API, cloud public, cloud français ou serveur : comparatif

Il n'y a pas de meilleure option dans l'absolu : une API d'éditeur se branche vite mais vous laisse peu de prise ; un serveur interne vous donne tout le contrôle, et toute la charge. Ce comparatif met les quatre options côte à côte sur les critères qui comptent pour un déploiement en entreprise.

À savoir : ce site est édité par IArche, qui édite ALMA, la plateforme IA pour PME d'IArche. ALMA ne figure pas dans ce comparatif, qui porte sur des types d'infrastructure et non sur des produits.

Le tableau

Ce que chaque ligne veut dire

Droit applicable. L'ANSSI rappelle, dans son état de la menace sur le cloud du 19/02/2025, que certains hébergeurs sont soumis au Cloud Act et au FISA américains, qui permettent aux autorités de ces pays d'accéder aux données « y compris en dehors de leurs territoires ». Elle ajoute que le seul chiffrement n'offre pas une protection adéquate quand les clés sont aussi dans le cloud. Le détail est sur la page Cloud Act.

Qui peut voir les requêtes. Les grands clouds isolent l'éditeur du modèle. AWS indique que les fournisseurs de modèles n'ont pas accès aux comptes de déploiement de Bedrock, ni donc aux requêtes et réponses des clients. Pour Claude dans Microsoft Foundry en mode « Hosted on Azure », Anthropic indique que les requêtes et réponses restent dans Azure, seules les métadonnées d'usage et les contenus signalés par ses systèmes de sécurité lui étant transmis. Voir Claude sur Bedrock, Vertex ou Foundry.

Choix des modèles. Sur un serveur interne ou un GPU loué, vous ne pouvez faire tourner que des modèles dont les poids sont publiés. Mistral AI indique par exemple que ses modèles peuvent être auto-déployés avec des moteurs comme vLLM, TensorRT-LLM ou TGI. Les modèles fermés passent par l'API de l'éditeur ou par un cloud partenaire.

Mise en route. Un service géré comme OVHcloud AI Endpoints s'appelle avec une clé d'API, en format compatible OpenAI d'après sa documentation : c'est rapide. Un serveur à vous demande de choisir le matériel, d'installer le moteur d'inférence et d'organiser la sécurité.

Comment trancher

1. Classez les données. La CNIL juge plus sûr un déploiement sur site pour des données personnelles ou sensibles, et admet une infrastructure mutualisée pour les petites structures si les transferts sont encadrés.
2. Regardez la criticité. L'ANSSI recommande une offre SecNumCloud en cloud public quand les données sont sensibles, quand l'impact sur le métier est critique, ou quand les utilisateurs ne sont pas de confiance (R14).
3. Comptez vos compétences. Un serveur mal administré est moins sûr qu'un cloud bien réglé.
4. Écrivez la sortie. Format d'export, durée de transition, frais : voyez le Data Act.

Prenons un exemple illustratif : un cabinet de cinq personnes qui veut résumer des courriers clients. Les courriers contiennent des données personnelles ; le cabinet n'a pas d'administrateur. Il écartera sans doute le serveur interne, et comparera un cloud réglé sur une zone européenne avec un hébergeur français, en lisant les contrats des deux.