Faire la due diligence d'un outil d'IA en Suisse consiste à vérifier, avant tout déploiement, trois choses : où vont les données, qui peut y accéder, et comment vous pourrez le prouver. Le cadre juridique est déjà là : la loi fédérale sur la protection des données (nLPD) s'applique directement aux traitements assistés par IA. Ce qui manque le plus souvent aux PME, aux fiduciaires et aux études, c'est une méthode. Cet article en propose une, avec les questions à poser au fournisseur et la façon de mener l'audit interne des usages de l'IA qui existent déjà chez vous, souvent sans que la direction le sache.
TL;DR
- La nLPD est neutre sur le plan technologique : le PFPDT rappelle qu'elle s'applique directement aux traitements de données personnelles par IA.
- Une due diligence sérieuse porte sur toute la chaîne : hébergement, sous-traitants, rétention, droits d'accès, conditions de sortie, et pas seulement sur la qualité des réponses du modèle.
- Commencez par l'audit interne : recensez les usages réels (y compris les comptes personnels sur un chatbot grand public) avant d'évaluer un fournisseur.
- Une analyse d'impact (art. 22 nLPD) est obligatoire si le traitement présente un risque élevé pour la personnalité des personnes concernées.
- Une alternative à ChatGPT hébergée en Suisse, avec journaux d'audit, réduit le périmètre à vérifier, mais ne dispense jamais de la vérification humaine des résultats.
Table des matières
- Pourquoi la due diligence IA est devenue une obligation de fait
- Étape 1 : l'audit interne des usages de l'IA
- Étape 2 : le cadre légal à vérifier
- Étape 3 : les questions à poser au fournisseur
- Étape 4 : tester l'outil sur un cas réel
- Le point de vue de Nectos
- Checklist de due diligence IA pour une PME suisse
- Passer de l'audit à un espace de travail conforme
- FAQ
- Sources
Pourquoi la due diligence IA est devenue une obligation de fait
Le Préposé fédéral à la protection des données et à la transparence (PFPDT) l'a dit clairement : la loi en vigueur depuis le 1er septembre 2023 s'applique aux traitements assistés par IA. Il n'existe donc pas de zone grise pour les « petits » usages. Dès qu'un collaborateur colle un contrat, un dossier patient ou un extrait de comptabilité dans un assistant, un traitement de données personnelles a lieu, et l'entreprise en est responsable.
Le PFPDT a précisé en janvier 2026, lors de la journée de la protection des données, une distinction utile : l'IA générative en tant que telle n'est pas soumise à la loi, mais cela change dès que des données personnelles sont traitées. Or, dans un contexte professionnel, c'est presque toujours le cas.
À cela s'ajoute la trajectoire réglementaire. Selon l'Office fédéral de la justice, la Suisse prévoit de ratifier la Convention-cadre du Conseil de l'Europe sur l'IA et de renforcer les principes existants par des règles sectorielles, par exemple en santé ou dans les transports (page de l'OFJ sur l'intelligence artificielle). La conclusion pratique est simple : cartographier dès maintenant vos usages est plus efficace que d'attendre une loi spécifique.
Le secret professionnel ajoute une couche. Avocats, fiduciaires, médecins et organes soumis à un secret de fonction ne peuvent pas se contenter d'une conformité de façade. Si les données quittent la Suisse ou transitent par un sous-traitant, la responsabilité reste chez vous.
Étape 1 : l'audit interne des usages de l'IA
Avant d'examiner un fournisseur, regardez chez vous. Les chercheurs de l'Université de Saint-Gall qui travaillent sur la gouvernance des données observent que les projets d'IA échouent moins à cause du logiciel que de données fragmentées en silos, sans traçabilité. L'évaluation de l'état de préparation interne vient donc avant le test du fournisseur.
Recenser les usages, officiels et officieux
Un audit interne utile tient en un tableau, rempli service par service :
| Question | Pourquoi elle compte |
|---|---|
| Quels outils d'IA sont utilisés (officiels et comptes personnels) ? | Les usages non déclarés sont le premier angle mort |
| Quelles catégories de données y entrent ? | Données personnelles, sensibles, couvertes par un secret |
| Où ces données sont-elles traitées et stockées ? | Détermine s'il y a communication à l'étranger |
| Qui a accès aux historiques et aux fichiers ? | Gestion des rôles, départs de collaborateurs |
| Les résultats sont-ils vérifiés avant usage ? | Risque d'erreur dans un dossier client |
Procédez par entretiens courts plutôt que par questionnaire seul. Les collaborateurs répondent plus franchement quand l'objectif est de sécuriser l'usage, pas de le sanctionner.
