Pour déployer une IA privée en Suisse, choisissez un hébergement exclusivement suisse, gardez la maîtrise de vos clés de chiffrement et exigez des journaux d'audit complets. Cette combinaison répond à la LPD (nLPD) et aux attentes du PFPDT, et vous donne une vraie alternative à ChatGPT. Chez Nectos, nous proposons une IA hébergée en Suisse avec des journaux d'audit complets pour les PME et les secteurs régulés.
En bref:
- Faites confirmer que l’inférence, l’index sémantique, les sauvegardes et les serveurs restent en Suisse, puis vérifiez la rotation et la révocation des clés de chiffrement.
- L’externalisation ne vous décharge pas : exigez des prestataires déclarés, un droit d’audit et la notification des violations ; une AIPD s’impose si le risque est élevé.
- Comparez les offres à périmètre constant : l’indexation documentaire, la latence et la fréquence des requêtes font varier la facture au-delà des licences.
- Commencez par un pilote centré sur un problème métier, puis testez l’inférence locale et la recherche documentaire avant d’envisager un ajustement interne coûteux.
Table des matières
- Quelle architecture adopter pour une IA privée souveraine ?
- Que exige la LPD d'une entreprise qui déploie une IA privée ?
- Quels coûts faut-il budgéter pour une IA privée ?
- Serveur dédié ou cloud souverain : quels compromis techniques ?
- Comment passer du pilote à la production en six étapes ?
- Pourquoi la souveraineté change la donne pour les entreprises suisses
- Nectos : notre alternative à ChatGPT, hébergée en Suisse
- Questions fréquentes
- Sources
Quelle architecture adopter pour une IA privée souveraine ?
Une architecture souveraine repose sur des composants que vous pouvez nommer, localiser et auditer. Voici le schéma que nous recommandons de valider avec votre équipe ou votre fournisseur :
- Hébergement en Suisse : serveur dédié ou cloud privé virtuel, sous droit suisse, sans sous-traitance à l'étranger.
- Moteur de modèles : inférence exécutée sur cette infrastructure, sans appel vers une API tierce.
- Index sémantique : il alimente la recherche dans vos documents et reste dans le même périmètre que les données.
- Stockage chiffré : au repos comme en transit, avec sauvegardes soumises aux mêmes règles de localisation.
- Gestion des identités : contrôle d'accès par rôles, avec des droits distincts pour les administrateurs, les utilisateurs et les auditeurs.
- Séparation des environnements : développement, test et production isolés, pour qu'un essai n'expose jamais des données réelles.
- Journaux d'audit : chaque requête et chaque accès sont tracés, exportables et conservés selon votre politique.
Reste la question des clés. Avec un modèle où vous apportez votre propre clé de chiffrement (BYOK), vous décidez qui peut lire vos données, y compris côté hébergeur. Sans politique de rotation documentée, cette maîtrise reste théorique : fixez la fréquence, le responsable et la procédure de révocation.
Conseil de pro : demandez à votre fournisseur de vous montrer, en démonstration, comment un administrateur révoque une clé et ce qu'il advient des données chiffrées ensuite.
Que exige la LPD d'une entreprise qui déploie une IA privée ?
Le principe tient en une phrase : le responsable du traitement reste légalement responsable, même lorsqu'il confie le traitement à un tiers. Le PFPDT le rappelle sur l'externalisation : vous devez vérifier la localisation des serveurs, surveiller activement le sous-traitant et, si les données quittent la Suisse, prévoir des garanties contractuelles. Sa page consacrée à l'externalisation (sous-traitance) détaille les obligations contractuelles, les vérifications et les notifications de violation.
Côté IA, la loi actuelle s'applique directement. Le PFPDT le confirme pour l'IA et la protection des données :
La LPD s'applique aux traitements fondés sur l'IA, et une analyse d'impact (AIPD) est requise pour les traitements à risque élevé. Transparence, finalité et droits des personnes concernées restent au centre.
Le caractère « risque élevé » dépend de la nature et du contexte du traitement. Le projet CADE souligne par exemple que l'automatisation du recrutement ou l'analyse comportementale des employés appellent des exigences accrues. Pour l'aspect mesures concrètes, le guide des mesures techniques et organisationnelles du PFPDT sert de référence.
À exiger de tout sous-traitant :
- des clauses contractuelles précises sur la finalité, la localisation et la sécurité ;
- la liste complète de ses propres sous-traitants, mise à jour ;
- un droit d'audit, assorti d'une obligation de notification en cas de violation ;
- la preuve que vos données ne servent pas à entraîner des modèles tiers.
Quels coûts faut-il budgéter pour une IA privée ?
Le budget ne se limite pas à la licence. Pour estimer le coût total, tenez compte de ces postes :
- l'infrastructure de calcul (GPU ou CPU) et le stockage chiffré ;
- les licences ou droits d'usage des modèles ;
- l'exploitation, la supervision et les mises à jour de sécurité ;
- l'intégration à vos outils et la formation des équipes ;
- l'audit et la documentation de conformité.
Deux logiques s'opposent. L'infrastructure propre demande un investissement initial élevé et des compétences rares à recruter, mais offre un contrôle maximal. L'abonnement SaaS souverain transforme ce capital en coût par siège : l'investissement de départ reste faible et l'exploitation est déléguée. Les chercheurs de l'ETH Zurich observent d'ailleurs un déficit d'expertise IA dans les entreprises suisses, ce qui pèse lourd dans l'arbitrage.
