Visiter le site →
← Retour au blog

Recherche documentaire privée par IA : guide pour la Suisse

29 octobre 2026
Recherche documentaire privée par IA : guide pour la Suisse

Une recherche documentaire privée par IA permet de poser une question en français courant à vos propres documents (contrats, dossiers, procès-verbaux, notes internes) et d'obtenir une réponse qui cite les passages utilisés, sans que ces documents quittent un environnement que vous maîtrisez. En Suisse, le critère décisif n'est pas la qualité du modèle, mais l'endroit où vos fichiers et vos questions sont traités, qui peut y accéder et si le fournisseur s'en sert pour entraîner ses modèles. Ce guide explique le fonctionnement, le cadre de la nLPD, les risques qui subsistent et les questions à poser avant de choisir une alternative à ChatGPT.

Nectos
nectos.ch
Interrogez vos documents en privé
Nectos héberge en Suisse un espace de travail IA avec analyse documentaire, bases de connaissances privées et modèles locaux.
Découvrir Nectos

En bref

  • La recherche documentaire par IA découpe vos documents en passages, les indexe par sens et par mots-clés, puis fait répondre un modèle à partir des passages retrouvés, avec citation de la source.
  • La nLPD s'applique directement aux traitements assistés par IA : transparence, proportionnalité, finalité, et analyse d'impact en cas de risque élevé.
  • Pour les détenteurs d'un secret professionnel, saisir des données de client dans un outil grand public pose un problème de fond, avant même la question technique.
  • Une IA hébergée en Suisse réduit l'exposition, mais ne dispense ni de vérifier les réponses, ni de définir des règles internes, ni de former les équipes.
  • Nectos est un espace de travail IA hébergé exclusivement en Suisse, pensé comme alternative à ChatGPT pour les professionnels et les PME.

Table des matières

Ce que recouvre la recherche documentaire privée par IA

La recherche documentaire classique repose sur des mots-clés : si le terme exact n'apparaît pas dans le fichier, le fichier reste introuvable. La recherche assistée par IA interroge le contenu par le sens. Vous écrivez « quelles sont les conditions de résiliation du bail de la rue de Lausanne ? » et le système remonte la clause concernée, même si elle parle de « congé » plutôt que de « résiliation ».

Le qualificatif « privée » change la nature du problème. Il signifie que trois éléments restent sous contrôle : les documents eux-mêmes, les questions que vous posez (qui révèlent souvent autant que les documents) et les réponses générées. Une fiduciaire qui demande à un assistant « quelles sont les charges non déductibles du client X ? » transmet, dans la question seule, une information couverte par le secret professionnel.

Il faut aussi distinguer la recherche privée de la recherche sur le web. Les outils qui parcourent Internet pour produire une synthèse automatisent, selon l'Université de Montréal, un type de génération augmentée par la recherche, avec un risque de manque de transparence et de sources citées de façon incorrecte. Interroger un corpus fermé, que vous avez choisi et que vous connaissez, réduit ce risque, car vous pouvez contrôler ce que le système a lu.

Comment l'IA retrouve le bon passage

Le principe porte un nom technique, le RAG (génération augmentée par la recherche). Les chercheurs de l'EPFL décrivent le mécanisme dans un article sur la recherche fédérée pour le RAG : les documents sont découpés en passages, chaque passage est converti en vecteur par un modèle d'embeddings et stocké dans une base vectorielle. Votre question subit la même conversion, puis le moteur cherche les passages sémantiquement les plus proches avant de les transmettre au modèle de langage.

En pratique, cela donne quatre étapes :

  1. Ingestion : vos fichiers (PDF, Word, tableurs) sont lus et découpés en passages.
  2. Indexation : chaque passage reçoit une empreinte numérique qui représente son sens, et reste rattaché à son document d'origine.
  3. Recherche : votre question est comparée aux passages, et les meilleurs candidats sont retenus.
  4. Rédaction : le modèle formule une réponse en s'appuyant uniquement sur ces passages et indique d'où ils viennent.

