IA souveraine en Suisse : ce que ça veut dire, et ce que ça ne veut pas dire
Cloud américain, cloud suisse ou machine locale : où vivent vos données quand une IA les traite, ce que demande la nLPD, et comment choisir sans jargon.
Publié le
La question arrive dans presque tous nos premiers échanges, posée avec les mêmes mots : « et nos données, elles vont où ? ». Elle mérite mieux qu’un logo à croix blanche sur une plaquette. Quand une IA traite vos documents, vos emails ou votre comptabilité, la réponse honnête dépend de trois choses : où tournent les serveurs, qui a juridiquement accès aux données, et ce que le contrat autorise comme réutilisation.
« Souverain » est devenu un argument de vente. Voici ce que le mot recouvre concrètement, et les questions à poser avant de signer.
Que veut dire « souverain », concrètement ?
Trois niveaux, qu’il ne faut pas confondre. Le premier est géographique : les serveurs sont en Suisse. Le deuxième est juridique : l’opérateur est une société suisse, non soumise à des législations extraterritoriales comme le CLOUD Act américain, qui permet aux autorités des États-Unis d’exiger des données détenues par des sociétés américaines même hébergées en Europe. Le troisième est contractuel : vos données ne servent pas à entraîner les modèles du fournisseur, et le contrat l’écrit.
Un hébergement « en Europe » chez une filiale d’un géant américain coche le premier niveau et rate le deuxième. C’est le point que les plaquettes commerciales passent sous silence.
Que demande la nLPD à une petite structure ?
La loi fédérale sur la protection des données révisée s’applique à toute structure qui traite des données personnelles, y compris une association de dix membres. Pour l’essentiel : savoir quelles données vous détenez et où elles vivent, pouvoir répondre à une demande d’accès ou d’effacement, annoncer les violations graves, et encadrer vos sous-traitants (art. 9 : le sous-traitant, un hébergeur ou un fournisseur d’IA par exemple, doit offrir des garanties suffisantes).
Aucun outil ne rend « conforme » à lui seul, et méfiez-vous de qui le promet. Un hébergement suisse et un classement structuré facilitent la conformité : vous savez répondre à « où vivent les données de ce dossier ? », ce qui est précisément la question qu’une demande d’accès vous posera. Quand chaque collaborateur a son propre système de classement, la question devient insoluble, et c’est autant un problème d’heures qu’un problème de nLPD.
Cloud international, cloud suisse ou machine locale : comment choisir ?
Pour une petite structure, le choix se résume à trois options réalistes.
| Option | Ce qu’elle offre | Ce qu’elle coûte |
|---|---|---|
| Cloud international | Les modèles les plus puissants, l’outillage le plus riche | Données sous juridiction étrangère ; contrats d’entraînement à lire ligne par ligne |
| Cloud suisse (p. ex. Infomaniak) | Serveurs et société en Suisse, nLPD facilitée, performances largement suffisantes pour l’administratif | Catalogue de modèles plus restreint que chez les géants |
| Machine locale (on-premise) | Les données ne quittent jamais le bâtiment | Matériel à acheter et à entretenir, modèles plus modestes ; réservé aux besoins qui le justifient vraiment |
Notre position est assumée : pour du travail administratif suisse (factures, salaires, correspondance), la puissance brute n’est pas le goulot d’étranglement. Un modèle hébergé en Suisse suffit largement à trier, extraire, rédiger et classer. Le cloud suisse est donc notre choix par défaut, et le local reste la bonne réponse pour les cas où les données ne doivent physiquement pas sortir, ce qui concerne certaines communes, structures de santé ou dossiers sensibles.
Pour une commune ou une collectivité, la question juridique pèse double : les données des administrés ne sont pas des données d’entreprise, et le niveau deux (juridiction de l’opérateur) devient non négociable.
Comment vérifier ce qu’on vous vend ?
Quatre questions suffisent à trier les offres. Où tournent physiquement les serveurs, et qui détient la société qui les opère ? Vos données servent-elles à entraîner des modèles, et où le contrat le dit-il ? Que se passe-t-il à la résiliation, dans quel format récupérez-vous tout ? Et enfin : le prestataire applique-t-il à lui-même ce qu’il vous vend ?
Sur ce dernier point, vérifiez-nous : ce site est hébergé en Suisse chez Infomaniak, ne pose aucun tracker ni cookie tiers, et le diagnostic calcule dans votre navigateur, sans rien envoyer à nos serveurs. La souveraineté des données n’est pas un argument marketing qu’on ajoute à la fin. Elle se voit dans la manière dont un outil est construit.