Résumé : Un hébergement en Suisse ne suffit pas à garantir la conformité à la nLPD : la loi encadre la sous-traitance (art. 9), les transferts de données à l'étranger (art. 16 et 17) et la responsabilité du traitement, des obligations que l'emplacement physique des serveurs ne couvre pas seul. Pour qu'une solution IA soit réellement conforme, un cabinet fiduciaire doit examiner qui traite les données, sous quel contrat, et si le code ou le modèle envoie des requêtes vers des infrastructures tierces hors de Suisse.
Hébergement suisse et nLPD : ce que la loi dit vraiment
La nLPD ne désigne pas un lieu d'hébergement comme critère de conformité : elle désigne le responsable du traitement et les obligations qui lui incombent vis-à-vis des personnes concernées.
Ce que la nLPD exige concrètement des responsables du traitement
Un cabinet fiduciaire qui déploie une solution IA devient responsable du traitement au sens de la nLPD. Cela implique, entre autres : tenir un registre des activités de traitement, informer les personnes concernées (clients, employés), conclure des contrats de sous-traitance conformes avec chaque prestataire qui touche aux données, et encadrer tout transfert vers un État ne disposant pas d'un niveau de protection adéquat reconnu par le Conseil fédéral.
Ces obligations ne sont pas remplies par défaut parce qu'un fournisseur affiche "data center en Suisse" sur sa page d'accueil.
Ce qu'un datacenter suisse ne garantit pas à lui seul
Un serveur localisé en Suisse ne dit rien sur trois points critiques. Premièrement, le modèle de langage sous-jacent : la grande majorité des solutions IA SaaS envoient les requêtes vers des API hébergées aux États-Unis ou en Union européenne, même si l'interface ou la base de données client reste en Suisse. Deuxièmement, les sous-traitants du fournisseur : un éditeur peut utiliser des services cloud américains pour la journalisation, la surveillance ou la sauvegarde. Troisièmement, la propriété du code et des données : si le contrat ne précise pas explicitement que les données ne servent pas à l'entraînement du modèle, cette question reste ouverte.
Comme le rappelle le comparatif Dossivio sur les logiciels de saisie de factures en Suisse : "La nLPD n'impose pas d'héberger en Suisse. Elle encadre la sous-traitance (art. 9) et la communication de données à l'étranger (art. 16 et 17)."
Quels critères distinguent une conformité réelle d'un argument marketing ?
Une conformité réelle se vérifie dans les documents contractuels et l'architecture technique, pas dans les éléments de communication. Voici les critères documentaires qui comptent.
Contrat de sous-traitance (art. 9 nLPD) : Le fournisseur doit remettre un accord écrit précisant la finalité du traitement, les mesures de sécurité, et l'interdiction de réutilisation des données. Sans ce document signé, la relation n'est pas encadrée au sens de la loi.
Cartographie des flux de données : Demandez au fournisseur de lister explicitement tous les sous-traitants qui accèdent aux données (modèle IA, hébergement, monitoring, sauvegardes). Un prestataire sérieux peut produire ce document en quelques jours.
Clause sur l'entraînement du modèle : Pour les solutions basées sur des LLM (grands modèles de langage), la question est directe : les données du cabinet sont-elles utilisées pour réentraîner ou affiner le modèle ? La réponse doit figurer noir sur blanc dans le contrat.
Localisation des appels d'API : Même avec un frontend suisse, si le traitement réel s'effectue via une API OpenAI, Anthropic ou similaire, il y a transfert de données vers les États-Unis. Ce transfert doit être encadré par des garanties appropriées (clauses contractuelles types adaptées au droit suisse, par exemple).
Pour aller plus loin sur la sélection d'un prestataire IA, consultez notre guide agence no-code IA en Suisse : comment choisir le bon prestataire.
Les cinq risques nLPD les plus fréquents dans les solutions IA SaaS pour fiduciaires
Ces cinq situations sont récurrentes lors de l'évaluation de solutions SaaS pour fiduciaires. Elles ne constituent pas une liste exhaustive au sens juridique, mais reflètent les zones grises les plus fréquemment identifiées.
- Transfert implicite vers des API tierces. L'interface est hébergée en Suisse, mais chaque requête IA part vers un serveur américain. Le transfert existe, il n'est pas signalé dans les conditions générales.
- Absence de contrat de sous-traitance distinct. Les conditions générales d'utilisation ne remplacent pas un contrat de sous-traitance au sens de l'art. 9 nLPD. Un CGU standard ne mentionne pas les mesures de sécurité spécifiques, ni les délais de suppression des données.
- Logs et données de débogage exportés hors de Suisse. Les fichiers de journalisation contiennent souvent des extraits de données traitées. Si ces logs sont envoyés vers une plateforme de monitoring américaine, les données du cabinet partent avec eux.
- Réutilisation des données pour l'amélioration du modèle. Certains fournisseurs incluent dans leurs conditions une clause permettant d'utiliser les interactions pour améliorer leurs modèles. Pour une fiduciaire, cela signifie que des données fiscales ou comptables de clients peuvent alimenter un modèle partagé.
