Black Forest Labs

BFL exploite deux entités jumelles. BFL GmbH (Amtsgericht München HRB 291820, enregistrée Ingeborg-Krummer-Schroth-Straße 18, 79106 Freiburg im Breisgau, avec pour Geschäftsführer Robin Rombach, Andreas Blattmann et Axel Sauer) exploite le site web, la mention légale et les opérations allemandes. Black Forest Labs Inc. (société du Delaware) est la contrepartie désignée à la fois dans les conditions générales grand public et dans les conditions développeur -- ces contrats sont explicitement « governed by the laws of the State of Delaware, without regard to conflict of laws rules », avec règlement des litiges par arbitrage contraignant JAMS siégeant au Delaware. La relation entre les deux entités (maison mère / filiale, ou sœurs sous une holding commune) n'est pas divulguée publiquement dans les sources primaires que nous avons consultées ; les deux partagent la même direction et la même marque.

Oui, l'exposition est classée « full » pour trois raisons cumulatives. (1) Black Forest Labs Inc. est une société du Delaware et la contrepartie désignée à la fois dans les conditions grand public et développeur ; en tant qu'entité constituée aux États-Unis, elle est directement soumise à la procédure judiciaire américaine, y compris 18 U.S.C. § 2713 (CLOUD Act). (2) L'infrastructure de production centrale fonctionne sur Microsoft Azure -- BFL a publiquement confirmé que « BFL's collaboration with Microsoft started from our earliest days when we partnered with Azure to build our training and inference clusters » ; le endpoint API api.bfl.ai et l'hôte de documentation docs.bfl.ai sont tous deux placés derrière Azure Front Door. (3) Le reste de la pile est également sous contrôle américain : Vercel pour le frontend web (servi depuis l'edge de Frankfurt), AWS CloudFront pour le centre d'aide, Google Workspace pour la messagerie professionnelle. Les clients entreprise peuvent négocier des endpoints dédiés avec conservation des données nulle et une option auto-hébergée qui exécute l'inférence dans leur propre environnement -- les deux annoncés sur /enterprise et disponibles sur demande.

BFL applique un modèle de licence à trois niveaux. Apache 2.0 (usage commercial entièrement autorisé) : FLUX.1 [schnell] et FLUX.2 [klein] -- poids ouverts, modifiables, redistribuables. FLUX.1-dev Non-Commercial License : FLUX.1 [dev], FLUX.1 Fill / Canny / Depth / Redux [dev], FLUX.1 Kontext [dev] et FLUX.1 Krea [dev] -- poids ouverts mais réservés à la recherche, aucun usage commercial sans licence séparée auprès de BFL. Propriétaire API uniquement : FLUX.1 [pro], FLUX.1.1 [pro] (y compris les modes Ultra et Raw), FLUX.1 Kontext [pro] et les modèles FLUX.2 [max] / [pro] / [flex] -- ils ne fonctionnent que sur la BFL API ou sur des déploiements Azure AI Foundry sous licence et ne peuvent pas être téléchargés. Le dépôt GitHub github.com/black-forest-labs/flux fournit le code d'inférence sous Apache 2.0 ; la licence par modèle s'applique aux poids des modèles, pas au code.

La BFL API tourne sur Microsoft Azure -- l'entraînement comme l'inférence reposent sur des clusters Azure, selon la divulgation de BFL elle-même. Le endpoint de production api.bfl.ai est placé derrière Azure Front Door ; l'hôte de documentation docs.bfl.ai est de la même façon façade Azure. Le site web lui-même (bfl.ai) est servi par Vercel depuis l'edge de Frankfurt (fra1), et le centre d'aide repose sur AWS CloudFront. La politique de confidentialité ne contient qu'une clause générique EEE / SCC et ne nomme aucune région Azure spécifique ; un rapport tiers (Sacra, non corroboré par une source primaire) évoque des « GPU clusters in Frankfurt and Virginia for latency reduction ». Pour les déploiements via Azure AI Foundry, Microsoft documente les modèles FLUX comme disponibles en déploiement global standard dans toutes les régions Azure -- le choix de région dans ce parcours est délégué au client Azure. Il n'existe pas de liste des sous-traitants publiée publiquement, ni de portail Vanta de confiance public que nous ayons pu vérifier ; un acheteur ayant besoin d'une résidence des données contraignante restreinte à l'UE doit demander des conditions entreprise.

Les conditions générales grand public et développeur par défaut de BFL réservent le droit de traiter les entrées et sorties dans la mesure nécessaire à la fourniture du service ; la politique de confidentialité prévoit une clause de transfert générique fondée sur les SCC pour les traitements hors EEE. L'offre entreprise sur /enterprise affiche explicitement « zero data retention and auto-scaling infrastructure » aux côtés d'endpoints dédiés et d'une option auto-hébergée (« No external calls: all inference runs inside your environment »). Les clients ayant besoin d'un engagement contraignant de non-entraînement doivent demander l'offre entreprise et le DPA disponible sur demande. Il n'existe pas de liste des sous-traitants publiée publiquement -- « Security documentation, DPAs, and vendor assessment materials are available on request », selon la page entreprise. La Responsible AI Development Policy décrit la modération de contenu, le tatouage numérique des sorties sur l'API hébergée, ainsi qu'un partenariat de confiance et de sécurité avec l'Internet Watch Foundation pour le hachage de contenus pédopornographiques (CSAM).