Oui — avec un cadre.
Entraîner un modèle de langage sur les données de votre entreprise n’est pas interdit par le RGPD. Dès lors que ces données contiennent des informations personnelles, il s’agit d’un traitement de données à encadrer : une base légale et une finalité claires, la minimisation, la sécurité, et le respect des droits des personnes. Bien mené — et surtout mené en local — le fine-tuning est parfaitement compatible avec vos obligations.
Ce que le RGPD demande.
Le traitement doit reposer sur une base légale (intérêt légitime, contrat, consentement selon le cas) et servir une finalité déterminée et légitime — pas « au cas où ».
On n’entraîne le modèle que sur les données nécessaires à la finalité. Les données personnelles inutiles sont écartées, anonymisées ou pseudonymisées.
Les données et le modèle doivent être protégés : accès maîtrisés, hébergement contrôlé, traçabilité. Un déploiement local réduit fortement la surface d’exposition.
Information, accès, rectification, effacement : le traitement doit permettre d’honorer les droits des personnes concernées.
Qui est responsable ?
Quand vous entraînez un modèle sur vos propres données, votre organisation est responsable du traitement : c’est elle qui définit les finalités et les moyens. Cette responsabilité est bien plus facile à assumer lorsque les données ne quittent pas votre infrastructure — vous gardez la maîtrise de bout en bout, plutôt que de la déléguer à un fournisseur cloud soumis à un droit étranger.
Le local, conforme par construction.
Avec un serveur SABER, l’entraînement et le déploiement se font sur votre serveur, dans vos murs : les données ne sont ni mutualisées, ni envoyées à un tiers, ni exposées à une extraterritorialité (Cloud Act). Si l’entraînement doit se faire hors site, il a lieu dans un cloud souverain ou classique, selon vos exigences, votre budget et vos contraintes de sécurité. En local, les obligations les plus exigeantes — localisation, minimisation, contrôle des accès — sont satisfaites par l’architecture, ce qui simplifie votre mise en conformité.
IA souveraine & RGPD → Le fine-tuning de LLM → IA et RGPD : les principes généraux →
Comment on s’y prend.
Écarter les données personnelles non nécessaires ; pseudonymiser ou anonymiser quand c’est possible avant l’entraînement.
Entraîner et déployer sur une infrastructure que vous maîtrisez, en France, plutôt que d’envoyer vos données chez un tiers.
Consigner les finalités, les données utilisées et les mesures de sécurité — utile pour le registre et pour l’AI Act.
Les décisions qui comptent restent validées par une personne : l’IA propose, l’humain tranche.
Cette page est fournie à titre d’information et ne constitue pas un conseil juridique. Pour votre situation, faites valider le cadre par votre délégué à la protection des données (DPO) ou votre conseil.
Fine-tuning & RGPD : vos questions.
Peut-on entraîner un LLM sur les données de son entreprise ?
Oui, à condition de respecter le RGPD : une base légale et une finalité claires, la minimisation des données personnelles, la sécurité, et le respect des droits des personnes. Un déploiement local sur une infrastructure maîtrisée facilite fortement cette conformité.
Le fine-tuning sur des données personnelles est-il interdit ?
Non, il n’est pas interdit en soi. Il relève d’un traitement de données à encadrer : base légale, minimisation, sécurité et information des personnes. C’est un sujet de gouvernance, pas une interdiction.
La CNIL s’est-elle prononcée sur le fine-tuning ?
La CNIL a publié des recommandations sur l’intelligence artificielle et le développement de modèles, qui rappellent notamment les responsabilités liées à l’utilisation de données pour entraîner un modèle. Nous vous orientons vers ces principes ; votre DPO reste l’arbitre pour votre cas.
En quoi le local aide-t-il pour le RGPD ?
Les données restant dans vos murs, sur une infrastructure que vous contrôlez, les obligations les plus exigeantes — localisation, minimisation, contrôle des accès — sont satisfaites par construction plutôt que par contrat.
Le modèle peut-il « recracher » des données personnelles ?
Le risque existe si l’entraînement n’est pas maîtrisé. Il se réduit par la minimisation et la pseudonymisation en amont, par l’évaluation, et en privilégiant le RAG (qui cite des sources maîtrisées) pour les informations sensibles.