Un chat IA « compliance friendly » se définit par un critère simple : les données que vous lui confiez restent hébergées et traitées en Suisse, sous droit suisse, avec un contrat de sous-traitance clair et des garanties techniques vérifiables. Le verdict opérationnel découle directement de ce principe. Privilégiez une plateforme souveraine, exigez un DPA conforme à l'art.9 nLPD, et vérifiez la traçabilité des journaux avant tout déploiement. Cette approche consiste à garder l'intégralité du traitement sur des serveurs situés en Suisse.
En bref:
- Un chat IA conforme à la nLPD doit héberger et traiter toutes les données exclusivement sur des serveurs suisses, avec un contrat de sous-traitance clair et des garanties techniques vérifiables.
- La résidence des données, la documentation des sous-traitants et des flux, ainsi que le chiffrement systématique, sont essentiels pour respecter les exigences de l’autorité fédérale suisse.
- Une analyse d’impact (AIPD) devient nécessaire uniquement en cas de traitement présentant un risque élevé, comme un volume massif ou du profilage automatisé.
- Vérifier l’intégralité des sous-traitants techniques, y compris les bases vectorielles et plateformes d’observabilité, permet de limiter les risques de transfert non documenté.
- La souveraineté technique, via un hébergement en Suisse, facilite la conformité aux articles 9, 16 et 22 de la nLPD, mais ne dispense pas de respecter toutes les bonnes pratiques de sécurité et de contrôle.
Table des matières
- Quels critères vérifier avant d'adopter un chat IA conforme à la nLPD ?
- Que dit concrètement la nLPD sur un chatbot IA en entreprise ?
- Quelle architecture technique garde vos données en Suisse ?
- Comment déployer un chat IA conforme, du pilote à la production ?
- Ce que la souveraineté suisse apporte réellement à la conformité
- Priorités et risques résiduels pour les responsables conformité
- Tester Nectos pour votre organisation
- Sources
- Questions fréquentes
Quels critères vérifier avant d'adopter un chat IA conforme à la nLPD ?
Avant de signer quoi que ce soit, un responsable conformité doit passer la solution au filtre de cinq questions concrètes. Ce sont elles qui déterminent si l'outil tient la route face à un contrôle du Préposé fédéral à la protection des données (PFPDT) ou face à un audit interne.
- Résidence des données : où sont physiquement stockées les conversations, les embeddings et les journaux ? Un hébergement en Suisse ou dans l'Union européenne limite la complexité des mécanismes de transfert et facilite la preuve de conformité.
- Contrat de sous-traitance (DPA) : le contrat doit préciser les catégories de données traitées, la finalité, les mesures de sécurité et les obligations de notification en cas d'incident.
- Déclencheurs d'AIPD : une analyse d'impact devient nécessaire dès que le volume de données ou le risque de profilage augmente.
- Mesures techniques : chiffrement en transit et au repos, gestion des clés, séparation stricte des rôles d'administration.
- Conservation et droits des personnes : durée de rétention des logs définie à l'avance, procédure claire de suppression sur demande.
Conseil de pro : Ne signez jamais un contrat SaaS IA avant d'avoir obtenu la liste complète des sous-traitants techniques (fournisseur de modèle, base vectorielle, plateforme d'observabilité). C'est souvent là que se cache le vrai risque de transfert non documenté.
Que dit concrètement la nLPD sur un chatbot IA en entreprise ?
La nLPD n'interdit pas l'automatisation par intelligence artificielle. Elle exige en revanche de savoir précisément quelles données sont traitées, où elles transitent et sur quelle base légale repose ce traitement. Trois articles structurent l'essentiel des obligations.
- Art.9 nLPD : chaque prestataire qui participe au traitement, qu'il s'agisse du fournisseur du modèle, de la base vectorielle ou de l'outil d'observabilité, doit être couvert par un contrat écrit détaillant sécurité, finalité et notification d'incident.
