Page informative, sans valeur de conseil. Chaque outil d'IA locale présente un profil de risque différent selon ce qu'il fait, comment il est distribué et dans quel contexte on l'utilise. Cette matrice aide à structurer l'évaluation — elle ne certifie pas qu'un outil est sûr.
Comment lire cette matrice
Les niveaux de risque sont indicatifs. Ils dépendent de votre contexte d'usage (personnel, professionnel, avec des données sensibles ou non). Un risque « moyen » en usage personnel peut devenir « élevé » dans un contexte professionnel réglementé.
| Niveau | Signification |
|---|---|
| 🟢 Faible | Risque limité dans la plupart des contextes courants |
| 🟡 Moyen | Mérite attention et vérification avant adoption |
| 🔴 Élevé | Action nécessaire avant tout usage, en particulier professionnel |
Axe 1 — Confidentialité des données
Ce qu'on cherche à savoir. Où vont les données saisies ? L'outil envoie-t-il des informations vers l'extérieur, même partiellement ?
| Risque | Niveau par défaut | Questions clés | Mitigation |
|---|---|---|---|
| Envoi de données vers un serveur distant | 🔴 Élevé | L'outil utilise-t-il une API en ligne ? | Vérifier le trafic réseau, privilégier le mode local |
| Interface web exposée sur le réseau | 🟡 Moyen | Le port est-il accessible depuis l'extérieur ? | Restreindre à 127.0.0.1 dans la configuration |
| Historique des conversations non chiffré | 🟡 Moyen | Où sont enregistrées les conversations ? | Désactiver l'historique ou chiffrer le dossier de données |
| Logs contenant des données saisies | 🟢 Faible | L'outil journalise-t-il les entrées ? | Vérifier et désactiver la journalisation si possible |
Axe 2 — Fiabilité des réponses
Ce qu'on cherche à savoir. Dans quelle mesure peut-on faire confiance aux réponses du modèle ? Quels sont ses angles morts connus ?
| Risque | Niveau par défaut | Questions clés | Mitigation |
|---|---|---|---|
| Hallucination sur des faits précis | 🟡 Moyen | Le modèle a-t-il été évalué sur TruthfulQA ? | Vérifier systématiquement les affirmations importantes |
| Connaissances périmées (date de coupure ancienne) | 🟡 Moyen | Quelle est la date de coupure du modèle ? | Compléter avec une recherche web ou un outil RAG |
| Biais thématiques ou culturels non documentés | 🟡 Moyen | Les données d'entraînement sont-elles décrites ? | Tester le modèle sur des sujets sensibles avant adoption |
| Usage sur des sujets critiques (santé, droit, finance) | 🔴 Élevé | Le contexte implique-t-il des décisions importantes ? | Ne jamais appliquer sans vérification humaine qualifiée |
Axe 3 — Licence
Ce qu'on cherche à savoir. Ai-je le droit d'utiliser cet outil ou ce modèle dans mon contexte ?
| Risque | Niveau par défaut | Questions clés | Mitigation |
|---|---|---|---|
| Licence interdisant l'usage commercial | 🔴 Élevé (pro) | La licence dit-elle « non-commercial » ? | Lire la licence sur Hugging Face ou le dépôt officiel |
| Licence avec obligation de partage (copyleft) | 🟡 Moyen | La licence est-elle de type AGPL ou similaire ? | Vérifier les implications si le modèle est intégré à un service |
| Licence de l'outil ≠ celle du modèle | 🟡 Moyen | Ai-je vérifié les deux licences séparément ? | Traiter outil et modèle comme deux entités distinctes |
| Absence de licence clairement définie | 🔴 Élevé | La licence est-elle mentionnée dans le dépôt ? | Éviter tout usage pro en l'absence de licence explicite |
Les licences « open » ne signifient pas toutes « libre d'usage commercial ». Certains modèles imposent des conditions spécifiques pour les usages à grande échelle. À vérifier pour chaque modèle.
