Intelligence artificielle en Suisse : droit, lieu des données, fournisseurs
L’intelligence artificielle en Suisse n’a pas de loi propre. C’est la loi révisée sur la protection des données qui s’applique, en vigueur depuis le 1er septembre 2023, et elle est formulée de manière neutre sur le plan technologique : dès qu’un système d’IA traite des données personnelles, elle s’applique directement. Vectoryon est une plateforme d’IA suisse de k-innovations GmbH, dont le siège est à Recherswil et le bureau à Berne, à partir de CHF 49 par personne et par mois, avec conservation des données en Suisse et dans l’UE. Cette page explique la situation juridique, les points à vérifier lors du choix d’un fournisseur et les cas où le lieu des données compte vraiment.
Ce texte s’adresse aux personnes qui doivent décider de l’usage dans une entreprise et veulent connaître les obligations, pas les slogans. Il ne constitue pas un conseil juridique. Pour savoir quelles tâches sont rentables : Intelligence artificielle pour PME. Pour clarifier les notions : Qu’est-ce qu’un assistant IA ? et Qu’est-ce qu’un agent IA ?.
Quelles règles s’appliquent en Suisse
La Suisse n’a pas de loi sur l’IA. Le Préposé fédéral à la protection des données et à la transparence retient que la loi révisée sur la protection des données est neutre sur le plan technologique et s’applique donc directement à l’intelligence artificielle. Tant qu’un système ne traite aucune donnée personnelle, il ne relève ni de cette loi ni de la compétence de l’autorité. Dès que des données personnelles sont en jeu, elle s’applique pleinement.
Trois obligations touchent le quotidien plus que les autres. Premièrement la transparence : les personnes concernées doivent savoir que des données sont traitées et à quelle fin. Deuxièmement le droit d’opposition aux décisions purement automatisées ayant un effet important. Troisièmement l’analyse d’impact relative à la protection des données selon l’article 22, nécessaire lorsque le traitement peut entraîner un risque élevé pour la personnalité ou les droits fondamentaux. L’article 7 exige en outre la protection des données dès la conception, donc dès la planification, avec des réglages par défaut limités au nécessaire.
La Suisse a signé en mars 2025 la convention du Conseil de l’Europe sur l’IA. La transposition en droit interne est en cours, un projet doit être élaboré jusqu’à fin 2026. Cela ne change rien aux décisions actuelles, mais constitue un point à surveiller pour les contrats pluriannuels.
Une précision sur les sanctions, souvent mal comprise : la loi révisée sur la protection des données ne connaît pas d’amendes contre les entreprises comme le règlement européen. Les amendes jusqu’à CHF 250’000 visent les personnes physiques responsables. Le risque se déplace ainsi de la caisse de l’entreprise vers la personne qui a décidé.
Pourquoi le lieu des données compte, et quand il ne compte pas
La communication de données personnelles à l’étranger n’est pas permise sans autre. Elle suppose que le pays de destination offre un niveau de protection adéquat, sinon des garanties supplémentaires sont nécessaires. Du point de vue suisse, les États-Unis ne disposent pas d’un niveau d’adéquation général ; l’autorité reconnaît toutefois le Swiss-U.S. Data Privacy Framework pour les destinataires certifiés. Selon l’article 19 alinéa 4, il faut informer d’une communication à l’étranger, en indiquant l’État de destination.
Si les données se trouvent en Suisse, la question du transfert vers un pays tiers ne se pose pas du tout. C’est là l’avantage réel, et non un sentiment de sécurité. Cela raccourcit l’examen qui devrait sinon justifier chaque traitement séparément.
Là où le lieu des données devient juridiquement contraignant : données salariales, dossiers de personnel, indications de santé, dossiers de mandants, tout ce qui relève du secret professionnel. Pour l’avocature, la fiduciaire et la médecine, la question n’est pas le confort, mais la licéité même de l’usage.
Pour les tâches sans lien avec une personne, la loi n’exige aucun lieu de données suisse. Une traduction, une question de formule, une recherche générale ne relèvent pas de la loi sur la protection des données. Une exploitation en Suisse reste néanmoins judicieuse, pour des motifs étrangers à la protection des données : des secrets d’affaires se cachent aussi dans des textes sans nom, par exemple dans une stratégie de prix ou un détail de construction. Une relation juridique de droit suisse s’impose plus facilement en cas de litige. Et qui utilise un seul environnement pour toutes les tâches s’épargne l’examen au cas par cas de la destination de chaque requête.
Cette distinction n’est donc pas une question de coûts, mais de risque. La contrainte juridique ne vaut que pour les données personnelles. L’intérêt opérationnel d’un traitement en Suisse porte plus loin.
Où Vectoryon conserve les données
Vectoryon est exploité par k-innovations GmbH, Hüseliring 20, 4565 Recherswil dans le canton de Soleure, IDE CHE-245.591.828. Le bureau se trouve au Waldhöheweg 33 à 3013 Berne.
