À la croisée des chemins de l'IA : pourquoi Wall Street dit « non » à ChatGPT et Claude ?

Auteur : Jeff @IOSG

Pourquoi l'IA privée est nécessaire

Le 1er juillet, Alex Karp, PDG de Palantir, a accordé une interview de 20 minutes à CNBC, qualifiée par certains médias de « crise de nerfs ». Selon Karp, les entreprises paient un prix symbolique aux laboratoires de pointe tout en voyant leur propriété intellectuelle échapper à la vigilance des fournisseurs de modèles. Il a décrit cette fuite comme un transfert d'alpha, qui se produit au niveau architectural : chaque requête envoyée à un modèle propriétaire arrive en clair sur le serveur du fournisseur de services. Quelques jours avant la diffusion de l'émission, Palantir avait annoncé un partenariat avec NVIDIA pour exécuter des modèles Nemotron ouverts dans des environnements contrôlés par le client, accompagné d'une déclaration de souveraineté en IA en neuf points. Après la diffusion de l'émission sur CNBC, l'action PLTR a bondi de 8 %.

Depuis vingt ans, les entreprises adoptent des logiciels cloud basés sur la confiance au niveau des protocoles, et cela a fait ses preuves. Chaque fournisseur SaaS n'a accès qu'à une partie des données de l'entreprise, et la plupart sont peu incités à réintégrer les données clients dans leurs produits principaux. Salesforce visualise les canaux de vente, Workday les RH, Jira les itérations de développement, et AWS fournit l'infrastructure de stockage et de calcul. Cependant, les flux de travail d'IA actuels préconisent le chargement unique de toutes les ressources, ainsi que du contexte structuré reliant les différents services, afin d'optimiser la productivité. Sans passer par la simple volonté de bien faire, les fournisseurs de services en amont peuvent désormais exploiter ces données pour développer de nouvelles fonctionnalités au lieu de les laisser dormir sur des serveurs.

L'essor d'Anthropic ne faiblit pas : son chiffre d'affaires annuel a atteint 47 milliards de dollars en mai, une progression fulgurante par rapport aux 9 milliards prévus fin 2025, tandis qu'OpenAI a franchi la barre des 900 millions d'utilisateurs actifs hebdomadaires en février. Les deux entreprises ont bouclé de nouvelles levées de fonds ce printemps, avec des valorisations avoisinant les 1 000 milliards de dollars, et leur introduction en bourse devrait afficher des valorisations encore plus élevées. Des années d'accusations relatives à la protection de la vie privée et à la propriété intellectuelle n'ont en rien entamé leur dynamique.

Certaines entreprises ont déjà pris des mesures. En février 2023, moins de trois mois après le lancement de ChatGPT, les principales banques de Wall Street ont restreint son utilisation. En mai 2023, suite à la fuite du code source d'une puce par un ingénieur de Samsung, l'entreprise a interdit l'intelligence artificielle générative sur son réseau. En réponse, OpenAI a lancé ChatGPT Enterprise en août de la même année, s'engageant à ne pas utiliser de données commerciales pour l'entraînement et à mettre en place un protocole de conservation nulle des données (ZDR), devenu par la suite une exigence standard pour les achats en entreprise.

Cependant, les contrats ne protègent que les comptes de l'entreprise. IBM a constaté qu'en 2025, l'IA parallèle (l'utilisation par les employés de données d'entreprise dans des outils d'IA non autorisés via leurs comptes personnels) était impliquée dans un cinquième des incidents de violation de données, et que son utilisation intensive augmentait en moyenne les coûts des violations de 670 000 $. Dans une enquête menée en 2025 par la société de formation en sécurité Anagram, quatre employés ont indiqué qu'ils seraient prêts à enfreindre les politiques d'utilisation de l'IA pour accomplir leurs tâches plus rapidement.

