La meilleure façon d'utiliser un outil d'IA sans que vos données personnelles soient partagées est de choisir une plateforme hébergée en Suisse, assortie d'une clause contractuelle interdisant explicitement la réutilisation de vos entrées pour l'entraînement des modèles, et dotée de journaux d'audit accessibles. Le PFPDT confirme que la loi fédérale sur la protection des données (LPD), en vigueur depuis le 1er septembre 2023, s'applique directement à tout traitement reposant sur l'IA en Suisse. Pour les traitements à risque élevé, une analyse d'impact relative à la protection des données (AIPD) est obligatoire.
Verdict immédiat : pour les professionnels suisses, Nectos constitue l'option souveraine opérationnelle — hébergement exclusivement en Suisse, conformité nLPD, interdiction contractuelle de réutilisation des données, journaux d'audit exportables.
Trois repères à garder en tête :
- nLPD/LPD : le cadre légal suisse applicable à tout traitement IA dès qu'une donnée personnelle est impliquée.
- PFPDT : l'autorité de contrôle compétente pour recevoir vos plaintes et émettre des recommandations.
- AIPD : l'analyse d'impact à réaliser avant tout déploiement IA présentant un risque élevé pour les droits des personnes.
Points clés
Utiliser l'IA sans partager ses données personnelles repose sur trois piliers indissociables : choisir un hébergement souverain en Suisse, exiger un DPA avec interdiction de réutilisation, et anonymiser systématiquement les données sensibles avant tout envoi.
| Point | Détails |
|---|---|
| Choisir une plateforme souveraine | Privilégier un hébergement en Suisse avec clause contractuelle interdisant la réutilisation des données pour l'entraînement. |
| Vérifier le DPA avant signature | Exiger une clause explicite sur la résidence des données, la durée de conservation et le droit d'audit. |
| Anonymiser avant d'envoyer | Remplacer noms, numéros d'identification et données sensibles par des variables neutres dans chaque prompt. |
| Réaliser une AIPD si nécessaire | Tout traitement IA à risque élevé, notamment le profilage à grande échelle ou le traitement massif de données sensibles, déclenche l'obligation d'AIPD selon l'art. 22 LPD. |
| Nectos comme option opérationnelle | Nectos offre hébergement suisse, anonymisation automatique, journaux d'audit exportables et conformité nLPD pour les professionnels suisses. |
Table des matières
- Quelle checklist appliquer immédiatement pour limiter le partage de vos données ?
- Comment vérifier qu'un outil d'IA ne réutilise pas vos données ?
- Comment empêcher la réutilisation de vos données par un service d'IA ?
- Quelles données ne jamais envoyer à un outil d'IA ?
- Quelles garanties techniques et contractuelles exiger d'un fournisseur d'IA ?
- Que demande la loi suisse (LPD / nLPD) pour l'usage de l'IA ?
- Pourquoi une IA souveraine est-elle plus sûre pour les professionnels suisses ?
- La confidentialité comme avantage concurrentiel pour les PME suisses
- Nectos : l'espace de travail IA dont vos données ne quittent jamais la Suisse
- Sources
- Questions fréquentes
Quelle checklist appliquer immédiatement pour limiter le partage de vos données ?
Avant même de choisir un nouvel outil, plusieurs actions concrètes permettent de réduire l'exposition de vos données en moins de cinq minutes.
Actions immédiates dans votre compte :
- Désactivez l'option « améliorer le service » ou « contribuer à l'entraînement du modèle » dans les paramètres de confidentialité de tout service IA que vous utilisez déjà.
- Supprimez l'historique de vos conversations si le service le permet, et configurez la suppression automatique.
- Vérifiez que votre compte n'est pas associé à un profil publicitaire ou à un partage de données avec des tiers.
Actions administratives à réaliser cette semaine :
- Consultez la politique de confidentialité du fournisseur et repérez la clause relative à la réutilisation des données pour l'entraînement des modèles. Si elle est absente ou ambiguë, c'est un signal d'alerte.
- Exigez un accord de traitement des données (Data Processing Agreement, DPA) signé, précisant la résidence des données, la durée de conservation et l'interdiction de réutilisation.
- Vérifiez que les serveurs sont physiquement localisés en Suisse ou, à défaut, dans un pays offrant un niveau de protection équivalent reconnu par le PFPDT.
Avant chaque prompt sensible :
- Remplacez les noms propres, numéros de dossier et identifiants par des codes neutres (« Client A », « Dossier 001 »).
