# IA souveraine en Suisse : hébergement, LPD et indépendance vis-à-vis des éditeurs > Ce que recouvre la souveraineté de l'IA en Suisse : où sont les données, quel droit s'applique, quel modèle tourne, qui garde la main. Le cadre de la LPD et les questions à poser à un fournisseur. Language: fr · Category: governance · Author: Nicolas Corod (Fondateur & CEO) · Published: 2026-09-27 La loi suisse sur la protection des données ne plaisante pas avec la sous-traitance. Une personne privée qui, intentionnellement, [communique des données à l'étranger en violation de l'article 16 ou confie un traitement à un sous-traitant hors des conditions de l'article 9 s'expose à une amende pouvant atteindre 250 000 francs (art. 61 LPD)](https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_61). Or un outil d'IA qui traite des données personnelles pour votre compte est, le plus souvent, un sous-traitant de plus au sens de la LPD. **Une IA souveraine en Suisse est une IA dont vous gardez la maîtrise sur quatre plans : où les données sont traitées, quel droit s'applique au fournisseur, quel modèle tourne, et qui contrôle les accès et les traces. Un serveur en Suisse est un point de départ, pas une garantie.** La souveraineté ressemble à un coffre-fort : savoir dans quelle ville il se trouve ne dit pas qui en détient la clé. Cet article décompose ces quatre plans, rappelle ce que dit la LPD, propose les questions à poser à un fournisseur et détaille ce que skilder peut documenter. ## Les quatre plans de la souveraineté ### 1. Les données : où sont-elles traitées ? C'est le plan le plus visible : l'emplacement physique des serveurs qui stockent et traitent vos données, y compris les prompts, les documents envoyés et les journaux. Attention aux traitements secondaires : sauvegardes, support, journalisation, et surtout l'inférence du modèle, qui peut avoir lieu ailleurs que le stockage. ### 2. La juridiction : quel droit s'applique au fournisseur ? Un serveur à Genève exploité par une société soumise à un droit étranger reste exposé à ce droit. Le [CLOUD Act américain (18 U.S.C. § 2713)](https://www.law.cornell.edu/uscode/text/18/2713) oblige par exemple les fournisseurs qui y sont soumis à préserver ou communiquer les données en leur possession ou sous leur contrôle, « qu'elles soient situées aux États-Unis ou en dehors ». La question utile n'est donc pas seulement « où ? », mais aussi « qui, et sous quel droit ? ». ### 3. Le modèle : qui l'exploite, et que fait-il de vos données ? Le modèle est souvent le maillon oublié. Il faut savoir où il tourne, si vos contenus peuvent servir à l'entraîner, et combien de temps ils sont conservés. Les réponses varient selon le fournisseur, le contrat et même l'offre souscrite. ### 4. Le contrôle : pouvez-vous changer d'avis ? La souveraineté inclut la réversibilité. Si vos processus, vos prompts et vos méthodes de travail ne vivent que dans l'outil d'un seul éditeur, changer de modèle revient à tout reconstruire. Un savoir-faire capturé dans un format ouvert et piloté depuis un registre neutre reste à vous, quel que soit le modèle. C'est aussi l'un des piliers de [la gouvernance de l'IA en entreprise](/fr/blog/gouvernance-ia-entreprise/). ## Ce que dit la LPD La [loi fédérale sur la protection des données (LPD)](https://www.fedlex.admin.ch/eli/cc/2022/491/fr), en vigueur depuis le 1er septembre 2023, ne contient pas de chapitre sur l'IA. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) rappelle pourtant qu'[elle est directement applicable aux traitements de données fondés sur l'IA](https://www.edoeb.admin.ch/fr/update-loi-actuelle-applicable-ia), parce qu'elle est formulée de manière technologiquement neutre. Plusieurs articles pèsent directement sur le choix d'un outil d'IA : - **Protection des données dès la conception et par défaut** ([art. 7](https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_7)) : les mesures de protection se prévoient dès la planification, pas après le déploiement. - **Sous-traitance** ([art. 9](https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_9)) : le responsable du traitement doit s'assurer que le sous-traitant est en mesure de garantir la sécurité des données. - **Communication à l'étranger** ([art. 16](https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_16)) : autorisée vers un État reconnu adéquat par le Conseil fédéral, ou moyennant des garanties comme des clauses