Sécurité mobile et IA en entreprise : le guide suisse

Sécuriser l'IA sur mobile en entreprise repose sur trois décisions : choisir un outil d'IA autorisé et hébergé en Suisse, encadrer l'appareil (MDM, chiffrement, double authentification) et fixer des règles écrites sur les données que les collaborateurs peuvent saisir. Sans cela, un smartphone professionnel devient une porte de sortie discrète pour des données soumises à la nLPD et au secret professionnel. Nectos est une alternative à ChatGPT conçue pour ce cadre : un espace de travail IA privé, hébergé exclusivement sur des serveurs suisses.

En bref

• Le risque mobile vient moins de l'IA elle-même que de l'usage non encadré : applications non autorisées, comptes personnels, appareils perdus, réseaux non sécurisés.
• L'article 8 nLPD impose au responsable du traitement et au sous-traitant une sécurité adéquate, par des mesures techniques et organisationnelles.
• Un MDM gère l'appareil (inventaire, chiffrement, effacement à distance) ; il ne dit rien de ce qui est saisi dans un assistant IA. Les deux niveaux se complètent.
• Une plateforme IA suisse, avec rôles, journaux d'audit et anonymisation des prompts, donne aux collaborateurs une voie officielle plutôt qu'un outil grand public non maîtrisé.

Table des matières

• Pourquoi l'IA sur mobile change le niveau de risque
• Les risques concrets d'un usage non encadré
• Ce que la nLPD exige de l'entreprise
• Le rôle du MDM : maîtriser l'appareil, pas le contenu des prompts
• Sécuriser l'accès mobile à l'IA : les mesures qui comptent
• Appareils personnels (BYOD), perte et vol
• Checklist : l'IA mobile est-elle sous contrôle chez vous ?
• Pourquoi une plateforme suisse dédiée plutôt qu'un outil grand public
• Notre point de vue
• Passer à l'action avec Nectos
• FAQ
• Sources

Pourquoi l'IA sur mobile change le niveau de risque

Un ordinateur de bureau reste dans un périmètre : réseau interne, poste géré, utilisateur identifié. Un smartphone circule dans le train, à l'hôpital, chez le client, au café. Il mélange messagerie privée, applications personnelles et courriels de l'entreprise. Y ajouter un assistant IA, c'est offrir un champ de saisie libre où chacun peut coller un contrat, un dossier patient, une liste de salaires ou la transcription d'une réunion.

Le guide du préposé à la protection des données sur l'usage d'appareils mobiles dans l'administration énumère les risques de ce contexte : réseaux non sécurisés, synchronisation des calendriers, contacts et courriels, applications non autorisées, usage privé, connexions USB, traitement hors des locaux, perte ou vol de l'appareil. Ce texte vise l'administration, mais la liste vaut pour toute organisation. L'IA y ajoute une couche : chaque prompt est une transmission de données vers un service dont il faut connaître le lieu de traitement.

C'est là que se joue la souveraineté. Quand une donnée « voyage » vers des serveurs étrangers, elle quitte le droit suisse et s'expose à des législations extraterritoriales comme le CLOUD Act. Pour une fiduciaire, une étude d'avocats, un cabinet médical ou un service RH, c'est un risque de violation du secret professionnel autant qu'un risque de conformité.

Les risques concrets d'un usage non encadré

L'association Suisse.ing, dans son dossier sur le « Bring your own AI », identifie quatre familles de risques liées à l'usage non contrôlé d'IA personnelle au travail : fuite de données ou de propriété intellectuelle, logiciels malveillants et phishing, problèmes de conformité, biais discriminatoires. Sur mobile, ces risques prennent des formes très ordinaires.

1. Le compte personnel sur l'appareil professionnel. Un collaborateur ouvre son assistant IA grand public avec son adresse privée. L'entreprise n'a ni journal, ni contrôle, ni moyen de supprimer l'historique.
2. La saisie vocale et la photo. Photographier un document pour « le résumer » ou dicter une note de réunion transfère le contenu intégral vers le service.
3. L'application non autorisée. Un clone d'assistant IA installé depuis une boutique d'applications peut demander des permissions sans rapport avec sa fonction.
4. La perte ou le vol. Un appareil déverrouillé avec un historique de conversations IA expose des informations parfois plus denses qu'une boîte courriel.
5. Les réseaux publics. Sans chiffrement correct, les échanges transitent par des réseaux que l'entreprise ne maîtrise pas.

Suisse.ing souligne aussi que le BYOAI peut fragmenter les processus : chacun utilise son outil, ses règles, ses habitudes. La réponse est une gouvernance qui couvre les outils autorisés, les données utilisables, la sécurité et la conformité.

