Migrer de Copilot vers une IA suisse consiste à remplacer un assistant dont les traitements relèvent d'un fournisseur étranger par une alternative à ChatGPT et à Copilot hébergée, exploitée et juridiquement rattachée à la Suisse. Pour une fiduciaire, une étude, un cabinet médical ou un service RH, l'enjeu est concret: savoir où vont les données, qui peut y accéder, et pouvoir le démontrer devant le PFPDT, un mandant ou un client. Ce guide détaille les critères juridiques, un plan de migration réaliste et les erreurs que nous voyons le plus souvent.
TL;DR
- La loi sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023, s'applique directement à l'IA: la responsabilité reste celle de l'entreprise utilisatrice, pas celle de l'éditeur.
- Un serveur en Suisse ne suffit pas: si le fournisseur est une société étrangère, le CLOUD Act peut rester un point d'exposition.
- Une migration réussie se prépare en six étapes: inventaire des usages, classification des données, analyse d'impact, choix du fournisseur, projet pilote, déploiement et formation.
- Minimisez les données saisies, même dans un outil souverain: l'anonymisation n'est jamais une garantie absolue.
Table des matières
- Pourquoi tant de PME suisses réexaminent leur usage de Copilot
- Héberger en Suisse ne suffit pas: la question de la juridiction
- Migrer en six étapes
- Ce que vous retrouvez, et ce qui change
- Prompts, anonymisation et minimisation
- Le cadre réglementaire évolue: anticipez
- Notre point de vue chez Nectos
- Essayer une alternative suisse sans bouleverser vos équipes
- Les pièges à éviter
- FAQ
- Sources
Pourquoi tant de PME suisses réexaminent leur usage de Copilot
Copilot s'est imposé dans de nombreuses PME par la voie la plus simple: il est intégré à des outils de bureautique déjà en place. L'adoption s'est faite par les usages, souvent avant toute réflexion de conformité. Les premières questions arrivent ensuite, généralement quand un client, un mandant ou un auditeur demande où transitent les documents.
Ces questions sont légitimes, car le cadre juridique est clair. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) rappelle que la loi sur la protection des données en vigueur depuis le 1er septembre 2023 est directement applicable à l'IA. La loi est neutre sur le plan technologique: utiliser un outil d'IA, c'est effectuer un traitement de données. Si des données personnelles sont concernées, la nLPD s'applique, quel que soit le pays où le logiciel a été développé.
Pour un dirigeant, cela signifie une chose: vous ne pouvez pas déléguer la conformité à l'éditeur. C'est à l'organisation qui utilise l'outil de pouvoir justifier ses choix.
Les professions soumises au secret
Les avocats, les médecins, les fiduciaires et certains établissements financiers sont tenus au secret professionnel. Pour eux, la question n'est pas seulement la nLPD. Un contrat-type, un dossier patient ou un extrait de comptabilité saisi dans un assistant est une information qui voyage vers des serveurs, parfois hors de Suisse, et dont le traitement doit pouvoir être expliqué. Dans ces métiers, «nous n'avons pas vérifié» n'est pas une réponse acceptable.
Héberger en Suisse ne suffit pas: la question de la juridiction
C'est le point le plus souvent mal compris. Beaucoup de fournisseurs affichent une «région suisse». Or, selon l'analyse reprise par swiss made software dans son comparatif des alternatives suisses à Copilot, il faut regarder l'endroit où les données sont hébergées, mais aussi qui exploite le service. Un fournisseur de droit étranger reste soumis à sa législation d'origine, y compris le CLOUD Act américain, même lorsque ses serveurs sont physiquement en Suisse.
Pour distinguer une vraie souveraineté d'un simple choix de région, quatre questions suffisent:
- Siège: la société qui vous facture est-elle de droit suisse?
- Exploitation: l'infrastructure est-elle opérée par une entité suisse, sans sous-traitance à des fournisseurs étrangers?
- Modèles: les modèles d'IA tournent-ils sur cette infrastructure, ou les requêtes sont-elles renvoyées vers une API tierce?
- Entraînement: vos prompts et vos documents sont-ils exclus de l'entraînement des modèles?
Le PFPDT insiste sur ce dernier point: la transparence sur le sort des prompts est la condition pour savoir si des données professionnelles alimentent des modèles de tiers.
Et les transferts transfrontaliers?
Si des données personnelles quittent la Suisse, la loi impose des conditions qui dépendent du pays de destination. Le PFPDT les détaille sur sa page consacrée à la communication de données à l'étranger. Avec une solution exploitée exclusivement en Suisse, la question disparaît en grande partie. Avec un service étranger, elle devient un chantier de documentation à part entière: clauses contractuelles, évaluation du pays tiers, information des personnes concernées.
Migrer en six étapes
Une migration n'est pas un changement de logo. Voici l'ordre que nous recommandons à une PME de 10 à 200 collaborateurs.