- Art.16 nLPD : tout transfert hors de Suisse doit s'appuyer sur un mécanisme valide (décision d'adéquation, clauses contractuelles types, garanties supplémentaires). Un hébergement local évite une bonne partie de cette complexité.
- Art.22 nLPD (AIPD) : dès qu'un agent IA présente un risque élevé, volumétrie importante, décisions automatisées, profilage, une analyse d'impact doit couvrir le périmètre, la base légale, les risques pour les personnes concernées et les mesures d'atténuation.
Les PME ne sont pas épargnées par les contrôles. Le PFPDT s'intéresse particulièrement aux chaînes de sous-traitance non documentées, un point faible fréquent dans les pipelines IA qui relient plusieurs fournisseurs sans contrat clair à chaque étage. Une mention vague du type « nous utilisons l'IA » dans une politique de confidentialité ne suffit pas non plus : la nLPD impose une information transparente sur les outils utilisés et leurs finalités.
Quelle architecture technique garde vos données en Suisse ?
L'architecture compte autant que le contrat. Un chat IA peut afficher un siège social suisse tout en envoyant ses requêtes vers des serveurs à l'étranger si les modèles ou les bases vectorielles ne sont pas hébergés localement.
Les contrôles qui font vraiment la différence sur le terrain :
- Hébergement des modèles, des embeddings et des journaux exclusivement sur des serveurs suisses.
- Chiffrement systématique en transit et au repos, avec gestion des clés séparée de l'exploitation quotidienne.
- Séparation stricte entre les rôles d'administration technique et les rôles d'accès métier.
- Anonymisation ou pseudonymisation automatique des invites avant tout traitement sensible.
- Règles d'expiration claires sur les journaux de conversation, avec purge automatisée.
- Journalisation immuable et exportable pour permettre un audit externe sans dépendre du fournisseur.
La nLPD impose une minimisation des données et des mesures de sécurité proportionnées au risque réel du traitement, pas une accumulation de garanties génériques. Un point souvent sous-estimé : la liste des sous-traitants techniques dépasse rarement le fournisseur de modèle. Elle inclut aussi la base vectorielle qui stocke les embeddings, la plateforme d'observabilité qui journalise les requêtes, et parfois un service d'e-mail ou un CRM connecté à l'agent conversationnel. Chacun de ces maillons doit apparaître dans votre cartographie des flux de données, sans exception.
Pour les équipes qui pilotent l'infrastructure d'accueil de ces outils, les bonnes pratiques d'hébergement sécurisé restent une référence utile au moment de valider les choix techniques du fournisseur.
Comment déployer un chat IA conforme, du pilote à la production ?
Un déploiement conforme suit un ordre précis. Sauter une étape, notamment l'AIPD ou la signature du DPA, revient à exposer l'organisation à un risque qu'un simple audit suffit à révéler.
- Inventaire des données : cartographiez les flux, identifiez les catégories de données sensibles et les cas d'usage prévus.
- Pilote isolé : testez la solution sur un périmètre restreint, sans données de production sensibles, pendant quatre à six semaines.
- Signature du DPA : formalisez le contrat de sous-traitance avant tout traitement réel de données personnelles.
- AIPD si nécessaire : rédigez une analyse d'impact ciblée dès que le pilote révèle un risque élevé.
- Tests d'acceptation : validez la résidence des données, l'exportabilité des logs et le comportement en cas d'incident.
- Mise en production : déployez progressivement, avec un suivi des indicateurs de conformité (taux d'anonymisation, délais de réponse aux demandes d'accès, incidents de sécurité).
Une AIPD bien ciblée se rédige rapidement lorsque le périmètre décisionnel est clair dès le départ. Pour structurer cette phase pilote, un guide pratique de sélection d'outil collaboratif propose une méthode transposable à l'évaluation d'un chat IA.
Ce que la souveraineté suisse apporte réellement à la conformité
Une plateforme hébergée en Suisse répond directement aux exigences des articles 9, 16 et 22 de la nLPD : la résidence des données simplifie la preuve de transfert, l'anonymisation automatique des invites limite l'exposition, et les journaux d'audit exportables facilitent la réponse à un contrôle.