contractuelles. - **Analyse d'impact** ([art. 22](https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_22)) : obligatoire lorsqu'un traitement est susceptible d'entraîner un risque élevé, notamment avec de nouvelles technologies. Un point d'honnêteté : la LPD n'impose pas d'héberger l'IA en Suisse. Depuis le 15 septembre 2024, [le Conseil fédéral reconnaît comme adéquates les entreprises américaines certifiées au Swiss-U.S. Data Privacy Framework](https://www.admin.ch/en/nsb?id=102054). Choisir une IA souveraine est donc une décision de gestion du risque (juridiction, confidentialité, dépendance), pas une obligation générale. C'est précisément pour cela qu'elle mérite d'être prise en connaissance de cause plutôt que par défaut. ## Le vrai risque : l'IA que personne n'a choisie Pendant que la direction compare les offres, les collaborateurs ont souvent déjà tranché avec leurs comptes personnels. Des documents internes transitent alors par des services dont personne n'a vérifié ni l'hébergement ni les conditions. C'est le [shadow AI](/fr/blog/shadow-ai/), et il rend toute stratégie de souveraineté théorique. La même logique vaut pour les connecteurs. Un agent qui atteint un CRM ou un drive par un [serveur MCP](/fr/blog/serveur-mcp/) installé sans revue ajoute un sous-traitant, et un flux de données, que personne n'a documenté. ## Les questions à poser à un fournisseur d'IA 1. **Où sont traitées les données**, y compris l'inférence, les journaux et les sauvegardes ? 2. **Sous quel droit** est soumise la société qui exploite l'infrastructure ? 3. **Quelle est la liste des sous-traitants**, et est-elle publique et tenue à jour ? 4. **Vos contenus servent-ils à entraîner des modèles ?** Est-ce exclu par contrat ? 5. **Pouvez-vous changer de modèle** sans reconstruire vos processus ? 6. **Qui voit quoi, et qu'est-ce qui est tracé ?** Les journaux sont-ils exportables et supprimables ? 7. **Une option on-premise existe-t-elle** pour les données les plus sensibles ? ## Ce que skilder peut documenter skilder est une société anonyme de droit suisse, basée à Prilly (VD). Les éléments ci-dessous sont ceux que publient la page [Confiance & sécurité](/fr/confiance/), les [mentions légales](/fr/mentions-legales/), la [liste des sous-traitants](/legal/subprocessors/) et la [politique de confidentialité](/en/privacy/) : - **Hébergement en Suisse** : les services et données de la plateforme sont hébergés en Suisse par Infomaniak Network SA. - **Modèles par défaut en Suisse** : l'inférence gérée par skilder passe exclusivement par Infomaniak AI Tools, des modèles open-weight traités en Suisse, avec l'entraînement sur le contenu désactivé par contrat. - **Indépendance vis-à-vis du LLM** : un client peut connecter sa propre clé chez un autre fournisseur (Anthropic, OpenAI, Mistral, Google). Ce fournisseur devient alors le sous-traitant du client, et aucun autre fournisseur n'est utilisé tant que le client n'en configure pas un. - **Résidence et déploiement** : résidence des données en Suisse ou dans l'UE, ou déploiement on-premise sur demande. - **Contrôle** : SSO et contrôle d'accès par rôle, connecteurs cadrés et révocables, aucune élévation de privilèges à l'exécution. - **Traçabilité** : chaque tâche est journalisée et attribuée à la personne qui l'a lancée ; skilder conserve cette trace d'exécution, exportable et supprimable par le client. Et ce qui n'existe pas encore : la politique de confidentialité précise qu'un verrouillage technique par région (par exemple « Suisse uniquement ») figure sur la feuille de route et n'est pas encore disponible. Aujourd'hui, c'est la configuration du workspace qui détermine quels fournisseurs sont connectés. Côté usage, vos capacités IA sont regroupées en **rôles** : le travail qu'un poste fait réellement, avec ses skills, ses outils et ses permissions. Chaque rôle part d'un blueprint et se configure sur vos processus, puis se sert dans Claude, ChatGPT ou Copilot. Changer de modèle ne change pas le rôle. ## À retenir > La souveraineté de l'IA se joue sur quatre plans : les données, la juridiction, le modèle et le contrôle. Un hébergement suisse règle le premier. Les trois autres se vérifient dans les contrats, la liste des sous-traitants et l'architecture. Pour vérifier ces points avec un fondateur, [réservez un appel gratuit de 30 minutes](https://koalendar.com/e/meet-with-nicolas-9), ou commencez par le [bilan IA](/fr/diagnostic-skills-ia/).