1. Inventorier les usages réels
Demandez à chaque équipe ce qu'elle fait réellement avec l'assistant actuel: rédaction d'e-mails, résumés de réunions, analyse de contrats, recherche documentaire, tableaux. N'oubliez pas l'usage individuel: des collaborateurs utilisent parfois un compte personnel d'un assistant grand public pour contourner les limites de l'outil officiel. Ce «shadow AI» est souvent le risque le plus important, parce qu'il échappe à tout contrôle.
2. Classer les données concernées
Trois niveaux suffisent pour démarrer:
- Public ou non sensible: textes marketing, documentation générale.
- Personnel: noms, coordonnées, données RH, correspondance client.
- Particulièrement sensible ou soumis au secret: santé, données financières détaillées, dossiers juridiques, procédures.
Cette classification détermine ce qui peut être saisi dans quel outil. Elle sert aussi de base à l'analyse d'impact.
3. Évaluer le risque et, si besoin, réaliser une AIPD
Le PFPDT rappelle que, pour les traitements à risque élevé, la nLPD prévoit une analyse d'impact relative à la protection des données (AIPD), aux articles 22 et 23. C'est typiquement le cas lorsque des données sensibles sont traitées à grande échelle par un système d'IA. Documentez la finalité, les risques, les mesures prises et la décision finale. Cette pièce vous protège le jour où un client pose la question.
4. Choisir le fournisseur selon des critères vérifiables
Exigez des réponses écrites, pas des slogans:
| Critère | Ce qu'il faut obtenir |
|---|---|
| Juridiction | Société de droit suisse, exploitation en Suisse |
| Hébergement | Infrastructure suisse, sans sous-traitant étranger |
| Entraînement | Aucune utilisation des données clients pour entraîner des modèles |
| Traçabilité | Journaux d'audit complets, exportables |
| Gouvernance | Rôles, droits d'accès, contrôle administrateur |
| Documentation | Description technique accessible, conditions contractuelles claires |
5. Lancer un pilote de quatre à six semaines
Choisissez une équipe, deux ou trois cas d'usage et des indicateurs simples: temps gagné, qualité perçue, taux d'adoption. Comparez avec l'outil actuel sur des tâches identiques. Un pilote honnête montre aussi ce qui manque; mieux vaut le savoir avant le déploiement.
6. Déployer, former, désactiver l'ancien outil
La dernière étape est la plus souvent oubliée: retirer les licences et les accès de l'ancien outil, exporter ce qui doit être conservé, et vérifier les durées de conservation des données déjà stockées chez l'ancien fournisseur. Sans cela, vous cumulez deux risques au lieu d'un.
Ce que vous retrouvez, et ce qui change
Le passage à une IA suisse ne signifie pas renoncer à la productivité. Les usages courants ont un équivalent direct:
| Usage actuel | Dans un espace IA suisse |
|---|---|
| Chat pour rédiger et reformuler | Chat IA privé, sans entraînement sur vos données |
| Résumé de documents | Analyse de documents dans un espace protégé |
| Retrouver une information interne | Base de connaissances privée de l'entreprise |
| Notes de réunion | Transcription et résumé de réunions |
| Recherche sur le web | Recherche web anonymisée |
Ce qui change surtout, c'est l'intégration. Un assistant intégré à une suite bureautique agit directement dans vos fichiers; un espace de travail indépendant demande de passer par son interface ou d'y importer les documents. Pour beaucoup d'équipes, ce geste supplémentaire est un avantage: il rend visible ce qui est transmis à l'IA, donc plus facile à contrôler.
Prompts, anonymisation et minimisation
Une erreur fréquente consiste à croire qu'un texte pseudonymisé peut être saisi sans précaution. Le PFPDT met en garde: les systèmes d'IA savent recouper des informations, et des éléments en apparence anodins peuvent permettre de réidentifier une personne. Même dans un outil souverain, appliquez le principe de minimisation: ne fournissez que ce qui est strictement nécessaire à la tâche.
Concrètement:
- remplacez les noms et les numéros d'identification par des codes lorsque la tâche ne les exige pas;
- séparez les documents: un contrat n'a pas besoin d'être joint avec l'intégralité du dossier client;
- rédigez une charte courte d'usage de l'IA, affichée et signée;
- conservez les journaux d'audit pour pouvoir reconstituer qui a fait quoi.
La rédaction des prompts mérite aussi une méthode. Pour les métiers de la finance, ce billet sur la rédaction assistée par IA pour les cabinets de gestion de patrimoine rappelle l'importance de savoir comment les prompts sont conservés et s'ils servent à entraîner des modèles tiers. Le contexte est français, mais la logique de transparence vaut aussi en Suisse.