Recherche sémantique et recherche hybride

La recherche par le sens ne remplace pas la recherche par mots-clés, elle la complète. Le projet suisse AskDigi du Swiss Data Science Center, conçu pour les services parlementaires, combine recherche par mots-clés et recherche vectorielle, et répond en allemand, en français et en italien. Cette combinaison compte dans un contexte suisse : un numéro d'article de loi, un nom de partie ou une référence de dossier se retrouvent mieux par correspondance exacte, alors qu'une notion se retrouve mieux par le sens.

Une étape supplémentaire améliore souvent la pertinence. Selon une page de l'FHNW consacrée à la gestion de connaissances, un reranker réexamine les meilleurs candidats et place les passages les plus pertinents en tête, tandis que les métadonnées du document sont conservées avec chaque passage pour assurer la traçabilité.

La qualité de la recherche dépend aussi de ce que vous lui donnez. Un corpus mal rangé, des versions en double ou des documents sans titre produisent des réponses approximatives. Améliorer la circulation des flux d'information dans une petite structure, par exemple en décidant où vit la version de référence d'un document, rend la recherche plus fiable avant même toute question à l'IA.

Recherche sémantique et recherche hybride — overview diagram

Citer ses sources, et pourquoi il faut quand même vérifier

La citation est la fonction qui distingue un outil de recherche documentaire d'un simple chatbot. AskDigi cite la section exacte du PDF qui a servi à répondre, ce qui permet de vérifier d'un coup d'œil. C'est le critère le plus utile pour évaluer un produit : chaque affirmation doit renvoyer à un passage que vous pouvez ouvrir.

Une citation n'est toutefois fiable que si le système a effectivement retrouvé la bonne source. La Bibliothèque de l'Université de Bâle avertit que certains outils produisent des références plausibles mais inexistantes, et recommande de les contrôler par une recherche indépendante. Les chercheurs de l'EPFL le rappellent à leur manière : le RAG peut réduire les hallucinations, sans les supprimer.

Trois réflexes simples limitent le risque :

  • ouvrir le passage cité avant de reprendre une réponse dans un courrier, un avis ou une décision ;
  • demander explicitement au système de dire quand l'information est absente des documents ;
  • garder un humain responsable du résultat final, surtout pour les chiffres, les délais et les références légales.

Ce que la nLPD impose lorsque l'IA lit vos documents

Il n'existe pas de « vide juridique de l'IA » en Suisse. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) rappelle que la loi sur la protection des données s'applique directement aux traitements qui utilisent l'IA, et que fabricants, fournisseurs et utilisateurs doivent rendre transparents la finalité, le fonctionnement et les sources de données traitées.

Dans sa mise à jour sur le droit applicable (8 mai 2025), le PFPDT détaille les exigences : transparence, proportionnalité et finalité pour tout traitement de données personnelles par IA, analyse d'impact en cas de risque élevé, et interdiction des applications visant à éroder la sphère privée, comme la surveillance globale. Dans son texte sur l'usage quotidien de l'IA, il ajoute que l'utilisateur a le droit de savoir s'il communique avec une machine.

Pour votre recherche documentaire, cela se traduit par des questions concrètes. Quelle est la finalité du traitement ? Les documents contiennent-ils des données personnelles, voire des données sensibles (santé, procédures, situation financière) ? Qui, chez le fournisseur, peut y accéder ? Le Centre national pour la cybersécurité (NCSC) précise dans son information du 16 octobre 2026 qu'un simple prompt peut transmettre à un système d'IA des données personnelles de clients, des dossiers du personnel ou des données de santé, qui peuvent être sensibles au sens de la LPD.

Ce que la nLPD impose lorsque l'IA lit vos documents — overview diagram

Secret professionnel : une contrainte à part

Avocats, fiduciaires, médecins, notaires : le secret professionnel ajoute une couche au-dessus de la nLPD. Selon une analyse de SwissLegalTech, la saisie de données de client dans une IA peut constituer une divulgation, et la formation du personnel relève de l'obligation professionnelle plutôt que de la simple sensibilisation. Si vous exercez dans l'un de ces métiers, la question n'est pas « cet outil est-il pratique ? » mais « puis-je démontrer où vont les données et qui les voit ? ».

