Visiter le site →
← Retour au blog

IA et banque en Suisse : le cadre de conformité à connaître

2 novembre 2026
IA et banque en Suisse : le cadre de conformité à connaître

Il n'existe pas de loi suisse dédiée à l'intelligence artificielle, mais une banque qui déploie un outil d'IA reste soumise à un ensemble d'obligations déjà en vigueur : protection des données (nLPD), secret bancaire, circulaires de la FINMA et règles de la branche. La conformité ne dépend donc pas d'un label "IA", mais de la manière dont l'outil traite les données, où il les traite, et de ce que l'établissement peut démontrer en cas de contrôle. Cet article fait le point pour les responsables conformité, juristes, DSI et dirigeants d'établissements financiers suisses, et explique pourquoi le choix d'une alternative à ChatGPT hébergée en Suisse est devenu une question de gouvernance, pas de confort.

Nectos
Gardez vos données bancaires en Suisse
Nectos héberge ses modèles d’IA sur des serveurs suisses et propose un espace de travail conforme à la nLPD.
Découvrir Nectos

En bref

  • La Suisse n'a pas de réglementation générale spécifique à l'IA : les banques appliquent le droit existant (nLPD, secret bancaire, circulaires FINMA).
  • La FINMA structure sa surveillance autour de sept thèmes : gouvernance, inventaire et risques, qualité des données, tests, documentation, explicabilité et vérification indépendante.
  • Envoyer des données clients vers un service d'IA situé à l'étranger exige des garanties contractuelles et des mesures adéquates, ce qu'un hébergement exclusivement suisse simplifie.
  • Avant le déploiement, il faut un inventaire, des rôles clairs, des accès maîtrisés et des journaux d'audit exploitables.

Table des matières

Pas de loi suisse sur l'IA, mais un cadre déjà dense

L'analyse 2024 de la ZHAW sur l'usage de l'IA dans les banques suisses conclut qu'il n'existe pas encore de réglementation générale propre à l'IA en Suisse. Les banques doivent néanmoins respecter le droit de la protection des données, le secret bancaire, les circulaires de la FINMA et les règles pertinentes de la branche.

Cette absence ne crée donc pas un vide, elle déplace la responsabilité. C'est à l'établissement de démontrer qu'un outil d'IA respecte des principes qui existent déjà. Le Secrétariat d'État aux questions financières internationales (SIF) décrit d'ailleurs une approche mesurée : la Suisse favorise les innovations dans le secteur financier tout en veillant à identifier et combattre les risques, afin de protéger la réputation de la place financière.

Pour un professionnel, cela signifie une chose concrète : "l'outil est populaire" ou "nos collaborateurs l'utilisent déjà" ne constitue pas une base de conformité. Une question simple doit pouvoir recevoir une réponse documentée : quelles données entrent dans l'outil, où sont-elles traitées, qui y a accès, et qu'en reste-t-il ?

Pas de loi suisse sur l'IA, mais un cadre déjà dense

Ce que la FINMA attend en matière de gouvernance de l'IA

Selon l'analyse publiée par le Centre de droit bancaire et financier (CDBF), la surveillance de la FINMA s'articule autour de sept thématiques clés :

  1. la gouvernance ;
  2. l'inventaire et la classification des risques ;
  3. la qualité des données ;
  4. les tests et la surveillance constante ;
  5. la documentation ;
  6. l'explicabilité ;
  7. la vérification indépendante.

Ces sept points forment une grille de lecture utile, même pour un établissement qui n'en est qu'à ses premiers essais. Un outil d'IA qu'on ne peut pas inventorier, dont on ne peut pas documenter l'usage ni retracer les requêtes, échoue d'emblée sur plusieurs de ces critères.

Gouvernance et inventaire : savoir ce qui est utilisé

Le premier réflexe consiste à recenser les usages réels, y compris ceux qui n'ont pas été validés : un collaborateur qui colle un extrait de dossier client dans un assistant grand public est un cas de figure à traiter, pas une hypothèse d'école. L'inventaire sert ensuite à classer les usages par niveau de risque : résumé d'un document public, analyse d'un contrat, traitement de données clients identifiables.

Documentation, explicabilité et vérification indépendante

Les trois derniers thèmes touchent à la preuve. Il faut pouvoir documenter le fonctionnement et les limites de l'outil, expliquer comment un résultat a été obtenu et permettre à une fonction indépendante de le vérifier. Des journaux d'audit complets et exportables ne remplacent pas ce travail, mais ils en sont la matière première.

Quatre domaines de risque récurrents pour les banques

La ZHAW identifie quatre domaines de risque qui reviennent dans les banques suisses : sécurité et robustesse, qualité des données, rôles, responsabilités et compétences, ainsi qu'explicabilité et transparence. Elle recommande de structurer la gouvernance autour de quatre champs : résilience et sécurité des données, gestion des données, gouvernance, et principes d'IA ou code de conduite.

