Héberger une IA en Suisse signifie que les serveurs, le traitement des requêtes et le stockage des données se trouvent sur le territoire suisse, sous la juridiction suisse. Cela ne suffit pourtant pas à garantir la conformité. La loi sur la protection des données (nLPD) s'applique à votre entreprise, quel que soit l'endroit où tourne le modèle, et c'est à vous, responsable du traitement, d'en répondre. Voici les critères qui comptent, les pièges contractuels et la manière de décider entre une solution sur site, un cloud suisse et un espace de travail IA clé en main.
En bref
- Un hébergement IA suisse réduit le risque de transfert transfrontalier, mais il ne vous décharge pas de votre responsabilité de responsable du traitement.
- La nLPD, en vigueur depuis le 1er septembre 2023, s'applique directement à tout traitement de données personnelles par une IA, selon le PFPDT.
- Trois critères priment : où les données sont traitées, qui y a accès (sous-traitants compris) et si vos saisies servent à entraîner des modèles.
- Une IA « sur site » offre le contrôle maximal, mais exige des compétences et des investissements que beaucoup de PME ne peuvent pas porter.
- Nectos propose une alternative à ChatGPT hébergée exclusivement en Suisse, sans entraînement sur vos données et avec journaux d'audit.
Table des matières
- Pourquoi la question de l'hébergement se pose maintenant
- Ce que signifie réellement « hébergé en Suisse »
- Le cadre légal : nLPD et transferts transfrontaliers
- Trois modèles d'hébergement pour une IA en Suisse
- Les critères pour choisir un hébergement IA souverain
- Notre point de vue : la souveraineté se prouve, elle ne s'affirme pas
- Mettre en place un hébergement IA conforme : la marche à suivre
- Une alternative à ChatGPT hébergée en Suisse
- Erreurs fréquentes à éviter
- FAQ
- Sources
Pourquoi la question de l'hébergement se pose maintenant
Beaucoup de collaborateurs utilisent déjà un assistant IA grand public dans leur travail quotidien : résumer un contrat, reformuler un courriel à un client, analyser un tableau. Chaque requête contient potentiellement des données personnelles, parfois des informations couvertes par le secret professionnel. Ces données voyagent alors vers des serveurs situés à l'étranger, souvent sans que la direction ou le service juridique en ait connaissance.
Le Préposé fédéral à la protection des données et à la transparence (PFPDT) a été clair sur ce point : la loi actuelle sur la protection des données est directement applicable à l'IA. Il n'existe pas de zone grise réglementaire dans laquelle l'IA échapperait au droit. Dès qu'un système traite des données se rapportant à des personnes, la LPD s'applique. Lors de la Journée de la protection des données 2026, le PFPDT a précisé que l'IA générative n'est pas en soi l'objet de la loi, mais qu'elle le devient dès qu'elle traite des données personnelles.
Pour un fiduciaire, une étude d'avocats, un cabinet médical ou un service RH, cette précision a une conséquence pratique : le choix de l'hébergement n'est pas un détail d'infrastructure, c'est une décision de conformité.
Ce que signifie réellement « hébergé en Suisse »
L'expression recouvre des réalités très différentes. Avant de signer, posez ces quatre questions à tout fournisseur.
- Où les données sont-elles stockées ? Un centre de calcul situé en Suisse est le point de départ. Vérifiez qu'il concerne aussi les sauvegardes et les journaux, pas seulement la base principale.
- Où les requêtes sont-elles traitées ? Un service peut stocker vos fichiers en Suisse tout en envoyant les prompts à un modèle exécuté à l'étranger. C'est l'écueil le plus fréquent.
- Qui est le propriétaire de l'infrastructure ? Un fournisseur suisse qui s'appuie sur l'infrastructure d'un groupe étranger peut rester exposé à des législations extraterritoriales, comme le CLOUD Act américain. La question du contrôle juridique compte autant que celle de l'emplacement physique.
- Qui sont les sous-traitants ? Le PFPDT attire l'attention, dans sa page sur le traitement de données dans un nuage informatique, sur le recours à des sous-traitants et à des sous-traitants ultérieurs ainsi que sur la sécurité des données. Exigez la liste complète, et son mécanisme de mise à jour.