Les entreprises peuvent au moins investir pour se soustraire à leurs obligations, grâce aux contrats ZDR et aux services sans formation. Si vous êtes un gouvernement ou un client de Palantir, des options de déploiement souverain existent. Cependant, pour les utilisateurs lambda comme vous et moi, l'importance de l'IA respectueuse de la vie privée reste sujette à débat jusqu'à ce qu'une action en justice soit intentée.

Une décision de justice de mai 2025 a contraint OpenAI à conserver même les historiques de conversations supprimées par les utilisateurs. En novembre, un juge a ordonné le transfert de 20 millions de ces historiques aux avocats du New York Times à titre de preuve. Puis, des affaires criminelles ont éclaté : les enregistrements ChatGPT du prévenu dans l’affaire d’incendie criminel de Palisades ont été admis comme preuves, et une déclaration sous serment dans une affaire de double homicide en Floride a fait état des questions posées par le suspect sur la manière de se débarrasser d’un corps. Sam Altman a également admis, lors d’une interview en juillet 2025, que les conversations ChatGPT ne sont pas protégées par le secret professionnel et qu’en cas de litige, OpenAI « pourrait être contrainte de fournir » les historiques de conversations des utilisateurs.

Le problème, c'est que les criminels ne sont pas les seuls à avoir besoin de conversations privées. L'archivage et la possibilité de recours à la citation à comparaître des conversations entre humains et IA constituent un aspect de la surveillance dont la plupart des utilisateurs ignorent l'existence. Une enquête menée en octobre 2025 par le cabinet Kolmogorov Law auprès de 1 000 utilisateurs américains d'IA a révélé que 50 % d'entre eux ignoraient que ces conversations pouvaient faire l'objet d'une citation à comparaître, tandis que les deux tiers estimaient que ces échanges devraient bénéficier de la même protection que les consultations avec des avocats ou des médecins.

Les modèles auto-hébergés ou open source exécutés dans des environnements vérifiables rattrapent rapidement leur retard, mais les plus performants accusent encore un retard d'environ quatre mois sur les modèles propriétaires de pointe en termes de fonctionnalités générales. Cette situation place les entreprises et les particuliers pratiquant l'optimisation des tokens face à un dilemme : sacrifier quelques mois de qualité de modèle pour préserver leur confidentialité ou continuer à transférer des données sensibles sur les serveurs d'Anthropic, au grand dam de leurs concurrents qui gagnent ainsi en productivité.

À l'heure actuelle, il n'existe aucune solution parfaite sur le marché. Un rapport décrit les efforts déployés par différents acteurs pour réduire cet écart et constate à quel point les renseignements de pointe, obtenus dans le respect de la vie privée, sont encore loin d'être accessibles aux entreprises et aux particuliers.

Comment la protection de la vie privée est actuellement assurée

L'IA respectueuse de la vie privée ne se résume pas à un projet unique, mais tous les mécanismes actuellement disponibles sur le marché traitent le même événement : une requête quitte votre appareil, traverse le réseau, arrive sur une machine exécutant le modèle, puis renvoie une réponse. La différence entre ces mécanismes réside dans l'emplacement des données en clair tout au long de ce processus, dans les personnes autorisées à les lire et dans les méthodes utilisées pour garantir la confidentialité de la réponse.

Confidentialité au niveau du protocole

À ce niveau, outre vous, d'autres peuvent lire votre invite en texte clair, et la suite des événements repose entièrement sur une promesse.

La garantie zéro conservation contractuelle est la solution idéale pour les entreprises. Le fournisseur de services vous connaît, traite votre demande et s'engage à ne pas la conserver, un engagement garanti par des contrats et sa réputation.

Les proxys anonymes effacent votre identité mais ne chiffrent pas vos échanges ; les fournisseurs de services en aval continuent de traiter le texte en clair selon leurs propres politiques. Les conditions varient d'un fournisseur à l'autre ; par exemple, Duck.ai (le chatbot de DuckDuckGo) peut négocier des accords de suppression avec les fournisseurs de modèles, tandis que Venice part du principe que les utilisateurs supposeront que le fournisseur de services conservera toutes les données, mais aucune des deux parties ne peut le vérifier.