Où vont vos documents : les questions à poser à un fournisseur

Le PFPDT constate que les données personnelles saisies peuvent être conservées au moins temporairement, généralement dans un cloud. Il invite à vérifier les finalités, les accès, les transmissions à des tiers et l'usage des données pour l'entraînement. Voici la grille que nous recommandons avant toute signature :

  1. Localisation : où sont stockés les fichiers, les index et les journaux ? Où le modèle s'exécute-t-il au moment de la question ?
  2. Droit applicable : le fournisseur et ses sous-traitants relèvent-ils uniquement du droit suisse ? Une société mère étrangère peut exposer les données à des demandes d'accès étrangères, comme le CLOUD Act américain.
  3. Entraînement : vos documents et vos questions servent-ils à améliorer les modèles ? La réponse doit être écrite.
  4. Accès et rôles : pouvez-vous limiter qui voit quelle base de documents, et retirer un accès immédiatement ?
  5. Traçabilité : existe-t-il des journaux d'audit complets, exportables pour répondre à un contrôle ou à une demande d'une personne concernée ?
  6. Conservation et suppression : combien de temps les données restent-elles, et comment sont-elles effacées ?
  7. Anonymisation : le système peut-il masquer automatiquement les données personnelles avant le traitement ?

Un fournisseur qui répond avec précision à ces sept points est un fournisseur avec lequel vous pouvez documenter votre conformité. Si vous manquez de ressources internes pour cet exercice, un accompagnement en conformité RGPD ponctuel peut aider à préparer les documents et les vérifications, en gardant à l'esprit que la référence pour vos obligations reste la nLPD.

Les risques qui subsistent, même en Suisse

Héberger en Suisse ne règle pas tout. Trois risques demeurent.

L'interception et l'exposition. L'Institut fédéral de la propriété intellectuelle relève, dans un livre blanc sur l'IA et les recherches de brevets (10 mars 2026), que les solutions locales offrent en général des avantages pour la protection des données, alors que les données saisies dans des outils d'IA sur le web peuvent être interceptées malgré des accords contractuels. Il en tire la possibilité d'exclure totalement certains outils pour les recherches sensibles.

La réponse erronée. Un modèle peut mal interpréter un passage, ignorer une exception ou mélanger deux documents. Le même livre blanc rappelle que les résultats doivent être vérifiés par un humain.

Le contournement. Le NCSC et le PFPDT mettent en garde contre le « shadow IT » : si l'outil autorisé est lent ou limité, les collaborateurs utilisent leur compte personnel d'un assistant grand public. Le meilleur contrôle est donc de fournir une solution conforme assez bonne pour qu'on n'ait pas envie d'en sortir.

Notre point de vue chez Nectos

Nous voyons le même scénario dans les cabinets, les fiduciaires et les services RH : un collaborateur utilise déjà un assistant grand public à titre personnel, parce qu'il gagne du temps, et l'organisation découvre ensuite qu'un dossier client y a transité. Le problème n'est pas l'IA, c'est l'absence d'alternative encadrée.

Notre conviction tient en peu de points. La souveraineté n'est pas un argument commercial, c'est une condition juridique : les données doivent être traitées exclusivement en Suisse, sous droit suisse, sans sous-traitance à des fournisseurs étrangers. Nous n'entraînons aucun modèle sur les données de nos clients. Et une promesse de sécurité ne vaut que si elle se prouve : c'est pourquoi nous plaçons les journaux d'audit, la gestion des rôles et l'exportation des logs au centre du produit. Notre infrastructure repose sur un cloud suisse, celui d'Hidora, et nous détaillons notre démarche sur nos pages souveraineté suisse et sécurité.