- Évitez de coller des extraits de contrats, de rapports médicaux ou de données financières sans les avoir préalablement anonymisés.
Conseil de pro : Créez un modèle de prompt interne à votre organisation qui remplace automatiquement les champs sensibles par des variables génériques avant tout envoi à un service IA. Un simple tableau de substitution dans un document partagé suffit pour standardiser cette pratique dans une équipe.
Comment vérifier qu'un outil d'IA ne réutilise pas vos données ?
Les déclarations de confidentialité ne valent que ce que les preuves contractuelles et techniques les soutenant. Voici une méthode en deux temps pour évaluer sérieusement les affirmations d'un fournisseur.
Documents à demander et clauses à vérifier
- Demandez le DPA complet et vérifiez qu'il contient une clause explicite interdisant la réutilisation des données saisies pour l'entraînement, l'amélioration ou la mise au point des modèles.
- Vérifiez la résidence des données : le contrat doit préciser le pays d'hébergement. Pour la Suisse, l'hébergement local évite les risques liés au CLOUD Act américain et aux transferts transfrontaliers soumis à des garanties supplémentaires.
- Contrôlez la durée de conservation : les données doivent être supprimées ou anonymisées dans un délai défini après la fin du traitement, avec une procédure documentée.
- Vérifiez les clauses de sous-traitance : un fournisseur peut déléguer le traitement à un tiers. Exigez la liste des sous-traitants et les garanties contractuelles qui leur sont imposées.
- Demandez les certifications : ISO 27001, SOC 2 Type II ou équivalent suisse. Ces certifications attestent d'un cadre de sécurité audité par un tiers indépendant.
Contrôles techniques à effectuer
- Chiffrement au repos et en transit : vérifiez que les données sont chiffrées selon des standards reconnus (AES-256 au repos, TLS 1.2 ou supérieur en transit).
- Accès aux journaux d'audit : vous devez pouvoir consulter qui a accédé à quoi et quand. Un fournisseur qui refuse l'accès aux logs ne peut pas prouver la conformité.
- Séparation des environnements : vos données ne doivent pas être mélangées avec celles d'autres clients dans un environnement mutualisé non segmenté.
- Pseudonymisation automatique : certaines plateformes appliquent une anonymisation des prompts avant traitement. C'est une garantie supplémentaire à valoriser.
Questions à poser directement au fournisseur :
- Vos données sont-elles utilisées pour entraîner ou affiner des modèles ? Si oui, sous quelle base légale ?
- Où sont physiquement localisés les serveurs de traitement et de stockage ?
- Quel est le délai de suppression des données après résiliation du contrat ?
- Disposez-vous d'un registre des traitements accessible sur demande ?
Comment empêcher la réutilisation de vos données par un service d'IA ?
Exercer votre droit d'opposition ou demander la suppression de vos données est un droit garanti par la LPD. La procédure est plus simple qu'elle n'y paraît, à condition de la formaliser correctement.
- Localisez les réglages de confidentialité de votre compte et désactivez toute option de partage ou d'amélioration du service. Prenez une capture d'écran datée.
- Identifiez le délégué à la protection des données (DPO) du fournisseur. Cette information figure généralement dans la politique de confidentialité ou les mentions légales. En l'absence d'un DPO désigné, adressez votre demande au service juridique ou à l'adresse de contact générale.
- Rédigez une demande écrite en précisant votre identité, le type de données concernées, la base légale de votre demande (art. 32 LPD pour le droit d'accès, art. 32 al. 2 pour la rectification et la suppression) et l'action attendue (suppression, interdiction de réutilisation pour l'entraînement).
- Joignez une copie de votre pièce d'identité pour permettre l'identification, et conservez une copie de l'envoi avec accusé de réception.
- Attendez la réponse dans un délai raisonnable. La LPD ne fixe pas de délai chiffré pour les demandes privées, mais la pratique suisse courante recommande un délai d'environ 30 jours.
Modèle de demande (à adapter) :
Conseil de pro : Si le fournisseur ne répond pas ou refuse sans justification valable, saisissez le PFPDT par voie électronique. L'autorité peut ouvrir une enquête et émettre des recommandations contraignantes.
Quelles données ne jamais envoyer à un outil d'IA ?
Même un service présentant de bonnes garanties contractuelles ne justifie pas de lui transmettre certaines catégories de données. La règle de base : si la donnée peut identifier une personne physique ou révéler une information sensible, elle ne doit pas être saisie brute dans un prompt.