Plusieurs facteurs font grimper la facture : le volume de documents à indexer, l'exigence de latence et la fréquence d'inférence. Demandez toujours un chiffrage à périmètre constant avant de comparer deux offres.
Serveur dédié ou cloud souverain : quels compromis techniques ?
Le serveur dédié en Suisse maximise l'isolation et simplifie la démonstration de conformité, au prix d'un coût plus élevé et d'une charge d'exploitation. Le cloud souverain multi-locataire mutualise l'infrastructure : c'est moins cher, mais il faut vérifier la séparation logique des clients et la chaîne de sous-traitance. Le PFPDT met en garde contre ces risques : sous-traitants, sous-sous-traitants, documentation à exiger par contrat.
Côté modèles, plusieurs voies coexistent :
- inférence locale : les requêtes ne quittent jamais votre périmètre, mais le matériel doit suivre ;
- embeddings privés : la recherche sémantique reste interne, sans envoi de vos textes ailleurs ;
- ajustement interne : utile pour un vocabulaire métier très spécifique, mais coûteux en données et en compétences.
Côté sécurité, combinez clé de chiffrement maîtrisée, anonymisation automatique des prompts, journal d'audit et chiffrement au repos comme en transit.
Conseil de pro : commencez par l'inférence locale et la recherche sur vos documents. L'ajustement interne n'apporte un gain que si un pilote prouve que ces deux briques ne suffisent pas.
Comment passer du pilote à la production en six étapes ?
Les chercheurs de l'ETH Zurich le constatent : la réussite tient à une stratégie centrée sur un problème métier précis, pas au choix de l'outil. La feuille de route suit cette logique.
- Définir le cas d'usage et les indicateurs : un problème métier, un responsable, des critères de réussite chiffrés par vos soins.
- Auditer les données : sources, sensibilité, droits d'accès, base légale. Le registre des traitements est le premier livrable.
- Lancer un pilote : petit groupe d'utilisateurs, environnement isolé, métriques de qualité relevées chaque semaine.
- Réaliser l'AIPD et documenter : si le traitement est à risque élevé, formalisez-la avant l'extension, avec le DPO.
- Industrialiser : contrôle d'accès par rôles, sauvegardes, plan de reprise, formation des équipes.
- Gouverner dans la durée : revue des journaux, mises à jour, réexamen périodique de l'AIPD.
Le DSI porte l'infrastructure, le DPO la conformité, les métiers la valeur d'usage, la sécurité la surveillance continue.
Pourquoi la souveraineté change la donne pour les entreprises suisses
Nous défendons une conviction simple : dans les secteurs où le secret professionnel pèse, la confiance de vos clients se gagne par des preuves, pas par des promesses. Une IA souveraine, hébergée en Suisse et auditable, devient un argument commercial. Pour une PME, le bon départ est un pilote contrôlé, car la responsabilité légale ne se délègue pas.
— Nectos
Nectos : notre alternative à ChatGPT, hébergée en Suisse
Nos clients n'ont pas à choisir entre productivité et conformité. Nous proposons une IA privée dont les données ne quittent jamais la Suisse, sous droit suisse, sans entraînement sur vos contenus.
Concrètement, notre espace de travail réunit :
- un chat IA privé et l'analyse intelligente de vos documents ;
- une base de connaissances privée et la transcription de réunions ;
- l'anonymisation automatique des prompts et des journaux d'audit exportables ;
- un hébergement sur serveurs suisses, conforme à la nLPD.
Plusieurs formules existent, notamment Starter, Pro, Pro+ et un essai. Les tarifs actuels sont détaillés sur notre page tarifs. Consultez notre page sécurité pour les garanties techniques, puis lancez l'essai ou contactez-nous pour cadrer un pilote sur Nectos.
Cet article constitue une information générale et ne remplace pas l'avis d'un avocat qualifié. Consultez un professionnel du droit qualifié à propos de votre cas personnel avant d'agir sur la base de ce contenu.
Questions fréquentes
Une IA privée est-elle obligatoire pour respecter la LPD ?
Non, la LPD n'impose pas une technologie précise. Elle exige que vous maîtrisiez le traitement, que vous informiez les personnes concernées et que vous sécurisiez les données. Une IA privée hébergée en Suisse facilite fortement cette démonstration.
Quand une AIPD est-elle nécessaire pour un projet d'IA ?
Elle l'est lorsque le traitement présente un risque élevé pour les personnes concernées, ce qui dépend de sa nature et de son contexte. Le PFPDT le rappelle dans sa mise à jour : l'AIPD s'impose pour les traitements à risque, par exemple en recrutement automatisé.
Qui est responsable si mon fournisseur d'IA commet une violation ?
Vous, en tant que responsable du traitement. L'externalisation ne vous décharge pas de vos obligations : vous devez surveiller le sous-traitant et prévoir contractuellement audit et notification.
Peut-on utiliser l'IA pour les données des employés ?
Oui, mais avec prudence. Le traitement des données des employés exige proportionnalité et information, comme le détaille le PFPDT sur le traitement des données par l'employeur.