Ce que la nLPD exige de l'entreprise

La nouvelle loi fédérale sur la protection des données (nLPD) ne contient pas de chapitre « mobile » ni de chapitre « IA ». Elle s'applique pourtant pleinement. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) rappelle que la LPD s'applique aux traitements de données recourant à l'IA. Il attend de la transparence sur la finalité, le fonctionnement et les sources des données utilisées. Les traitements à risque élevé nécessitent en principe une analyse d'impact (AIPD), et les personnes concernées peuvent s'opposer à un traitement automatisé ou demander un examen humain d'une décision automatisée.

Pour la sécurité, la base est l'article 8 nLPD. Selon le guide juridique de Rosenthal, Studer et Lombard, le responsable du traitement et le sous-traitant doivent garantir une sécurité adéquate par des mesures techniques et organisationnelles qui protègent la confidentialité, l'intégrité et la disponibilité des données. Le même guide cite parmi les mesures adéquates : restrictions d'accès, pare-feu, pseudonymisation, chiffrement, enregistrement des accès, sauvegardes, élimination sécurisée, surveillance, formation, contrats de sous-traitance, documentation et tests d'intrusion.

Traduit pour le mobile et l'IA, cela donne quatre questions que tout responsable devrait pouvoir documenter :

• Quels outils d'IA sont autorisés sur les appareils, et lesquels sont exclus ?
• Où les données saisies sont-elles traitées et conservées ?
• Qui peut accéder à quoi, et comment le retrace-t-on ?
• Que se passe-t-il en cas de perte, de vol ou de départ d'un collaborateur ?

Une entreprise qui n'a pas de réponse écrite à ces questions n'est pas en mesure de démontrer l'adéquation de ses mesures. Une plateforme qui choisit pour vous l'hébergement suisse, les rôles et les journaux réduit ce travail de preuve.

Le rôle du MDM : maîtriser l'appareil, pas le contenu des prompts

Le MDM (Mobile Device Management) est souvent présenté comme la réponse à tout. Il est indispensable, mais son périmètre est précis. D'après le guide du préposé cité plus haut, le MDM enregistre les appareils, gère l'inventaire matériel et logiciel, distribue politiques, correctifs, certificats et applications, vérifie le niveau de correctifs et le chiffrement. Il permet aussi de verrouiller ou d'effacer données, applications et certificats en cas de départ, de perte, de vol, de panne ou de remplacement. Le guide recommande de contrôler strictement les applications, par un MDM ou un mode kiosque, et de supprimer les services et applications inutiles.

Appliqué à l'IA, le MDM sert donc à :

• autoriser l'application ou l'accès à la plateforme d'IA retenue et bloquer les autres ;
• imposer le chiffrement, le verrouillage et un niveau de correctifs minimal ;
• effacer à distance les données professionnelles lorsqu'un appareil disparaît.

Ce qu'un MDM ne fait pas : décider de ce qu'un collaborateur peut écrire dans un assistant, anonymiser un prompt, ni établir un journal d'audit des usages IA. Ces fonctions relèvent de la plateforme d'IA. Chez Nectos, l'anonymisation automatique des prompts, les journaux d'audit complets, le contrôle d'accès administrateur et la gestion des rôles se situent précisément à ce niveau, avec exportation des logs pour la conformité légale.

Surveillance des employés : une limite légale à respecter

Dès que l'on parle de journaux et de gestion centralisée, la question de la surveillance se pose. Le PFPDT rappelle que les systèmes de surveillance de l'activité informatique ou de téléphonie mobile des employés, y compris les journaux d'applications ou de sites web, peuvent être interdits lorsqu'ils visent principalement à surveiller le comportement des travailleurs. Une surveillance justifiée par la sécurité ou l'organisation du travail peut en revanche être admissible si elle est proportionnée, annoncée préalablement et limitée aux données nécessaires, avec un accès réservé aux personnes habilitées.

La bonne pratique est donc de définir la finalité des journaux (sécurité, preuve de conformité), de l'écrire dans la directive d'utilisation, d'informer les équipes avant la mise en service et de restreindre l'accès aux journaux à des rôles désignés. Les rôles et l'accès administrateur d'une plateforme d'IA servent exactement cette exigence.

Sécuriser l'accès mobile à l'IA : les mesures qui comptent

Le guide du préposé recommande d'utiliser des applications autorisées, de chiffrer les données en transit et sur l'appareil et d'imposer une authentification à deux facteurs pour l'accès aux données personnelles sensibles, avec des consignes d'utilisation claires. Le manuel d'audit CyberSeal de Digital Security Switzerland (édition du 8 mars 2026) va dans le même sens : chiffrer les supports mobiles lorsque c'est possible et conditionner l'accès aux données de l'entreprise à une authentification suffisante.