- Absence de registre des traitements côté fiduciaire. La nLPD impose au responsable du traitement de tenir ce registre. Un cabinet qui déploie une solution SaaS sans documenter ce traitement est en défaut, indépendamment de la conformité du fournisseur.
Agent IA on-premise vs hébergement suisse mutualisé : quelle différence pour la nLPD ?
La différence principale est la suivante : un agent installé sur l'infrastructure du cabinet (on-premise ou sur serveur dédié contrôlé par le client) supprime la majorité des risques liés aux transferts et à la sous-traitance non documentée, parce que les données ne quittent pas l'environnement du responsable du traitement.
Dans un modèle SaaS mutualisé, même hébergé en Suisse, les données d'un cabinet cohabitent avec celles d'autres clients chez le fournisseur. La séparation logique des données repose sur la confiance accordée au fournisseur et sur la robustesse de son architecture multi-tenant.
Exemple hypothétique : Imaginons un cabinet de dix collaborateurs qui déploie un agent SaaS pour automatiser la saisie et le contrôle de cohérence des déclarations fiscales. Si cet agent envoie chaque nuit un résumé de traitement vers une API externe pour générer des rapports, les données de clients identifiables partent hors du cabinet sans contrat de sous-traitance explicite. Avec un agent installé en local, ce flux n'existe pas : le traitement reste dans l'environnement du cabinet et le code appartient à ce dernier.
C'est précisément ce que LX Studio propose via lxstudio.ch/fiduciaire : un agent installé sur site, dont le code est livré et appartient au client, sans sous-traitance. Ce modèle ne règle pas à lui seul toutes les obligations nLPD du cabinet (le registre des traitements, l'information des personnes concernées et la gouvernance des données restent à mettre en place), mais il supprime la dépendance à un tiers pour l'hébergement et le traitement quotidien des données.
Pour comprendre comment ce type de déploiement s'intègre dans une infrastructure plus large, l'article sur le développement d'application IA en Suisse : comment s'y prendre apporte des éléments complémentaires.
Comment évaluer la conformité nLPD d'un prestataire IA avant de signer ?
Avant toute signature, posez ces questions directement au prestataire et exigez des réponses documentées :
| Question | Ce qu'une réponse sérieuse inclut |
|---|---|
| Où sont physiquement traités les appels IA ? | Nom du fournisseur de modèle, localisation des serveurs |
| Disposez-vous d'un contrat de sous-traitance conforme art. 9 nLPD ? | Document signable, pas seulement un CGU |
| Nos données servent-elles à l'entraînement du modèle ? | Clause contractuelle explicite d'exclusion |
| Qui sont vos sous-traitants actifs sur nos données ? | Liste nominative, pas une formule vague |
| Quel est le délai de suppression des données en cas de résiliation ? | Date et procédure précises |
| Le code de l'agent nous appartient-il à la fin ? | Oui ou non, avec confirmation contractuelle |
Si un prestataire ne peut pas répondre à ces questions par écrit avant la signature, c'est une information en soi. La prudence s'impose également pour les solutions décrites uniquement comme "conformes RGPD" : le RGPD européen et la nLPD suisse partagent des principes communs, mais ne sont pas identiques, notamment sur le champ territorial et les bases légales du traitement.
Les mêmes questions valent pour un chatbot IA pour entreprise en Suisse romande : l'interface visible n'est jamais le seul endroit où les données circulent.
Ce qu'un audit concret révèle sur votre exposition réelle
Un audit de votre situation actuelle permet de passer de questions abstraites à une cartographie précise : quelles données traitez-vous, via quels outils, et quelles sont les lacunes documentaires actuelles.
LX Studio propose un audit d'une demi-journée qui identifie les tâches consommatrices de temps et chiffre leur coût mensuel réel. Ce diagnostic ne se limite pas à la conformité nLPD : il révèle aussi quels processus sont automatisables sans créer de risques supplémentaires, et quels outils actuellement en place exposent le cabinet à des transferts non documentés.
Le retour sur investissement est calculé sous 48 heures après l'audit. Si un agent est construit, il l'est en deux à trois semaines, avec remesure après mise en service. Le code livré appartient au cabinet, et aucune sous-traitance n'est pratiquée. Plus de 50 personnes ont été accompagnées selon ce processus.
Ce cadre est directement pertinent pour la question nLPD : la livraison du code et l'absence de sous-traitance suppriment deux des cinq risques identifiés ci-dessus, avant même d'avoir rédigé un contrat de sous-traitance.
Si le volet comptable et la sélection d'outils compatibles vous intéressent en parallèle, l'article sur le logiciel de comptabilité multidevise en Suisse : comment choisir traite de critères de sélection comparables.
Prochaine étape : Si vous souhaitez cartographier précisément l'exposition nLPD de votre cabinet et identifier les processus automatisables sans créer de dépendances risquées, consultez la page dédiée aux fiduciaires sur lxstudio.ch. Vous y trouverez le détail de l'approche par agent installé sur site, et vous pourrez demander un audit d'une demi-journée pour obtenir une estimation chiffrée de votre situation réelle.
