IA souveraine en Suisse : pourquoi les données de vos clients ne doivent pas quitter le pays

En clair : héberger ses données en Suisse ne suffit plus si l'IA qui les lit tourne à l'étranger. Beaucoup d'outils gardent vos données en Suisse mais envoient le contenu des pièces à un modèle d'IA hébergé hors du pays — souvent aux États-Unis, parfois ailleurs — pour le traiter. Pour une fiduciaire tenue à la confidentialité, ce détour fait sortir l'information du pays. L'IA souveraine, modèles compris, hébergée en Suisse, ferme cette brèche.

Une fiduciaire manipule ce qu'une entreprise a de plus confidentiel : factures, salaires, comptes, situation fiscale de ses clients. En 2026, la souveraineté des données n'est plus un débat théorique, c'est un critère de conformité, un argument commercial, et dans certains cas une obligation. Le piège, c'est qu'on croit le problème réglé dès lors que les données « restent en Suisse ». C'est faux dès qu'une IA entre dans la boucle.

Parce qu'un logiciel peut stocker vos données en Suisse tout en les envoyant à un modèle d'IA hébergé à l'étranger pour les traiter. Au moment où une facture est lue par une IA hébergée hors de Suisse, son contenu quitte le pays, même une fraction de seconde, même si la base reste à Genève. La résidence des données et la résidence de l'IA sont deux questions distinctes.

Concrètement : beaucoup d'outils « suisses » branchent une IA grand public (ChatGPT, Claude) pour lire les pièces ou alimenter un assistant. La donnée part alors vers les serveurs du fournisseur d'IA, souvent aux États-Unis. C'est exactement le point que la plupart des cabinets ne vérifient pas.

Le Cloud Act (Clarifying Lawful Overseas Use of Data Act, loi américaine de 2018) autorise les autorités des États-Unis à exiger d'un fournisseur soumis à la juridiction américaine — toute société qui opère ou a une présence légale aux USA — l'accès aux données qu'il contrôle, où qu'elles soient stockées dans le monde. Un fournisseur d'IA dans ce périmètre y est exposé, même si ses serveurs sont en Europe.

Et ce n'est pas propre aux États-Unis. La loi chinoise sur le renseignement national (2017) oblige, à son article 7, organisations et citoyens à coopérer avec les services de renseignement — sa portée extraterritoriale exacte reste débattue, mais le principe vaut alerte. Même un hébergement dans l'UE ou en France reste, pour une fiduciaire suisse, un transfert hors de Suisse à encadrer. Le vrai critère n'est donc pas « américain ou non », mais : à quelle juridiction le fournisseur est-il soumis ?

Des accords encadrent les transferts vers les USA : le Data Privacy Framework UE-US (adopté en 2023) et son équivalent Suisse-US, reconnu par le Conseil fédéral avec effet au 15 septembre 2024 — mais uniquement pour les entreprises américaines certifiées. Leur solidité est contestée : l'accord précédent, le Privacy Shield, a été invalidé par la Cour de justice de l'UE en juillet 2020 (arrêt Schrems II), après le Safe Harbor en 2015, et plusieurs juristes anticipent un scénario similaire. Rien n'est tranché, et c'est précisément l'incertitude qui constitue un risque : un transfert légal aujourd'hui peut ne plus l'être demain. Voir l'analyse sur le Cloud Act et la souveraineté numérique suisse.

À noter : présenté comme une hypothèse de juristes, pas comme un fait acquis. Mais pour un cabinet, planifier sur une base stable vaut mieux que subir une migration dans l'urgence si le cadre change.

La nLPD (nouvelle Loi sur la protection des données, en vigueur depuis le 1er septembre 2023) impose de protéger les données personnelles, de documenter les traitements et d'encadrer tout transfert hors de Suisse. Le PFPDT (Préposé fédéral à la protection des données et à la transparence, l'autorité de surveillance suisse) alerte sur le risque d'accès par des autorités étrangères aux données confiées à un fournisseur soumis à un droit étranger, et exige que tout transfert hors de Suisse repose sur un pays jugé adéquat ou des garanties appropriées. À cela s'ajoutent, pour une fiduciaire, des obligations de confidentialité envers ses clients : confier des pièces à un sous-traitant qui les expédie hors du pays mérite, a minima, d'être documenté et maîtrisé.

En pratique, deux garde-fous contractuels sont incontournables avec tout outil IA : la garantie de non-entraînement sur vos données (vos pièces ne servent pas à entraîner le modèle), et la traçabilité du traitement dans votre registre. Sans ces garanties, l'usage de l'IA fragilise votre conformité plutôt qu'il ne l'améliore.

Pour les tâches comptables courantes, oui. Les meilleurs modèles ouverts récents (familles Gemma, Llama, Qwen) se rapprochent fortement des modèles propriétaires sur les tâches professionnelles usuelles — lecture, extraction, classification — et tournent sur du matériel hébergé en Suisse. L'écart subsiste surtout sur le raisonnement complexe, ce que lire, extraire et classer une facture ne requiert pas. Un modèle souverain bien intégré suffit, et il reste dans le pays.

Côté infrastructure, des hébergeurs suisses comme Infomaniak proposent données et calcul d'IA en Suisse, certifiés ISO 27001 (norme internationale de sécurité de l'information) et hors périmètre du Cloud Act. Le 13 mai 2026, le fondateur d'Infomaniak a transféré la majorité des droits de vote à la Fondation Infomaniak, une fondation suisse d'utilité publique, rendant tout rachat impossible sans son accord — un signal de stabilité pour qui mise sur le long terme. Voir Infomaniak et la souveraineté numérique.

Avant de confier vos mandats à un outil, posez ces questions et exigez des réponses écrites. Elles séparent un « hébergement suisse » réel d'un argument marketing.

Pour une fiduciaire, garder données et IA en Suisse n'est pas qu'une question de conformité : c'est un argument vis-à-vis de vos clients. Pouvoir affirmer que leurs pièces ne quittent jamais le pays, ni au stockage ni au traitement, rassure et différencie, à l'heure où la souveraineté devient un critère de choix.

La bonne question à se poser n'est donc pas « mes données sont-elles en Suisse ? », mais « où tourne l'IA qui les lit ? ». Posez-la à votre éditeur. La réponse vous dira si votre souveraineté est réelle ou seulement affichée.

Article rédigé sur la base des sources disponibles en juin 2026. Le cadre légal (DPF, jurisprudence) évolue ; nous mettons l’article à jour régulièrement.

Sources :

• Préposé fédéral à la protection des données et à la transparence (PFPDT)
• Texte de la nLPD (RS 235.1)
• US Department of Justice — CLOUD Act resources
• Conseil fédéral — reconnaissance du Data Privacy Framework Suisse-US (2024)
• Cloud Act et souveraineté numérique suisse (analyse)
• Infomaniak — passage sous fondation suisse d’utilité publique (13 mai 2026)