Le contexte
Certaines organisations opèrent dans des environnements où toute connexion sortante est interdite par construction :
- Opérateurs d'Importance Vitale sous PSSIE - défense, énergie, transport critique
- Cabinets juridiques sur dossiers contentieux où la fuite équivaut à la perte du dossier
- Établissements de santé sous certification Hébergeur de Données de Santé classe 1 traitant des données patients
- Laboratoires R&D sur des projets sous accord de classification (Diffusion Restreinte ou supérieur)
- Services régaliens : ministères, agences, services secrets
- Industries sensibles : nucléaire, aérospatial militaire, biotechnologies stratégiques
Ces organisations ont massivement entendu parler de l'IA générative et veulent les mêmes gains de productivité que les autres, mais leur règle non négociable est : aucune connexion sortante. Aucun appel à un service cloud, aucune télémétrie, aucune mise à jour automatique sortante.
Aujourd'hui, leurs options sont : (a) interdire l'IA générative aux équipes (qui partent vers la concurrence), (b) tolérer un usage clandestin douloureux (ChatGPT depuis le téléphone personnel, fuite garantie), (c) construire un système sur mesure (environ 5 M€ et 18 mois minimum, souvent obsolète à la livraison).
Comment LMbox prend en charge le travail
LMbox supporte un mode complètement isolé du réseau dès le premier jour, certifié sur les modèles M, L et XL.
- Aucune connexion sortante par défaut. Le pare-feu de la box bloque tout trafic sortant qui n'est pas explicitement autorisé.
- Tous les modèles d'IA ouverts tournent localement. Aucun appel à un service en ligne, ni OpenAI, ni Anthropic, ni Mistral en ligne.
- Le catalogue d'agents est livré par clé USB signée, trimestriellement (ou plus souvent sur demande spécifique).
- Les mises à jour de la box elle-même sont également livrées via clé USB, signées et vérifiées par empreinte cryptographique.
- Les modèles : Mistral, Codestral, Gemma, Llama, etc. - tous chargés en local. Aucun ne nécessite de licence externe.
- Les journaux d'audit sont écrits localement et exportables sur clé USB pour analyse externe.
- L'authentification d'entreprise est entièrement locale : pas de dépendance à un service externe (Azure AD, Okta).
L'organisation reçoit un rapport ANSSI type documentant le périmètre, les mesures de cloisonnement, le chemin des données en interne, les procédures de mise à jour. Utilisable directement comme annexe d'un dossier de qualification ANSSI ou d'une homologation interne.
Le calcul de retour sur investissement
Pour ce profil d'organisation, le retour ne se calcule pas en euros directement (il y aurait peu de sens à comparer à une situation impossible : « voilà ce que vous auriez gagné si vous aviez eu Claude »). Le bénéfice est défensif et stratégique :
| Bénéfice | Quantification |
|---|---|
| Productivité IA générative pour les équipes | ~25-40 % de gain de temps sur les tâches d'écriture (synthèse, rédaction, analyse) |
| Évitement de l'usage clandestin (ChatGPT personnel) | élimination du risque de fuite ponctuelle, qui en cas d'incident coûte 1 à 50 M€ + sanction réglementaire |
| Coût d'opportunité d'un système sur mesure | environ 5 M€ et 18 mois épargnés |
| Fidélisation des talents : l'équipe peut utiliser de l'IA moderne | inestimable pour les organisations qui peinent à recruter en environnement contraint |
| Conformité : usage IA documenté, traçable, défendable devant un régulateur | indispensable pour les certifications ISO 27001, Santé, ANSSI |
Investissement type pour un déploiement défense / OIV : box L (38 k€ + 14,4 k€ par an) ou box XL (95 k€ + 28,8 k€ par an) selon la taille de l'organisation. Le bénéfice est d'abord la possibilité de faire - ces organisations n'avaient juste pas d'option viable avant.
Les prérequis
- Procédure de qualification physique de la box par votre RSSI : vérification du scellé, comparaison de l'empreinte cryptographique avec le document papier, intégration au cadre de sécurité existant.
- Procédure de mise à jour hors-ligne validée par le RSSI : qui reçoit la clé USB, qui valide la signature, qui applique la mise à jour, sous quel niveau d'autorisation.
- Mode isolé activé dès l'installation. Cette option ne peut pas être désactivée sans réinitialisation complète - c'est volontaire.
- Salle dédiée ou local en zone protégée selon le niveau de classification.
- Le modèle d'IA en pleine précision chargé pour la qualité maximale (les organisations sensibles ne peuvent pas se permettre une version allégée sur les sujets critiques). Cela impose la box L ou XL.
Le déploiement
- Jour −30 à −7 : préparation conjointe avec votre RSSI. Validation du chemin des données, du périmètre des modèles, des procédures de mise à jour.
- Jour 1 à 3 : installation physique sur site par un ingénieur LMbox accompagné de votre RSSI. Activation du mode isolé, vérification des règles de pare-feu, génération des clés de sécurité.
- Jour 4 à 15 : déploiement progressif aux équipes pilotes. Surveillance physique sur place du RSSI pendant les 2 premières semaines.
- Jour 16 à 45 : extension à toute l'organisation. Documentation finale du dossier ANSSI / Santé / PSSIE.
- Continu : mise à jour trimestrielle par clé USB signée. Audit annuel par tiers indépendant (cabinet de test d'intrusion agréé) avec rapport remis à votre direction et conservé 5 ans.
Les limites & ce que ça ne fait pas
- En mode complètement isolé, l'IA externe la plus puissante est désactivée d'office. Le système plafonne à la qualité du modèle local. Sur les requêtes très complexes (très long contexte, planifications enchaînées sur des dizaines d'étapes), il y a une perte de qualité de l'ordre de 10 à 20 % par rapport aux IA les plus avancées en ligne. C'est le prix de l'isolement total - et il est documenté honnêtement dans le contrat.
- Les mises à jour de modèles sont décalées de 0 à 90 jours par rapport aux sorties publiques. Si Mistral sort un nouveau modèle en mars, l'environnement isolé le reçoit au plus tôt en avril (cycle clé USB). Acceptable pour la plupart des usages, à anticiper pour les usages très sensibles à la fraîcheur.
- Le support en cas d'incident se fait sur site uniquement. Pas d'accès distant, pas de connexion VPN. Comptez 4 à 24 h pour qu'un ingénieur LMbox arrive sur place selon votre localisation et votre contrat.
- L'isolement protège du flux sortant, pas de l'humain. Un collaborateur mal intentionné peut toujours faire une capture d'écran ou copier sur clé USB. C'est un sujet RSSI classique, géré par les outils anti-fuite et par la culture sécurité - LMbox y participe (les journaux d'audit montrent qui a vu quoi) mais ne le résout pas seul.