Le tableau ci-dessous relie ces domaines à des questions pratiques à poser avant tout déploiement.

Domaine de risqueQuestion à poser
Sécurité et robustesseOù les données sont-elles traitées et qui peut y accéder ?
Qualité des donnéesQuelles sources alimentent l'outil, et sont-elles à jour ?
Rôles et responsabilitésQui valide un usage, qui répond d'un résultat erroné ?
Explicabilité et transparencePeut-on retracer une réponse jusqu'à ses sources ?

nLPD et secret bancaire : ce qui s'applique à l'IA

La loi fédérale sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023, s'applique directement aux traitements de données soutenus par l'IA, comme le rappelle le Préposé fédéral à la protection des données et à la transparence (PFPDT). Un outil d'IA n'est donc pas un cas à part : toute donnée personnelle qui y entre est traitée au sens de la loi.

Le secret bancaire s'ajoute à cette couche. Il ne disparaît pas parce que la donnée est confiée à un prestataire technologique : l'établissement reste responsable de ce qui sort de son périmètre. C'est précisément ce qui rend risqué l'usage d'un assistant d'IA grand public pour des informations sur des clients, même "anonymisées à la main" à la hâte.

Dans la pratique, trois réflexes s'imposent :

  • Minimiser : ne soumettre à l'outil que les données nécessaires à la tâche.
  • Maîtriser le périmètre : savoir précisément qui traite les données et dans quel pays.
  • Tracer : conserver la trace de qui a posé quelle question, avec quels documents.

La souveraineté suisse comme garantie légale plutôt que comme argument commercial repose sur ces mêmes principes : droit suisse applicable, données traitées en Suisse, absence de sous-traitance à des fournisseurs étrangers.

Données bancaires et services d'IA à l'étranger

Lorsqu'un outil d'IA est hébergé hors de Suisse, chaque requête peut devenir un transfert transfrontalier. Pour communiquer des données personnelles à l'étranger au moyen de clauses types, le responsable du traitement ou le sous-traitant doit prendre des mesures adéquates pour s'assurer que le destinataire les respecte, et le PFPDT publie la liste des clauses types approuvées, établies ou reconnues.

Autrement dit, le transfert est possible, mais il suppose un travail juridique et un suivi continu. Pour une banque, ce travail s'ajoute à la question de l'accès potentiel de juridictions étrangères aux données hébergées par des fournisseurs soumis à leur droit, un point souvent évoqué sous le nom de CLOUD Act. Un traitement entièrement réalisé en Suisse, sous droit suisse, réduit mécaniquement le nombre de contrats à négocier et de risques à documenter.

Suisse et règlement européen sur l'IA : quelles différences ?

Le règlement européen sur l'IA impose des règles propres aux systèmes d'IA. La Suisse, elle, applique ses principes réglementaires existants du secteur financier aux outils d'IA, même si le règlement européen peut servir d'inspiration, notamment pour définir l'IA et classifier les risques.

Pour un établissement actif des deux côtés de la frontière, ou qui traite des données de résidents européens, il est raisonnable de construire dès maintenant un inventaire et une classification des risques inspirés de cette logique. Ce travail sert aussi bien l'attente de la FINMA que les exigences européennes.

Les risques propres à l'IA générative

La Swiss Bankers Association (SBA) souligne que l'IA générative peut produire des hallucinations, c'est-à-dire des réponses plausibles mais fausses, et parfois des sources inventées, ce qui menace l'exactitude, la traçabilité et la confiance. Elle relève aussi des risques de confidentialité et de sécurité : prompt injection, jailbreaks, fuites d'informations, vol de modèles, empoisonnement des données et vulnérabilités de la chaîne d'approvisionnement.

Ces risques appellent des réponses différentes :

  • Exactitude : toute sortie utilisée dans un processus de conformité ou de conseil doit être relue par un humain qui en porte la responsabilité. Un outil qui cite ses sources, comme une base de connaissances privée interrogée sur vos propres documents, facilite cette vérification.
  • Confidentialité : le périmètre d'accès doit suivre les droits existants. La SBA estime qu'une gouvernance robuste des données, une gestion stricte des identités et des accès, une responsabilité clairement attribuée et une surveillance continue sont nécessaires, car l'IA peut révéler des informations confidentielles par des requêtes ou des configurations inappropriées.
  • Sécurité : l'hébergement, le contrôle des accès et les journaux font partie de la défense, pas d'un simple confort d'administration.

Contrôles à mettre en place avant et après le déploiement

Une démarche réaliste tient en six étapes.

