Adopter une IA souveraine en Suisse consiste à choisir un outil dont vous contrôlez les données, l'hébergement et les dépendances, et dont le fonctionnement peut être démontré sous droit suisse. Ce n'est pas une étiquette commerciale : c'est un ensemble de vérifications juridiques, techniques et organisationnelles. Ce guide les détaille pour les PME, fiduciaires, études, cabinets de santé et services RH qui cherchent une alternative à ChatGPT compatible avec la nLPD, sans envoyer de données sensibles à l'étranger.
En bref
- Une IA souveraine se juge sur cinq points : données, infrastructure, modèles, plateformes et compétences, pas sur le seul lieu des serveurs.
- La nLPD autorise la communication de données à l'étranger dans des conditions précises (niveau de protection adéquat ou garanties contractuelles) : hors de ce cadre, le risque repose sur vous.
- Un hébergement en Suisse est nécessaire mais pas suffisant : contrat, sous-traitants, journalisation et gestion des accès comptent autant.
- Un pilote encadré, avec règles d'usage écrites et traçabilité, vaut mieux qu'une interdiction qui pousse vos équipes vers des outils non maîtrisés.
Table des matières
- Ce que « souverain » veut dire pour une organisation suisse
- IA publique, privée, souveraine : les différences qui comptent
- Ce que deviennent vos prompts et vos documents
- Ce que prévoit la nLPD pour l'IA et les transferts hors de Suisse
- Héberger en Suisse suffit-il ?
- Critères de choix pour une PME suisse
- Encadrer l'usage de l'IA par vos équipes
- Déployer un pilote responsable
- Notre point de vue
- Passer de l'évaluation à l'usage
- Questions fréquentes
- Sources
Ce que « souverain » veut dire pour une organisation suisse
Le terme est devenu un argument de vente. Pour l'employer correctement, il faut revenir aux définitions publiées en Suisse. Une étude consacrée à la souveraineté numérique et à l'intelligence artificielle, publiée en 2026 par l'administration genevoise, décrit la souveraineté numérique comme la préservation des marges de manœuvre et la maîtrise des dépendances critiques concernant les données, les infrastructures, les modèles, les plateformes et les compétences.
Cette liste est utile parce qu'elle vous donne une grille de lecture. Une étude de la Haute école spécialisée bernoise (BFH) va dans le même sens : elle englobe le contrôle des infrastructures informatiques, des données, des logiciels et des modèles d'IA, ainsi que la capacité de les piloter et de les développer de façon indépendante.
Quant à la souveraineté des données, composante centrale, elle désigne le droit et la capacité de contrôler de manière autodéterminée les données personnelles et non personnelles stockées et traitées, selon l'étude pluridisciplinaire dirigée notamment par Yaniv Benhamou.
Concrètement, pour une PME, cela se traduit par cinq questions :
- Données : où sont-elles stockées, traitées, journalisées, sauvegardées ?
- Infrastructure : qui exploite les serveurs, sous quel droit, avec quels sous-traitants ?
- Modèles : les modèles d'IA tournent-ils sur l'infrastructure choisie, ou chaque requête repart-elle vers un service tiers ?
- Plateforme : pouvez-vous exporter vos contenus, changer de fournisseur, auditer l'usage ?
- Compétences : votre équipe comprend-elle assez l'outil pour en assumer la responsabilité ?
L'exemple de la Confédération
La Confédération applique elle-même cette logique. Sa Secure Private Cloud traite et stocke les données exclusivement en Suisse et sous droit suisse, avec du personnel fédéral habilité, des technologies ouvertes et une stratégie multivendeur pour éviter la dépendance à un seul fournisseur. Le Swiss Government Cloud, de son côté, propose trois niveaux de cloud pour répondre à des exigences différentes d'innovation, de sécurité et de souveraineté. Le principe est transposable à votre échelle : on ne protège pas tout de la même manière, mais on sait précisément où se trouve chaque catégorie de données.