Catégories à ne jamais envoyer sans anonymisation préalable :
- Données d'identification directe : numéro AVS, numéro de passeport, numéro de permis de séjour, date de naissance associée à un nom.
- Données de santé : diagnostics, résultats d'analyses, numéros de dossier médical, informations sur des traitements en cours. Le secret médical en Suisse impose des obligations spécifiques aux professionnels de santé.
- Données financières : numéros de compte IBAN, relevés bancaires, informations fiscales individuelles.
- Secrets commerciaux : contrats non finalisés, offres de prix confidentielles, stratégies d'acquisition, données de R&D non publiées.
- Identifiants d'accès : mots de passe, clés API, tokens d'authentification.
- Données clients : listes de contacts avec coordonnées, historiques d'achats nominatifs, données comportementales liées à des individus identifiables.
Comment reformuler un prompt pour l'anonymiser :
Au lieu de : « Rédige un courrier pour M. Jean Dupont, né le 12.03.1978, numéro AVS 756.1234.5678.97, concernant son dossier de retraite anticipée », écrivez : « Rédige un courrier pour un assuré concernant une demande de retraite anticipée, en précisant les pièces justificatives habituellement requises. »
Un point souvent négligé : les métadonnées. Exporter un ensemble de logs de conversation ou une base de clients complète vers un service IA expose des patterns comportementaux qui permettent le profilage, même si les noms ont été supprimés. La combinaison de l'heure, du type de requête et du secteur d'activité peut suffire à réidentifier des individus.
Quelles garanties techniques et contractuelles exiger d'un fournisseur d'IA ?
Les autorités suisses recommandent la privacy by design et des mesures techniques concrètes pour tout système IA traitant des données personnelles. Voici les éléments à valider avant de signer un contrat.
Checklist technique :
- Résidence des données confirmée par contrat (pays et centre de données précis).
- Chiffrement AES-256 au repos, TLS 1.2 minimum en transit.
- Journaux d'audit accessibles et exportables par le client.
- Séparation technique des environnements entre clients (pas de mutualisation non segmentée).
- Processus d'anonymisation ou de pseudonymisation automatique des prompts avant traitement.
- Procédure documentée de suppression des données à la résiliation.
Clauses contractuelles à exiger dans le DPA :
- Interdiction explicite et sans exception de réutilisation des données saisies pour l'entraînement, l'affinage ou l'évaluation des modèles.
- Durée maximale de conservation des données, avec engagement de suppression certifiée.
- Droit d'audit contractuellement garanti, avec possibilité de mandater un tiers.
- Accord de niveau de service (SLA) précisant les délais de suppression et d'export des données.
- Liste des sous-traitants autorisés et garanties contractuelles imposées à chacun.
- Clause sur les transferts internationaux : pour tout transfert hors Suisse, exiger des garanties appropriées conformes à la LPD (contrats-types, décision d'adéquation ou règles d'entreprise contraignantes).
| Critère à valider | Ce que vous devez obtenir |
|---|---|
| Résidence des données | Contrat précisant le pays et le centre de données |
| Réutilisation pour entraînement | Clause d'interdiction explicite dans le DPA |
| Chiffrement | AES-256 au repos, TLS 1.2+ en transit |
| Auditabilité | Logs exportables accessibles au client |
| Sous-traitance | Liste des sous-traitants et garanties contractuelles |
| Transferts internationaux | Contrats-types ou décision d'adéquation documentée |
Pour négocier un DPA dans un contexte suisse, référencez explicitement la nLPD et précisez si votre traitement est susceptible de nécessiter une AIPD. Un fournisseur sérieux acceptera d'adapter les clauses en conséquence.
Que demande la loi suisse (LPD / nLPD) pour l'usage de l'IA ?
La LPD révisée pose cinq principes fondamentaux applicables à tout traitement IA dès qu'une donnée personnelle est impliquée : licéité, proportionnalité, minimisation, finalité et sécurité. Les transferts internationaux nécessitent des garanties appropriées. Le non-respect expose l'organisation à des sanctions et à la responsabilité civile.
Quand réaliser une AIPD ?
La nLPD impose une AIPD pour tout traitement IA présentant un risque élevé pour les droits et libertés des personnes. Deux cas déclenchent systématiquement cette obligation : le profilage à grande échelle et le traitement massif de données sensibles (santé, opinions politiques, données biométriques). Si l'AIPD révèle un risque résiduel élevé que les mesures prévues ne permettent pas de réduire suffisamment, le PFPDT doit être consulté avant le déploiement.
Mesures techniques et organisationnelles attendues
- Tenir un registre des activités de traitement documentant chaque système IA utilisé, les catégories de données traitées, les finalités et les destinataires.
