CLOUD Act et IA : votre PME suisse est-elle vraiment souveraine ?

Vos données sont hébergées à Zurich ou à Genève, donc elles sont protégées ? Pas forcément. J'ai remonté toute la chaîne de valeur de l'IA, du clavier jusqu'aux mines de cobalt, et recensé 125 acteurs suisses qui la composent. Mon verdict : la souveraineté totale est une illusion, mais une souveraineté suffisante est à portée de toute PME.

Souveraineté de l'IA : de quoi parle-t-on vraiment ?

La souveraineté, c'est le pouvoir d'un État ou d'un peuple de décider seul chez lui et d'être indépendant à l'extérieur.

Le mot est revenu partout. Les revirements de Donald Trump sur les droits de douane, le Groenland ou l'Ukraine ont fait des États-Unis un partenaire moins fiable. La Chine ne se contente plus d'être l'usine du monde. Et notre vie numérique repose presque entièrement sur des entreprises américaines.

Si l'IA devient le pétrole de l'économie, en dépendre totalement devient un risque. Mais de quoi dépend-on, exactement ? Pour le savoir, j'ai suivi le trajet d'une simple question posée à une IA.

Le trajet d'un prompt, maillon par maillon

Imaginez que vous travaillez dans une PME à Genève. Vous ouvrez votre ordinateur et vous posez une question à Claude. Remontons la chaîne.

Votre ordinateur. Il est à 100 % importé. La Suisse n'a pratiquement aucun fabricant de PC. Même Logitech, à Lausanne, fait fabriquer l'essentiel de ses produits en Asie.

Votre connexion. Votre opérateur est probablement suisse : la Confédération détient 51 % de Swisscom. Mais les équipements de réseau sont étrangers, la Suisse n'a aucun câble sous-marin, et Salt appartient au Français Xavier Niel.

Le centre de données. Votre question part vers un serveur dont vous ne maîtrisez en général ni la localisation ni le propriétaire. Green, longtemps présenté comme le champion suisse des centres de données, a été racheté le 30 octobre 2025 par le fonds australien IFM Investors.

L'électricité. C'est le point fort de la Suisse : 59,6 % d'hydraulique et 28,4 % de nucléaire en 2024 (Statistique de l'électricité 2024). Les centres de données ont consommé 2,1 TWh, soit 3,6 % de l'électricité suisse selon l'OFEN. Mais le pays importe environ 5 TWh net chaque hiver, et tout le combustible nucléaire vient de l'étranger.

Les puces. Les GPU qui font tourner l'IA sont américains et fabriqués à Taïwan. En revanche, le saint-gallois VAT Group détient 71 % du marché mondial des vannes à vide pour semi-conducteurs. Aucune usine de puces ne tourne sans elles.

Les métaux. La Suisse n'extrait aucun métal critique. Glencore, basé à Baar, a pourtant produit 12 % du cobalt mondial en 2025 (rapport de production Glencore), mais depuis des mines congolaises.

Le modèle. Claude est américain. La Suisse a son propre modèle, Apertus, développé par l'EPFL, l'ETH Zurich et le CSCS. Il est entièrement ouvert, ce qui est rare, mais reste en retrait des modèles les plus avancés. J'en parle en détail dans mon guide complet d'Apertus.

L'intégration. Enfin, il faut que quelqu'un vous aide à choisir les bons outils, à former les équipes, à construire. Là, la Suisse est chez elle : c'est un métier local par nature, et c'est le nôtre chez MAIjin.

Le verdict : la souveraineté totale est une illusion

En attribuant à chaque maillon un score de souveraineté, la conclusion s'impose : personne n'est totalement souverain, pas même les États-Unis, qui dépendent de Taïwan pour leurs puces.

La Suisse est forte sur l'électricité, l'accompagnement et certaines niches industrielles. Elle est faible sur le matériel et les métaux. La vraie question devient donc : comment être suffisamment souverain pour peser dans la négociation ?

Et là, la Suisse a des cartes : une électricité propre et publique, des champions de niche dont le monde a besoin, une recherche de niveau mondial, et Alps, à Lugano, l'un des dix supercalculateurs les plus puissants de la planète.

Mon enquête m'a aussi réservé trois surprises :

1. La propriété compte davantage que l'adresse. Le cas Green le montre. Threema, la messagerie chiffrée utilisée par l'armée suisse, appartient depuis janvier 2026 à un fonds allemand.
2. Proton a déplacé une partie de ses serveurs, dont ceux de son assistant IA Lumo, vers l'Allemagne et la Norvège, en réaction à un projet de révision de l'ordonnance suisse sur la surveillance.
3. Mistral, champion européen, sert aussi en API le modèle chinois GLM 5.3 de Z.ai. Les frontières entre « souverain » et « étranger » sont plus poreuses qu'on ne le croit.

CLOUD Act et nLPD : pourquoi votre PME est concernée

Le CLOUD Act est une loi américaine de 2018. Elle permet aux autorités de poursuite pénale américaines d'exiger d'un fournisseur soumis au droit américain qu'il livre les données qu'il contrôle, où qu'elles soient stockées dans le monde.

