Kimi K3.1 Pro et RGPD : entraînement, stockage, lacunes

La réponse courte d’abord. Kimi K3.1 Pro est un modèle solide, et la question du RGPD tient moins au modèle qu’à la porte d’entrée. Dans l’application de chat, les politiques de confidentialité de Moonshot prévoient que vos contenus servent à entraîner ses modèles, et elles ne décrivent aucun réglage pour s’y opposer. Par l’API, Moonshot annonce au contraire une option Zero Data Retention. Même modèle, conditions très différentes.

Moonshot AI a publié K3.1 Pro le 23 octobre 2026. Cet article s’appuie sur l’annonce de Moonshot, sur ses deux politiques de confidentialité publiées et sur la presse. Nous n’avons pas testé le modèle, et ce n’est pas un avis juridique.

Ce qu’est Kimi K3.1 Pro

K3.1 Pro est une version post-entraînée de Kimi K3, sorti en juillet, et le premier modèle d’une nouvelle série K3.1. Il accepte jusqu’à un million de tokens de contexte, et une variante plus rapide, K3.1 Pro Highspeed, sort en même temps. Selon The Decoder, il se classe quatrième de l’indice d’Artificial Analysis, et les prix de l’API baissent d’un tiers, à 2 dollars américains par million de tokens en entrée et 10 dollars en sortie.

Au lancement, il est disponible sur le site et les applications Kimi, dans Kimi Work, dans Kimi Code et par l’API. Moonshot annonce les poids complets du modèle d’ici le 4 novembre 2026. D’ici là, K3.1 Pro ne tourne que sur les serveurs de Moonshot, et c’est là que la politique de confidentialité compte.

Ce que disent les politiques de confidentialité

Il y en a deux. L’annonce renvoie vers la politique de kimi.ai, mise à jour le 13 août 2026, dont l’exploitant est NOVASCENT PRIVATE LIMITED. La politique de kimi.com, en vigueur depuis le 31 août 2026, émane de Beijing Moonshot Technology Co., Ltd. C’est celle du site où vous vous connectez qui compte.

• —Entraînement : selon kimi.ai, les contenus des utilisateurs servent notamment à entraîner et optimiser son IA. Selon kimi.com, les entrées et sorties servent à optimiser les modèles après désidentification.
• —Opposition : aucune des deux ne décrit de réglage. Selon kimi.com, il faut contacter le service client si vous ne voulez pas que vos contenus servent à l’entraînement. Selon kimi.ai, le retrait du consentement passe par le contact dédié à la confidentialité.
• —Lieu de stockage : kimi.ai indique que vos données peuvent être stockées sur des serveurs hors de votre pays de résidence, sans nommer de pays. kimi.com indique que les données personnelles sont stockées sur le territoire de la République populaire de Chine.
• —Durée de conservation : les deux parlent seulement du temps « nécessaire », sans durée fixe pour les conversations.
• —Règles régionales : kimi.ai a une section pour les résidents des États-Unis. Nous n’avons trouvé, dans aucun des deux textes, de section sur l’Union européenne ou le RGPD, ni de représentant dans l’UE.

Ce que cela veut dire côté RGPD

Le RGPD n’autorise les transferts vers un pays tiers qu’avec des garanties, par exemple des clauses contractuelles types. Les deux textes ne disent pas si Moonshot en prévoit pour les utilisateurs européens. C’est un trou dans la documentation, pas la preuve d’une infraction.

Un précédent montre que la question n’est pas théorique. En janvier 2025, le régulateur italien a bloqué le traitement des données des Italiens par DeepSeek, et la CNIL a annoncé qu’elle allait analyser l’application, comme le rapportait Euronews. Il s’agissait d’une autre entreprise. Nous n’avons connaissance d’aucune procédure visant Kimi. Que les mêmes questions se posent est plausible ; ce n’est pas établi.

Ce n’est pas propre aux modèles chinois. Meta a aussi fait de vos échanges une matière d’entraînement, avec un droit d’opposition, comme l’explique Meta AI et RGPD. La différence ici tient au pays de stockage et à l’absence de section européenne.

L’API et les offres professionnelles, un autre cas

Selon l’annonce, l’option Zero Data Retention est disponible pour les clients de l’API, et dans Kimi Enterprise le nouveau modèle est désactivé par défaut jusqu’à ce qu’un administrateur l’active. Pour Kimi Business, Moonshot promet une protection des données de niveau entreprise et des comptes personnels séparés des comptes d’organisation. L’annonce ne renvoie vers aucun contrat. Une entreprise doit obtenir ces conditions par écrit, avec un accord de sous-traitance, avant de s’y fier.

Une troisième voie arrive avec les poids ouverts. Sur votre propre matériel, les politiques de Moonshot ne s’appliquent plus du tout. Le même arbitrage s’est posé pour le modèle ouvert de Meta, détaillé dans Muse Spark Open et RGPD, et pour le petit modèle de code présenté dans Recursive Flint en France.

Le travail de sécurité que décrit Moonshot

Moonshot dit avoir retiré les données liées à la cybersécurité du mid-training et de l’apprentissage par renforcement, pour que les poids ouverts ne repoussent pas la frontière des capacités offensives. Sur son propre test de vulnérabilités, une version intermédiaire sans ce filtrage résolvait 90,5 % des tâches, contre 81,0 % pour le modèle publié. SiliconANGLE ajoute que ses scores sur les benchmarks cyber publics restent nettement derrière GPT-6 Astra et Claude Opus 5.5. Google a suivi une autre voie pour son modèle de pointe, voir Gemini 4 Argon et RGPD.

Moonshot annonce aussi moins d’affirmations inventées sur un test de résistance interne, de 23,4 % pour K3 à 8,3 %, et précise que ces taux ne reflètent pas les erreurs au quotidien. Un modèle qui se trompe moins se trompe encore. Vérifier ses réponses reste votre travail.

Ce que l’annonce ne dit pas

• —Pas de fiche système ni de fiche modèle pour K3.1 Pro, et pas de nom de licence pour les poids à venir.
• —Quelle politique s’applique à quelle application, si vous utilisez kimi.ai et kimi.com.
• —Combien de temps les requêtes API sont conservées sans Zero Data Retention.
• —Si Kimi Work et Kimi Code sont traités autrement que le chat.

Une façon pratique de s’en servir

1. 01Essayer l’application uniquement avec des contenus publics : rapports publiés, brouillons sans enjeu, code ouvert.
2. 02Pour tout ce qui contient des données personnelles ou clients : l’API avec Zero Data Retention confirmée, une offre professionnelle avec contrat écrit, ou attendre les poids.
3. 03Ne pas se connecter avec un compte professionnel avant de vérifier que la charte IA de votre employeur couvre ce fournisseur.
4. 04Comparer avec les modèles ouverts européens. Mistral Large 4 et RGPD présente une alternative avec ses propres conditions de préversion.

Coursium est une application mobile qui apprend à utiliser l’IA au travail, et elle est sur l’App Store. Des modèles comme K3.1 Pro arrivent désormais toutes les quelques semaines. Lire vraiment une politique de confidentialité, choisir le bon accès et vérifier les résultats, cela reste valable pour le prochain. Si c’est ce que vous voulez pratiquer, jetez un œil à Coursium.