Le cadre réglementaire évolue: anticipez
Le Conseil fédéral a décidé de ratifier la Convention du Conseil de l'Europe sur l'intelligence artificielle et d'adapter le droit national en conséquence. Des mesures complémentaires, notamment sur la transparence et la non-discrimination, sont attendues. Il ne s'agit pas d'attendre ces textes pour agir: la nLPD s'applique déjà. Mais choisir dès aujourd'hui un fournisseur qui documente ses traitements et fournit des journaux d'audit réduit le coût d'une adaptation future.
Notre point de vue chez Nectos
Nous voyons la même scène dans beaucoup d'entreprises: l'outil d'IA a été adopté parce qu'il était disponible, et la conformité est examinée après coup. Notre conviction est qu'il faut inverser l'ordre. La souveraineté n'est pas un argument commercial, c'est une condition juridique: des données traitées exclusivement en Suisse, sous droit suisse, sans export ni sous-traitance à des fournisseurs étrangers, et sans entraînement sur les données des clients.
C'est pourquoi nous avons conçu Nectos comme une alternative à ChatGPT et à Copilot pour les professionnels suisses, sur une infrastructure cloud suisse (Hidora), avec anonymisation automatique des prompts en option, journaux d'audit complets, gestion des rôles et exportation des logs. Nous détaillons notre approche sur la page souveraineté suisse et notre dispositif sur la page sécurité.
Nous disons aussi ce qu'aucun outil ne remplace: votre analyse de risque, votre charte interne et votre vigilance sur les données saisies. Une IA souveraine réduit l'exposition juridique; elle ne dispense pas de réfléchir à ce que l'on lui confie.
— Nectos
Essayer une alternative suisse sans bouleverser vos équipes
Si vous voulez tester un espace IA suisse avant de décider, Nectos propose une période d'essai et des abonnements par siège: Starter à 29,90 CHF par mois et par siège, Pro à 49,90 CHF par mois et par siège, Pro+ à 99,90 CHF par mois et par siège. Le détail des niveaux est sur la page des tarifs. Pour comparer point par point avec un assistant grand public, consultez Nectos face à ChatGPT, et pour voir les fonctions (analyse de documents, base de connaissances, transcription), la page produit. Vous pouvez aussi démarrer depuis la page d'accueil.
Les pièges à éviter
- Confondre région et juridiction. «Données en Suisse» n'est pas «droit suisse exclusif».
- Migrer sans classification. Sans savoir quelles données sont en jeu, vous ne pouvez ni choisir ni justifier.
- Oublier l'ancien outil. Licences actives, historiques conservés et comptes personnels restent des fuites potentielles.
- Négliger la formation. Une heure de sensibilisation par équipe évite la majorité des saisies imprudentes.
- Promettre le risque zéro. Aucun outil ne l'offre; visez un risque documenté et maîtrisé.
L'impact environnemental du numérique entre aussi de plus en plus dans les appels d'offres. Si ce critère compte pour vous, nous exposons notre démarche sur la page écoresponsabilité.
FAQ
Quelle IA utiliser en Suisse quand on manipule des données sensibles?
Privilégiez un service de droit suisse, exploité et hébergé en Suisse, qui n'entraîne pas ses modèles sur vos données et fournit des journaux d'audit. Classez d'abord vos données: ce qui relève du secret professionnel ou de la santé exige le niveau de garantie le plus élevé. En cas de doute, consultez votre conseiller en protection des données ou un avocat spécialisé.
Existe-t-il un ChatGPT suisse?
Oui, des espaces de travail IA suisses jouent ce rôle, dont Nectos, qui est une alternative à ChatGPT hébergée et exploitée en Suisse. L'interface conversationnelle est familière, mais le traitement reste sous droit suisse et sans partage avec des géants technologiques étrangers. Les fonctions diffèrent selon les offres, comparez-les sur vos cas d'usage réels.
La nLPD interdit-elle d'utiliser une IA hébergée à l'étranger?
Non, elle l'encadre. La communication de données personnelles à l'étranger n'est possible que sous certaines conditions qui dépendent du pays de destination, comme l'explique le PFPDT. L'entreprise doit pouvoir démontrer qu'elle les remplit, ce qui alourdit la charge de preuve.
Combien de temps dure une migration?
Pour une PME, comptez en général un à deux mois entre l'inventaire et le déploiement, pilote compris. C'est une estimation d'expérience, variable selon la taille et la sensibilité des données. La partie la plus longue est rarement technique: c'est la classification des données et l'adhésion des équipes.
Faut-il réaliser une analyse d'impact avant de migrer?
Si le traitement présente un risque élevé pour les personnes concernées, la nLPD prévoit une AIPD, selon le PFPDT. C'est souvent le cas avec des données de santé, financières ou RH. Faites-la avant le déploiement et gardez-la à jour.
Sources
- PFPDT: la loi actuelle sur la protection des données est directement applicable à l'IA
- PFPDT: IA et protection des données
- PFPDT: communication de données à l'étranger
- Conseil fédéral: ratification de la Convention du Conseil de l'Europe sur l'IA
- swiss made software: alternatives suisses à Microsoft Copilot