L’IA open source en PME attire pour une raison simple : vous pouvez tester vite, parfois à moindre coût, sans dépendre entièrement d’un grand éditeur. Pour une GED, une base de connaissances ou un assistant interne, la promesse est claire : retrouver plus vite une procédure, résumer un compte rendu, interroger des documents métier.
Mais un modèle publié en source ouverte n’est pas automatiquement sûr pour vos données. Son origine, ses données d’entraînement, ses dérivés et son mode d’hébergement comptent. Selon le Baromètre France Num 2025, 26 % des TPE PME utilisent déjà des solutions d’IA, et 6 % des outils d’analyse de documents. (francenum.gouv.fr) L’enjeu n’est donc plus seulement de tester, mais de tester proprement.
IA open source en PME : vérifiez d’abord la généalogie du modèle 🎯
La première vérification consiste à comprendre d’où vient le modèle avant de lui confier vos documents internes. Un modèle publié en source ouverte peut avoir été téléchargé, modifié, spécialisé sur de nouvelles données, puis republié sous un autre nom. Il peut donc porter l’héritage de plusieurs modèles précédents.
La CNIL a justement mis à jour, le 26 août 2026, son démonstrateur de traçabilité des modèles publiés en source ouverte. L’outil permet d’explorer les ascendants et descendants d’un modèle, avec une actualisation hebdomadaire à partir de données publiques disponibles sur Hugging Face, selon la page IA : la CNIL met à jour son outil de traçabilité. (cnil.fr)
Prenons une PME industrielle de 30 personnes qui veut créer un assistant interne pour répondre aux questions sur ses procédures qualité. Un collaborateur repère un modèle « français », léger, bien noté sur une plateforme. Avant de l’installer, l’entreprise doit vérifier s’il s’agit d’un modèle original ou d’un dérivé d’un autre modèle, potentiellement entraîné ou ajusté sur des données moins claires.
À faire cette semaine :
- Notez le nom exact du modèle, sa version et sa page de publication.
- Lisez la fiche modèle : auteur, licence, date, usages prévus, limites connues.
- Recherchez s’il existe des modèles parents ou dérivés.
- Conservez une capture ou un export de ces informations dans un dossier projet IA.
- Désignez une personne responsable de cette fiche, même si le test est petit.
Cette vérification n’exige pas une expertise de data scientist. Elle impose surtout une discipline documentaire. Si vous ne pouvez pas expliquer en une page quel modèle vous testez, d’où il vient et pourquoi il a été choisi, vous n’êtes probablement pas prêt à l’utiliser sur des documents internes.
Un audit IA ciblé peut vous aider à classer rapidement les modèles envisagés selon vos usages : assistance interne, recherche documentaire, automatisation administrative ou support client.
Identifiez ce que le modèle peut avoir mémorisé ou reproduire 🔍
La deuxième vérification consiste à évaluer ce que le modèle peut embarquer indirectement dans ses réponses. Un modèle d’IA ne contient pas simplement du code. Il porte les effets de son entraînement, de ses ajustements successifs et parfois de données qu’il peut restituer de façon très proche de leur forme initiale.
Dans sa première publication sur l’outil de traçabilité, la CNIL rappelle que la communauté académique a établi qu’il est possible, dans certains cas, d’extraire des informations liées à la base d’entraînement d’un modèle. Elle évoque aussi la question de la régurgitation, lorsque des modèles génératifs produisent des contenus très proches de données vues pendant l’entraînement, dans son article de présentation de l’outil. (cnil.fr)
Imaginez une PME de services RH de 12 salariés qui veut utiliser un modèle local pour résumer des CV, des entretiens et des fiches de poste. Le risque n’est pas seulement que l’outil se trompe. Le risque est aussi que des informations personnelles soient injectées dans un outil mal maîtrisé, ou que des réponses fassent apparaître des formulations non vérifiées, issues d’apprentissages antérieurs.
Vous ne pourrez pas auditer toute la base d’entraînement d’un grand modèle. En revanche, vous pouvez réduire le risque par des questions simples :
- La fiche du modèle décrit-elle les sources de données utilisées ?
- Le modèle a-t-il été affiné sur des données personnelles ou sectorielles ?
- Existe-t-il des avertissements sur les biais, les contenus sensibles ou les limites ?
- La licence autorise-t-elle votre usage professionnel ?
- Les réponses produites seront-elles relues avant diffusion interne ?
Pour les usages documentaires, privilégiez une approche où le modèle interroge vos documents sans les absorber durablement. C’est le principe d’un assistant basé sur une base documentaire ou un moteur de recherche sémantique : le modèle répond à partir d’extraits contrôlés, plutôt que d’être réentraîné avec tout votre historique.
Cette distinction est concrète. Ajouter vos procédures dans une base de connaissances consultable n’a pas le même impact que réentraîner un modèle avec vos contrats, vos comptes rendus RH ou vos échanges commerciaux. Dans le doute, commencez par une architecture réversible : documents indexés, accès limités, suppression possible.
Pour vos équipes, le bon réflexe tient en une phrase : un document interne ne doit pas servir de donnée d’apprentissage par défaut. Il peut servir de source consultée, si l’environnement est maîtrisé et si les droits d’accès sont respectés.
Décidez quelles données ne doivent jamais être versées dans l’outil ⚙️
La troisième vérification consiste à définir une frontière claire entre documents utilisables, documents à anonymiser et documents interdits. Sans cette règle, chaque salarié improvise. Et l’improvisation est rarement une bonne base de gouvernance.
