LLM local et IA privée pour les entreprises : loi 09-08, CNDP, PDPL et RGPD

Chaque projet d'IA que je mène bute sur la même question dès la première semaine : où vont les données ? Dans une configuration classique, chaque prompt, chaque document et chaque message client part vers un modèle qui tourne dans le centre de données de quelqu'un d'autre, le plus souvent aux États-Unis. Pour beaucoup de tâches, ça ne pose aucun problème. Pour certaines, si, et c'est là qu'intervient l'IA privée : un modèle qui tourne sur vos propres serveurs, ou sur un serveur que vous contrôlez dans votre pays.

Cet article explique quand un LLM on-premise ou auto-hébergé vaut le coup, ce que vous y perdez, et comment les lois sur la protection des données, notamment au Maghreb et au Moyen-Orient, poussent les entreprises dans cette direction.

Ce que veut vraiment dire « IA privée »

Le terme recouvre trois configurations différentes :

1. Entièrement on-premise. Le modèle tourne sur du matériel dans vos locaux ou votre propre centre de données. Rien ne sort de votre réseau.
2. Auto-hébergé dans le cloud. Un modèle ouvert tourne sur des serveurs que vous louez, dans la région de votre choix. Le fournisseur héberge le matériel, mais vous contrôlez le modèle, les journaux et l'emplacement.
3. Une API cloud avec garantie régionale ou contractuelle. Vous utilisez le modèle d'un grand fournisseur, mais avec un traitement dans une région donnée et un contrat qui limite ce qu'il peut faire de vos données.

Le bon choix dépend de vos données, de votre budget et de votre régulateur.

Loi 09-08, PDPL, RGPD : quand la loi décide pour vous

La plupart des pays considèrent désormais l'envoi de données personnelles à l'étranger comme un acte encadré. Envoyer un prompt qui contient le nom, le téléphone ou le numéro d'identité d'un client à un modèle hébergé dans un autre pays peut constituer un transfert transfrontalier. Quelques exemples, à fin 2026 :

• Maroc. La loi 09-08, sous le contrôle de la CNDP, autorise les transferts vers les pays offrant une protection suffisante et exige sinon une autorisation de la CNDP avec des garanties. La CNDP a indiqué que les traitements d'IA portant sur des données personnelles relèvent de la loi 09-08, et elle prépare depuis 2025 une délibération dédiée à l'IA.
• Arabie saoudite. Le Personal Data Protection Law (PDPL) est applicable depuis le 14 septembre 2024, sous la supervision de la SDAIA. Les transferts hors du Royaume sont possibles vers les pays jugés adéquats, ou avec des garanties comme des clauses contractuelles types, des règles d'entreprise contraignantes ou une certification, accompagnées d'une évaluation des risques avant le transfert.
• Émirats arabes unis. Le PDPL fédéral (décret-loi fédéral n° 45 de 2021) autorise les transferts vers les pays offrant une protection adéquate (article 22) et, à défaut, seulement dans des cas listés comme un contrat ou le consentement exprès de la personne (article 23). Les zones franches comme le DIFC et l'ADGM ont leurs propres lois. Les sources divergent sur l'avancement du règlement d'application : vérifiez où il en est.
• Égypte. La loi n° 151 de 2020 a reçu son règlement d'application (décret n° 816 de 2025) en novembre 2025, avec un an pour se mettre en conformité. Responsables de traitement et sous-traitants ont besoin d'une licence du Personal Data Protection Centre, et les transferts transfrontaliers, y compris vers le cloud, nécessitent leur propre licence ou autorisation.
• Europe. Si vous servez des résidents de l'UE, le RGPD applique ses propres règles aux transferts hors de l'UE : la même question se pose.

Rien de tout cela n'interdit l'IA dans le cloud. Cela veut dire qu'il vous faut une base légale, des documents, et parfois une licence avant d'envoyer des données personnelles à l'étranger. Pour certaines entreprises, surtout dans la banque, la santé, le secteur public et les RH, garder le modèle dans le pays est tout simplement plus simple. Ce n'est pas un conseil juridique : parlez-en à un avocat qui connaît votre secteur avant de décider.

Quand un LLM local vaut le coup, loi ou pas

Hors question juridique, un modèle auto-hébergé a du sens quand :

• Les données sont votre avantage. Contrats, plans, code source, dossiers médicaux, modèles financiers : vous ne voulez pas les voir dans les journaux de quelqu'un d'autre.
• Le volume est élevé et prévisible. Classer des milliers de documents par jour ou répondre aux messages clients courants coûte un montant fixe sur votre matériel, au lieu d'augmenter à chaque token.
• Il faut que ça marche hors ligne ou en périphérie. Une usine, un entrepôt, un véhicule. En robotique et en vision, la latence et les connexions instables excluent souvent un aller-retour vers le cloud.

Ce que vous y perdez

• La qualité maximale. Les plus gros modèles cloud restent les meilleurs pour le raisonnement difficile et les tâches longues et désordonnées.
• L'effort. Quelqu'un doit choisir le modèle, le servir, le surveiller, le mettre à jour et faire tourner le matériel.
• L'investissement de départ. Des GPU, ou des serveurs GPU loués, coûtent de l'argent avant la première réponse.

Pour la plupart des processus métier (extraction, classification, recherche dans vos documents, rédaction de réponses dans un format connu), un modèle ouvert bien choisi qui tourne en local fait le travail.

La configuration qui gagne souvent : l'hybride

La plupart des systèmes d'IA privée que je construis sont hybrides :

1. Un modèle local traite tout ce qui touche aux données personnelles ou sensibles : lecture des documents, classement des demandes, réponses courantes à partir de votre base de connaissances.
2. Les champs sensibles sont supprimés ou masqués avant que quoi que ce soit ne sorte de votre réseau.
3. Un gros modèle cloud n'est appelé que pour la partie difficile et non sensible, et seulement là où votre base légale le permet.
4. Tout est journalisé chez vous, pour pouvoir montrer ce qui a été traité et où.

Vous gardez l'essentiel des bénéfices en confidentialité et en coût sans sacrifier la qualité là où elle compte. Le même schéma fonctionne pour un chatbot de service client en arabe ou un assistant WhatsApp pour une entreprise marocaine, où les messages clients sont pleins de noms et de numéros de téléphone. Commencez par un seul processus, testez un modèle ouvert sur vos vraies données avant d'acheter du matériel, puis élargissez, comme je l'explique dans par quoi commencer pour automatiser avec l'IA.

Travailler ensemble

Je suis Driss Briksine, ingénieur logiciel et ML basé au Maroc. Je construis des systèmes d'IA de bout en bout, et la plupart des miens tournent sur des modèles locaux, des pipelines multimodaux aux outils de production. Vous pouvez voir mes études de cas.

Si vous avez des données qui ne peuvent pas quitter vos serveurs et un processus à automatiser, envoyez-moi un court descriptif. Je vous dirai honnêtement si un modèle privé peut s'en charger.