Données au repos, données en transit, données en traitement
Une architecture sérieuse distingue trois états. Au repos, les données sont chiffrées sur des disques situés en Suisse. En transit, elles circulent par des canaux chiffrés. En traitement, elles sont chargées en mémoire par le modèle : c'est là que se joue la souveraineté réelle, car un modèle appelé via une interface externe fait sortir le contenu de vos prompts du territoire suisse, même si tout le reste y demeure.
Le cadre légal : nLPD et transferts transfrontaliers
La nLPD impose aux entreprises des principes de transparence, de proportionnalité et de finalité dès lors que des données personnelles sont traitées. Le PFPDT insiste aussi sur le droit à l'autodétermination informationnelle : il ne suffit pas d'une conformité purement technique, les personnes concernées doivent pouvoir comprendre comment leurs données sont utilisées.
Communication de données à l'étranger
La transmission de données personnelles à l'étranger n'est possible que sous certaines conditions, qui dépendent du pays de destination. Le PFPDT a également publié un guide pour l'examen de la licéité de la communication transfrontière de données qui détaille la procédure, schéma à l'appui. Si vous utilisez un service dont les serveurs sont à l'étranger, vous devez documenter cet examen, et souvent conclure des clauses contractuelles adaptées.
Un hébergement exclusivement suisse supprime une grande partie de cette charge : sans transfert vers l'étranger, il n'y a pas d'analyse de transfert à mener pour ce flux. C'est l'un des arguments les plus concrets en faveur d'une infrastructure souveraine, et il vaut mieux qu'un simple slogan. Nous développons ce point dans notre article sur la souveraineté suisse comme garantie légale.
La responsabilité ne se délègue pas
Point souvent oublié : selon le PFPDT, le responsable du traitement reste responsable des données même lorsqu'elles sont hébergées par un tiers. Externaliser l'hébergement IA ne décharge donc pas l'entreprise. Il faut s'assurer par contrat que le prestataire n'utilise pas les données clients pour entraîner ses propres modèles, un piège fréquent avec les services grand public.
Transparence et analyse d'impact
Les personnes concernées ont le droit de savoir si elles communiquent avec une IA et si leurs saisies sont réutilisées. Ignorer cette obligation, notamment en finance ou en santé, expose l'entreprise à des risques juridiques sérieux en cas de contrôle. Par ailleurs, selon les exemples pratiques du PFPDT, l'usage de l'IA ne dispense pas d'une analyse d'impact relative à la protection des données lorsque le traitement présente des risques élevés.
Attention enfin à l'anonymisation : elle n'est pas toujours irréversible. L'IA peut parfois relier des jeux de données pseudonymisés à une personne physique, ce qui replace le traitement sous le régime de la LPD. Une anonymisation automatique des prompts est utile, mais elle ne remplace pas une réflexion sur ce que vous saisissez.
Trois modèles d'hébergement pour une IA en Suisse
Les lecteurs qui cherchent une IA « sur site » en Suisse comparent en réalité trois approches. Aucune n'est universellement meilleure : le bon choix dépend de votre taille, de vos compétences internes et de la sensibilité des données.
| Critère | IA sur site (vos propres serveurs) | Cloud suisse à configurer soi-même | Espace de travail IA suisse clé en main |
|---|---|---|---|
| Contrôle des données | Maximal | Élevé | Élevé, encadré par contrat |
| Investissement initial | Important (matériel, GPU) | Modéré | Faible |
| Compétences requises | Équipe technique dédiée | Ingénieurs cloud et IA | Aucune compétence technique particulière |
| Délai de mise en service | Plusieurs mois | Plusieurs semaines | Rapide |
| Maintenance des modèles | À votre charge | À votre charge | Assurée par le fournisseur |
| Convient à | Grandes organisations, secteur public | Équipes techniques | PME, fiduciaires, études, cabinets, RH |
L'IA sur site : le contrôle, au prix de la complexité
Faire tourner un modèle dans votre propre centre de calcul garantit que rien ne sort de vos murs. Mais il faut acheter ou louer des processeurs graphiques, maintenir les modèles à jour, sécuriser l'ensemble, gérer les droits d'accès et produire des journaux exploitables. Pour une PME de vingt personnes, le coût total de possession dépasse généralement celui d'un abonnement. Cette option se justifie surtout pour des organisations qui disposent déjà d'une infrastructure et d'une équipe sécurité.