Nous croyons enfin que la recherche documentaire privée doit rester vérifiable : une réponse sans source cliquable est une opinion, pas un résultat de recherche.

— Nectos

Mettre en place une recherche documentaire IA dans votre organisation

Le NCSC recommande aux entreprises de définir des directives internes sur les outils autorisés et sur les données qui ne peuvent pas être saisies, de former le personnel, d'encadrer l'usage de solutions d'entreprise et de prévoir des mesures techniques comme la prévention des pertes de données. Voici comment le traduire en cinq étapes.

  1. Cartographier vos documents. Distinguez les documents publics, internes, personnels et couverts par un secret. Commencez le projet par la catégorie la moins sensible.
  2. Écrire la règle. Une page suffit : outils autorisés, données interdites, personne à contacter. Le NCSC conseille aussi de vérifier avant chaque saisie si des données personnelles ou sensibles sont concernées, et de les anonymiser lorsque c'est possible.
  3. Créer des bases de connaissances par usage. Une base par dossier, par équipe ou par client évite que les droits d'accès ne se mélangent.
  4. Former. Montrez comment poser une question, ouvrir la source citée et repérer une réponse douteuse.
  5. Auditer. Relisez périodiquement les journaux : qui a interrogé quoi, sur quelle base, avec quelles données anonymisées.

Pour une analyse d'impact lorsque le risque est élevé, impliquez dès le départ la personne qui assume la protection des données chez vous, ou votre conseil juridique.

Nectos, une alternative à ChatGPT pour interroger vos documents

Nectos est un espace de travail IA souverain, pensé comme alternative à ChatGPT pour les professionnels et les entreprises en Suisse. Vous y retrouvez un chat IA privé, l'analyse de documents, des bases de connaissances privées, la transcription et le résumé de réunions, une recherche web anonymisée et l'anonymisation automatique des prompts. Le tout est hébergé uniquement sur des serveurs suisses, conforme à la nLPD, avec contrôle d'accès administrateur et journaux d'audit.

Nectos

Les abonnements se facturent par siège et par mois : Starter à 29.90 CHF, Pro à 49.90 CHF et Pro+ à 99.90 CHF, avec également une formule d'essai. Le détail de chaque niveau se trouve sur la page des tarifs Nectos. Notre démarche écoresponsable est présentée sur la page IA suisse écoresponsable, et vous pouvez découvrir l'ensemble de la plateforme sur nectos.ch.

FAQ

Une recherche documentaire par IA est-elle compatible avec la nLPD ?

Oui, à condition de respecter les principes de la loi : transparence, proportionnalité, finalité, et analyse d'impact lorsque le risque est élevé. Le PFPDT confirme que la LPD s'applique directement aux traitements assistés par IA. La conformité dépend donc moins de la technologie que de la manière dont vous la configurez et la documentez.

L'IA peut-elle inventer une source ?

Oui, certains outils produisent des références plausibles qui n'existent pas, d'après la Bibliothèque de l'Université de Bâle. Un système de recherche documentaire limité à vos propres fichiers réduit ce risque, car chaque citation renvoie à un passage que vous pouvez ouvrir. Contrôlez néanmoins la source avant de reprendre une réponse.

Que se passe-t-il si j'y mets des documents couverts par le secret professionnel ?

Le secret professionnel est une contrainte forte : selon SwissLegalTech, saisir des données de client dans une IA peut constituer une divulgation. Avant tout usage, vérifiez où les données sont traitées, qui y accède et si elles servent à l'entraînement, puis formalisez la règle dans une directive interne. En cas de doute, consultez votre ordre professionnel ou votre conseil juridique.

Faut-il un outil local sur chaque poste ou un service hébergé en Suisse ?

Les deux peuvent convenir. Une solution locale limite les transferts, mais demande de la maintenance et rend le partage et le contrôle d'accès plus difficiles. Un service hébergé uniquement en Suisse, avec rôles, journaux d'audit et absence d'entraînement sur vos données, convient mieux à une équipe qui doit collaborer.

Sources