- Mettre en place des contrôles d'accès stricts : authentification forte, gestion des droits par rôle, traçabilité des accès.
- Chiffrer les données au repos et en transit selon les standards en vigueur.
- Réaliser des évaluations de sécurité régulières, notamment après toute modification significative du système.
- Pour les traitements à haut risque, la documentation de la réglementation suisse attend une documentation technique détaillée couvrant l'architecture, les jeux de données utilisés et les processus de validation, ainsi qu'une surveillance post-déploiement.
| Obligation LPD | Article de référence | Exigence pratique |
|---|---|---|
| Minimisation des données | Art. 6 LPD | Ne collecter que les données strictement nécessaires à la finalité déclarée |
| Tenue de registre | Art. 12 LPD | Documenter chaque traitement IA dans un registre accessible |
| Sécurité technique | Art. 8 LPD | Chiffrement, contrôles d'accès, journaux d'audit |
| Information des personnes | Art. 19 LPD | Informer les personnes concernées avant le traitement |
| AIPD | Art. 22 LPD | Obligatoire pour les traitements à risque élevé |
| Transferts internationaux | Art. 16–17 LPD | Garanties contractuelles ou décision d'adéquation |
Les cabinets juridiques suisses recommandent une démarche opérationnelle intégrant registre, AIPD, clauses contractuelles et mesures techniques dès la phase de conception. Le plan coordonné européen sur l'IA fournit par ailleurs des bonnes pratiques de gouvernance et de classification des risques utilisables comme référence complémentaire.
Conseil de pro : Intégrez la privacy by design dès la phase de spécification de votre projet IA. Définir les mesures de protection en amont coûte significativement moins cher que de les ajouter après déploiement, et simplifie la démonstration de conformité lors d'un audit.
Pourquoi une IA souveraine est-elle plus sûre pour les professionnels suisses ?
Le rapport parlementaire sur la souveraineté numérique recommande des infrastructures locales et une stratégie multi-cloud hybride pour préserver la maîtrise des flux de données et réduire les risques liés aux transferts étrangers. Cette recommandation prend tout son sens pour les organisations traitant des données sensibles.
Recourir à une plateforme étrangère expose à trois risques concrets. D'abord, le risque juridictionnel : une plateforme hébergée aux États-Unis reste soumise au CLOUD Act, qui autorise les autorités américaines à accéder aux données stockées par des entreprises américaines, même sur des serveurs européens. Ensuite, le risque de traçabilité : sans journaux d'audit exportables, il est impossible de démontrer la conformité lors d'un contrôle du PFPDT. Enfin, le risque de dépendance, que l'étude de l'Université de Genève documente : la dépendance aux grandes plateformes étrangères expose les administrations et les PME à des risques techno-économiques et réglementaires difficiles à anticiper.
Une solution souveraine hébergée en Suisse répond à ces trois risques simultanément.
Cas d'usage concrets :
- Cabinet juridique : les échanges avec les clients relèvent du secret professionnel. Une plateforme souveraine garantit que les documents analysés par l'IA ne transitent pas hors du territoire suisse et que les logs sont accessibles en cas de litige.
- Service de santé : les données médicales sont des données sensibles au sens de la LPD. L'hébergement en Suisse et l'anonymisation automatique des prompts réduisent le risque de violation du secret médical.
- PME en phase de croissance : les stratégies commerciales, les données clients et les offres de prix constituent des actifs confidentiels. Un espace de travail IA privé avec knowledge base isolée protège ces informations des accès non autorisés.
- Service RH : les données de candidats et d'employés sont soumises à des obligations strictes. Une plateforme avec contrôle d'accès par rôle et journaux d'audit permet de démontrer la conformité lors d'un contrôle.
Checklist pour évaluer un fournisseur souverain :
- Hébergement physique confirmé en Suisse par contrat.
- DPA signé avec clause d'interdiction de réutilisation pour l'entraînement.
- Journaux d'audit exportables accessibles à l'administrateur.
- Anonymisation automatique des prompts avant traitement.
- Contrôle d'accès par rôle avec gestion centralisée.
Pour approfondir les obligations sectorielles, notamment en santé et en finance, le guide sur la confidentialité des données professionnelles et l'IA en Suisse détaille les exigences par secteur.
La confidentialité comme avantage concurrentiel pour les PME suisses
La conformité nLPD est souvent présentée comme une contrainte. C'est une lecture qui sous-estime ce qu'elle représente réellement pour une organisation suisse.