Classer les données avant de classer les outils
Définissez trois niveaux simples : données publiques, données internes, données personnelles ou couvertes par un secret. Pour chaque niveau, décidez quel type d'outil est admis. Cette règle écrite, d'une page, vaut mieux qu'une charte de vingt pages que personne ne lit.
Former à la vérification, pas seulement à l'utilisation
La maîtrise du « comment » compte autant que l'outil : comment les données circulent, comment la réponse est produite, comment la contrôler. C'est la ligne défendue par la faculté de droit de Saint-Gall, pour qui l'IA ne remplace pas la diligence professionnelle (UNISG Law School). Pour la partie formation, cet article sur les compétences à acquérir pour contrôler les sorties de l'IA et préserver la confidentialité donne des repères utiles sur l'esprit critique face aux contenus générés.
Étape 2 : le cadre légal à vérifier
Communication à l'étranger (art. 16 et 17 nLPD)
La question centrale pour tout outil d'IA est géographique. Les articles 16 et 17 nLPD encadrent la communication de données personnelles à l'étranger : elle n'est possible que sous conditions, qui dépendent du pays de destination. Lorsque le pays n'offre pas un niveau de protection adéquat, des garanties supplémentaires sont nécessaires, par exemple des clauses contractuelles types, avec les exigences du PFPDT.
Un point souvent négligé : un hébergement « en Europe » n'élimine pas la question de l'accès par des autorités étrangères, ni celle du droit applicable au contrat. Ces transferts transfrontaliers doivent être documentés, et la documentation doit être à jour.
Sous-traitance (art. 9 nLPD)
Un fournisseur d'IA en mode SaaS est, au sens de la loi, un sous-traitant : il traite des données pour votre compte et selon vos instructions. Vous restez responsable du choix, de l'instruction et de la surveillance. Le sous-traitant ne peut lui-même recourir à un autre sous-traitant qu'avec votre accord préalable. C'est ici que se joue l'essentiel de la due diligence.
Analyse d'impact (art. 22 nLPD)
Le PFPDT indique qu'une analyse d'impact est nécessaire lorsqu'un traitement peut entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées, par exemple en cas de profilage étendu de données sensibles ou de surveillance systématique. Si un risque élevé subsiste malgré les mesures, le PFPDT doit en principe être consulté, sauf, pour les entités privées, si un conseiller à la protection des données a été consulté. Pour un cabinet médical, une caisse de pension ou un service RH qui analysent des dossiers avec une IA, ce point mérite une réponse écrite, pas une supposition.
Transparence et décisions automatisées
Les personnes concernées doivent pouvoir connaître la finalité du traitement et, en cas de décision individuelle automatisée, faire valoir leur point de vue ou demander un examen par un humain. Si votre outil sert à trier des candidatures ou à évaluer des dossiers, ce droit doit être opérationnel dans votre processus.
Étape 3 : les questions à poser au fournisseur
Les praticiens de la finance suisse le constatent : le point de défaillance le plus fréquent n'est pas le modèle, mais la chaîne d'approvisionnement, c'est-à-dire les sous-traitants et le manque de visibilité sur les flux de données. La due diligence doit couvrir l'ensemble du cycle de vie : rétention, contrôles d'accès, droits de résiliation.
Voici une liste de questions à transmettre par écrit, avec demande de réponse écrite :
- Localisation. Dans quel pays sont hébergés les serveurs, les sauvegardes et les journaux ? Le traitement des requêtes (inférence) a-t-il lieu au même endroit ?
- Droit applicable et juridiction. Le contrat est-il soumis au droit suisse ? Le fournisseur ou sa maison mère est-il exposé à une législation étrangère permettant l'accès aux données, comme le CLOUD Act ?
- Sous-traitants. Existe-t-il une liste à jour, avec pays et finalité ? Comment êtes-vous informé d'un changement ?
