En Suisse, envoyer des données à un outil d'IA situé à l'étranger peut relever de deux régimes distincts : le contrôle des exportations (loi sur le contrôle des biens, LCB) et la protection des données (nLPD). Le premier vise surtout les technologies et savoir-faire sensibles, le second toute donnée personnelle. Pour les deux, la règle pratique est la même : savoir où vont vos données, qui peut y accéder et sous quel droit elles sont traitées. Cet article fait le tri, pour les fiduciaires, cabinets juridiques, établissements de santé, RH et PME qui utilisent ou envisagent une alternative à ChatGPT.
En bref
- Le contrôle des exportations suisse s'applique aussi aux transferts immatériels : cloud, accès à distance, échange de connaissances techniques.
- Un accès depuis l'étranger à des données soumises à autorisation en Suisse constitue une exportation au sens de la LCB.
- La nLPD impose, pour toute communication de données personnelles à l'étranger, un pays adéquat ou des garanties appropriées, et une inscription au registre.
- Le plus simple pour limiter ces risques : un espace de travail IA hébergé et traité exclusivement en Suisse.
- Journaux d'accès, rôles et formation des équipes sont les mesures de traçabilité que le SECO recommande.
Table des matières
- Ce que « contrôle des exportations » veut dire pour une IA
- Quand un envoi vers une IA étrangère devient un transfert à examiner
- Le volet nLPD : données personnelles et services d'IA étrangers
- Checklist avant de saisir des données dans un service d'IA
- Les mesures que recommande le SECO, appliquées à l'IA
- Notre point de vue : la souveraineté comme règle de conception
- Choisir une IA souveraine : ce que cela change au quotidien
- Nectos pour votre équipe
- Ce qui s'annonce côté réglementation
- Questions fréquentes
- Sources
Ce que « contrôle des exportations » veut dire pour une IA
Le terme prête à confusion. Dans les résultats de recherche, on trouve surtout des logiciels de conformité douanière, des règles américaines sur les puces ou des régimes européens. Ce n'est pas le sujet d'une entreprise suisse qui se demande si elle peut confier ses documents à un assistant IA.
En Suisse, le cadre est la loi sur le contrôle des biens (LCB) et son ordonnance (OCB), dont les annexes répertorient les biens soumis à contrôle. Selon le SECO, ces biens peuvent être transférés sous forme matérielle ou immatérielle, notamment par le cloud ou par la transmission de connaissances. Un plan de conception, un code source ou des données techniques peuvent donc être « exportés » sans qu'aucun colis ne franchisse la frontière.
Le Conseil fédéral a par ailleurs adopté une modification de l'OCB qui introduit de nouveaux contrôles à l'exportation pour des biens à double usage dans les technologies émergentes, dont l'IA. Le périmètre exact évolue : il se vérifie dans les annexes en vigueur, pas dans un article de blog, y compris celui-ci.
Il faut distinguer deux questions :
- Le contrôle à l'exportation (LCB/OCB) : vos données ou savoir-faire sont-ils des biens ou technologies soumis à autorisation ?
- La protection des données (nLPD) : vos données concernent-elles des personnes identifiables ?
Un contrat de client, un dossier médical ou un fichier de salaires relèvent presque toujours de la seconde question. Des plans techniques d'équipements sensibles relèvent de la première. Certains documents relèvent des deux.
Quand un envoi vers une IA étrangère devient un transfert à examiner
L'accès depuis l'étranger suffit
Le SECO le dit clairement : une activité transfrontalière est une exportation, et l'accès depuis l'étranger à des données soumises à autorisation en Suisse en est une. Le même document précise que le transfert de données cryptées vers un serveur étranger n'est soumis à licence que si des personnes à l'étranger obtiennent des droits d'accès.
Autrement dit, ce n'est pas l'emplacement du serveur seul qui compte, mais qui peut lire. Pour un service d'IA, la question devient : le prestataire, ses sous-traitants ou ses équipes d'assistance, situés hors de Suisse, peuvent-ils consulter vos prompts, vos fichiers ou vos journaux ?
Le critère du type de technologie
Toujours selon le SECO, un transfert de technologie intangible est soumis à permis si les données peuvent être affectées à un numéro de contrôle à l'exportation (NCE) des annexes 2 à 5 de l'OCB. La démarche concrète consiste donc à se demander si le contenu que vous soumettez à l'IA (spécifications, procédés, logiciels) correspond à une rubrique contrôlée.
Les échanges informels comptent aussi
L'EPFL rappelle que des échanges informels, comme des e-mails ou des discussions, contenant des savoirs non publics peuvent constituer une exportation soumise à autorisation ou déclaration. Un prompt collé dans un chatbot étranger n'est pas fondamentalement différent d'un e-mail : c'est une communication de contenu vers un tiers situé hors de Suisse.
Destinataire et usage final
Pour les restrictions liées aux sanctions, le SECO recommande de tenir compte des restrictions liées aux utilisateurs finaux et à l'usage prévu. Une IA hébergée à l'étranger rend ces deux éléments plus difficiles à maîtriser : vous ne savez ni qui accède aux données, ni pour quoi elles sont réutilisées.
