LFM3 et RGPD : les modèles de Liquid AI en local

La réponse courte d’abord. Pour LFM3, la question du RGPD dépend presque entièrement de l’endroit où tourne le modèle. LFM3 est une famille de petits modèles à poids ouverts : vous pouvez les télécharger et les faire tourner sur votre ordinateur ou votre téléphone, et dans ce cas rien de ce que vous tapez n’arrive chez Liquid AI. Si vous passez par le Playground ou l’API de Liquid, c’est sa politique de confidentialité qui s’applique, et elle autorise l’entraînement sur vos entrées et vos sorties.

Liquid AI a annoncé LFM3 le 27 octobre 2026. Il s’agit de six modèles d’environ deux milliards de paramètres chacun, tous dérivés du même modèle de base, disponibles sur Hugging Face, dans le Playground de Liquid et via son API. D’après Unite.AI, la famille comprend un modèle texte, un modèle de vision, un modèle audio, un modèle omni qui combine les trois et deux modèles de décision. Cet article n’est pas un avis juridique : il fait le point sur ce qui est publiquement vérifiable.

LFM3 en deux mots

Le modèle texte, LFM3-1.7B, compte 1,73 milliard de paramètres et une fenêtre de contexte de 256 000 jetons, selon sa fiche sur Hugging Face. Il prend en charge 16 langues, dont le français. Liquid indique qu’il tient dans environ 1 Go de mémoire en précision 4 bits. C’est pour cela que l’annonce parle de téléphones, d’ordinateurs portables et de voitures plutôt que de centres de données.

Cette petite taille est l’atout et la limite. Un modèle aussi léger en sait moins que ChatGPT ou Claude et se trompe plus facilement sur les faits. La fiche le dit elle-même : il n’est pas recommandé pour le code agentique ni pour le raisonnement complexe en plusieurs étapes, et Liquid conseille de l’associer à une recherche pour les tâches qui demandent beaucoup de connaissances. Si la différence entre un modèle et un agent n’est pas claire, agent autonome IA la pose simplement.

Premier cas : vous le faites tourner vous-même

C’est ce cas qui rend LFM3 intéressant pour la protection des données. Une fois le fichier du modèle sur votre appareil, il tourne là. Un fichier de modèle n’envoie rien tout seul : la requête, le document et la réponse restent sur l’appareil. Il n’y a pas de prestataire, donc pas de sous-traitant au sens du RGPD pour cette partie. Les précautions générales d’un modèle ouvert sont détaillées dans IA open source : ce qu’il faut vérifier avant.

Deux réserves. D’abord, l’application dans laquelle vous utilisez le modèle est un logiciel à part, avec son propre comportement. Une application de chat locale, une appli mobile construite sur LFM3 ou un outil de navigateur peut journaliser, synchroniser ou envoyer des données selon ses propres règles : vérifiez l’application, pas le modèle. Ensuite, local ne veut pas dire juste. Un modèle de deux milliards de paramètres demande plus de vérification qu’un grand, pas moins.

Second cas : le Playground et l’API de Liquid

Si vous utilisez LFM3 via les services de Liquid, vos textes partent chez Liquid. Sa politique de confidentialité, mise à jour le 30 septembre 2026, cite parmi ses finalités l’entraînement, l’ajustement et l’amélioration de modèles d’IA à partir des entrées et sorties que vous partagez. Liquid précise ne pas chercher à collecter de données personnelles pour l’entraînement, tout en admettant qu’il peut en contenir de façon incidente.

• —Lieu de traitement : selon la politique, les services sont hébergés et exploités aux États-Unis, avec des transferts encadrés notamment par des clauses contractuelles types.
• —Vos droits : pour les personnes dans l’UE et au Royaume-Uni, la politique liste l’accès, l’effacement, la portabilité et l’opposition, et mentionne explicitement le droit de s’opposer à l’utilisation de vos données personnelles pour entraîner ses modèles. La CNIL explique le droit d’opposition et comment l’exercer.
• —Durée de conservation : aussi longtemps que nécessaire aux finalités annoncées, variable selon le service et le contrat, avec des copies possibles dans les sauvegardes pendant un temps limité.

Rien d’inhabituel pour une entreprise d’IA, mais c’est l’inverse du cas local. Pour une PME, la CNIL conseille de partir du besoin concret, puis de confronter ses réponses aux caractéristiques de chaque outil ; où tournent les données en fait partie. La règle est la même que pour l’analyse de données Excel avec l’IA : décidez de ce qui quitte votre poste avant qu’il ne le quitte.

Ce que Liquid n’a pas publié

La fiche de LFM3-1.7B que nous avons lue le 28 octobre 2026 ne contient aucune section sur la sécurité, les biais ou les usages abusifs. L’annonce ne fait aucune affirmation de sécurité. Il n’existe pas de fiche système comme celles qu’OpenAI publie pour ses modèles, ni encore d’évaluation indépendante. Cela ne veut pas dire que les modèles sont dangereux. Cela veut dire qu’aucune preuve n’a été publiée, ni dans un sens ni dans l’autre.

Avec un modèle ouvert, la politique de confidentialité de l’éditeur ne compte plus dès que le fichier est sur votre appareil. Ses tests de sécurité, si — et pour LFM3, il n’y en a presque aucun de documenté.

On retrouve un schéma connu. Avec Muse Spark Open et le RGPD, le constat était proche : beaucoup de maîtrise sur vos données, peu de documentation sur le comportement. Pour Mistral Large 4, le volet données est mieux décrit, mais il s’agit d’un modèle hébergé, donc d’une autre question.

La licence, si vous l’utilisez au travail

Selon sa fiche, LFM3-1.7B est publié sous la LFM Open License v1.0. Le texte de la licence reprend Apache 2.0 mais ajoute un seuil : l’usage commercial n’est autorisé qu’aux organisations dont le chiffre d’affaires annuel est inférieur à 10 millions de dollars américains. Au-delà, il faut un accord séparé avec Liquid. Les organisations à but non lucratif qualifiées sont exemptées du seuil pour la recherche et les usages non commerciaux. Si votre employeur dépasse ce seuil, demandez avant de construire quoi que ce soit dessus.

Ce que vous pouvez faire

1. 01Si la confidentialité est la raison de votre intérêt : faites-le tourner en local et vérifiez l’application qui l’héberge.
2. 02Traitez le Playground et l’API comme n’importe quel chatbot hébergé : pas de données personnelles ou clients sans accord de votre entreprise.
3. 03Réservez-le à des tâches étroites et vérifiables — trier, extraire, rédiger une réponse courte —, pas à des faits que vous ne pouvez pas contrôler.
4. 04Écrivez des consignes claires et précises. Les petits modèles pardonnent moins les requêtes vagues ; comment parler à ChatGPT montre l’habitude, qui vaut pour tous les modèles.

Si c’est le modèle audio qui vous intéresse, les questions sont les mêmes que pour un autre modèle de reconnaissance vocale que nous avons étudié : Falcon ASR et le RGPD, où part l’enregistrement et ce qu’il en advient.

Coursium est une application sur l’App Store qui apprend à utiliser l’IA au travail. Elle se paie soi-même et ne relève d’aucun dispositif de financement. De nouveaux modèles sortent chaque semaine. Savoir où vont vos données, écrire une consigne claire et vérifier la réponse reste valable d’un modèle à l’autre. Si c’est ce que vous voulez pratiquer, découvrez Coursium.