- Modèles. Les modèles sont-ils hébergés par le fournisseur ou appelés via une API tierce ? Dans ce second cas, vos données quittent la plateforme.
- Entraînement. Vos données, prompts et documents servent-ils à entraîner ou affiner un modèle ?
- Rétention et suppression. Combien de temps sont conservés les historiques et fichiers ? Comment se déroule la suppression, et à quel moment les sauvegardes sont-elles purgées ?
- Contrôle d'accès. Existe-t-il une gestion des rôles, des droits par espace de travail, une authentification renforcée ?
- Traçabilité. Des journaux d'audit sont-ils disponibles et exportables pour une demande de l'autorité ou un contrôle interne ?
- Sortie du contrat. Pouvez-vous récupérer vos données dans un format exploitable, et dans quel délai sont-elles effacées ?
- Incidents. Quel délai de notification d'une violation de la sécurité des données le fournisseur s'engage-t-il à respecter ?
Un fournisseur qui répond de façon vague aux questions 1 à 4 vous donne déjà la réponse : vous ne pourrez pas documenter correctement le flux de données.
Alternatives par type : que comparer ?
Trois familles d'outils se présentent généralement :
- Les assistants grand public ou globaux, rapides à adopter, mais dont l'hébergement, le droit applicable et la chaîne de sous-traitance sont difficiles à maîtriser pour des données sensibles.
- Les assistants intégrés aux suites bureautiques d'éditeurs étrangers, pratiques, mais qui demandent une analyse fine des flux et des contrats.
- Les espaces de travail IA hébergés en Suisse avec modèles locaux, qui réduisent le nombre de points à vérifier, car l'hébergement, le droit et le traitement relèvent de la même juridiction.
Le critère n'est pas le prestige de la marque, mais votre capacité à répondre aux dix questions ci-dessus avec des pièces à l'appui.
Étape 4 : tester l'outil sur un cas réel
Une démonstration commerciale ne remplace pas un test. Choisissez un cas anonymisé ou fictif, représentatif de votre activité : un contrat type, un extrait de bouclement, un procès-verbal de séance. Évaluez :
- l'exactitude des résumés et des extractions par rapport au document source ;
- la capacité de l'outil à citer le passage utilisé ;
- le comportement face à une question piège dont la réponse ne figure pas dans le document ;
- la lisibilité des journaux d'audit après le test.
Le dernier kilomètre reste humain
Les classifications et analyses automatiques traitent des milliers de documents, mais elles sont exposées aux hallucinations et aux erreurs de contexte. Les professionnels de l'analyse de risques ESG par IA insistent sur un protocole où un analyste vérifie systématiquement les résultats du modèle, surtout pour des documents juridiques ou réglementaires. Inscrivez cette règle dans votre politique : aucune sortie d'IA n'est transmise à un client ou à une autorité sans relecture par une personne compétente.
Le point de vue de Nectos
Nous voyons chaque semaine la même situation : un collaborateur utilise un chatbot grand public à titre personnel parce qu'il est efficace, et la direction découvre l'usage lorsqu'une question de conformité se pose. L'interdire ne fonctionne pas. Il faut offrir une alternative à ChatGPT que l'on peut défendre devant un client, un mandant ou une autorité.
C'est pourquoi nous avons construit Nectos autour d'un principe : les données sont traitées exclusivement en Suisse, sous droit suisse, sur une infrastructure cloud suisse (Hidora), avec des modèles hébergés localement. Nous n'entraînons pas d'IA sur les données de nos clients. Pour la due diligence, cela change concrètement le questionnaire : les questions sur la localisation, le droit applicable et les sous-traitants étrangers trouvent une réponse simple, et la documentation technique est transparente.
Nous ajoutons les outils dont un audit a besoin : anonymisation automatique des prompts, journaux d'audit complets exportables, contrôle d'accès administrateur et gestion des rôles. Ils ne remplacent pas votre analyse d'impact ni votre jugement, mais ils vous donnent des pièces à verser au dossier. Sur le fond juridique de cette approche, nous expliquons pourquoi la souveraineté suisse est une garantie légale et non un argument marketing.
Un dernier conseil : ne confondez jamais « conforme » et « dispensé de vérifier ». Un outil souverain réduit le risque, la gouvernance interne le maîtrise.
