Protection des données IA en PME suisse : la grille d'un CTO

Dans les enquêtes publiées en 2026 sur l'adoption de l'IA, la sécurité revient comme un frein majeur. Dans l'une d'elles, réalisée en juillet, 19 % des répondants la citent comme deuxième obstacle au déploiement, derrière la qualité des données. Le paradoxe est visible dans les chiffres : selon AXA, environ 74 % des PME suisses testent ou utilisent déjà l'IA, et selon AWS, 60 % des entreprises qui l'ont adoptée restent sur des usages basiques. Beaucoup d'équipes avancent donc, mais prudemment, parfois sans règle claire. La protection des données IA en PME se joue là, dans l'écart entre l'usage réel et le cadre que la direction a défini.

Cet article ne se veut pas un exposé juridique. C'est la grille de lecture que nous utilisons quand un dirigeant ou un CTO nous demande s'il peut brancher de l'IA sur ses données clients sans prendre un risque inconsidéré. La réponse est presque toujours oui, à condition de poser trois questions dans le bon ordre : quelles données sont concernées, quel type d'outil convient, et où le traitement a lieu.

Commençons par les données elles-mêmes, parce que c'est là que se prennent les mauvaises décisions. Beaucoup de PME cherchent un outil sûr avant d'avoir classé ce qu'elles veulent protéger. Un classement simple suffit, en trois niveaux. Le premier regroupe les données qui ne doivent jamais quitter l'entreprise : plans et secrets de fabrication, conditions commerciales négociées, données de santé ou dossiers RH, identifiants et accès techniques. Le deuxième regroupe les données internes sans caractère critique, comme des procédures, des comptes rendus de réunion ou des documents de travail. Le troisième, ce sont les informations publiques ou déjà largement diffusées. Cette classification prend une demi-journée avec les bons interlocuteurs, et elle évite des mois de discussions abstraites.

Reste le cas des données clients, qui tombent entre deux niveaux. Un nom d'entreprise et une adresse de livraison ne posent pas le même problème qu'un historique de sinistres ou une fiche de paie. Notre règle de départ est la minimisation : on n'envoie à un modèle que ce dont il a besoin pour accomplir la tâche. Pour résumer un échange avec un client, le modèle n'a pas besoin de l'IBAN ni de la date de naissance. Souvent, il suffit de remplacer les éléments identifiants par des références avant l'appel, puis de les réinjecter dans la réponse. Ce travail se fait en amont, dans le code, et il ne dépend pas de la bonne volonté de chaque collaborateur.

Vient ensuite le choix de l'outil, et le premier réflexe consiste à se méfier du chatbot public. Le danger ne vient pas tant de l'outil que de l'usage. Un collaborateur pressé colle un contrat, un tableau de prix ou un extrait de base clients dans une interface grand public, depuis son compte personnel, et personne dans l'entreprise n'en sait rien. Les conditions de traitement varient d'une offre à l'autre, d'une version gratuite à une version professionnelle, et elles changent régulièrement. Nous ne prétendons pas les résumer ici : l'important est de ne jamais les supposer. Une PME qui n'a pas encore d'outil officiel a déjà des usages non officiels, et c'est le premier risque à traiter.

Les outils intégrés aux suites bureautiques, du type Copilot ou Gemini, constituent souvent la bonne première réponse. Si l'entreprise travaille déjà dans un environnement Microsoft ou Google avec un contrat professionnel, l'assistant s'appuie sur un cadre contractuel existant, des comptes d'entreprise et une administration centralisée. Pour rédiger, résumer, chercher dans des documents ou préparer des réunions, c'est généralement suffisant. Un point demande pourtant de la vigilance. Ces assistants voient ce que l'utilisateur voit. Si les droits d'accès du dossier partagé sont mal tenus depuis dix ans et que tout le monde peut ouvrir les fichiers de la direction, l'IA les retrouvera en deux secondes. Avant de déployer un assistant intégré, il faut donc nettoyer les permissions. L'outil ne crée pas le désordre, il le rend visible.