Imaginez que vous louez un coffre dans une banque suisse. Mais la banque appartient à un groupe américain, et le siège garde un double de la clé. Le coffre est bien en Suisse. La clé, elle, répond à Washington.

Microsoft, Amazon et Google ont ouvert des régions cloud en Suisse. Vos données y sont localisées, mais le fournisseur reste américain. En novembre 2025, privatim, la conférence des préposés cantonaux à la protection des données, l'a rappelé : ces fournisseurs peuvent être contraints de livrer les données de leurs clients aux autorités américaines, y compris quand elles sont stockées en Suisse.

La parade existe. Selon l'avis de droit de l'Office fédéral de la justice (2021), le CLOUD Act n'oblige pas à déchiffrer : des données chiffrées avec une clé que le fournisseur ne détient pas restent protégées.

Le sujet reste débattu. Une partie des praticiens conteste cette lecture et invoque le Swiss-U.S. Data Privacy Framework. Pour vos données vraiment sensibles, je préfère ne pas parier.

La nLPD. Le PFPDT le rappelle : la loi sur la protection des données, en vigueur depuis le 1er septembre 2023, s'applique directement à l'IA. Envoyer des données personnelles dans un outil hébergé hors de Suisse, c'est une communication de données à l'étranger. Les amendes vont jusqu'à 250 000 CHF et visent les personnes physiques responsables, pas l'entreprise.

L'économie locale. Enfin, chaque franc dépensé chez un acteur suisse fait grandir les champions de demain.

Le plan en 4 étapes pour une PME plus souveraine

1. Auditez votre informatique, des PC jusqu'au fournisseur d'accès, en passant par chaque logiciel. Pour chacun, une seule question : qui contrôle ce fournisseur ?
2. Auditez vos données. Où sont les données personnelles et sensibles ? Dans quels outils passent-elles ?
3. Visez une souveraineté par périmètre. Vos données sensibles vont chez des hébergeurs suisses (Infomaniak, Swisscom, Phoenix Technologies) avec des modèles ouverts. Pour le reste, les modèles les plus performants restent utilisables, idéalement avec un chiffrement dont vous gardez la clé et, en cas de risque élevé, une analyse d'impact.
4. Construisez vos propres outils. Il n'a jamais été aussi simple de développer une solution sur mesure. Paradoxe assumé : on peut utiliser des modèles américains ou chinois pour coder des solutions suisses. Vérifiez simplement à qui appartient le code produit.

Un exemple pour l'étape 3 : Infomaniak AI Tools. Le cloud indépendant genevois donne accès, par API, à des modèles ouverts exécutés dans ses centres de données à Genève : Qwen, Mistral Small, Gemma, Kimi K2.6 et Apertus. Kimi K2.6 coûte CHF 0,60 par million de jetons en entrée et CHF 3,00 en sortie (tarifs Infomaniak). Je l'utilise moi-même sur plusieurs projets avec des données sensibles, comme maijinshield.

Le prompt pour auditer vos outils en 10 minutes

Copiez ce prompt dans votre assistant IA, avec la recherche web activée : les modèles ne connaissent pas les rachats récents.

CE QUE JE VEUX
Je veux savoir quels fournisseurs numériques de mon entreprise, une PME [suisse], pourraient être contraints de livrer nos données à un État étranger, et lesquels remplacer en priorité.
Nos outils : [messagerie, stockage, CRM, comptabilité, visio, IA...]
Nos données sensibles : [clients, RH, santé, finances...]
Livre un tableau avec, pour chaque outil : qui le contrôle, où sont hébergées les données, s'il est soumis au CLOUD Act (oui, non, incertain), si nos données personnelles quittent le pays, et une alternative suisse ou européenne quand il traite des données sensibles. Termine par les 3 actions prioritaires.

L'EFFORT ATTENDU
Travail de fond, pas de réponse rapide. Beaucoup d'entreprises ont changé de mains en 2025 et 2026 : vérifie chaque outil par une recherche web. Mieux vaut 10 outils bien vérifiés que 30 survolés.

COMMENT VÉRIFIER
Une source pour chaque actionnaire et chaque lieu d'hébergement. Écris « incertain » plutôt que de deviner. Avant de conclure, relis le tableau et signale chaque ligne sans source. Indique ce qui doit être validé par un juriste ou par notre délégué à la protection des données.

Le bloc de vérification oblige l'IA à distinguer l'adresse des serveurs et le contrôle du fournisseur, et à avouer ce qu'elle ne sait pas.

Explorez la carte des 125 acteurs suisses de l'IA

J'ai réuni les 125 acteurs de cette enquête sur une carte interactive de la souveraineté suisse de l'IA : leur maillon, leur localisation, leur site web et, surtout, qui les contrôle vraiment. Vous y trouverez aussi les 50 sites de centres de données que j'ai pu localiser.

Pour aller plus loin sur les solutions concrètes, relisez mon article sur l'IA souveraine en Suisse.

Chez MAIjin, nous avons formé plus de 4 500 professionnelsdans plus de 150 organisations. La question de la souveraineté revient dans presque chaque formation. Notre réponse est toujours la même : commencer par cartographier, puis protéger ce qui compte vraiment.

Ce qu'il faut retenir

Articles recommandés