Muse Spark Open et RGPD : le modèle ouvert de Meta

La réponse courte d’abord. Pour Muse Spark Open, la question du RGPD dépend presque entièrement de l’endroit où tourne le modèle. Meta l’a publié le 15 octobre 2026 et le présente, dans son billet de recherche, comme le modèle à poids ouverts le plus performant venu des États-Unis. Poids ouverts veut dire que toute personne qui accepte la licence peut télécharger le modèle et le faire tourner sur ses propres machines. Dans ce cas, vos données ne quittent pas vos locaux. S’il passe par l’API d’un tiers, les questions habituelles reviennent, simplement adressées à un autre prestataire.

Cet article décrit ce que Meta et ses partenaires ont publié au 16 octobre 2026 : les trois façons d’utiliser le modèle, ce que dit la licence, et ce qui n’est pas encore documenté. Il s’appuie sur des documents publics et ne constitue pas un avis juridique.

Ce qu’est Muse Spark Open

Muse Spark Open est la version à poids ouverts de Muse Spark, le modèle qui fait tourner Meta AI depuis avril. Ce n’est pas une application. C’est un modèle de type mixture-of-experts de 816 milliards de paramètres, dont 42 milliards sont actifs pour chaque token, avec une fenêtre de contexte d’un million de tokens. Selon le billet de Hugging Face, il lit du texte, des images, de l’audio et de la vidéo, et répond en texte.

Chez Meta, beaucoup de choses s’appellent désormais Muse. Muse est l’application d’agent, Muse Spark la famille de modèles, Muse Wonder le modèle fermé plus récent sorti le 12 octobre. Muse, c’est quoi remet les noms dans l’ordre. Le changement de cette semaine tient en une phrase : jusqu’ici, Muse Spark n’était accessible que par les produits et l’API de Meta. Désormais, les poids eux-mêmes sont publics.

Trois façons de l’utiliser, trois réponses

Meta liste trois types d’accès dans son annonce pour les développeurs. Chacun place vos données à un endroit différent.

1. 01Sur votre propre matériel. Vous téléchargez les poids et faites tourner le modèle vous-même. Aucun tiers ne voit vos requêtes, donc Meta n’intervient pas comme sous-traitant.
2. 02Dans votre propre compte cloud. Amazon SageMaker AI, Google Cloud Model Garden et Microsoft Foundry Models proposent le modèle. Vous louez les machines, mais le modèle tourne dans votre compte.
3. 03Par une API hébergée. Baseten, Fireworks AI, Groq, Modal, Nebius, OpenRouter et Together AI le proposent. C’est la voie la plus simple, et la seule où vos requêtes partent chez un tiers.

La limite de la première voie, c’est la taille. Le modèle complet pèse environ 1,5 téraoctet selon Hugging Face. Meta parle d’un modèle qui tourne sur un ordinateur de bureau, mais il s’agit de deux Mac Studio équipés de la puce M5 Ultra et de 512 Go de mémoire chacun. TechCrunch indique qu’il faut au moins un téraoctet de RAM. Des versions compressées plus petites existent, au prix d’une certaine perte de qualité. Pour la plupart des entreprises, en local veut donc dire sur un serveur, pas sur un portable.

Le cloud et les API, côté RGPD

AWS est le plus explicite sur les données. Son billet sur SageMaker JumpStart indique que les requêtes sont traitées sur une infrastructure que vous configurez vous-même. Vous pouvez placer le point d’accès dans votre propre réseau privé, chiffrer son stockage avec votre propre clé et isoler le conteneur du réseau. Au lancement, le modèle n’y était proposé que dans deux régions américaines. Si vos données doivent rester dans l’Union européenne, vérifiez d’abord la disponibilité dans votre région.

Avec une API hébergée, chaque fournisseur est un sous-traitant au sens du RGPD, avec ses propres règles de journalisation, de conservation et d’entraînement. L’annonce de Meta n’en résume aucune. Un modèle ouvert servi par un prestataire sans contrat de sous-traitance n’est pas plus protecteur qu’un modèle fermé servi par un prestataire qui en a signé un. Le contrat et la localisation des serveurs se vérifient avant la première requête.

À noter : aucune des pages de lancement de Meta ne contient de déclaration sur les données pour ce modèle. Ce n’est pas un signal d’alarme en soi, puisqu’avec des poids ouverts Meta ne traite généralement pas vos requêtes. Cela veut dire en revanche que la responsabilité revient à celui qui fait tourner le modèle. Ce peut être vous.