  1. Inventorier les usages existants et prévus, y compris informels.
  2. Classer les cas d'usage selon la sensibilité des données et l'impact d'une erreur.
  3. Choisir le lieu de traitement : pour les données clients, privilégier un traitement exclusivement suisse.
  4. Définir les rôles : qui administre, qui utilise, qui valide, qui contrôle. Un registre des risques projet aide à consigner chaque risque identifié, son responsable et sa mesure de maîtrise tout au long du projet.
  5. Tester avant la mise en production : cas réels, erreurs attendues, scénarios d'abus.
  6. Surveiller après le lancement : revue des journaux, contrôle des accès, mise à jour de la documentation.

La dernière étape est souvent la plus négligée. Un outil validé une fois puis laissé sans suivi ne satisfait ni l'attente de surveillance constante ni celle de vérification indépendante.

Choisir une alternative à ChatGPT adaptée à une banque

De nombreux collaborateurs utilisent déjà un assistant grand public à titre personnel. Pour un établissement financier, l'enjeu n'est pas d'interdire, mais de proposer une alternative à ChatGPT qui réponde aux exigences du métier. Voici les critères à examiner, quel que soit le fournisseur :

  • Lieu de traitement et d'hébergement : exclusivement en Suisse, et pas seulement le stockage.
  • Droit applicable : droit suisse, sans sous-traitance à des fournisseurs étrangers.
  • Utilisation des données : aucune réutilisation des données clients pour entraîner des modèles.
  • Contrôle administrateur : gestion des rôles, des accès, des périmètres de documents.
  • Traçabilité : journaux d'audit complets, exportables pour les besoins de conformité.
  • Protection des prompts : possibilité d'anonymisation automatique avant traitement.
  • Documentation : fiches techniques transparentes, utilisables dans votre dossier de conformité.

Un outil qui coche tous ces points ne dispense pas l'établissement de sa propre analyse, mais il rend cette analyse réalisable.

Notre point de vue

Nous constatons que les établissements financiers suisses ne manquent pas d'intérêt pour l'IA : ils manquent d'un outil qu'ils peuvent défendre devant leur conseil, leur réviseur et l'autorité de surveillance.

C'est pourquoi nous avons conçu Nectos comme un espace de travail IA souverain : les données sont traitées et conservées exclusivement en Suisse, sur une infrastructure cloud suisse (Hidora), sous droit suisse, sans export ni sous-traitance à des fournisseurs étrangers. Nous n'entraînons aucun modèle sur les données de nos clients.

Nous pensons que la conformité se prouve. C'est la raison pour laquelle la plateforme intègre un contrôle d'accès administrateur, une gestion de rôles, des journaux d'audit complets exportables et une anonymisation automatique des prompts. Chez nous, la souveraineté n'est pas un slogan : c'est une architecture, pensée pour la nLPD et les exigences des professions réglementées.

Nectos

Passer de l'analyse à l'usage avec Nectos

Nectos est un espace de travail IA suisse, pensé comme alternative à ChatGPT pour les professionnels et les organisations qui ne peuvent pas envoyer de données sensibles à l'étranger : chat IA privé, analyse de documents, base de connaissances privée, transcription et résumé de réunions, recherche web anonymisée.

Nectos

Les abonnements se facturent par siège et par mois : Starter à 29.90 CHF, Pro à 49.90 CHF et Pro+ à 99.90 CHF. Une offre d'essai est également proposée, sans prix publié. Consultez les offres et tarifs Nectos pour comparer les niveaux et choisir celui qui correspond à votre équipe.

FAQ

Existe-t-il une loi suisse spécifique à l'IA pour les banques ?

Pas de réglementation générale propre à l'IA à ce jour, selon l'analyse 2024 de la ZHAW. Les banques appliquent le droit existant : protection des données, secret bancaire, circulaires de la FINMA et règles de la branche. La charge de démontrer la conformité de l'outil leur revient.

La nLPD s'applique-t-elle aux outils d'IA ?

Oui. La loi, en vigueur depuis le 1er septembre 2023, s'applique directement aux traitements de données soutenus par l'IA, selon le PFPDT. Toute donnée personnelle saisie dans un assistant d'IA constitue un traitement soumis à la loi, avec les obligations qui en découlent.

Une banque peut-elle utiliser un service d'IA hébergé à l'étranger ?

C'est possible sous conditions. Pour une communication de données à l'étranger par clauses types, l'établissement doit prendre des mesures adéquates pour s'assurer que le destinataire les respecte. Un traitement exclusivement suisse évite une partie de cette complexité contractuelle.

Que doit contenir une documentation de conformité pour un outil d'IA ?

Elle doit couvrir les thèmes que la FINMA surveille : gouvernance, inventaire des risques, qualité des données, tests, explicabilité et vérification indépendante. Les journaux d'audit, la liste des rôles et la description du lieu de traitement en sont les pièces de base.

Comment limiter les erreurs de l'IA générative dans un processus de conformité ?

Prévoyez une relecture humaine systématique, des sources vérifiables et des tests avant la mise en production. La SBA rappelle que les hallucinations menacent l'exactitude et la traçabilité : un résultat non vérifié ne doit jamais fonder seul une décision.

Sources