Chaque segment du trajet entre les machines s'effectue via TLS, qui chiffre uniquement le flux de données ; le destinataire peut lire toutes les informations. Les relais utilisent généralement le protocole HTTP anonyme (RFC 9458) pour préserver l'anonymat des destinataires, à l'image d'un ami qui s'échange un message. L'expéditeur sait qui a transmis le message, mais ne peut pas en lire le contenu ; le destinataire peut lire le contenu, mais ignore qui l'a écrit. Le protocole OHTTP est devenu une norme de l'IETF en janvier 2024, et de nombreuses entreprises font désormais transiter leur trafic de production sur des relais OHTTP loués auprès de Cloudflare et Fastly.

C’est également la limite de confidentialité atteignable lors de l’accès à des modèles propriétaires, en raison d’un problème mathématique. Le coût actuel de la formation de modèles de pointe se chiffre en milliards, et la valorisation de ces laboratoires, avoisinant le billion de dollars, repose sur l’exclusivité des pondérations des modèles. La durée de l’écart de capacité du modèle détermine la durée de cette prime ; c’est pourquoi les laboratoires protègent les fichiers de pondération comme des secrets d’État.

Meta a mené cette expérience de manière passive. Le modèle LLaMA, publié en février 2023, était initialement réservé aux chercheurs, mais en moins d'une semaine, ses poids ont fuité sur 4chan sous forme de granularité. Une semaine plus tard, le fichier llama.cpp permettait d'exécuter localement le plus petit modèle (7 milliards de octets) sur un MacBook, et trois jours plus tard, Stanford a peaufiné un assistant de messagerie instantanée, Alpaca, sur ce même modèle pour moins de 600 dollars. Cette fuite a réduit les coûts d'exploitation de Llama à la seule consommation d'électricité, permettant à quiconque possédant le fichier de l'exécuter chez soi. En juillet 2023, Meta a officiellement publié Llama 2 en open source avec une licence commerciale ne comportant pas de clause limitant à 700 millions le nombre d'utilisateurs actifs mensuels. Les poids ont fonctionné, et la version premium a suivi.

En théorie, les laboratoires de pointe pourraient fournir une attestation (preuve à distance) pour l'inférence sur des modèles à code source fermé. Cependant, cette attestation ne prouve que le segment de code ayant lu l'invite ; elle ne peut pas prouver ce qu'il en a fait. Pour déterminer si le serveur a conservé des données, il est nécessaire d'auditer le code serveur et de le reconstruire à partir du hachage fourni par le matériel. Or, une fois le code serveur transmis, le laboratoire abandonne également les techniques de traitement par lots et de mise en cache qui contribuent à sa rentabilité, et ces techniques seront intégrées à chaque nouvelle génération de modèles. Apple et Meta peuvent fournir une preuve à distance pour les piles de services sous-jacentes à l'iPhone et à WhatsApp, car leurs revenus proviennent des appareils et de la publicité, et la divulgation publique du code de service n'engendre quasiment aucun coût.

C’est pourquoi les poids et le code de service des modèles phares ne sont pas communiqués aux opérateurs externes. Sans opérateurs externes, il n’y a pas d’attestation par un tiers ; sans attestation, la confidentialité vérifiable n’existe que sur les modèles open source.
 

Confidentialité au niveau structurel

Chaque mécanisme de cette catégorie remplace les promesses de confiance par des preuves matérielles, cryptographiques ou physiques, mais chacun engendre des coûts différents pour les mises à niveau de la confidentialité, principalement parce qu'ils ne peuvent exécuter que des modèles open source.

L'environnement d'exécution de confiance (TEE) de Confidential Computing exécute l'inférence à l'intérieur d'une enclave matérielle (une chambre scellée sur la puce que même l'opérateur de la machine ne peut pas ouvrir) ; la puce signera une attestation détaillant le modèle et le segment de code qui ont été exécutés.