Ce que le téléchargement vous demande

Le téléchargement n’est pas anonyme. La page du modèle sur Hugging Face est soumise à un accès contrôlé. Il faut se connecter et remplir un formulaire avec votre nom légal complet, votre date de naissance et votre organisation, que la page dit impossibles à modifier ensuite. Si vous téléchargez pour votre employeur, mettez-vous d’accord en interne avant.

La Muse Model License mérite cinq minutes. Quatre points comptent dans un cadre professionnel courant :

• —La mention. Un produit construit sur le modèle doit afficher de façon visible « Built with Muse Spark Open ».
• —Un seuil de chiffre d’affaires. Une entreprise qui dépasse 20 millions de dollars de chiffre d’affaires et propose le modèle à d’autres sous forme de service doit prévenir Meta et signer un accord séparé. L’usage interne n’est pas concerné.
• —Les données personnelles. La politique d’utilisation interdit de collecter, déduire ou divulguer des informations privées ou sensibles sur des personnes sans en avoir le droit au regard de la loi applicable.
• —L’âge. La licence précise que le modèle n’est pas destiné aux moins de 18 ans.

Pour l’Europe, la licence désigne Meta Platforms Ireland comme cocontractant. Elle ne contient aucune clause sur la façon dont le licencié doit traiter les données personnelles. Cette obligation reste la vôtre, au titre du RGPD, comme avant.

Ce que Meta dit de la sécurité

Des poids ouverts, cela vaut dans les deux sens : n’importe qui peut faire tourner le modèle, y compris en retirant ses garde-fous. Meta écrit que la version ouverte a reçu pour cette raison un entraînement de sécurité supplémentaire, et qu’elle a atteint les seuils de publication de son « Superintelligence Scaling Framework ».

La fiche du modèle donne des chiffres, tous issus des tests de Meta : 99,2 % de tentatives de jailbreak refusées sur un test interne de cybersécurité, plus de 98 % de requêtes dangereuses refusées sur un test consacré aux risques chimiques et biologiques. Meta précise lui-même que ces résultats ne couvrent pas toutes les configurations ultérieures et que des modifications du modèle peuvent les dégrader. Le rapport d’évaluation complet doit arriver « bientôt ». Les questions propres à l’application sont traitées à part dans Muse et le RGPD, et celles du modèle fermé dans Muse Wonder et le RGPD.

Les recommandations pratiques de la fiche sont raisonnables : intégrer le modèle dans un système doté de garde-fous adaptés, faire confirmer par un humain toute action irréversible d’un agent, et ne pas montrer aux utilisateurs les traces de raisonnement brutes. Pour les organisations, les questions-réponses de la CNIL sur l’IA générative et ses recommandations sur le développement des systèmes d’IA donnent le cadre à appliquer, que le modèle soit ouvert ou non.

Par où commencer

1. 01Choisissez d’abord la voie : votre matériel, votre compte cloud ou une API hébergée. Ensuite seulement, ce que vous y mettez.
2. 02Avec une API hébergée, vérifiez le contrat de sous-traitance, la localisation et la durée de conservation. Ce sont les règles du fournisseur qui s’appliquent, pas celles de Meta.
3. 03Pas de données clients ou salariés sans validation interne. Un modèle ouvert reste un nouvel outil.
4. 04Une confirmation humaine pour toute action irréversible. La fiche du modèle de Meta le demande elle-même.
5. 05Comparez avant de choisir. Pour une option européenne, Muse Wonder face à Mistral met les deux prestataires côte à côte.
6. 06Lisez le rapport d’évaluation quand il sortira. D’ici là, les chiffres de sécurité sont ceux de Meta.

Hébergé chez vous, le modèle garde vos données chez vous. Chez un tiers, ce sont ses règles qui comptent, et elles se lisent avant la première requête.

Si vous préférez utiliser Muse Spark sans serveur, les tarifs des offres de Meta sont dans Muse Spark : prix, et l’accès par l’API côté développeurs est détaillé dans Muse Code pour les développeurs.

De nouveaux modèles sortent toutes les quelques semaines. La compétence qui reste est la même : savoir où vont vos données, vérifier ce qui revient et garder les tâches risquées entre des mains humaines. C’est ce qu’enseigne Coursium, une application pour apprendre à utiliser l’IA au travail, sur votre téléphone.