Les organisations qui traitent la protection des données comme une politique produit, et non comme une case à cocher, construisent un avantage que leurs concurrents moins rigoureux ne peuvent pas répliquer rapidement. Un cabinet d'avocats qui peut démontrer à ses clients que leurs dossiers ne quittent jamais le territoire suisse, qu'aucun modèle étranger ne les a traités, et que les journaux d'audit sont disponibles sur demande, dispose d'un argument commercial concret. Ce n'est pas de la rhétorique : c'est une preuve de maîtrise opérationnelle.
La souveraineté numérique, telle que définie dans le rapport parlementaire, ne se limite pas à l'hébergement local. Elle englobe les clauses contractuelles, la capacité d'audit et l'isolation technique. Une PME qui exige ces trois éléments de ses fournisseurs IA se positionne différemment vis-à-vis de ses propres clients, notamment dans les secteurs réglementés où la confiance est le premier critère de sélection.
La conformité continue, avec des AIPD intégrées dès la conception et des journaux d'audit automatiquement exportables, n'est pas un surcoût. C'est une infrastructure de confiance qui se rentabilise à chaque appel d'offres où la sécurité des données est un critère éliminatoire.
Nectos : l'espace de travail IA dont vos données ne quittent jamais la Suisse
Vos données professionnelles méritent mieux qu'une promesse marketing. Nectos est la plateforme IA souveraine conçue pour les professionnels suisses qui ne peuvent pas se permettre de douter de la résidence de leurs données.
Hébergement exclusivement sur des serveurs suisses, interdiction contractuelle de réutilisation des données pour l'entraînement des modèles, anonymisation automatique des prompts, journaux d'audit exportables, contrôle d'accès par rôle et gestion centralisée des droits : chaque fonctionnalité de Nectos répond à une exigence concrète de la nLPD. La page sécurité de Nectos détaille les garanties techniques et contractuelles disponibles. Pour les organisations ayant besoin d'un DPA personnalisé ou d'une AIPD accompagnée, l'équipe est joignable directement depuis la page produit. Démarrez votre essai ou demandez une démonstration pour vérifier par vous-même que la conformité n'est pas une option.
Sources
- Intelligence artificielle et protection des données en entreprise (Edana)
- Parlament
- Étude UNIGE sur la souveraineté numérique et l'IA (archive ouverte)
- La réglementation de l'IA en Suisse : cadre et obligations (Bonnard Lawson)
- Coordinated plan on AI — review (European Commission digital strategy)
Cet article constitue une information générale et ne remplace pas l'avis d'un avocat qualifié. Consultez un professionnel du droit qualifié à propos de votre cas personnel avant d'agir sur la base de ce contenu.
Questions fréquentes
Quel outil d'IA n'utilise pas les données de ses utilisateurs ?
Les outils hébergés localement avec une clause contractuelle interdisant la réutilisation des données pour l'entraînement des modèles offrent les meilleures garanties. Nectos, hébergé exclusivement en Suisse, garantit par contrat qu'aucune donnée saisie n'est utilisée pour affiner ou entraîner des modèles.
Comment empêcher un service d'IA de réutiliser vos données ?
Désactivez l'option d'amélioration du service dans les paramètres de votre compte, puis adressez une demande écrite au DPO du fournisseur en invoquant votre droit d'opposition au titre de la LPD. En cas de refus ou d'absence de réponse, saisissez le PFPDT.
Quelles données ne jamais envoyer à une IA ?
Évitez tout ce qui permet d'identifier directement une personne : numéro AVS, données de santé, identifiants bancaires, secrets commerciaux et mots de passe. Anonymisez systématiquement les prompts en remplaçant les données nominatives par des variables neutres avant envoi.
Quand faut-il réaliser une AIPD pour un projet IA en Suisse ?
L'article 22 de la LPD impose une analyse d'impact relative à la protection des données pour tout traitement IA présentant un risque élevé, comme le profilage à grande échelle ou le traitement massif de données sensibles. Si le risque résiduel reste élevé après les mesures prévues, le PFPDT doit être consulté avant le déploiement.
La LPD suisse s'applique-t-elle aux services IA étrangers utilisés en Suisse ?
Oui. Le PFPDT confirme que la LPD s'applique dès lors que des données de personnes en Suisse sont traitées, quelle que soit la localisation du fournisseur. Les transferts vers des pays sans niveau de protection équivalent nécessitent des garanties contractuelles appropriées, comme des contrats-types ou des règles d'entreprise contraignantes.