Pour un établissement surveillé par la FINMA, acheter une plateforme RAG n’est pas un achat logiciel : c’est une externalisation à évaluer, documenter et surveiller. La question de l’autorité n’est pas de savoir si l’IA est bonne, mais si l’établissement a gardé le contrôle, sait où vont les données identifiant les clients, et peut continuer à fonctionner si le fournisseur défaille.
Un déploiement RAG est-il « significatif » ?
Les attentes de la FINMA en matière d’externalisation reposent sur le caractère significatif : une fonction l’est si sa défaillance compromettrait sérieusement la continuité des activités, le respect des obligations réglementaires ou le profil de risque. Un pilote où trois analystes interrogent des études publiques ne l’est probablement pas. Une plateforme qui indexe des dossiers clients, des dossiers de crédit ou des sinistres, intégrée aux processus de conseil ou de souscription, l’est généralement — et rejoint alors l’inventaire des externalisations avec un responsable nommé.
Deux propriétés poussent un système RAG vers le caractère significatif plus vite qu’on ne l’imagine : il concentre en un index unique des données identifiant les clients issues de multiples silos, et ses résultats alimentent des décisions. Les deux augmentent la portée d’une défaillance.
Les cinq points à documenter
- L’emplacement des données, par composant. Inférence, embeddings, base vectorielle, archive documentaire, sauvegardes, journaux. Pas une phrase sur « le cloud » — six réponses avec pays et opérateurs.
- La chaîne de sous-traitance. L’autorité s’intéresse à ceux dont dépend votre fournisseur. Dans une pile RAG : fournisseur de modèle, fournisseur d’embeddings, éventuels services de reranking ou d’OCR, opérateur d’infrastructure. Exigez une notification préalable en cas de changement.
- Secret bancaire et secret professionnel. L’exposition à l’art. 47 LB porte sur les données identifiant les clients (CID). Si des passages de dossiers clients voyagent dans un prompt vers une API de modèle étrangère, il y a divulgation — indépendamment du lieu de l’archive. Un chiffrement que l’opérateur ne peut contourner change substantiellement cette analyse.
- Droits d’audit et d’inspection. L’établissement, ses auditeurs et la FINMA doivent pouvoir inspecter le service. À sécuriser contractuellement, y compris pour les sous-traitants significatifs.
- Continuité et sortie. Que se passe-t-il si le fournisseur défaille : objectifs de rétablissement documentés, export des données dans un format utilisable et un plan de sortie qui ne dépend pas de la bonne volonté du fournisseur.
Pourquoi un parcours suisse simplifie les cinq
Chacun de ces points devient nettement plus simple quand tout le pipeline reste dans une seule juridiction. Pas d’analyse de transfert, pas de note sur les conflits de lois liés au CLOUD Act, pas de sous-traitant étranger à qui arracher des droits d’audit, et la question des CID se réduit à une contrepartie contractuelle de droit suisse. C’est la raison pratique pour laquelle les établissements suisses régulés se tournent vers une plateforme RAG suisse plutôt que de négocier des garanties autour d’une pile américaine : c’est le travail de conformité qui diminue, pas seulement le risque.
Les contrôles que l’autorité veut voir fonctionner
| Attente | À démontrer |
|---|---|
| Données confinées en Suisse | Opérateurs nommés pour l’inférence, les embeddings, le stockage et les sauvegardes ; aucun service de droit américain dans le parcours |
| Confidentialité des CID | Chiffrement par client avant stockage ; l’opérateur ne peut pas déchiffrer |
| Accès au besoin d’en connaître | Contrôle d’accès par document dans la couche de recherche, pas seulement dans l’interface |
| Traçabilité | Journaux de requêtes et d’audit : qui a demandé quoi, sur quels documents, quand — exportables |
| Vérifiabilité des résultats | Chaque réponse cite les passages utilisés, pour qu’un relecteur puisse contrôler |
| Continuité et sortie | Objectifs de rétablissement, format d’export, attestation d’effacement |
Ce que cela donne en pratique
SovraRAG est conçu exactement contre cette liste : parcours de données exclusivement suisse, chiffrement par client aveugle à l’opérateur, contrôle d’accès dans la couche de recherche, journaux d’audit et de requêtes complets, réponses citées et une option de déploiement mono-client dédié pour les établissements dont l’autorité exige une séparation d’infrastructure. Le détail sectoriel pour la banque et la gestion de fortune et pour les assureurs présente les cas d’usage typiques.
Cet article décrit de manière générale des attentes prudentielles et ne constitue pas un conseil juridique ou réglementaire. Évaluez le caractère significatif avec votre propre fonction conformité.