Le volet nLPD : données personnelles et services d'IA étrangers
Pour la plupart des professionnels, le risque quotidien n'est pas le contrôle des biens à double usage, mais la communication de données personnelles à l'étranger. Le PFPDT rappelle que la nLPD, formulée de manière technologiquement neutre, s'applique directement aux traitements fondés sur l'IA. Elle exige notamment de la transparence sur la finalité, le fonctionnement et les sources de données.
Le PFPDT souligne aussi que l'utilisateur d'un modèle de langage doit pouvoir savoir s'il échange avec une machine et si ses données servent ensuite à améliorer le système ou à d'autres fins. C'est précisément la question à poser à tout fournisseur d'IA grand public.
Les trois voies légales
Selon le PFPDT, la transmission de données personnelles à l'étranger est possible si le pays destinataire assure un niveau de protection adéquat, si des garanties appropriées sont en place, ou si une exception de l'art. 17 LPD s'applique. Les garanties passent notamment par des clauses contractuelles ou des règles d'entreprise contraignantes. La personne concernée doit être informée, et le registre des activités de traitement doit indiquer l'État destinataire et les garanties prévues.
Ne pas se fier aux seules déclarations du prestataire
Le guide du PFPDT demande à l'exportateur d'examiner le niveau de protection du pays, les lois applicables et les risques d'accès par les autorités étrangères, sans s'en remettre aux seules assurances du fournisseur. Pour les services cloud liés aux États-Unis, le questionnaire du PFPDT peut aider à obtenir des précisions. Dans cet esprit, le CLOUD Act américain, qui peut exposer des données stockées hors des États-Unis à des demandes d'autorités américaines, fait partie des points à évaluer.
Secret professionnel : une exigence supplémentaire
Avocats, médecins, fiduciaires et autres détenteurs d'un secret professionnel doivent ajouter une couche : le droit pénal suisse protège ce secret indépendamment de la nLPD. Soumettre un dossier de client à un service étranger sans mesure particulière est une décision que vous devrez pouvoir justifier. Si vous êtes dans ce cas, faites valider votre pratique par votre ordre professionnel ou votre conseil juridique.
Checklist avant de saisir des données dans un service d'IA
Avant d'utiliser ChatGPT, un assistant intégré à une suite bureautique ou tout autre service avec des données professionnelles, posez ces questions :
- Où sont traitées les données ? Serveurs, mais aussi support technique et sous-traitants.
- Qui peut y accéder ? Personnel du fournisseur, filiales, autorités étrangères.
- Les données servent-elles à entraîner le modèle ? Réponse écrite, pas une page marketing.
- Quel droit s'applique au contrat ? Droit suisse ou juridiction étrangère.
- Les données sont-elles personnelles, secrètes ou techniquement sensibles ? Chaque catégorie ouvre une obligation différente.
- Existe-t-il des journaux d'audit exportables ? Sans eux, vous ne pouvez rien prouver en cas de contrôle.
- Le registre des activités de traitement est-il à jour ? Il doit mentionner l'État destinataire et les garanties.
Un service qui ne répond pas clairement à ces sept points ne devrait pas recevoir de données sensibles.
Les mesures que recommande le SECO, appliquées à l'IA
Pour la traçabilité, le SECO recommande des journaux et protocoles d'accès, ainsi que des audits, accords, instructions de travail et formations pour les prestataires informatiques, à revoir régulièrement. Traduit pour un déploiement d'IA en entreprise :
| Mesure | Concrètement |
|---|---|
| Traçabilité | Journaux d'utilisation par utilisateur, exportables pour un audit |
| Contrôle d'accès | Rôles et droits distincts : qui peut interroger quelles bases documentaires |
| Instructions de travail | Charte d'usage de l'IA : quelles données sont interdites dans les prompts |
| Formation | Sensibilisation des équipes aux données personnelles et techniques |
| Revue périodique | Réexamen du fournisseur, des sous-traitants et du périmètre au moins une fois par an |
Ces mesures ne dépendent pas d'un outil particulier, mais un outil qui les intègre en natif réduit la charge administrative.
Notre point de vue : la souveraineté comme règle de conception
Nous partons d'un constat simple : la meilleure façon de gérer un transfert transfrontalier est de ne pas en créer. Nectos est un espace de travail IA suisse, conçu comme alternative à ChatGPT pour les professionnels et entreprises qui ne veulent pas voir leurs données voyager.
Concrètement :
- les données restent et sont traitées exclusivement en Suisse, sous droit suisse, sur une infrastructure cloud suisse (Hidora), sans export ni sous-traitance à des fournisseurs étrangers ;
- aucun entraînement IA n'est réalisé sur les données de nos clients ;
- l'anonymisation automatique des prompts est disponible, et des journaux d'audit complets peuvent être exportés pour la conformité ;
- l'administrateur gère les accès et les rôles ;
- notre documentation technique décrit comment les données circulent dans Nectos, et notre approche de la souveraineté suisse comme garantie légale explique ce que cela change juridiquement.
