Tous les fournisseurs de RAG qui vendent en Suisse disent « hébergé en Suisse ». Douze questions suffisent à savoir si c’est de l’architecture ou du marketing. Envoyez-les telles quelles et exigez des réponses écrites ; une plateforme RAG suisse réellement souveraine répond aux douze sur une page.
Parcours des données et juridiction
- Où s’exécute l’inférence ? Pas le stockage — l’inférence. La réponse doit nommer un pays et un opérateur. « Notre région cloud est en Suisse » ne répond pas si l’API du modèle est ailleurs.
- Où sont calculés les embeddings et où vivent les vecteurs ? Les API d’embedding sont le transfert transfrontalier le plus souvent oublié d’une pile RAG.
- Chaque sous-traitant du parcours est-il incorporé hors juridiction américaine ? Demandez la liste, avec noms de sociétés et pays. Une liste courte est bon signe.
- Où vivent les sauvegardes et les journaux, et combien de temps ? Les sauvegardes sont des copies de votre corpus ; un stockage principal suisse avec une région de sauvegarde étrangère annule l’exercice.
Chiffrement et accès
- L’opérateur peut-il techniquement lire les contenus clients ? Les réponses honnêtes sont oui ou non, pas « nous ne le faisons pas ». Demandez quand le chiffrement est appliqué — avant le stockage ou par l’hébergeur — et qui détient la clé.
- Le chiffrement est-il par client ou global ? Une clé pour tous les clients, c’est une compromission pour tous les clients.
- Le contrôle d’accès est-il appliqué par document au moment de la recherche ? Si les ACL n’agissent que dans l’interface, une question bien tournée ramènera quand même du contenu restreint.
- Les réponses citent-elles leurs sources ? Sans citations au niveau du passage, vous ne pouvez ni auditer une réponse ni détecter que le modèle s’est éloigné des preuves.
Conformité et sortie
- L’effacement est-il en cascade ? Supprimer un document doit supprimer ses fragments, ses vecteurs et ses entrées de graphe — sinon le droit d’effacement de la nLPD est inapplicable. Faites-le démontrer.
- Que contient le journal d’audit, et pouvez-vous l’exporter ? Un contrôle régulé exige : qui a demandé quoi, sur quels documents, quand.
- Que se passe-t-il à la fin du contrat ? Format d’export, attestation d’effacement, délai — dans le contrat, pas dans la présentation commerciale.
- Un déploiement mono-client est-il possible si le régulateur l’exige ? Un fournisseur avec une option dédiée a pensé aux clients régulés ; les autres renégocient l’architecture en plein audit.
Comment noter les réponses
Des réponses écrites aux douze questions, avec pays et opérateurs nommés, indiquent une plateforme conçue pour la souveraineté. Des assurances orales sur les questions 1 à 4, ou un refus d’énumérer les sous-traitants, signifient que le parcours comporte des segments que le fournisseur préfère ne pas détailler — ce qui est déjà la réponse. Sur les questions 5 à 8, la formule « chiffré au repos » se réduit généralement à « chiffré par notre hébergeur, qui détient les clés ».
SovraRAG publie ses réponses aux douze : cloud IA suisse pour l’inférence et les embeddings, centre de données genevois pour le calcul et le stockage objet, sauvegardes dans le même bucket suisse, AES-256-GCM par client avant stockage, ACL dans la couche de recherche, effacement en cascade, journaux d’audit et de requêtes complets, et un palier mono-client dédié. Demandez-nous la fiche ou commencez par la page RAG suisse.
Cet article fournit une information générale et ne constitue pas un conseil juridique.