IA locale sur poste ou IA dans le Cloud
Une IA sur le poste (puce NPU) et une IA dans le Cloud ne posent pas les mêmes questions : choisir un outil autorisé, que saisir, qui prévenir.
En 30 secondes
- Où ça arrive
- Assistants de traduction ou de génération d'images, sur un poste récent équipé d'une puce d'IA1.
- Ce qui change
- Une IA locale tourne sur la machine, une IA dans le Cloud sur un service hébergé. Dans les deux cas, les données saisies et l'outil lui-même doivent être maîtrisés.
- Le réflexe
- N'utiliser que les outils validés par l'entreprise, et demander à la sécurité ou au service informatique avant d'y saisir une donnée sensible ou d'installer un nouvel outil.
- Si c'est déjà fait
- Prévenir sans attendre le service informatique, en indiquant l'outil et ce qui a été saisi.
De quoi parle-t-on
Une IA « locale » fait ses calculs sur l'ordinateur du salarié. Une IA « dans le Cloud » les fait sur des serveurs hébergés ailleurs, auxquels l'outil se connecte. Pour qui tape une question ou colle un document, les deux se ressemblent. Les risques pour les données de l'entreprise ne sont pourtant pas les mêmes, et la décision d'utiliser tel ou tel outil appartient à l'entreprise.
Cette fiche explique la différence, puis ce que le salarié peut faire : choisir un outil autorisé, savoir ce qu'il peut y saisir, et demander en cas de doute.
Questions directes
Qu'est-ce qu'une puce NPU ?
Microsoft la décrit comme une puce spécialisée dans les traitements d'IA lourds, comme la traduction en temps réel ou la génération d'images1. Les PC « Copilot+ » de Microsoft en embarquent une capable de plus de 40 000 milliards d'opérations par seconde (40 TOPS)1. Le NPU travaille avec le processeur et la carte graphique, et Windows 11 répartit les tâches entre eux1. Il permet des fonctions d'IA exécutées sur l'appareil1.
Une IA locale est-elle sans risque ?
Non. Rien dans les sources citées ici ne dit qu'un modèle exécuté sur le poste dispense de précautions. Le NCSC britannique rappelle que les systèmes d'IA sont exposés à des failles nouvelles, à considérer en plus des menaces informatiques ordinaires2. L'OWASP range dans ses dix risques pour les applications fondées sur des modèles de langage la divulgation d'informations sensibles, la chaîne d'approvisionnement et l'empoisonnement des données et des modèles3. Aucune de ces sources ne limite ces risques aux outils hébergés ailleurs.
Que change l'IA dans le Cloud ?
Le NCSC destine ses lignes directrices surtout aux fournisseurs de systèmes d'IA qui utilisent des modèles hébergés par une organisation ou des interfaces de programmation (API) externes2. Avec une API externe, l'outil dépend d'un service tiers. Les sources citées ici ne détaillent pas ce que chaque fournisseur fait des données saisies : ce point se lit dans les conditions du service et se vérifie auprès du service informatique de l'entreprise.
Que puis-je saisir dans un outil d'IA ?
Les sources citées ici ne fixent pas de liste de données permises. La règle applicable est celle de l'entreprise. La CISA relie la sécurité des données à l'exactitude, l'intégrité et la fiabilité des résultats d'une IA, à tous les stades de sa vie4. Dans le doute, mieux vaut ne rien saisir de confidentiel ni de personnel avant d'avoir une réponse.
À qui m'adresser en cas de doute ?
Au service informatique ou à la sécurité de l'entreprise, et au délégué à la protection des données si des données personnelles sont en jeu. Ces interlocuteurs varient d'une entreprise à l'autre, et aucune source citée ici ne les nomme.
1Comment ça marche1 min
Un modèle d'IA s'exécute (« inférence ») sur un matériel. Sur un PC avec NPU, Microsoft recommande de passer par Windows ML pour lancer des tâches d'IA sur le NPU1. Si le NPU n'est pas disponible, Windows ML se rabat sur le GPU ou le processeur1. Windows ML s'appuie sur ONNX Runtime, un moteur d'inférence libre1.
Les modèles sont souvent publiés dans des formats lourds. Beaucoup de NPU n'acceptent que des calculs entiers en précision réduite, si bien que les modèles doivent être convertis (« quantifiés ») avant de tourner dessus1. Il en existe de déjà convertis, et chacun peut apporter son propre modèle à convertir1. Ce dernier point compte pour le salarié : un modèle local est un fichier, et il vient de quelqu'un.