L'invite n'est sécurisée qu'au niveau du point de terminaison. Un acteur subsiste sur le chemin, via le proxy, capable de lire le texte en clair ; seul le protocole empêche le proxy d'enregistrer ou de divulguer le contenu du relais.

Le chiffrement de bout en bout (E2EE) scelle les relais lisibles. L'appareil de l'utilisateur chiffre l'invite avec la clé de l'enclave, et chaque relais intermédiaire utilise une enveloppe scellée que seule l'enclave peut ouvrir.

La confiance repose sur le client. Le code chargé de chiffrer l'invite et de vérifier l'attestation peut également révoquer cette garantie. Par conséquent, un chiffrement de bout en bout vérifiable exige à la fois une enclave éprouvée et un code client ouvert et reproductible.

Comparativement à la simplicité du TEE, le coût du chiffrement de bout en bout (E2EE) réside dans la complexité d'ingénierie, ce qui ralentit également l'intégration fonctionnelle. L'E2EE transforme le proxy en un simple transmetteur de données, obligeant ainsi à repenser toutes les fonctions nécessitant la lecture de texte clair autour de la clé client ou à les reconstruire uniquement en interne au sein de l'enclave.

Le chiffrement homomorphe complet (FHE) et ses variantes MPC éliminent totalement l'intermédiaire de confiance. Le serveur effectue les calculs sur le texte chiffré dans un coffre-fort qu'il ne peut jamais ouvrir ; la clé est uniquement en votre possession. Le calcul multipartite (MPC), quant à lui, divise l'invite en parts secrètes distribuées entre plusieurs parties, obtenant le même résultat, sauf en cas de collusion entre tous les participants.

Le coût est la vitesse. Le chiffrement intégral complet (FHE) n'effectue nativement que des additions et des multiplications ; les étapes non linéaires nécessaires au fonctionnement du transformateur doivent donc être reconstruites, ce qui représente un coût important. Le coût d'inférence sur un texte chiffré est 10 000 à 100 000 fois supérieur à celui sur un texte clair. Chaque jeton prend de quelques secondes à quelques minutes sur les petits modèles, alors qu'en clair, il ne prend que quelques millisecondes.

Les puces personnalisées pour le calcul chiffré devraient réduire l'écart, mais le premier prototype ne terminera sa démonstration qu'au début de 2026, et les versions commerciales prendront encore quelques années.

L'inférence locale élimine directement ce chemin. Le modèle s'exécute sur votre propre matériel, sans relais, sans serveur, sans fournisseur de services et sans exigence de vérification.

Les coûts les plus évidents sont le prix et les capacités du modèle. Le gpt-oss-120b obtient un score environ deux fois inférieur à celui du GLM-5.2 sur l'indice d'analyse artificielle, mais sa taille de 65 Go dépasse la capacité combinée de la VRAM de deux cartes graphiques haut de gamme pour le jeu. Le GLM-5.2 en pleine précision ne peut fonctionner que sur un nœud de centre de données composé de huit cartes, dont le coût dépasse 300 000 $ pour les seuls GPU.

Cependant, au-delà de ces limitations structurelles, le coût de l'intégration de l'inférence dans des enclaves diminue. En inférence mono-carte, les tests de performance du fournisseur de services cloud Phala montrent que la perte de débit pour le mode enclave du H100 est en moyenne inférieure à 7 %, et quasi nulle pour les grands modèles, car le coût principal réside dans le transfert des données vers la puce, et non dans les calculs effectués en interne. En inférence multi-cartes, le GPU nouvelle génération Blackwell de NVIDIA prend désormais en charge le chiffrement direct du trafic inter-puces, tandis que l'ancien H100 ne peut obtenir le même résultat qu'en faisant transiter le trafic par le processeur hôte, avec une bande passante sept fois moindre. Les tests de performance de NVIDIA sur Blackwell montrent que la perte de débit pour un modèle de 397 octets en mode enclave est inférieure à 8 %. Grâce à ces avancées, la perte de performance liée à l'inférence de confidentialité n'est plus un obstacle majeur.