— Nectos
Checklist de due diligence IA pour une PME suisse
Pour passer à l'action, voici l'ordre que nous recommandons :
- Désigner un responsable (direction, DPO ou conseiller à la protection des données) et fixer un calendrier de quatre à six semaines.
- Réaliser l'audit interne des usages et classer les données par niveau de sensibilité.
- Décider si une analyse d'impact est requise pour chaque cas d'usage, et la documenter.
- Envoyer le questionnaire de dix points aux fournisseurs retenus et exiger des réponses écrites.
- Tester sur un cas anonymisé et noter les résultats.
- Conclure ou mettre à jour le contrat de sous-traitance : droit applicable, liste des sous-traitants, rétention, sortie.
- Définir les rôles et droits d'accès, et activer la journalisation.
- Former les équipes à la vérification des sorties et revoir la démarche chaque année.
Selon votre secteur
Fiduciaires et finance : concentrez-vous sur le secret professionnel, la traçabilité et les exigences de votre autorité de surveillance. Études d'avocats : le secret professionnel de l'avocat impose de maîtriser la localisation et l'accès. Santé : les données de santé sont sensibles au sens de la loi, ce qui rend l'analyse d'impact particulièrement probable. RH : attention aux décisions automatisées et au tri de candidatures.
Ces points ne remplacent pas un avis juridique : pour un cas précis, consultez votre conseiller à la protection des données ou un avocat spécialisé.
Passer de l'audit à un espace de travail conforme
Si votre audit conclut qu'un outil hébergé en Suisse répond mieux à vos exigences, Nectos propose un espace de travail IA privé : chat, analyse de documents, base de connaissances privée, transcription de réunions et recherche web anonymisée. Les formules publiées sont Starter à 29.90 CHF par mois et par siège, Pro à 49.90 CHF par mois et par siège, et Pro+ à 99.90 CHF par mois et par siège. Une formule d'essai est également proposée. Consultez le détail des offres Nectos pour comparer les niveaux. Notre approche écoresponsable est détaillée sur la page dédiée à l'écoresponsabilité.
FAQ
La due diligence d'un outil d'IA est-elle obligatoire en Suisse ?
La loi ne prévoit pas une procédure appelée ainsi, mais elle vous rend responsable des traitements confiés à un sous-traitant. La nLPD s'applique à l'IA comme à toute autre technologie, ce qui impose de choisir, instruire et surveiller le fournisseur. En pratique, la due diligence est la preuve de cette diligence.
Faut-il une analyse d'impact pour chaque outil d'IA ?
Non, seulement lorsque le traitement peut présenter un risque élevé pour la personnalité ou les droits fondamentaux, selon l'article 22 nLPD. C'est plausible avec des données sensibles à grande échelle. Documentez dans tous les cas votre raisonnement, y compris lorsque vous concluez qu'elle n'est pas nécessaire.
Un hébergement en Suisse suffit-il à être conforme ?
Il simplifie beaucoup la question des transferts à l'étranger, mais il ne suffit pas. Il reste à vérifier les sous-traitants, la rétention, les droits d'accès, l'information des personnes concernées et la relecture humaine des résultats.
Comment mener un audit interne de l'usage de l'IA ?
Recensez les outils réellement utilisés, y compris les comptes personnels, identifiez les données concernées, vérifiez où elles sont traitées et qui y accède, puis définissez une règle écrite par niveau de sensibilité. Procédez par entretiens avec les équipes et répétez l'exercice au moins une fois par an.
Une IA peut-elle remplacer la due diligence humaine ?
Non. Elle accélère le tri et la lecture de grands volumes de documents, mais ses sorties doivent être vérifiées par une personne compétente, surtout dans les dossiers juridiques ou réglementaires.
Sources
- PFPDT : IA et protection des données
- PFPDT : la loi en vigueur est directement applicable à l'IA
- PFPDT : Journée de la protection des données 2026
- PFPDT : analyse d'impact relative à la protection des données
- PFPDT : communication de données personnelles à l'étranger
- PFPDT : clauses contractuelles types, art. 16 al. 2 let. d LPD
- Office fédéral de la justice : intelligence artificielle
- Université de Saint-Gall, faculté de droit : IA et sciences juridiques
- Swisscom : AI Governance et conformité pour les banques suisses
- Swisscom B2B Mag : ESG et risques de réputation par IA