Le cloud suisse : un compromis qui demande de l'expertise
Louer de la capacité de calcul auprès d'un opérateur suisse vous évite l'achat de matériel, mais vous laisse la construction de la couche applicative : déploiement du modèle, gestion des utilisateurs, base de connaissances, journalisation. La sécurisation de ces briques est un métier à part entière ; pour mesurer l'ampleur du sujet, vous pouvez consulter ce texte sur comment sécuriser l'IA au niveau de l'entreprise.
L'espace de travail IA clé en main
Le troisième modèle consiste à utiliser une plateforme complète, déjà hébergée et exploitée en Suisse, qui regroupe chat, analyse de documents, base de connaissances et transcription. Vous gardez la maîtrise des accès et des journaux, sans porter l'infrastructure. C'est l'approche que nous défendons chez Nectos.
Les critères pour choisir un hébergement IA souverain
Une grille de décision simple évite les mauvaises surprises. Pour chaque fournisseur, demandez une réponse écrite sur les points suivants.
- Localisation du traitement : stockage, inférence et sauvegardes exclusivement en Suisse.
- Entraînement sur vos données : exclu contractuellement, pas seulement par réglage par défaut.
- Sous-traitants : liste nominative, pays d'établissement, procédure de notification des changements.
- Journaux d'audit : qui a fait quoi, quand, avec possibilité d'exporter les logs pour un contrôle ou un litige.
- Gestion des rôles : contrôle d'accès administrateur, séparation des équipes et des dossiers.
- Documentation technique : disponible, précise, vérifiable, utilisable pour votre analyse d'impact.
- Droit applicable et for : droit suisse, tribunaux suisses.
- Certifications de l'exploitant : par exemple une norme comme l'ISO 27001, à demander avec le périmètre exact couvert.
Le cas particulier du secret professionnel
Avocats, médecins, fiduciaires et autres professions soumises au secret professionnel doivent être particulièrement exigeants. Confier un dossier à un service dont le traitement a lieu à l'étranger peut créer un risque de divulgation que la simple mention « conforme » ne dissipe pas. Dans ces métiers, nous recommandons de faire valider le choix par votre responsable de la conformité ou par votre ordre professionnel avant tout déploiement, et de limiter dans un premier temps l'usage à des cas documentés.
Notre point de vue : la souveraineté se prouve, elle ne s'affirme pas
Nous construisons Nectos à partir d'un constat : de nombreux professionnels suisses utilisent un assistant IA grand public à titre personnel, puis découvrent que le même réflexe, appliqué à des dossiers clients, soulève des questions de droit qu'ils n'avaient pas anticipées.
Notre réponse tient en quelques engagements vérifiables. Les données restent et sont traitées exclusivement en Suisse, sous droit suisse, sans export ni sous-traitance à des fournisseurs étrangers. L'infrastructure cloud est entièrement suisse et opérée par Hidora. Aucune donnée client n'est utilisée pour entraîner des modèles. Les modèles sont hébergés localement : rien n'est partagé avec les grands groupes technologiques américains. Nous visons une conformité stricte à la nLPD, et au FADP comme au GDPR, avec une documentation technique transparente et un audit complet des usages.
Nous pensons aussi que la souveraineté ne doit pas se payer en confort. Une équipe adopte un outil s'il est aussi simple que ce qu'elle utilisait déjà. C'est pourquoi nous réunissons dans un même espace le chat privé, l'analyse de documents, la base de connaissances, la transcription de réunions et une recherche web anonymisée, avec une anonymisation automatique des prompts.
Enfin, l'hébergement a un coût environnemental. Notre infrastructure fonctionne à l'énergie renouvelable, ce que nous détaillons sur notre page IA suisse écoresponsable.
— Nectos
Mettre en place un hébergement IA conforme : la marche à suivre
Que vous choisissiez une solution interne ou une plateforme externe, le cheminement reste le même.
- Cartographier les usages réels. Interrogez les équipes : quels outils IA sont déjà utilisés, avec quels types de données ? Les usages cachés sont le premier risque.
- Classer les données. Distinguez les contenus sans lien avec des personnes, les données personnelles ordinaires et les données sensibles ou couvertes par le secret.
- Évaluer le besoin d'une analyse d'impact. Si le traitement présente un risque élevé pour les personnes concernées, elle est requise.