En réalité, l'enclave n'engendre quasiment aucun surcoût opérationnel pour l'opérateur. Tous les routeurs H100 mis en service après 2023 sont équipés du mode enclave, et le surcoût correspond à la perte de débit due au chiffrement, et non au coût de puces supplémentaires. Actuellement, le prix de location des routeurs H100 confidentiels sur Azure est de 8,90 $ par heure, contre 6,98 $ sans enclave, soit une majoration de 27 % par rapport aux infrastructures cloud traditionnelles. À l'inverse, des opérateurs comme Phala, spécialisés dans les enclaves, proposent des routeurs H100 en mode confidentiel à partir de 3,80 $ par heure, un tarif inférieur à celui des cartes SXM standard de Lambda (entre 3,99 $ et 4,29 $). Concernant les solutions d'API hébergées, NEAR AI propose des points de terminaison avec attestation à 0,15 $ par million de jetons entrants et 0,55 $ par million de jetons sortants pour gpt-oss-120b, un prix comparable à celui des routes en clair sur Amazon Bedrock, Together et Groq. Même pour les modèles nécessitant un parallélisme multi-puces, les prix de NEAR AI sur GLM 5.2 sont identiques à ceux de Fireworks, et sur le Kimi K2.6 plus grand, les entrées sont 15 % moins chères et les sorties 4 % moins chères.

Bien que ces nouveaux fournisseurs de solutions de protection de la vie privée puissent sacrifier leurs profits pour conquérir des parts de marché (cela s'applique à toute entreprise du marché cherchant à se développer), la tendance structurelle est à la baisse du coût de la protection de la vie privée, tant pour les consommateurs que pour les opérateurs.

Comment les modèles open source gagnent

Malgré la réduction des coûts de performance, un écart important persiste entre les modèles de pointe et les modèles open source de pointe. Une entreprise visant une productivité maximale doit toujours s'assurer que les laboratoires de pointe ne s'approprient pas sa propriété intellectuelle.

L'écart existe toujours, mais AIA Labs, sous l'égide de Bridgewater et de Thinking Machines, a fourni un exemple le 30 juin : un modèle ouvert, affiné grâce à des annotations d'experts, a simultanément surpassé un modèle de pointe en termes de précision et de coût.

Dans cette étude, l'équipe a optimisé Qwen3-235B sur Tinker (le service d'API d'optimisation hébergé de Thinking Machines). Elle a d'abord obtenu des annotations auprès du fournisseur, a entraîné le modèle une première fois avec ce lot de données, puis a renvoyé les échantillons divergents au service d'investissement de l'entreprise pour une nouvelle annotation. L'entraînement a utilisé l'apprentissage par renforcement (GRPO) avec trois modifications : le traitement par lots en rotation (chaque tâche produit un lot à tour de rôle), la perte CISPO (limitant l'influence d'une seule réponse sur le modèle) et la distillation en temps réel (ancrage au point de contrôle optimal actuel pour éviter que le modèle n'apprenne à partir de copies moins performantes).

Toutes les tâches étaient issues des flux de travail quotidiens des professionnels de l'investissement : déterminer si un article de presse est important pour les dirigeants en investissement, si un document de banque centrale laisse présager des variations futures des taux d'intérêt, et par où commencer avec des phrases types dans un document ou un courriel. La notation provenait d'un ensemble de tests indépendants. Les modèles de pointe atteignaient en moyenne 50 % sur des requêtes simples et seulement 78,2 % sur des requêtes d'experts, un score inférieur au seuil de 80 % fixé par les professionnels de l'investissement. Le modèle Qwen, après optimisation, a obtenu 84,7 %, ce qui, d'après le texte original, représente 29,8 % d'erreurs en moins que le modèle optimal de pointe, avec des coûts d'inférence 13,8 fois inférieurs.