Voici une séquence de mise en œuvre réaliste pour une PME.

Étape 1 : inventorier les usages réels

Avant d'écrire une directive, demandez aux équipes quels outils d'IA elles utilisent déjà sur leur téléphone, pour quelles tâches. Le but n'est pas de sanctionner, mais de comprendre le besoin : résumer des courriels, rédiger, traduire, transcrire une réunion, analyser un PDF. Chaque besoin identifié doit trouver une réponse dans l'outil officiel, sinon l'usage parallèle continuera.

Étape 2 : choisir un outil autorisé, hébergé en Suisse

Le critère décisif est le lieu et le cadre juridique du traitement. Nectos garantit que les données restent et sont traitées exclusivement en Suisse, sous droit suisse, sur une infrastructure cloud 100 % suisse (Hidora), sans export ni sous-traitance à des fournisseurs étrangers, et sans entraînement de l'IA sur les données clients. Pour un cabinet soumis au secret professionnel, c'est une base de départ cohérente avec le principe de minimisation des transferts transfrontaliers.

Étape 3 : verrouiller l'appareil

Inscrivez les appareils dans le MDM, activez le chiffrement et le verrouillage, imposez la double authentification pour l'accès à la plateforme, et bloquez l'installation d'assistants non autorisés sur les appareils gérés. Supprimez les services et applications inutiles, comme le recommande le guide.

Étape 4 : encadrer les données saisies

Le guide de l'ETH Zurich sur l'usage de l'IA recommande de ne pas saisir d'informations personnelles, confidentielles ou propriétaires dans une IA, de ne fournir que les informations nécessaires et de privilégier un traitement local ou de fortes garanties de protection des données. Il conseille aussi de désactiver, lorsque c'est possible, la collecte des entrées pour l'amélioration des modèles, et d'utiliser les fonctions de suppression de l'historique.

À ce stade, l'anonymisation automatique des prompts de Nectos limite ce que le texte saisi contient d'identifiant avant traitement, ce qui allège la discipline individuelle demandée à chaque collaborateur. Les entreprises qui ne peuvent pas ouvrir leurs données, même à un cloud suisse, disposent en outre de l'option BYOC / on-premise, qui permet de déployer Nectos dans leur propre infrastructure.

Étape 5 : appliquer le principe du moindre privilège

Pour une application mobile d'IA, Android Developers recommande de nettoyer et anonymiser les entrées, de supprimer les informations propriétaires ou personnelles non indispensables et de n'accorder que les permissions minimales. Pour les données très sensibles, la même documentation suggère d'envisager un modèle exécuté sur l'appareil afin que les données ne quittent pas le terminal, et de filtrer les sorties susceptibles de contenir numéros de carte bancaire, clés d'API, numéros de sécurité sociale ou adresses électroniques.

Côté organisation, le même principe se traduit par des rôles : tous les collaborateurs n'ont pas besoin d'accéder à toutes les bases de connaissances. La gestion de rôles et le contrôle d'accès administrateur de Nectos permettent de découper ces accès par équipe.

Étape 6 : former et documenter

Une directive de deux pages, lue et signée, vaut mieux qu'un règlement de vingt pages ignoré. Elle doit citer les outils autorisés, les catégories de données interdites, la procédure de signalement et la finalité des journaux. La documentation sert aussi de preuve de diligence en cas de contrôle.

Appareils personnels (BYOD), perte et vol

Le guide du préposé demande d'établir des consignes d'utilisation, de signaler immédiatement tout incident, perte ou vol au support, d'effacer les données à distance et de bloquer la carte SIM, et de révoquer les certificats. Pour le BYOD, il demande de préciser les exigences applicables aux appareils personnels et leur administration. À titre de complément méthodologique, la CNIL française recommande pour les équipements nomades le chiffrement, une sauvegarde testée, des accès révocables, la sensibilisation et une procédure de signalement.

En pratique, pour un téléphone personnel utilisé au travail :

• séparez techniquement l'espace professionnel de l'espace privé, afin de pouvoir effacer les seules données de l'entreprise ;
• exigez le verrouillage par code ou biométrie et la double authentification pour l'accès à l'IA ;
• prévoyez par écrit le sort des données au départ du collaborateur ;
• révoquez les accès (compte, certificats) le jour même d'une perte ou d'un départ.

La révocation immédiate est d'autant plus simple que les comptes sont individuels et administrés centralement : l'administrateur désactive un siège, sans toucher au téléphone privé.

Checklist : l'IA mobile est-elle sous contrôle chez vous ?