Prenons une PME du BTP de 22 salariés qui teste un assistant pour retrouver plus vite des clauses dans ses marchés, devis, comptes rendus de chantier et échanges avec les sous-traitants. Le cas d’usage est pertinent. Mais certains documents contiennent des prix négociés, des litiges, des coordonnées personnelles ou des informations sur la paie. Tout ne doit pas partir dans le même outil, même si le modèle est installé en interne.
Commencez par créer trois niveaux de documents :
- Vert : documents génériques, procédures publiques, notices, supports de formation.
- Orange : documents internes utiles, mais à anonymiser ou limiter à certains rôles.
- Rouge : données RH, santé, contentieux, secrets d’affaires, mots de passe, éléments bancaires.
Cette classification peut tenir dans un tableau partagé. Elle devient utile dès qu’elle est associée à des exemples réels de votre entreprise. Un salarié comprendra mieux « devis avec marge détaillée : rouge » que « information confidentielle : prudence ».
Ajoutez ensuite une règle simple pour chaque nouvel usage IA :
- Quel type de document sera utilisé ?
- Qui pourra poser des questions à l’outil ?
- Les réponses seront-elles enregistrées ?
- Le prestataire ou l’éditeur peut-il réutiliser les données ?
- Comment supprime-t-on les documents du système ?
Ce dernier point est souvent oublié. Pourtant, une PME doit pouvoir retirer un document obsolète, un contrat terminé ou une donnée personnelle devenue inutile. Si l’outil ne prévoit pas cette suppression, le projet mérite une pause.
Le RGPD ne bloque pas les projets IA. Il impose de savoir quelles données personnelles sont traitées, pourquoi, pendant combien de temps et avec quelles protections. France Num indique que seules 41 % des TPE PME tiennent un registre des activités de traitement, alors que ce registre est obligatoire dès lors que des données personnelles sont traitées, selon le Baromètre France Num 2025. (francenum.gouv.fr)
Si vos documents internes contiennent des données clients, salariés ou fournisseurs, votre projet IA doit rejoindre ce registre. Même pour un test.
Encadrez l’usage avant de brancher l’IA à votre GED 📊
La quatrième vérification consiste à poser une mini-gouvernance avant de connecter un modèle à votre GED, votre intranet ou votre base de connaissances. Le bon niveau de contrôle n’est pas forcément lourd. Pour une PME, il doit surtout être clair, applicable et compris par les utilisateurs.
Imaginez une coopérative agroalimentaire de 18 salariés qui veut interroger ses fiches qualité, procédures de nettoyage et modes opératoires. Le dirigeant veut éviter les recherches interminables dans les dossiers partagés. Le projet peut démarrer vite, à condition de fixer le cadre avant l’ouverture aux équipes.
Une mini check-list de gouvernance peut tenir sur une page :
- Objectif : préciser l’usage autorisé, par exemple « retrouver une procédure interne », pas « prendre une décision RH ».
- Périmètre documentaire : lister les dossiers connectés et ceux exclus.
- Droits d’accès : respecter les accès existants dans la GED ou les reconstruire.
- Validation humaine : imposer une relecture pour les réponses engageantes.
- Suivi : noter les erreurs, demandes sensibles et améliorations à prévoir.
Cette check-list protège aussi votre adoption interne. Les salariés acceptent mieux un outil quand ils savent ce qu’il fait, ce qu’il ne fait pas et quelles informations ils peuvent y saisir. La formation n’a pas besoin de durer trois jours pour un premier usage. Une session courte, avec vos propres exemples, suffit souvent à éviter les mauvaises pratiques les plus courantes.
Vous pouvez structurer le déploiement en quatre temps :
- Test sur un petit lot de documents non sensibles.
- Vérification des réponses par deux personnes métier.
- Extension à un périmètre documentaire limité.
- Point de contrôle après deux ou trois semaines d’usage réel.
C’est aussi le moment de décider si vous avez besoin d’un modèle local, d’un cloud privé, d’une solution SaaS ou d’un développement spécifique. Le bon choix dépend de vos données, de vos contraintes métier et de vos compétences internes. Pour certains usages, un outil standard bien paramétré suffit. Pour d’autres, par exemple un assistant connecté à plusieurs bases métiers, un développement IA sur-mesure peut être plus adapté qu’un empilement d’outils mal reliés.
Gardez un principe simple : plus les documents sont sensibles, plus l’environnement doit être maîtrisé. Un chatbot sur des notices produits n’a pas le même niveau de risque qu’un assistant branché sur des dossiers RH, des contrats clients ou des comptes rendus de direction.
Votre première étape n’est pas de choisir le modèle le plus puissant. C’est de choisir un usage précis, un périmètre documentaire limité et une règle claire sur les données interdites. Ensuite seulement, vous pourrez comparer les solutions.
Chez Docentia, nous aidons les TPE et PME à transformer ces vérifications en pratiques simples : diagnostic, cadrage des usages, formation des équipes et choix d’outils adaptés. Si vous envisagez un assistant documentaire, une GED augmentée ou une base de connaissances interne, commencez par un test court et documenté. Pour cadrer votre projet en 30 minutes, vous pouvez prendre contact avec Docentia, à distance ou en présentiel autour de Pau, Tarbes et Toulouse.