Cela ne vous dispense pas d'une analyse interne : classer vos données, rédiger une charte, tenir votre registre. Mais cela supprime la question la plus délicate, celle du destinataire étranger. Notre page sur la sécurité que vous pouvez prouver détaille les mesures concrètes.
Si vous dirigez une fiduciaire, une étude ou un service RH, posez-vous cette question : si un client ou le PFPDT vous demandait demain où vont les données saisies dans votre outil d'IA, pourriez-vous répondre en une phrase ?
— Nectos
Choisir une IA souveraine : ce que cela change au quotidien
Passer à une IA hébergée en Suisse ne signifie pas renoncer aux usages qui font la valeur de ces outils. Les cas d'usage courants restent les mêmes :
- analyse de contrats, de rapports et de pièces comptables ;
- base de connaissances interne interrogeable en langage naturel ;
- transcription et résumé de réunions ;
- recherche web anonymisée ;
- rédaction assistée de courriers et de notes.
Ce qui change, c'est le dossier de conformité. Le registre des activités de traitement mentionne un traitement en Suisse, la question des garanties pour pays tiers ne se pose plus pour l'hébergement, et la réponse à un client inquiet tient en peu de lignes.
Attention toutefois : la souveraineté de l'hébergement ne règle pas tout. Les règles de minimisation, de finalité et d'information des personnes concernées restent applicables. Et si vos usages touchent à des technologies contrôlées, la qualification au regard de l'OCB reste de votre responsabilité, quel que soit l'outil.
Nectos pour votre équipe
Nous proposons des abonnements par siège, mensuels ou annuels : Starter à 29.90 CHF par mois et par siège, Pro à 49.90 CHF par mois et par siège, et Pro+ à 99.90 CHF par mois et par siège. Un essai est également proposé. Le détail des fonctionnalités de chaque niveau figure sur la page des tarifs Nectos.
Pour tester l'espace de travail sur des cas réels de votre organisation, commencez par l'essai, puis associez votre responsable conformité à la définition des rôles et des journaux. Vous pouvez aussi découvrir l'ensemble de l'offre sur nectos.ch.
Ce qui s'annonce côté réglementation
Le Conseil fédéral a prévu un projet de réglementation de l'IA mettant en œuvre la Convention du Conseil de l'Europe, ainsi qu'un plan de mesures sectorielles non contraignantes, avec une échéance fixée à fin 2026. D'ici là, la nLPD et la LCB s'appliquent telles quelles. Une entreprise qui documente aujourd'hui ses flux de données vers l'IA sera mieux placée quand le nouveau cadre arrivera.
Questions fréquentes
Le contrôle des exportations s'applique-t-il à un simple prompt envoyé à une IA étrangère ?
Cela dépend du contenu. Si le prompt ou le fichier transmet une technologie ou des données affectables à un numéro de contrôle des annexes de l'OCB, l'accès depuis l'étranger peut constituer une exportation soumise à permis. Pour un texte courant sans contenu technique contrôlé, c'est plutôt la nLPD qui est en jeu. En cas de doute, demandez une qualification au SECO ou à votre conseil juridique.
Les données hébergées en Suisse sont-elles automatiquement conformes à la nLPD ?
Non. L'hébergement en Suisse supprime la question du transfert à l'étranger, mais vous restez tenu de respecter les principes de finalité, de proportionnalité, de transparence et de sécurité. Le PFPDT rappelle que la loi s'applique pleinement aux traitements fondés sur l'IA.
Peut-on utiliser ChatGPT avec des données de clients ?
C'est possible uniquement si les conditions de la nLPD pour une communication à l'étranger sont remplies : pays adéquat ou garanties appropriées, information des personnes et inscription au registre. Pour les professions soumises au secret, le risque est plus élevé. Une alternative à ChatGPT hébergée en Suisse évite ce travail d'analyse.
Que faut-il consigner dans le registre des activités de traitement ?
En cas de communication à l'étranger, le registre doit indiquer le nom de l'État destinataire et les garanties prévues. Pour un traitement entièrement réalisé en Suisse, la mention du fournisseur et de la finalité suffit à documenter la communication, sans État tiers à déclarer.
Quelles traces conserver en cas de contrôle ?
Conservez les journaux d'accès et d'utilisation, votre charte d'usage de l'IA, les contrats avec les prestataires et les preuves de formation des équipes. Ce sont les éléments que le SECO met en avant comme mesures de traçabilité.
Sources
- SECO, Traitement du transfert de technologie intangible
- Conseil fédéral, contrôles à l'exportation des biens à double usage
- SECO, FAQ sanctions de la Suisse
- EPFL, Export Control
- PFPDT, Communication de données à l'étranger
- PFPDT, Guide pour l'examen de la licéité de la communication de données à l'étranger
- PFPDT, La loi actuelle sur la protection des données est applicable à l'IA
- Chancellerie fédérale, Intelligence artificielle