Les données sont traitées et conservées en Suisse et dans l’UE. Il n’y a aucune communication à des destinataires dans des pays tiers, et aucun service américain n’est utilisé. La base de données et l’exploitation de la plateforme se trouvent dans des centres de calcul suisses, une partie du traitement a lieu dans l’UE. Des contrats existent avec tous les sous-traitants selon l’article 9 de la loi révisée sur la protection des données et l’article 28 du règlement européen. La liste complète des sous-traitants avec leurs régions figure dans la déclaration de protection des données.
Qui relie son propre tenant Microsoft choisit lui-même la région, Suisse ou UE, et les données y restent. Avec cette liaison s’appliquent en plus les conditions contractuelles de Microsoft et leur avenant relatif à la protection des données.
Ce que cela n’est pas : la promesse que chaque octet touche uniquement la Suisse. Une partie du traitement se situe dans l’UE, et cela figure ouvertement dans la déclaration de protection des données. Qui a besoin d’une chaîne purement suisse sans part dans l’UE doit le demander, plutôt que de le supposer.
Quatre types de données et leurs exigences
Ce classement est une aide de travail, pas un renseignement juridique. En cas de doute, la personne spécialisée décide.
| Type de données | Exemple | Ce que la loi exige | Ce qui compte en plus dans l’entreprise |
|---|---|---|---|
| sans lien avec une personne | texte publicitaire, question de formule | aucune prescription sur le lieu | secret d’affaires, droit applicable |
| données personnelles ordinaires | nom de client, adresse | contrat de sous-traitance, transparence | qui peut y accéder en interne |
| données sensibles | santé, salaire, religion | lieu des données clarifié, examiner l’analyse d’impact | journal de chaque requête |
| secret professionnel | dossier de mandant, dossier patient | lieu des données clarifié, examiner le consentement | règles professionnelles, concept d’accès |
Les comptes privés et gratuits des grands services de discussion ne comportent aucun contrat de sous-traitance et ne conviennent pas aux trois dernières lignes. Les contrats professionnels des mêmes fournisseurs sont différents et doivent être examinés au cas par cas.
Les limites de cette page et de Vectoryon
- Cette page n’est pas un conseil juridique. L’appréciation d’un cas concret requiert une personne spécialisée.
- Vectoryon conserve les données en Suisse et dans l’UE, pas exclusivement en Suisse. Les régions par sous-traitant figurent dans la déclaration de protection des données.
- Personne ne peut reprendre à votre place une analyse d’impact selon l’article 22. Elle incombe à l’entreprise responsable des données.
- Vectoryon n’établit ni registre des activités de traitement ni concept d’accès pour l’entreprise cliente.
- L’assistant ne décide pas de manière autonome. Les étapes ayant un effet vers l’extérieur passent au préalable par un être humain.
- Vectoryon ne crée ni images ni vidéos et ne tient aucune comptabilité.
Détails
Comment reconnaître un fournisseur approprié
Première question : existe-t-il un contrat de sous-traitance ? Qui confie des données personnelles à un système d’IA tiers fait traiter ces données sur mandat. L’article 9 exige à cet effet une base contractuelle qui règle la sécurité des données et désigne les sous-traitants ultérieurs. Pour les abonnements privés de chatbots, ce contrat n’existe typiquement pas. La responsabilité reste dans tous les cas à l’entreprise, même avec un bon contrat.
Deuxième question : les saisies servent-elles à l’entraînement ? Chez plusieurs fournisseurs, c’est la règle dans les niveaux gratuits et les comptes privés, sauf désactivation. La réponse doit figurer par écrit dans le contrat, pas dans une présentation commerciale.
Troisième question : quelles régions, et qui sont les sous-traitants ultérieurs ? Un fournisseur incapable de nommer cette liste n’est pas un partenaire approprié pour des données personnelles. La liste doit être publique, pas disponible sur demande.
Quatrième question : existe-t-il un journal des accès ? Sans journal, il est impossible de démontrer plus tard quelles données ont alimenté une réponse. Pour les domaines soumis au secret professionnel, c’est une condition, pas une fonction supplémentaire.
Cinquième question, souvent absente : qui répond si le modèle affirme quelque chose de faux et que quelqu’un agit en conséquence ? La réponse sobre est presque toujours : l’entreprise qui l’a utilisé. C’est pourquoi la validation par un être humain reste le principal garde-fou.
L’EU AI Act et les entreprises suisses
L’EU AI Act ne s’applique pas directement aux entreprises suisses. Il peut néanmoins les atteindre lorsqu’un système d’IA ou ses résultats sont proposés sur le marché de l’UE. Les obligations entrent en vigueur par étapes entre février 2025 et août 2027.
Concrètement : une entreprise active uniquement en Suisse n’a rien à faire ici. Une entreprise qui sert des clients dans l’UE ou y livre des résultats vérifie si son cas d’usage relève des classes de risque.