https://thinkingmachines.ai/news/learning-to-replicate-expert-judgment-in-financial-tasks/

Ce cas démontre que les modèles open source peuvent être performants en termes de précision et de coût, mais le processus d'entraînement reste opaque. Les annotations d'experts utilisées sont des données propriétaires de Bridgewater, transitant par le service tiers de Tinker, pour atteindre le même niveau de confiance que le protocole ZDR. Le fonds a également loué de la puissance de calcul, et l'entraînement complet s'est déroulé sur des machines qu'il ne contrôlait pas. Les acheteurs souhaitant cette formule sans cette hypothèse de confiance disposent aujourd'hui de très peu d'options. La location de clusters GPU dédiés permet aux opérateurs cloud de comprendre le processus d'entraînement. L'achat d'un cluster résout le problème d'hébergement des données, mais fait exploser les coûts.

L'accès à l'attestation est désormais possible. En mars, Workshop Labs et Tinfoil ont lancé Silo, une pile de post-entraînement fonctionnant dans des enclaves Tinfoil sur un seul nœud à 8 cartes, dont les clés sont contrôlées exclusivement par le client. L'article précise que le coût des enclaves ajoute 11 minutes à une session d'entraînement de deux heures, et que cette pile peut gérer un modèle à mille milliards de paramètres (Kimi K2 Thinking) en figeant les poids de base et en entraînant uniquement de petits adaptateurs par-dessus. La difficulté réside dans le fait que l'apprentissage par renforcement nécessite des transferts de données entre les composants, et c'est précisément lors de ces transferts que les coûts des enclaves apparaissent.

Moins d'un mois après la sortie de Silo, Workshop Labs a été racheté par Thinking Machines, et tous les composants nécessaires au fonctionnement de la prochaine boucle RL de type Bridgewater dans l'enclave se trouvent désormais sous la même direction.

Confidentialité au niveau du harnais

Il existe un autre problème, extérieur à tous les mécanismes d'inférence privés. Ces mécanismes gèrent chacun le chemin entre l'invite et le modèle, tandis que chaque appel à un outil externe initié par un agent ouvre une voie inaccessible à la couche d'inférence. La tendance récente à l'ingénierie des outils amplifie ce problème : chaque outil, espace de stockage et source de données entourant le modèle constitue une destination supplémentaire qui lit sa portion du flux de travail en clair. Les serveurs de calendrier lisent les plannings, les serveurs de bases de données lisent les requêtes. Un agent totalement local doit toujours soumettre des termes de recherche en clair à un moteur de recherche s'il souhaite obtenir des informations en dehors de l'ensemble d'entraînement, car le serveur ne peut pas lire le texte brut et ne peut donc pas répondre aux questions.

Les solutions courantes privilégient encore la couche protocolaire. Des entreprises comme Runlayer et MintMCP utilisent une passerelle centrale pour contrôler tout le trafic des outils, en masquant les informations personnelles identifiables (IPI) avant l'envoi des requêtes. Cette passerelle détermine également quels serveurs peuvent recevoir le trafic, bloquant ceux qui ne sont pas vérifiés, et enregistre la destination et le contenu de chaque appel. Même si ces contrôles font l'objet d'audits indépendants (SOC 2), les serveurs d'outils doivent toujours lire les requêtes en clair pour y répondre, et la conservation des copies dépend de leurs propres politiques de conservation, multipliées par le nombre d'outils utilisés. De plus, la passerelle elle-même constitue un intermédiaire de lecture supplémentaire, reposant sur la confiance tout au long du chemin, plutôt que sur une vérification.