IA publique, privée, souveraine : les différences qui comptent
Ces trois termes se recouvrent partiellement, ce qui entretient la confusion. Voici une distinction de travail, construite sur les critères ci-dessus plutôt que sur un vocabulaire commercial.
| Critère | IA publique grand public | IA privée | IA souveraine |
|---|---|---|---|
| Accès | Compte en ligne, conditions standard | Instance dédiée à l'organisation | Instance dédiée, sous droit et infrastructure maîtrisés |
| Lieu de traitement | Défini par le fournisseur, souvent hors de Suisse | Variable selon le contrat | Suisse, avec sous-traitants identifiés |
| Droit applicable | Celui du fournisseur | Selon le contrat | Droit suisse, sans exposition à des lois étrangères d'accès |
| Maîtrise des dépendances | Faible | Moyenne | Élevée : sortie possible, multi-fournisseurs, export des logs |
| Traçabilité | Limitée | Selon l'outil | Journaux d'audit exportables |
Une IA privée peut donc rester dépendante d'une infrastructure étrangère : « privé » décrit l'isolement de votre instance, « souverain » décrit qui contrôle l'ensemble de la chaîne et sous quel droit. C'est cette seconde dimension qui intéresse les professions tenues au secret : avocats, fiduciaires, médecins, services RH.
Ce que deviennent vos prompts et vos documents
Chaque requête envoyée à un assistant en ligne contient des informations : un extrait de contrat, un tableau de salaires, un compte rendu de réunion. Ces contenus voyagent vers des serveurs dont vous ne maîtrisez ni l'emplacement ni les accès.
Le Préposé fédéral à la protection des données et à la transparence (PFPDT) est explicite sur les enjeux du cloud dans son guide sur les mesures techniques et organisationnelles. Il y signale la perte de contrôle, l'accès par des autorités étrangères, le défaut de séparation entre clients et la captivité technologique, et demande que le choix entre cloud public, privé ou hybride découle d'une analyse des risques.
Ces risques valent autant pour un outil d'IA que pour un stockage de fichiers, avec une nuance : un assistant IA reçoit souvent des contenus bien plus riches et plus contextualisés qu'un simple dépôt de documents. Yaniv Benhamou recommande d'analyser la compatibilité des lois étrangères, dont le CLOUD Act, avec la souveraineté suisse et de privilégier des solutions locales lorsque des données critiques sont traitées.
Trois questions à poser avant de saisir un document
- Le contenu contient-il des données personnelles, notamment sensibles (santé, finances, situation familiale) ?
- Est-il couvert par un secret professionnel, de fonction ou d'affaires ?
- Le fournisseur l'utilise-t-il pour entraîner ses modèles, et pouvez-vous le vérifier contractuellement ?
Si la réponse à l'une de ces questions est oui ou « je ne sais pas », l'outil grand public n'est pas le bon canal.
Ce que prévoit la nLPD pour l'IA et les transferts hors de Suisse
La nLPD ne contient pas de chapitre dédié à l'IA. Le PFPDT a rappelé en 2025 que la législation actuelle s'applique déjà aux traitements fondés sur l'IA et qu'il attend de la transparence sur la finalité, le fonctionnement et les sources des données, ainsi que des mesures appropriées pour protéger les personnes concernées.
Pour les transferts, le cadre est le suivant :
- La communication de données personnelles à l'étranger est autorisée si l'État destinataire assure un niveau de protection adéquat, selon la liste établie par le Conseil fédéral à l'annexe 1 de l'OPDo.
- En l'absence de décision d'adéquation, des garanties contractuelles, par exemple des clauses types ou des clauses spécifiques communiquées au PFPDT, peuvent autoriser le transfert, conformément à l'art. 16, al. 2, LPD.
En pratique, utiliser un service d'IA hébergé à l'étranger oblige donc à documenter la base juridique du transfert, à contrôler les sous-traitants et à informer les personnes concernées lorsque la loi l'exige. Avec un traitement exclusivement en Suisse, la question du transfert transfrontalier ne se pose tout simplement pas pour ces données : c'est la simplification la plus nette qu'apporte une approche souveraine. Pour un cas précis, rapprochez-vous de votre conseiller juridique ou de votre conseiller à la protection des données.