Comme cadre d’organisation, la norme ISO/IEC 42001 se prête bien. Elle reprend structurellement des exigences centrales : gestion des risques, gouvernance des données, transparence et supervision humaine. Elle n’est pas obligatoire, mais évite d’inventer la structure soi-même.
Ce que l’on recherche en Suisse, et ce que cela signifie
Selon une mesure de mots-clés du 27 août 2026 pour le marché suisse : le terme "künstliche intelligenz schweiz" totalise 210 recherches par mois, "ki beratung schweiz" 50 pour un coût par clic de CHF 22.73, "ki agentur schweiz" 30 pour CHF 20.53. La forme écrite en entier dépasse nettement l’abréviation.
Ce qui est remarquable, c’est ce qui n’a aucun volume : "ki hosting schweiz", "schweizer ki plattform", "ki datenschutz schweiz" et "ki ohne usa" se situent tous à zéro recherche mesurable. L’angle de la souveraineté convainc en entretien de vente, mais presque personne ne le cherche sur Google.
D’où une appréciation honnête de cette page : elle est conçue comme document de référence, pour les entretiens et pour la question que les personnes intéressées posent aujourd’hui à un modèle de langage, à savoir quelle IA peut être utilisée en Suisse pour des données sensibles. L’angle du site d’implantation ne constitue pas une grande source de trafic, et nous ne l’affirmons pas.
Questions fréquentes
Existe-t-il une loi sur l’IA en Suisse ?
Non. C’est la loi révisée sur la protection des données qui s’applique, en vigueur depuis le 1er septembre 2023. Elle est neutre sur le plan technologique et s’applique dès qu’un système d’IA traite des données personnelles. La Suisse a signé en mars 2025 la convention du Conseil de l’Europe sur l’IA, un projet de transposition doit être élaboré jusqu’à fin 2026.
Puis-je utiliser ChatGPT dans une entreprise suisse ?
Pour des tâches sans lien avec une personne, oui. Dès que des données personnelles y entrent, une base contractuelle selon l’article 9 est nécessaire, donc un contrat de sous-traitance. Pour les comptes privés et gratuits, ce contrat n’existe typiquement pas. Pour les données sensibles et le secret professionnel, il faut y renoncer.
Les données doivent-elles se trouver en Suisse ?
La loi ne prescrit pas un lieu de données suisse. Elle exige qu’une communication à l’étranger n’ait lieu que si le pays de destination offre une protection adéquate ou que des garanties supplémentaires existent, et qu’il soit informé de la communication avec l’État de destination. Conserver les données en Suisse évite cet examen. Indépendamment de la loi, des motifs opérationnels y plaident : des secrets d’affaires se cachent aussi dans des documents sans nom de personne, et une relation juridique de droit suisse s’impose plus facilement en cas de litige.
Où Vectoryon conserve-t-il les données ?
En Suisse et dans l’UE, sans transmission vers des pays tiers et sans service américain. La base de données et l’exploitation de la plateforme se situent dans des centres de calcul suisses, une partie du traitement a lieu dans l’UE. La liste complète des sous-traitants avec leurs régions figure dans la déclaration de protection des données.
À combien s’élèvent les amendes en cas d’infraction ?
Jusqu’à CHF 250’000, et cela contre les personnes physiques responsables, non contre l’entreprise. C’est ce qui distingue la loi révisée sur la protection des données du règlement européen, qui prévoit des amendes contre les entreprises.
L’EU AI Act s’applique-t-il aux entreprises suisses ?
Pas directement. Il peut s’appliquer lorsque des systèmes d’IA ou leurs résultats sont proposés sur le marché de l’UE. Les obligations entrent en vigueur par étapes entre février 2025 et août 2027. Comme cadre d’organisation, la norme ISO/IEC 42001 se prête bien.
Ai-je besoin d’une analyse d’impact relative à la protection des données ?
Selon l’article 22, lorsque le traitement peut entraîner un risque élevé pour la personnalité ou les droits fondamentaux. Cela doit être examiné pour les données sensibles et pour une évaluation automatisée de grande ampleur. L’analyse reste la tâche de l’entreprise responsable.
Pour aller plus loin
- Intelligence artificielle pour PME Quelles tâches sont rentables, ce que coûte la mise en place.
- Qu’est-ce qu’un assistant IA ? Définition, différences avec agent et chatbot, limites.
- Qu’est-ce qu’un agent IA ? Comment un agent appelle des outils et où l’humain décide.
- Aperçu des outils IA Huit outils par tâche, prix et lieu des données.
- Déclaration de protection des données Tous les sous-traitants avec régions et bases légales.
- L’IA au bureau fiduciaire Lire des pièces et préparer des écritures, avec les limites.
- Prix Les niveaux actuels à partir de CHF 49 par personne et par mois.