Les solutions structurelles ciblent cette couche intermédiaire. Par exemple, Phala héberge directement le serveur MCP au sein d'un environnement d'exécution de confiance (TEE), couvrant les portefeuilles, l'exécution de code et les sources de données, permettant ainsi aux utilisateurs de vérifier les déclarations de confidentialité par une attestation plutôt que de faire confiance à l'opérateur. Cependant, les outils hébergés dans le TEE doivent toujours soumettre des requêtes en clair aux fournisseurs de services ; l'enclave ne sécurise que l'émetteur, et non la destination.

Seules quelques destinations ont appris à répondre sans lecture, et ce uniquement pour les requêtes structurées. Apple propose une récupération d'informations privées pour l'iPhone, permettant de comparer les numéros d'appelants avec des bases de données d'appels indésirables sans les divulguer. Microsoft utilise le même système pour les mots de passe dans le navigateur Edge. Le chiffrement interrogeable de MongoDB permet aux clients de chiffrer les champs avant leur envoi, permettant ainsi au serveur d'effectuer des comparaisons d'égalité et de plages uniquement à partir du texte chiffré.

Cependant, pour les recherches ouvertes, les meilleures réponses actuelles reposent encore sur la confiance ; la recherche chiffrée vérifiable n'a pas encore vu le jour. Brave promet une absence totale de conservation des données sur son propre index de 40 milliards de pages (contrairement à celui de Google), mais reste au niveau du protocole. Exa a développé un index neuronal qui intègre sémantiquement les mots-clés des utilisateurs, permettant ainsi une correspondance des résultats basée sur la sémantique, mais cette étape d'intégration s'effectue toujours à partir de texte clair sur les serveurs d'Exa. L'article Tiptoe du MIT (2023) a permis de classer 360 millions de pages web sans exposer les requêtes, mais chaque recherche consomme une quantité importante de puissance de calcul et la qualité du classement diffère de celle des recherches non chiffrées. L'article Wally d'Apple (2024) réduit les coûts de communication jusqu'à 31 fois en masquant les requêtes réelles parmi des leurres, mais ce calcul n'est rentable qu'à partir de millions de requêtes simultanées, une échelle qu'aucun système de recherche privé n'atteint actuellement.

La recherche chiffrée est possible ; elle n'a simplement pas encore atteint un niveau commercialement viable en termes de performances et de prix.

Perspectives

La demande en IA privée est en pleine croissance. Venice AI a récemment franchi la barre des 3,5 millions d'utilisateurs inscrits et un débit mensuel de 1 300 milliards de jetons, bouclant par la suite une nouvelle levée de fonds de série A d'une valeur d'un milliard de dollars. Son concurrent direct, Proton, a vu son application de messagerie Lumo dépasser les 10 millions d'utilisateurs moins d'un an après son lancement. Côté infrastructure, Phala traite actuellement entre 2 et 3 milliards de jetons par jour sur OpenRouter. Duck.ai achemine les modèles gpt-oss-120b et Gemma vers l'enclave de Tinfoil, garantissant une confidentialité vérifiable au-delà des proxys utilisateurs. Sans compter l'auto-hébergement, probablement le principal vecteur d'inférence privée, où les modèles s'exécutent sur le matériel de l'utilisateur, sans laisser de traces.

Cependant, dans le contexte plus large de l'intelligence artificielle généralisée, l'IA axée sur la confidentialité n'occupe qu'une infime place, et cet écart ne se comblera que lorsque les laboratoires de pointe répondront délibérément à cette demande. En mai, Google a traité 320 000 milliards de jetons pour l'ensemble de ses produits, ce qui signifie que le débit mensuel de Venice équivaut approximativement aux 18 minutes de traitement de Google. En novembre dernier, Google a lancé Private AI Compute (PAC), exécutant certaines fonctionnalités de Gemini dans des enclaves TPU scellées et isolées de l'entreprise, dont la conception a été auditée indépendamment par NCC Group. Le problème est que PAC ne couvre que quelques fonctionnalités Pixel, comme les recommandations personnalisées et les résumés audio, et non les applications Gemini utilisées par des centaines de millions d'utilisateurs. Google est disposé à soumettre les conceptions aux auditeurs car ces fonctionnalités sont monétisées par le biais des appareils et de la publicité, et non par la vente de jetons.

