockage et les services annexes ;
• le serveur ou les accélérateurs ;
• le temps d'installation, de supervision et de mise à jour ;
• les tests à refaire lors d'un changement de modèle ;
• les reprises humaines provoquées par les erreurs.

Pour un faible volume irrégulier, une API peut coûter moins cher qu'un serveur exploité en permanence. Pour un volume stable, une contrainte forte de localisation ou un besoin de personnalisation, un déploiement contrôlé peut devenir pertinent. Le seuil dépend de la charge et du matériel, pas d'un nombre universel de requêtes.

4. La latence et la capacité

Un modèle compact peut suffire pour une classification en arrière-plan et échouer sur une analyse longue. Un modèle puissant peut être inutilement cher pour extraire trois champs connus.

Mesurez le temps de réponse au percentile 95, le débit, la taille maximale des documents et le comportement en période de pointe. Sur un service client en temps réel, la latence compte. Sur un traitement nocturne par lots, la stabilité et le coût peuvent être prioritaires.

5. L'exploitation et la réversibilité

Auto-héberger un modèle ajoute une application à maintenir. Il faut suivre les correctifs, les versions, la saturation, les sauvegardes de configuration, les secrets et les incidents.

Une API réduit cette charge, mais crée une dépendance au fournisseur, à ses quotas et à ses changements de modèle. Dans les deux cas, conservez une interface claire entre le workflow et le modèle. Cette séparation facilite un test comparatif ou un changement de fournisseur.

Une grille de décision simple

Cette grille oriente l'étude. Elle ne remplace ni une évaluation de sécurité ni un avis juridique pour les traitements sensibles.

Construire une architecture hybride sans faux score de confiance

Un modèle ne connaît pas toujours la probabilité réelle que sa réponse soit correcte. Lui demander "donne ton niveau de confiance" ne suffit pas pour automatiser une décision.

Le routage doit utiliser des signaux observables : type de document, présence des champs obligatoires, validation d'un schéma, résultat d'une règle métier, accord entre plusieurs extractions, niveau de sensibilité et résultat d'un jeu d'évaluation.

Un flux hybride peut suivre quatre étapes :

1. Le workflow retire les données inutiles et qualifie le dossier.
2. Le modèle adapté à la tâche produit une sortie structurée.
3. Des règles déterministes contrôlent les champs, les formats et les seuils métier.
4. Les cas qui échouent au contrôle partent vers une autre configuration ou vers une validation humaine.

Le choix du second modèle n'efface pas le besoin de contrôle. Il ajoute une voie de traitement qu'il faut elle aussi évaluer.

Le protocole d'essai avant la production

Préparez un corpus versionné, représentatif de la réalité et dépourvu de données personnelles lorsque c'est possible. Définissez les réponses attendues et les erreurs bloquantes. Testez ensuite chaque configuration avec les mêmes entrées et les mêmes paramètres.

Conservez au minimum :

• la version du modèle ;
• le prompt et les outils disponibles ;
• les résultats par catégorie de cas ;
• la latence et le coût observés ;
• les erreurs qui exigent une validation humaine ;
• les conditions d'arrêt ou de retour à la configuration précédente.

Une architecture doit être choisie sur ces résultats, puis surveillée en production. Une mise à jour de modèle, de prompt ou de quantification peut modifier le comportement et impose de rejouer les tests critiques.

Sources consultées

• OpenAI, lancement de GPT-5.6, 9 juillet 2026.
• OpenAI, confidentialité des données professionnelles, consultée le 13 août 2026.
• OpenAI, résidence des données en Europe, mise à jour en 2026.
• Anthropic, Claude Fable 5, consultée le 13 août 2026.
• Mistral AI, Mistral Small 4, 16 mars 2026.
• CNIL, guide de la sécurité des données personnelles, consulté le 13 août 2026.
• Comité européen de la protection des données, note sur les transferts vers les Etats-Unis, consultée le 13 août 2026.

Choisir le système, pas le nom le plus visible

Le bon choix tient dans un ensemble : modèle, hébergement, contrat, données, tests, validation humaine et capacité de reprise.

Pour une entreprise, la démarche la plus sûre consiste à tester une tâche limitée, mesurer les erreurs et le coût complet, puis élargir le périmètre. L'architecture ouverte, propriétaire ou hybride découle de ces résultats.

Si vous devez comparer ces options pour un processus réel, ma page Conseil IA décrit l'accompagnement, et la page Agents IA détaille la mise en production avec contrôles et validation humaine.