Souveraineté des données et IA : le guide pour les PME suisses

Un collaborateur demande à une IA de résumer un contrat, de préparer une offre ou de transformer des notes de chantier en rapport. Le gain de temps est réel, mais une question reste souvent sans réponse : où vont les informations envoyées, qui peut y accéder et comment les récupérer si l’on change d’outil ? Pour une PME suisse, la souveraineté des données consiste d’abord à garder la capacité de décider. Voici les points à vérifier avant de confier des données métier à un service d’intelligence artificielle.

Avec une IA,la donnée ne reste pas dans la fenêtre de discussion

La demande quitte l’ordinateur ou le téléphone pour rejoindre les serveurs du fournisseur par Internet. Elle peut passer par un service d’authentification, une interface de programmation et des outils de filtrage. Le modèle la traite ensuite sur l’infrastructure du fournisseur ou celle d’un prestataire cloud.

Selon le service et le contrat, la demande, la réponse et des données techniques peuvent être conservées pendant une certaine durée : historique de conversation, journaux de connexion, adresse IP, identité du compte, diagnostic d’erreur ou trace de sécurité. Des sauvegardes peuvent suivre un calendrier d’effacement différent. Si l’outil se connecte à une messagerie, un espace documentaire ou un logiciel de gestion, les données peuvent aussi circuler entre ces services.

Le fournisseur principal n’est donc pas toujours le seul acteur. Hébergeur, support technique et autres sous-traitants peuvent intervenir. Il faut demander au fournisseur de décrire le parcours applicable à l’offre choisie plutôt que de présumer un pays de destination.

Un exemple sur un chantier en Suisse romande

Une conductrice de travaux dépose dans un assistant IA le procès-verbal d’une séance afin d’en extraire les tâches à réaliser. Le document contient le nom du client, l’adresse du chantier, les coordonnées de sous-traitants, un litige sur un défaut et peut-être des photos où apparaissent des ouvriers ou des plaques d’immatriculation.

L’IA peut préparer une liste d’actions utile. Mais l’envoi ne concerne pas seulement des notes techniques. Il peut inclure des données personnelles, des informations contractuelles et des éléments commerciaux. Avant l’utilisation, la PME doit savoir si ces informations sont conservées, où elles sont traitées, qui peut les consulter et si elles servent à améliorer le service.

Souveraineté, sécurité et conformité : trois sujets différents

Ces notions se recoupent, sans être interchangeables.

La souveraineté concerne la capacité de décider

Pour une PME, la souveraineté des données désigne la maîtrise du cycle de vie des informations : lieu de traitement, intervenants, usages autorisés, accès, exportation et sortie du service.

Une solution hébergée en Suisse peut faciliter certains choix de gouvernance, mais l’adresse du centre de données ne répond pas à tout. Il faut aussi connaître l’entité avec laquelle le contrat est signé, les sous-traitants, les lieux d’assistance, les accès à distance et le droit applicable aux différents acteurs.

La sécurité protège contre les incidents

La sécurité vise la confidentialité, l’intégrité et la disponibilité des données. Elle repose entre autres sur le chiffrement, l’authentification multifacteur, la gestion des droits et les sauvegardes.

Un service peut être bien sécurisé tout en laissant peu de choix au client sur la localisation ou la sortie des données. À l’inverse, un hébergement local ne compense pas des mots de passe partagés ou des droits d’accès mal réglés.

La conformité répond à des obligations précises

La conformité consiste à respecter les règles applicables à l’entreprise et au traitement concerné. En Suisse, la loi fédérale sur la protection des données (LPD) s’applique lorsque des données personnelles sont traitées, y compris avec une IA. Le PFPDT rappelle que la LPD est formulée de manière technologiquement neutre.

La LPD prévoit notamment des principes de transparence, de finalité, de proportionnalité et de sécurité. Elle encadre la sous-traitance et la communication à l’étranger. Un traitement susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux peut nécessiter une analyse d’impact.

Ces repères sont généraux et ne remplacent pas un avis juridique adapté à une situation particulière.

Quelles données méritent le plus d’attention ?

Le risque dépend du contenu et de l’usage, pas seulement du nom de l’outil. Dans une entreprise de construction, plusieurs catégories demandent une prudence particulière :

• dossiers du personnel, certificats médicaux, salaires ou évaluations ;
• coordonnées de clients, locataires, fournisseurs et collaborateurs ;
• plans indiquant des accès, systèmes d’alarme ou équipements sensibles ;
• photos de chantier où des personnes, véhicules ou logements sont identifiables ;
• contrats, offres, prix d’achat, marges et conditions négociées ;
• courriers liés à un litige, un sinistre ou une expertise ;
• identifiants, mots de passe, clés d’accès et codes de chantier.

La première mesure est simple : ne pas transmettre ce dont l’IA n’a pas besoin. Pour reformuler un courrier, le nom du client peut souvent être remplacé par « client A ». Pour classer des remarques de chantier, l’adresse exacte ou le code d’accès n’est généralement pas utile. Cette réduction doit avoir lieu avant l’envoi.

Il faut toutefois rester prudent avec l’anonymisation. Le PFPDT relève que le rapprochement de plusieurs jeux de données peut parfois permettre de réidentifier une personne. Retirer un nom ne suffit pas toujours si l’adresse, la fonction et le contexte rendent l’individu reconnaissable.

Les huit questions à poser avant de choisir une IA

1. Où les données sont-elles traitées et stockées ?

Demandez les régions possibles pour le traitement principal, les journaux, les sauvegardes et le support. Vérifiez si la localisation est garantie par contrat. Une mention « hébergé en Europe » reste vague sans pays ni mécanisme de transfert précisé.