Les solutions hébergées actuelles présentent également des imperfections. Les utilisateurs recherchant une confidentialité maximale via le chiffrement de bout en bout doivent attendre que les nouvelles fonctionnalités soient reconstruites dans des zones inaccessibles aux fournisseurs de services. Les systèmes de sécurité privés dépendent toujours des protocoles de la couche de service. Un post-formation à prix raisonnable exige encore de faire confiance à des fournisseurs tiers pour obtenir les meilleurs résultats de paramétrage. L'auto-hébergement élimine complètement les fournisseurs de services, mais l'exécution locale des modèles open source les plus performants peut coûter plus cher que le bâtiment qui les héberge.

Malgré ses imperfections, l'IA privée est devenue une option concrète et abordable, et les écarts restants se réduisent. Pour les particuliers, les conversations privées en mode ouvert sur Lumo et Venice, avec garantie de non-conservation des journaux, sont gratuites. Les abonnements Venice ou Tinfoil, à 18 ou 20 dollars, encapsulent ces mêmes conversations dans des enclaves, pour un prix comparable à celui d'un abonnement ChatGPT. Pour les flux de travail d'entreprise, les points de terminaison avec attestation sont désormais encore moins chers que les routes en clair. Des points de terminaison comme l'API E2EE de NEAR peuvent désormais intégrer un contexte chiffré dans les enclaves, la mémoire, les chargements de fichiers et les instructions personnalisées fonctionnant déjà sur E2EE. Concernant le post-entraînement avec attestation, la future plateforme Vera Rubin NVL72 de NVIDIA étendra le calcul confidentiel des nœuds 8 cartes de Blackwell aux racks 72 cartes, rendant les boucles d'apprentissage par renforcement de pointe plus accessibles sans exposer la propriété intellectuelle.

Cependant, la véritable valeur ajoutée réside au-delà de ces niveaux de compression des prix. La confidentialité est quasiment gratuite là où elle existe déjà, mais elle n'est pas encore généralisée aux flux de travail des agents. Les opérateurs qui se concentrent sur la location et la vente d'enclaves détiennent un avantage concurrentiel sur les puces standard, et non un avantage décisif, tandis que les passerelles de la couche protocole rivalisent avec les intergiciels traditionnels. Le terrain à défendre est la moitié de ce rapport qui reste à résoudre : les boucles d'apprentissage enfermées dans des enclaves, les appels d'outils scellés de bout en bout et les index de recherche de termes invisibles. Celui qui parviendra en premier à réaliser l'une de ces prouesses vendra un produit ou un service qu'aucune guerre des prix ne pourra banaliser. Les investisseurs en quête d'IA respectueuse de la vie privée devraient s'intéresser aux lacunes existantes, et non à ce produit ou service unique.

Alors, confiance ou vérification ? Pour les tâches complexes nécessitant une exécution poussée et une forte interaction avec les agents, privilégiez la confiance, car chaque appel d'outil transmet intrinsèquement des données en clair à des destinations inaccessibles aux environnements sécurisés, et les modèles de pointe justifient leur coût dans ce contexte. En revanche, pour la réflexion stratégique qui distingue une entreprise de ses concurrents, optez pour la vérification. La stratégie, la planification et le jugement, fruits d'années d'expérience professionnelle, constituent précisément cet avantage concurrentiel. La solution consiste à optimiser les modèles open source grâce à ces connaissances propriétaires, tout en respectant le contrôle de l'entreprise. Dans les domaines où réside l'avantage concurrentiel d'une entreprise, les modèles open source optimisés par des experts ont déjà surpassé les modèles de pointe en termes de précision et de coût, et l'infrastructure nécessaire à leur développement dans des environnements respectueux de la vie privée se met progressivement en place.