- Hébergement exclusif sur serveurs suisses, sans sous-traitance à des fournisseurs étrangers.
- Anonymisation automatique des prompts et journaux d'audit complets exportables pour vos propres contrôles.
- Fonctionnalités documentées, de la knowledge base privée à la transcription de réunions, pensées pour un contexte professionnel suisse.
Cela ne dispense pas de vérifier vous-même le DPA et les niveaux de service (SLA) proposés. La souveraineté technique facilite la conformité, elle ne la remplace pas.
Priorités et risques résiduels pour les responsables conformité
Cartographiez vos flux de données et signez un DPA solide avant d'optimiser les fonctionnalités, l'ordre inverse coûte cher en corrections. Même avec une solution souveraine, des risques subsistent : erreur humaine, intégration tierce mal documentée, export non contrôlé vers un tableur personnel. Un audit trimestriel et un plan de réponse aux incidents restent indispensables, quelle que soit la qualité du fournisseur.
— Adopt
Tester Nectos pour votre organisation
Nectos est l'alternative souveraine aux assistants IA hébergés à l'étranger : vos conversations, vos documents et vos journaux d'audit restent sur des serveurs suisses, sans partage avec des géants technologiques américains.
La plateforme réunit chat IA privé, analyse de documents, base de connaissances interne et transcription de réunions, avec anonymisation automatique des invites et export complet des logs pour vos propres contrôles de conformité. Les flux de données de Nectos sont documentés pour répondre directement aux questions d'un DPO. Trois formules sont disponibles : Starter avec un tarif mensuel attractif par utilisateur, Pro avec un tarif mensuel moyen par utilisateur, et Pro+ avec un tarif mensuel supérieur par utilisateur. Un essai est possible avant engagement. Consultez la grille tarifaire complète et demandez un accès pilote pour évaluer la solution sur votre propre périmètre de données.
Sources
- Agents IA et LPD révisée : la conformité nLPD en pratique | Orange ITS
- nLPD et IA : guide de conformité 2026 pour PME suisses | Novaia
- nLPD et IA: conformité PME suisses 2026
- Intelligence artificielle en entreprise, Guide de conformité 2026 | SIDD
Questions fréquentes
Qu'est-ce qu'un chat IA conforme à la nLPD ?
C'est une plateforme conversationnelle dont les données sont hébergées et traitées exclusivement en Suisse, avec un contrat de sous-traitance conforme à l'art.9 nLPD et des garanties techniques vérifiables. Nectos répond à cette définition en gardant l'intégralité du traitement sur des serveurs suisses.
Une AIPD est-elle toujours obligatoire pour un chatbot IA ?
Non, elle devient nécessaire seulement quand le traitement présente un risque élevé, fort volume de données, décisions automatisées ou profilage. Une AIPD ciblée se rédige rapidement dès que le périmètre décisionnel est clairement défini.
Combien coûte une solution comme Nectos ?
Nectos propose trois formules : Starter avec un tarif mensuel attractif par utilisateur, Pro avec un tarif mensuel moyen par utilisateur, et Pro+ avec un tarif mensuel supérieur par utilisateur, détaillées sur la page tarifs. Un essai est également disponible avant tout engagement.
Faut-il aussi tenir compte de l'AI Act européen ?
Oui si vos réponses générées sont utilisées par des personnes ou entités dans l'Union européenne, en raison de l'effet extraterritorial de l'AI Act. Dans ce cas, anticipez les obligations de transparence et de documentation dès la phase de pilote.
Quels sous-traitants faut-il documenter dans le DPA d'un agent IA ?
Au minimum le fournisseur du modèle, la base vectorielle qui stocke les embeddings et la plateforme d'observabilité qui journalise les échanges. Chacun doit figurer dans un contrat de sous-traitance conforme à l'art.9 nLPD, sans exception.