Quand faut-il aller plus loin avec une application sur mesure ? Dès que le besoin touche un processus métier précis et des données qui ne se trouvent pas dans la suite bureautique : un outil de devis alimenté par l'historique des chantiers, un portail fournisseur, un tableau de bord d'exploitation. Là, un assistant générique ne suffit plus. Une application dédiée permet de décider exactement quelles données entrent, lesquelles sont envoyées au modèle, lesquelles restent en base, et qui peut consulter quoi. C'est un avantage de sécurité réel, parce que le périmètre est étroit et maîtrisé, à l'inverse d'un outil généraliste qui ouvre tout par défaut.

Reste la question de l'hébergement en Suisse, souvent posée comme une évidence et rarement analysée. Elle devient décisive dans trois situations. D'abord, quand vos clients l'exigent par contrat, ce qui arrive fréquemment dans l'industrie, la santé ou avec des donneurs d'ordre publics. Ensuite, quand les données relèvent de votre niveau le plus sensible et que vous voulez limiter les juridictions impliquées. Enfin, quand votre direction a fixé une doctrine claire et préfère s'y tenir, même si elle coûte un peu plus cher. Dans les autres cas, un hébergement européen avec des garanties contractuelles solides peut suffire, mais cela se décide au cas par cas.

Un hébergement suisse ne règle toutefois pas tout, et c'est le piège le plus courant. Une base de données posée à Zurich ne dit rien de l'endroit où le modèle d'IA traite la requête, ni de l'emplacement des journaux d'appels, ni des sous-traitants impliqués. Trois questions permettent d'y voir clair avec n'importe quel fournisseur : où le traitement a-t-il lieu, qu'est-ce qui est conservé et pour combien de temps, et qui d'autre y a accès. Si la réponse reste floue, c'est déjà une information.

Sur la LPD, notre position est volontairement prudente. La loi révisée sur la protection des données est en vigueur depuis septembre 2023 et pose des exigences sur la transparence, la sous-traitance et les transferts de données vers l'étranger. Son application concrète à l'IA dépend de chaque situation : type de données, rôle de chaque acteur, contrats en place. Nous ne sommes pas juristes et nous ne donnons pas d'interprétation juridique. Ce que nous faisons, c'est préparer le terrain technique pour que votre conseil juridique ou votre responsable de la protection des données puisse travailler sur des faits : un schéma clair des flux, des contrats identifiés, des choix documentés. Pour toute question de conformité, le Préposé fédéral à la protection des données et à la transparence et un avocat spécialisé restent les bons interlocuteurs.

Voici comment nous cadrons les flux de données dès le départ d'un projet d'automatisation. Pendant la phase de diagnostic, avant d'écrire la moindre ligne de code, nous cartographions avec vous le trajet de chaque donnée : d'où elle vient, par où elle passe, où elle est stockée, ce qui part vers un modèle, qui peut la voir. Cette cartographie fait ressortir tôt les deux ou trois points sensibles, et elle permet de choisir l'architecture en connaissance de cause. Le détail des étapes est décrit dans notre méthode. Nous construisons ensuite sur une stack éprouvée (Next.js, Supabase) avec des droits d'accès par rôle au niveau de la base, des données minimisées avant tout appel à un modèle et une région d'hébergement choisie selon vos contraintes. Une première version utilisable sur un cas réel arrive en 3 à 6 semaines, avec des règles de données qui existent dès la première version et ne sont pas ajoutées après coup.

Cette discipline a un effet qu'on mesure mal au départ : elle débloque l'usage. Si 60 % des entreprises adoptantes restent sur des usages basiques, la peur de mal faire y est sans doute pour quelque chose. Quand les flux sont cartographiés et les limites posées, une direction ose confier à l'IA des tâches plus utiles que la rédaction d'e-mails : chiffrer un devis, trier des demandes fournisseurs, préparer un rapport de chantier. La sécurité sert alors de condition à l'ambition, et non de frein.

Si vous envisagez de déployer l'IA dans votre PME sans exposer vos données clients, le plus simple est de commencer par cette cartographie. Écrivez-nous pour une consultation gratuite : nous regarderons ensemble vos données, vos outils actuels et le cadre qui convient à votre entreprise, avant de parler de technologie.