2Ce que vous faites1 min
- Utilisez les outils fournis ou validés par l'entreprise, qu'ils soient locaux ou dans le Cloud.
- Avant d'installer un outil ou un modèle, demandez l'accord du service informatique.
- Avant de saisir un document sensible ou des données de personnes, demandez si l'outil est autorisé pour cet usage. La CNIL publie des fiches pratiques sur l'application du RGPD à l'IA, dont une sur la sécurité du développement d'un système d'IA5.
- Si vous avez déjà saisi une donnée dans un outil non validé, signalez-le.
3Les pièges2 min
Croire qu'une IA locale est sans risque
Le calcul se fait sur le poste, mais le modèle et l'application restent des logiciels à tenir à jour. Le NCSC range les mises à jour et la journalisation parmi les actions de la phase d'exploitation et de maintenance d'un système d'IA2. L'OWASP signale aussi le risque d'« agentivité excessive » : un système fondé sur un modèle de langage reçoit souvent une certaine autonomie3. Un outil local branché sur vos fichiers ou vos messageries en est un exemple à examiner avec le service informatique.
Utiliser un outil non validé (« shadow AI »)
Un outil non validé échappe aux vérifications de l'entreprise. Le NCSC recommande de traiter la sécurité comme une exigence de base, sur tout le cycle de vie d'un système2. Un outil choisi seul par un salarié n'entre dans aucun de ces contrôles.
Télécharger un modèle de provenance inconnue
Un modèle téléchargé est un élément de la chaîne d'approvisionnement, un risque que l'OWASP cite explicitement3. Le rapport du NIST sur l'apprentissage automatique adverse traite des attaques par porte dérobée et par « cheval de Troie », ainsi que de l'empoisonnement de données7. La CNIL tient, de son côté, un outil qui permet d'explorer la généalogie des modèles d'IA publiés en source ouverte, mis à jour le 26 août 20266. Pour un modèle de provenance inconnue, demandez l'accord du service informatique avant de l'installer.
Négliger les accès aux données
Une IA qui lit des documents peut en révéler le contenu. L'OWASP cite la divulgation d'informations sensibles, qui touche à la fois le modèle et son application3. Le cadre de gestion des risques du NIST, d'usage volontaire, vise à intégrer la fiabilité dans la conception, l'usage et l'évaluation des systèmes d'IA8.
Fiche
- Identifiant
- CP-269
- Aile
- 4. Intelligence artificielle
- Compétence Brain
- Outils autorisés (authorized_tools)
- Réflexe Brain
- air-021
- Schéma
- G3 · Coupe Anatomique
- Langues
- de, en, fr
- Sources
- 8 sources vérifiées le 3 novembre 2026
Sources8 sources
- Microsoft, « Develop AI applications for Copilot+ PCs ». https://learn.microsoft.com/en-us/windows/ai/npu-devices/ (consulté le 3 novembre 2026)
- NCSC (Royaume-Uni), « Guidelines for secure AI system development », 27 novembre 2023. https://www.ncsc.gov.uk/collection/guidelines-secure-ai-system-development (consulté le 3 novembre 2026)
- OWASP, « LLMRisks Archive ». https://genai.owasp.org/llm-top-10/ (consulté le 3 novembre 2026)
- CISA, « AI Data Security: Best Practices for Securing Data Used to Train & Operate AI Systems », 22 mai 2025. https://www.cisa.gov/resources-tools/resources/ai-data-security-best-practices-securing-data-used-train-operate-ai-systems (consulté le 3 novembre 2026)
- CNIL, « Les fiches pratiques IA ». https://www.cnil.fr/fr/les-fiches-pratiques-ia (consulté le 3 novembre 2026)
- CNIL, « Intelligence artificielle ». https://www.cnil.fr/fr/intelligence-artificielle (consulté le 3 novembre 2026)
- NIST, « Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations ». https://csrc.nist.gov/pubs/ai/100/2/e2023/final (consulté le 3 novembre 2026)
- NIST, « AI Risk Management Framework ». https://www.nist.gov/itl/ai-risk-management-framework (consulté le 3 novembre 2026)
Citer cet article
Brain, « IA locale sur poste ou IA dans le Cloud », Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp269_fr_2026,
author = {Brain},
title = {IA locale sur poste ou IA dans le Cloud},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/fr/articles/ia-locale-npu-vs-ia-cloud/},
note = {CC BY 4.0}
}