L’IA souveraine est une intelligence artificielle dont le chemin de données complet — inférence des modèles, stockage vectoriel, archive documentaire, sauvegardes et journaux — tourne sous une seule juridiction choisie. Pour les organisations suisses, cette juridiction est la Suisse : données protégées par le droit suisse, traitées dans des datacenters suisses, par des prestataires qu’aucune autorité étrangère ne peut contraindre.
Pourquoi « hébergé dans une région UE/CH » n’est pas de la souveraineté
L’emplacement d’un serveur n’est pas l’emplacement du contrôle juridique. Sous le CLOUD Act américain, les prestataires de droit américain peuvent être contraints de remettre les données qu’ils contrôlent, peu importe où se trouve le serveur — une région zurichoise opérée par un hyperscaler américain reste à portée des procédures américaines. La vraie souveraineté exige donc les deux : une infrastructure suisse et des opérateurs sous contrôle suisse sur toute la pile.
Qui en a besoin
- Banques et assureurs sous secret bancaire (art. 47 LB) et circulaires FINMA d’externalisation.
- Avocats, notaires et médecins sous secret professionnel (art. 321 CP).
- Administrations publiques, liées par le droit des marchés publics, les lois cantonales de protection des données et la responsabilité politique.
- Toute entreprise dont les contrats, designs ou recherches constituent une substance concurrentielle à ne pas exposer à des juridictions étrangères.
La pile suisse d’IA souveraine, concrètement
L’IA souveraine est praticable en Suisse aujourd’hui : des fournisseurs d’IA suisses servent des modèles open-weight et des embeddings depuis des datacenters suisses ; des clouds suisses fournissent calcul et stockage objet à Genève et Zurich ; et le chiffrement par client (AES-256-GCM) garantit que même l’opérateur ne peut pas lire les contenus. SovraRAG est construit exactement ainsi — zéro service de droit américain dans tout le chemin des données.
Checklist fournisseur : six questions
- Où tourne l’inférence — pas seulement le stockage ?
- Chaque sous-traitant du chemin de données est-il incorporé hors juridiction américaine ?
- Les données sont-elles chiffrées avec des clés par client avant stockage, et qui détient la clé maître ?
- Où vivent sauvegardes et journaux, et combien de temps ?
- L’opérateur peut-il techniquement lire les contenus (« aveugle » ou non) ?
- Existe-t-il un journal d’audit et de requêtes complet pour les revues de conformité ?
Un fournisseur qui ne peut pas répondre aux six par écrit vend du cloud IA avec un drapeau suisse — pas de l’IA souveraine.