2. Quels sous-traitants peuvent intervenir ?

Le PFPDT rappelle qu’une entreprise reste responsable lorsqu’elle confie le traitement à un sous-traitant. Il faut connaître le fournisseur cloud, les sous-traitants ultérieurs et la manière dont leurs changements sont annoncés.

3. Les contenus servent-ils à l’entraînement ?

Le mot « entraînement » peut couvrir l’amélioration du modèle, l’évaluation des réponses ou des jeux de test. Les conditions varient selon les offres. Vérifiez le réglage par défaut, la portée d’une désactivation et son inscription dans le contrat acheté.

4. Combien de temps les données sont-elles conservées ?

Distinguez l’historique visible, les journaux, les fichiers importés et les sauvegardes. Demandez ce qui est effacé à la suppression d’une conversation ou du compte, et dans quel délai.

5. Qui peut accéder à quoi ?

Chaque collaborateur devrait disposer de son propre compte. Les droits doivent suivre les fonctions : le chef de projet n’a pas besoin d’accéder aux dossiers RH, et un prestataire externe ne devrait voir que le chantier qui le concerne. L’entreprise doit pouvoir retirer rapidement un accès, imposer l’authentification multifacteur et, si nécessaire, consulter des journaux d’activité.

6. Le fournisseur utilise-t-il les données pour ses propres finalités ?

Le contrat doit préciser si le prestataire agit uniquement sur instruction de la PME ou se réserve d’autres usages, par exemple pour le profilage, les statistiques ou le support.

7. Peut-on exporter et effacer les données ?

La réversibilité se teste avant de signer. Dans quel format récupère-t-on conversations, documents, réglages et journaux ? Sont-ils réutilisables ailleurs ? Comment confirme-t-on l’effacement après le départ ? Sans réponse, une dépendance opérationnelle s’installe.

8. Que se passe-t-il si le service change ou s’arrête ?

Tarifs, fonctions et modèles peuvent évoluer. La PME doit pouvoir maintenir une procédure manuelle, changer de fournisseur et conserver ses instructions métier hors de l’outil.

Une gouvernance légère, adaptée à une PME

Il n’est pas nécessaire de créer un règlement de cinquante pages. Une politique courte peut déjà fixer quatre niveaux : données publiques, internes, confidentielles et données personnelles sensibles. Pour chaque niveau, elle indique les outils autorisés, les informations à retirer et la validation requise.

La PME peut ensuite désigner une personne responsable des outils d’IA, tenir une liste des services approuvés et revoir périodiquement les comptes et les accès. Les collaborateurs doivent savoir qu’un abonnement personnel n’offre pas forcément les mêmes conditions qu’un contrat professionnel.

Sur un chantier, l’assistant peut structurer des notes vocales, préparer un compte rendu, repérer les informations manquantes dans une demande d’offre ou rédiger un courriel de suivi. Il prépare ; le responsable humain vérifie les faits, les montants, les engagements contractuels et les décisions techniques avant tout envoi. Cette règle évite de transformer une réponse plausible en instruction de chantier.

Garder la maîtrise sans renoncer aux usages utiles

La souveraineté des données n’impose pas de tout héberger soi-même. Elle demande de choisir en connaissance de cause : quelles données entrent dans l’outil, par quels acteurs elles passent, selon quelles règles et comment l’entreprise peut les récupérer.

Une IA bien cadrée reste un assistant opérationnel. Elle classe, résume, prépare et rappelle. La PME conserve la décision et la validation. C’est une manière concrète de mettre « L’IA qui fait tourner votre entreprise » au service du travail quotidien, sans lui céder la maîtrise des informations qui font sa valeur.

Vous voulez garder la maîtrise de votre IA et de vos données ?

Chez NeoService, nous exploitons nos propres serveurs et travaillons avec des modèles d’IA affinés pour des besoins métier précis. Cette approche nous permet de mieux maîtriser l’infrastructure, les accès et le traitement des données, plutôt que de dépendre uniquement d’outils d’IA grand public.

Nous pouvons aussi concevoir ce type d’environnement pour votre entreprise : hébergement sur une infrastructure adaptée, modèle spécialisé selon vos usages et règles claires sur les données autorisées. L’objectif n’est pas d’ajouter une IA de plus, mais de vous donner un assistant opérationnel qui travaille dans un cadre défini, avec une validation humaine.

Parlons de vos usages et des données que vous souhaitez garder sous contrôle.

Sources institutionnelles

• Fedlex — Loi fédérale sur la protection des données (LPD), RS 235.1 : https://www.fedlex.admin.ch/eli/cc/2022/491/fr
• PFPDT — IA et protection des données : https://www.edoeb.admin.ch/fr/ia-et-protection-des-donnees
• PFPDT — Recours à l’intelligence artificielle au quotidien – exemples pratiques : https://www.edoeb.admin.ch/fr/ia-au-quotidien
• PFPDT — Traitement de données dans un nuage informatique : https://www.edoeb.admin.ch/fr/traitement-de-donnees-dans-un-nuage-informatique
• PFPDT — Externalisation (sous-traitance) : https://www.edoeb.admin.ch/fr/externalisation-sous-traitance
• PFPDT — Communication de données à l’étranger : https://www.edoeb.admin.ch/fr/communication-de-donnees-a-letranger
• PFPDT — Analyse d’impact relative à la protection des données personnelles : https://www.edoeb.admin.ch/fr/analyse-dimpact-relative-a-la-protection-des-donnees-personnelles
• PFPDT — Sécurité de l’information : https://www.edoeb.admin.ch/fr/securite-de-linformation
• Office fédéral de la cybersécurité (OFCS/NCSC) — Informations pour des entreprises : https://www.ncsc.admin.ch/ncsc/fr/home/infos-fuer/infos-unternehmen.html