- Choisir l'hébergement et verrouiller le contrat. Localisation, sous-traitants, absence d'entraînement, journaux, sort des données en fin de contrat.
- Informer les personnes concernées. Mettez à jour votre déclaration de protection des données et précisez quand une IA intervient.
- Encadrer l'usage interne. Une directive courte vaut mieux qu'un long règlement : ce qu'on peut saisir, ce qu'on ne saisit jamais, qui valide.
- Contrôler dans la durée. Utilisez les journaux d'audit pour vérifier que les règles sont respectées.
La sensibilisation du personnel fait partie du dispositif. Pour un panorama des bonnes pratiques d'information des utilisateurs, ce guide d'exemples d'IA dans la gestion informatique illustre comment l'IA s'insère dans les opérations d'une organisation.
Une alternative à ChatGPT hébergée en Suisse
Si vous cherchez une alternative à ChatGPT qui réponde aux exigences de la nLPD, Nectos réunit dans un seul espace de travail ce dont une équipe a besoin : chat IA privé, analyse intelligente de documents, base de connaissances privée, transcription et résumé de réunions, contrôle d'accès administrateur, gestion de rôles et export des logs. Vous pouvez découvrir le produit en détail.
Les abonnements sont facturés par siège et par mois : Starter à 29.90 CHF, Pro à 49.90 CHF et Pro+ à 99.90 CHF. Un essai est également proposé, sans prix publié. Retrouvez le contenu de chaque formule sur la page des tarifs ou démarrez depuis la page d'accueil de Nectos.
Erreurs fréquentes à éviter
Confondre stockage et traitement. Des fichiers conservés en Suisse mais envoyés à un modèle étranger pour analyse ne sont pas protégés de la même manière.
Se fier à une mention marketing. « Conforme » ou « sécurisé » n'a aucune valeur sans engagement écrit sur la localisation, les sous-traitants et l'entraînement des modèles.
Oublier les comptes personnels. Interdire un outil sans offrir d'alternative pousse les équipes vers des comptes privés, hors de tout contrôle. Une solution approuvée et agréable à utiliser est la meilleure prévention.
Négliger l'information des personnes. La transparence est une obligation, pas une option. Documentez les cas où une IA traite des données de clients ou de collaborateurs.
Croire que l'anonymisation règle tout. Comme le rappelle le PFPDT, des données pseudonymisées peuvent redevenir identifiables. Réduisez d'abord ce que vous saisissez.
FAQ
Un hébergement en Suisse suffit-il pour être conforme à la nLPD ?
Non. L'hébergement suisse réduit le risque lié aux transferts à l'étranger, mais vous restez responsable du traitement. Il faut encore informer les personnes concernées, encadrer le prestataire par contrat et, si le risque est élevé, réaliser une analyse d'impact.
Quelle différence entre une IA sur site et une IA hébergée en Suisse ?
L'IA sur site fonctionne sur vos propres serveurs, avec un contrôle maximal mais une charge technique importante. L'IA hébergée en Suisse tourne chez un exploitant suisse : vous déléguez l'infrastructure, tout en gardant la maîtrise contractuelle des données. Pour la plupart des PME, la seconde option est plus réaliste.
Mes prompts peuvent-ils servir à entraîner le modèle ?
Cela dépend du fournisseur, et c'est un piège fréquent avec les services grand public. Exigez une clause écrite excluant l'entraînement sur vos données. Chez Nectos, aucune donnée client n'est utilisée pour entraîner des modèles.
Faut-il informer mes clients que j'utilise une IA ?
Les personnes concernées ont un droit à la transparence : elles doivent pouvoir savoir si elles communiquent avec une IA et si leurs saisies sont réutilisées. Pour les cas sensibles, en finance ou en santé, faites valider votre formulation par votre service juridique.
Sources
- PFPDT : Update, la loi actuelle sur la protection des données est directement applicable à l'IA
- PFPDT : Journée de la protection des données 2026
- PFPDT : Traitement de données dans un nuage informatique
- PFPDT : Communication de données à l'étranger
- PFPDT : Guide pour l'examen de la communication transfrontière de données
- PFPDT : Recours à l'intelligence artificielle au quotidien
- Sécuriser l'IA au niveau de l'entreprise
- L'IA dans la gestion informatique