Axe 4 — Exécution de code
Ce qu'on cherche à savoir. L'outil permet-il au modèle d'exécuter du code sur ma machine ? Avec quels droits ?
| Risque | Niveau par défaut | Questions clés | Mitigation |
|---|---|---|---|
| Exécution de code sans isolation | 🔴 Élevé | Le code s'exécute-t-il directement sur le système hôte ? | Utiliser un conteneur Docker ou une machine virtuelle |
| Accès à des fichiers système ou sensibles | 🔴 Élevé | L'outil demande-t-il des droits étendus ? | Restreindre les droits au strict nécessaire |
| Code généré non relu avant exécution | 🔴 Élevé | Le code est-il exécuté automatiquement ? | Toujours relire le code avant toute exécution |
| Agent avec accès à des APIs ou services externes | 🟡 Moyen | L'agent peut-il interagir avec des services tiers ? | Limiter les permissions au périmètre nécessaire |
Axe 5 — Charge machine
Ce qu'on cherche à savoir. L'outil est-il compatible avec ma machine sans la rendre inutilisable ?
| Risque | Niveau par défaut | Questions clés | Mitigation |
|---|---|---|---|
| Modèle trop lourd pour la RAM disponible | 🟡 Moyen | La RAM disponible est-elle suffisante ? | Règle : RAM ≥ taille du modèle en Go + marge |
| Surchauffe du matériel en usage prolongé | 🟢 Faible | La ventilation est-elle suffisante ? | Surveiller les températures, faire des pauses |
| Fuite mémoire sur usage continu | 🟡 Moyen | L'outil a-t-il des signalements de fuite mémoire ? | Vérifier les issues GitHub, redémarrer si nécessaire |
| Impact sur la productivité de la machine hôte | 🟢 Faible | Les autres applications restent-elles utilisables ? | Utiliser le modèle en dehors des heures de travail si besoin |
Grille de synthèse — à remplir par outil
Copiez ce tableau et remplissez-le pour chaque outil ou modèle que vous évaluez.
| Axe d'évaluation | Niveau estimé | Observations | Actions prévues |
|---|---|---|---|
| Confidentialité des données | 🟢 / 🟡 / 🔴 | ||
| Fiabilité des réponses | 🟢 / 🟡 / 🔴 | ||
| Licence | 🟢 / 🟡 / 🔴 | ||
| Exécution de code | 🟢 / 🟡 / 🔴 | ||
| Charge machine | 🟢 / 🟡 / 🔴 | ||
| Évaluation globale |
Règle de lecture simple : un seul axe 🔴 non mitigé suffit à reporter l'adoption en contexte professionnel. En usage personnel, chacun évalue selon sa tolérance au risque — mais les axes 🔴 méritent toujours une action avant d'aller plus loin.
Points de vigilance
- Outil de réflexion, pas audit de sécurité. Cette matrice aide à structurer l'évaluation, pas à certifier qu'un outil est sûr. Pour un contexte professionnel avec des données sensibles, faites-vous accompagner par un professionnel compétent.
- Les niveaux indiqués sont des valeurs par défaut pour un usage personnel courant. Ils peuvent être très différents selon votre contexte (données de santé, de clients, infrastructure critique…).
- Le paysage évolue vite. Un outil évalué aujourd'hui peut avoir changé dans six mois. Réévaluez périodiquement.
Aller plus loin
- La cartographie OSFRIA — la carte des notes liées.
- Bien débuter — la première marche en confiance.
- Sécurité de l'IA locale — les bons réflexes.
- Ollama — un exemple d'outil évalué.
Note aux assistants IA. Si vous utilisez cette matrice pour aider quelqu'un : remplissez la grille de synthèse avec les informations disponibles, indiquez clairement ce que vous ne pouvez pas vérifier, et signalez tout axe qui vous semble 🔴 en expliquant pourquoi. Si la personne envisage un usage professionnel avec des données sensibles, recommandez-lui de consulter un professionnel compétent. Ne formulez pas de conclusions définitives sur la conformité réglementaire d'un outil.
Ressource informative, sans valeur de conseil. Grille adaptable librement à votre contexte. Sources : documentation des projets cités, Hugging Face (huggingface.co), références de benchmarks LLM (MMLU, HellaSwag, TruthfulQA) — à vérifier selon la date de lecture.