La gestion des données en Suisse n’est plus une simple question technique de stockage et de sauvegarde, mais une priorité stratégique à l’intersection du droit, de la géopolitique et de la compétitivité économique. Avec l’entrée en vigueur de la nouvelle Loi fédérale sur la protection des données (nLPD), des réglementations sectorielles de plus en plus strictes telles que celles de la FINMA pour les institutions financières, et les discussions autour d’une éventuelle adoption de l’AI Act en Suisse, les entreprises suisses sont confrontées à une question fondamentale : où se trouvent les données, qui les contrôle et sont-elles utilisées pour entraîner des modèles d’IA ? 

Résidence vs souveraineté : comprendre la différence 

La première étape pour comprendre les enjeux de la gouvernance des données consiste à distinguer deux concepts souvent utilisés comme synonymes mais fondamentalement différents : la résidence des données et la souveraineté des données. 

La résidence des données concerne leur emplacement physique. Si les serveurs hébergeant les informations de l’entreprise sont situés dans un centre de données à Zurich, ces données « résident » en Suisse. Il s’agit d’un critère géographique, tangible, vérifiable par des certifications d’infrastructure. 

Pendant des années, de nombreuses organisations ont considéré la résidence des données comme suffisante : si les données sont physiquement en Suisse, elles sont protégées par la législation suisse. Cette conviction se heurte toutefois à une réalité juridique souvent bien plus complexe. 

La souveraineté des données concerne quant à elle la juridiction légale. Quelles lois s’appliquent aux données ? Qui dispose du droit légal d’y accéder ? Et c’est là qu’apparaît un problème fondamental : la résidence ne garantit pas la souveraineté. 

Par exemple, une entreprise suisse peut confier ses données à un fournisseur cloud international disposant de centres de données en Suisse, respectant ainsi la résidence physique. Toutefois, si ce fournisseur est une société américaine, les données peuvent rester soumises au droit fédéral américain, qui autorise les autorités américaines à demander l’accès aux données contrôlées par des entreprises américaines, indépendamment de leur localisation physique. 

Autrement dit, un centre de données à Zurich exploité par une entreprise américaine n’offre pas de protection juridique contre des demandes émanant de Washington. La souveraineté des données dépend de la nationalité du fournisseur de services, et non de la géographie des serveurs. 

Les entreprises ne peuvent donc plus se contenter d’affirmer que « les données sont en Suisse ». Elles doivent démontrer que les données relèvent exclusivement de la juridiction suisse et qu’elles sont protégées contre toute demande extraterritoriale de gouvernements étrangers. 

Les risques des Big Tech d’outre-Atlantique 

L’expansion en Suisse des géants de l’analyse de données et de l’intelligence artificielle illustre parfaitement les risques potentiels liés à une dépendance technologique envers des fournisseurs étrangers. 

Même si ces acteurs affirment opérer en tant que « simples sous-traitants », ne pas entraîner leurs modèles d’IA sur les données des clients et maintenir des environnements isolés, plusieurs risques subsistent. Parmi eux figurent l’ingérence extraterritoriale et une incertitude juridique générale en cas de conflit entre les obligations contractuelles envers les clients suisses et les obligations légales envers des gouvernements étrangers. Cela peut entraîner des conséquences négatives en termes de réputation, de potentielles violations réglementaires et une certaine ambiguïté éthique pour les entreprises suisses. 

La réponse suisse : vers une IA souveraine 

Face à ces enjeux, un modèle alternatif de Private AI suisse est en train d’émerger, auquel Artificialy participe activement. Ce modèle repose sur une proposition de valeur qu’aucun acteur global ne peut offrir : la certitude juridique de la souveraineté des données. 

Un excellent exemple national de cette approche est le projet Apertus, le premier modèle d’intelligence artificielle suisse ouvert, transparent et multilingue, développé par l’EPFL, l’ETH Zurich et le CSCS. 

Artificialy travaille également avec des modèles open source afin de permettre aux entreprises de choisir des modèles d’IA privés et locaux plutôt que de dépendre de GPT ou de Claude. Cette approche garantit une personnalisation totale des solutions, un principe de privacy-by-design et la conservation de la propriété intellectuelle des modèles entraînés à partir des données d’entreprise. 

La solution la plus radicale en matière de souveraineté est le déploiement on-premises.
La Private AI Suite d’Artificialy permet par exemple d’installer des modèles d’intelligence artificielle directement sur les serveurs physiques du client, à l’intérieur de son périmètre de sécurité. Un autre exemple concret est le récent pas franchi par le Canton du Tessin vers la souveraineté numérique et la protection des données sensibles des citoyens. Le Centro sistemi informativi (CSI) a mis en œuvre un nouveau système de traduction automatique basé sur Apertus, le modèle linguistique suisse open source développé dans le cadre de la « Swiss AI Initiative » par l’ETH Zurich, l’EPFL et le Centre national suisse de calcul scientifique (CSCS). Il s’agit du premier usage opérationnel d’Apertus par une entité publique suisse. La solution, développée par Artificialy, est hébergée sur l’infrastructure du CSI et garantit un contrôle total des données. 

Cette approche offre des avantages clairs, notamment un contrôle physique total , les données ne quittant jamais l’infrastructure du client , ainsi qu’une conformité garantie, ce qui la rend idéale pour les administrations publiques et les secteurs fortement réglementés tels que la santé et la finance. 

Le modèle on-premises élimine le risque à la source : si les données ne traversent jamais de frontières physiques ou juridiques, il n’existe aucune zone grise réglementaire et elles ne peuvent pas être utilisées à des fins de réentraînement. 

Toutes les organisations ne peuvent cependant pas, ou ne souhaitent pas, gérer des infrastructures locales. Dans ces cas, la solution réside dans le Swiss Hosting certifié : des centres de données 100 % suisses, gérés par des entités suisses, garantissant que toute la chaîne – du matériel à la gouvernance – reste sous juridiction helvétique. 

Artificialy s’appuie sur des partenaires spécialisés proposant ce modèle garanti, qui combine la flexibilité du cloud avec la certitude juridique de la souveraineté nationale des données.