Pourquoi une plateforme suisse dédiée plutôt qu'un outil grand public

Interdire l'IA sur mobile ne fonctionne pas : les collaborateurs la trouvent utile et l'utilisent de toute façon, avec leurs comptes privés. La voie la plus sûre est de leur offrir un outil officiel qui répond aux mêmes besoins (chat, analyse de documents, transcription de réunions, recherche) dans un cadre que l'entreprise maîtrise. C'est le sens d'une alternative à ChatGPT pensée pour le droit suisse : l'employé garde la productivité, le responsable garde la preuve.

Nectos réunit dans un même espace de travail le chat IA privé, l'analyse intelligente de documents, la knowledge base privée, la transcription et le résumé de réunions, la recherche web anonymisée, l'anonymisation automatique des prompts et des journaux d'audit complets. Vous trouverez le détail dans la page fonctionnalités et les engagements de sécurité sur la page sécurité.

Notre point de vue

Nous voyons le même schéma dans la réflexion de nombreuses organisations : la question « quel appareil, quel MDM ? » est posée tôt, la question « où vont les prompts ? » arrive trop tard. Or le MDM protège le téléphone, tandis que la nLPD protège les personnes dont les données sont saisies dans l'IA.

C'est pourquoi nous avons conçu Nectos comme un espace de travail IA souverain : données hébergées et traitées exclusivement en Suisse, sous droit suisse, sans entraînement sur les données de nos clients, avec anonymisation automatique des prompts, rôles, contrôle d'accès administrateur et journaux d'audit exportables.

Notre conviction est simple : un outil d'IA ne devient acceptable en entreprise que lorsque l'organisation peut expliquer, preuves à l'appui, où vont les données et qui y accède. Une alternative à ChatGPT crédible pour les fiduciaires, les études d'avocats, la santé, la finance et les RH doit donc commencer par la souveraineté, pas la finir en option.

Nectos

Passer à l'action avec Nectos

Pour équiper vos équipes d'un assistant IA conforme à la nLPD, Nectos propose des abonnements par siège : Starter à 29.90 CHF par mois, Pro à 49.90 CHF par mois et Pro+ à 99.90 CHF par mois, ainsi qu'un essai (Trial). Les détails et le comparatif des offres se trouvent sur la page des tarifs, et vous pouvez découvrir la plateforme sur nectos.ch.

Avant de déployer, associez votre MDM, votre directive d'utilisation et la plateforme choisie : trois couches complémentaires, qui répondent chacune à une exigence de l'article 8 nLPD.

FAQ

Le MDM suffit-il à sécuriser l'usage de l'IA sur mobile ?

Non, il couvre l'appareil : inventaire, chiffrement, applications autorisées, effacement à distance. Il ne contrôle pas ce que les collaborateurs saisissent dans un assistant ni où ces données sont traitées. Il faut y associer une plateforme d'IA hébergée en Suisse et une directive d'utilisation écrite.

Que dit la nLPD de l'usage d'outils d'IA par les employés ?

La LPD s'applique à tout traitement de données personnelles, y compris par IA, selon le PFPDT. L'article 8 impose une sécurité adéquate, et les traitements à risque élevé nécessitent en principe une analyse d'impact. L'entreprise reste responsable des données que ses collaborateurs saisissent, même depuis un téléphone.

Peut-on journaliser les usages d'IA sans enfreindre la protection des employés ?

Oui, à condition que la finalité soit la sécurité ou l'organisation du travail, que la mesure soit proportionnée, annoncée à l'avance et limitée aux données nécessaires. L'accès aux journaux doit être réservé à des personnes habilitées. Une surveillance visant principalement le comportement des travailleurs peut être interdite.

Que faire si un téléphone utilisé avec l'IA est perdu ou volé ?

Signalez immédiatement l'incident au support, effacez à distance les données professionnelles, bloquez la carte SIM et révoquez les certificats et accès. Sur une plateforme à sièges administrés, l'administrateur peut désactiver le compte concerné. Si des données personnelles sont touchées, consultez votre conseiller à la protection des données ou votre juriste.

Sources

• Le «Bring your own AI» (Suisse.ing, 2024)
• IA et protection des données (PFPDT)
• Moyens techniques de surveillance sur le lieu de travail (PFPDT)
• La nouvelle loi sur la protection des données (Rosenthal, Studer, Lombard)
• CyberSeal Manuel d'audit (Digital Security Switzerland, 2026)
• Guide for Users of AI at ETH Zurich (2025)
• Éviter la divulgation d'informations sensibles (Android Developers)
• Perte ou vol de matériel informatique nomade (CNIL)