Que signifie la souveraineté des données IA pour les entreprises suisses ?

Ce qu'est la souveraineté des données IA – et ce qu'elle n'est pas

La souveraineté des données est le contrôle durable d'une organisation sur ses données : qui peut y accéder, où elles résident et quel droit s'applique. L'IA accroît l'enjeu, car les prompts, documents, données clients et parfois des bases de connaissances entières sont confiés à un modèle, souvent un service cloud situé à l'étranger.

Il faut distinguer des termes voisins. La résidence des données ne fixe que le lieu géographique de stockage. La localisation des données exige que les données ne quittent pas un pays. La souveraineté va plus loin : elle couvre aussi la portée juridique, par exemple si une autorité étrangère peut contraindre à la divulgation même lorsque le serveur est à Zurich.

• Résidence des données : où les données se trouvent-elles physiquement ?
• Localisation des données : les données peuvent-elles quitter le pays ?
• Souveraineté des données : qui détient le contrôle et l'accès juridique et technique ?

Pourquoi la souveraineté des données compte pour les entreprises suisses

• nLPD/revLPD : la loi révisée sur la protection des données exige une protection adéquate en cas de communication à l'étranger ; les transferts vers des États sans niveau adéquat requièrent des garanties supplémentaires.
• Secrets professionnels et de fonction : médecins, avocats et fiduciaires (art. 321 CP) ainsi que les banques sont soumis à des obligations de confidentialité spécifiques ; une fuite incontrôlée de données vers l'IA peut être pénalement répréhensible.
• US CLOUD Act : les fournisseurs américains peuvent, sous certaines conditions, être contraints de remettre des données même lorsqu'elles résident physiquement en Europe.
• EU AI Act (extraterritorial) : s'applique aussi aux fournisseurs suisses dont les résultats d'IA sont utilisés dans l'UE, avec des obligations de transparence et de gestion des risques.
• Confiance et concurrence : clients, hôpitaux et administrations exigent de plus en plus un hébergement des données prouvable en Suisse ou dans l'UE ; la souveraineté devient un argument commercial.
• PFPDT (EDÖB) : l'autorité de surveillance attend des traitements documentés et des analyses de risque, comme un registre des traitements et, en cas de risque élevé, une analyse d'impact.

Vos options en un coup d'œil

Il n'existe pas de modèle universellement « bon » : le choix dépend de la classe de données, du budget et du savoir-faire interne. Ces cinq approches couvrent le spectre, de l'externalisation totale au contrôle intégral.

• Cloud suisse / hébergement suisse : services d'IA chez des fournisseurs disposant de centres de données en Suisse (p. ex. Infomaniak, Exoscale, Swisscom). Avantage : données et droit restent en Suisse. À vérifier : modèles disponibles et sous-traitants à l'étranger.
• Cloud souverain/UE : offres avec résidence des données garantie dans l'UE et protection partielle contre l'accès de pays tiers. Bon compromis entre performance et contrôle.
• Hyperscaler avec région suisse : AWS, Azure et Google Cloud exploitent des régions à Zurich. Les données résident en Suisse, mais le risque résiduel lié au CLOUD Act et la structure du groupe restent à évaluer.
• Modèles locaux/on-premise : LLM open source dans son propre centre de données ou sur son matériel. Contrôle maximal, aucune donnée ne sort – au prix de l'exploitation, du matériel et de la maintenance.
• Hybride : données sensibles en local, tâches non critiques dans le cloud. Souvent la voie la plus pragmatique en pratique.

Modèles locaux et open source comme socle souverain

Pour une souveraineté maximale, on exécute les modèles soi-même. Les modèles de langage ouverts peuvent tourner sur sa propre infrastructure, de sorte qu'aucune donnée ne quitte l'entreprise. Apertus ajoute un modèle de langage entièrement ouvert développé en Suisse par l'ETH Zurich, l'EPFL et le centre de supercalcul CSCS, offrant une transparence sur les données d'entraînement et les poids.

Le prix, c'est l'effort : matériel GPU ou un cluster de calcul suisse souverain, plus l'expertise pour l'exploitation, l'ajustement et la sécurité. Pour beaucoup de PME, un modèle open source hébergé chez un fournisseur suisse est la meilleure voie médiane : poids ouverts, mais sans gérer ses propres serveurs.

Un cadre de décision pratique

• Classer les données : lesquelles sont particulièrement sensibles (santé, finance, professions soumises au secret) ?
• Clarifier le cadre juridique : nLPD, secret professionnel, EU AI Act et règles sectorielles (FINMA, santé).
• Évaluer le modèle d'accès : pas seulement le lieu de stockage, mais qui peut légalement contraindre l'accès.
• Examiner le fournisseur : emplacement du centre de données, siège du groupe, sous-traitants, contrats et certifications.
• Cadrer les contrats : contrat de sous-traitance, clauses contractuelles types, concepts d'effacement et aucun usage des données pour l'entraînement.
• Protéger techniquement : chiffrement, pseudonymisation, confidential computing et contrôles d'accès.
• Documenter : tenir un registre des traitements et, en cas de risque élevé, réaliser une analyse d'impact.

Idées reçues fréquentes

• « Serveur en Suisse = souverain » : pas forcément – le siège du groupe et le droit applicable du fournisseur comptent aussi.
• « L'open source résout tout » : seulement si vous l'exécutez vous-même ou chez un fournisseur souverain ; un modèle ouvert via une API étrangère reste dépendant.
• « nLPD = RGPD » : proches mais distinctes ; la Suisse relève de la nLPD/revLPD, pas du RGPD.
• « Les petites entreprises ne sont pas concernées » : secrets professionnels et attentes des clients s'appliquent quelle que soit la taille.