Héberger en Suisse suffit-il ?
Non, et c'est l'erreur la plus fréquente. Un serveur situé à Zurich ou à Genève ne garantit ni la souveraineté ni la conformité. Voici ce qu'il faut vérifier en plus.
- L'entité contractante et son droit : le contrat est-il soumis au droit suisse, avec for en Suisse ?
- Les sous-traitants : y a-t-il un prestataire étranger pour l'inférence, le support, la sauvegarde ou la supervision ?
- Les modèles : tournent-ils sur l'infrastructure suisse, ou la requête est-elle relayée vers une API extérieure ?
- Les journaux et métadonnées : sont-ils eux aussi conservés en Suisse ?
- L'entraînement : vos données servent-elles à améliorer les modèles ? La réponse doit figurer par écrit.
- Les accès : gestion des rôles, authentification, journal d'audit, exportation des logs pour répondre à un contrôle.
L'hébergement est la première couche, pas la dernière. Le guide du PFPDT cité plus haut le rappelle en demandant une analyse de risques adaptée à votre situation, et non une réponse unique.
Critères de choix pour une PME suisse
La BFH le formule ainsi : il faut arbitrer entre coûts, sécurité, protection des données, flexibilité et personnel disponible, et intégrer la souveraineté aux achats stratégiques. Une PME n'a pas les moyens de construire sa propre infrastructure : l'enjeu est de choisir un service qui livre cette maîtrise sous forme d'abonnement.
Une grille d'évaluation simple, à remplir avant tout engagement :
| Domaine | Question à poser | Preuve attendue |
|---|---|---|
| Juridique | Droit suisse, for en Suisse, nLPD ? | Contrat, conditions générales |
| Données | Traitement et stockage exclusivement en Suisse ? | Documentation technique, liste des sous-traitants |
| Modèles | Pas d'entraînement sur vos contenus ? | Clause écrite |
| Sécurité | Rôles, accès administrateur, anonymisation des prompts ? | Démonstration, documentation |
| Audit | Journaux complets et exportables ? | Export d'un échantillon de logs |
| Réversibilité | Export de vos données et sortie du service ? | Procédure documentée |
| Coût | Prix par siège, niveaux, engagement ? | Grille tarifaire publique |
Un fournisseur qui répond avec précision à ces sept lignes est généralement plus fiable qu'un autre dont la brochure insiste sur le mot « souverain » sans le détailler.
Encadrer l'usage de l'IA par vos équipes
Interdire l'IA ne marche que rarement : les collaborateurs utilisent leurs comptes personnels, et vous perdez toute visibilité. Mieux vaut proposer un outil approuvé, accompagné de règles claires.
Les lignes directrices de la Confédération sur l'intelligence artificielle exigent que les processus décisionnels fondés sur l'IA soient traçables et explicables, et que la responsabilité ne soit jamais déléguée aux machines. Pour une entreprise, cela donne trois principes opérationnels : une personne reste responsable de chaque résultat utilisé, les usages sont journalisés, et les cas d'emploi sont définis à l'avance. Sur ce volet de gouvernance, les règles d'éthique de l'IA pour rester authentique dans vos publications offrent un complément utile côté communication.
Une charte d'usage en cinq points
- Liste des catégories de données autorisées et interdites dans l'outil.
- Obligation de relecture humaine avant toute décision ou envoi à un tiers.
- Désignation d'un référent (direction, informatique ou protection des données).
- Information des collaborateurs et, le cas échéant, des clients.
- Revue périodique des journaux d'audit.
Déployer un pilote responsable
Un pilote bien cadré tient en quelques semaines et ne demande pas de projet informatique lourd.
- Choisir deux ou trois cas d'usage à valeur claire : résumé de réunions, analyse de documents, base de connaissances interne.
- Constituer un petit groupe de cinq à dix utilisateurs de profils différents.
- Classer les données utilisées et exclure d'emblée ce qui dépasse le niveau de protection prévu.
- Définir des indicateurs : temps gagné, qualité perçue, incidents, questions de conformité.
- Examiner les journaux à mi-parcours et à la fin.
- Décider : généraliser, ajuster ou arrêter, avec une trace écrite de la décision.
Pour un cabinet, une fiduciaire ou une étude, ajoutez une vérification explicite du secret professionnel avant d'ouvrir le pilote aux dossiers clients.
Notre point de vue
Chez Nectos, nous partons d'un constat : la plupart des professionnels suisses utilisent déjà une IA grand public à titre personnel, et c'est précisément là que le risque se crée. Un prompt contenant un contrat, une liste de patients ou un dossier RH quitte le périmètre que vous pouvez défendre devant un client, un mandant ou le PFPDT.
C'est pourquoi nous avons conçu Nectos comme une alternative à ChatGPT pensée pour le contexte suisse : données traitées exclusivement en Suisse, sous droit suisse, sans export ni sous-traitance à des fournisseurs étrangers, sur une infrastructure cloud suisse exploitée par Hidora. Nous n'entraînons pas d'IA sur les données de nos clients.
Nous estimons que la souveraineté se démontre plutôt qu'elle ne se proclame. D'où une documentation technique transparente, des journaux d'audit complets et exportables, un contrôle d'accès administrateur avec gestion des rôles et des options d'anonymisation automatique des prompts. Notre ambition est qu'un responsable puisse répondre à une question de conformité avec des pièces, pas avec une promesse.
Notre conviction : l'adoption de l'IA ne doit pas se faire contre la protection des données, mais avec elle. Les équipes qui disposent d'un outil à la fois performant et maîtrisé n'ont plus de raison de contourner les règles.
Nectos
Passer de l'évaluation à l'usage
Si votre grille d'évaluation est remplie et que votre pilote est défini, vous pouvez tester Nectos sur des cas concrets : chat IA privé, analyse de documents, base de connaissances, transcription et résumé de réunions, recherche web anonymisée. Les fonctionnalités de la plateforme sont détaillées en ligne, et la page produit présente l'espace de travail souverain pour la Suisse.
Les abonnements sont facturés par siège et par mois, de 29.90 CHF à 99.90 CHF selon le niveau choisi ; le détail des niveaux figure sur la page des tarifs. Pour une démarche responsable sur le plan environnemental, consultez aussi notre engagement d'écoresponsabilité.
Questions fréquentes
Une IA souveraine est-elle obligatoire en Suisse ?
Non, la loi n'impose pas un type d'outil. Elle impose de respecter la nLPD, le secret professionnel là où il s'applique et les règles sur les transferts à l'étranger. Pour les données sensibles ou couvertes par un secret, un traitement exclusivement en Suisse est le moyen le plus simple de satisfaire ces exigences.
Quelle est l'alternative à ChatGPT pour une entreprise suisse ?
L'alternative consiste à choisir un espace de travail IA dont le traitement et l'hébergement sont exclusivement en Suisse, sous droit suisse, avec contrôle des accès et journaux d'audit. Nectos répond à ce cahier des charges pour les professionnels, les PME et les entreprises réglementées.
Les données hébergées en Suisse sont-elles automatiquement conformes à la nLPD ?
Non. Le lieu d'hébergement réduit les risques de transfert, mais la conformité dépend aussi de la finalité du traitement, de l'information des personnes, des mesures de sécurité, des sous-traitants et de la gestion des accès. Une analyse de risques reste nécessaire.
Par où commencer dans une PME ?
Par un inventaire des usages réels de l'IA dans l'entreprise, puis une charte courte et un pilote avec un petit groupe. Vous gagnez ainsi en visibilité, vous identifiez les données concernées et vous pouvez décider sur la base de faits.
Sources
- La souveraineté numérique et l'intelligence artificielle, République et canton de Genève
- Secure Private Cloud Bund, Confédération
- Swiss Government Cloud, OFIT
- Souveraineté numérique, étude pluridisciplinaire
- Étude BFH sur la souveraineté numérique
- Guide relatif aux mesures techniques et organisationnelles, PFPDT
- Communication de données à l'étranger, PFPDT
- La loi actuelle sur la protection des données et l'IA, PFPDT
- Lignes directrices « Intelligence artificielle » pour la Confédération