« Les données sont dans le cloud » ne dit rien : le cloud est toujours l'ordinateur de quelqu'un, quelque part, soumis aux lois d'un pays. Pour une PME suisse, le choix du lieu d'hébergement a des conséquences juridiques et commerciales concrètes. Voici de quoi trancher sans dogmatisme.
Le nœud juridique : des lois qui traversent les frontières
Le droit américain, via le Cloud Act de 2018, permet aux autorités des États-Unis d'exiger d'un fournisseur américain l'accès à des données qu'il héberge, y compris sur des serveurs situés en Europe. Un centre de données à Zurich exploité par une société américaine ne vous met donc pas hors de portée de ce droit. Ce n'est pas un scénario de film : c'est une réalité contractuelle que les grands fournisseurs reconnaissent eux-mêmes dans leur documentation.
Côté suisse, la nLPD n'interdit pas d'héberger à l'étranger, mais elle vous impose de vérifier que le pays de destination protège adéquatement les données, ou de mettre en place des garanties supplémentaires. Ce travail juridique vous incombe, et il doit être documenté.
L'argument commercial, souvent sous-estimé
Vos clients vous posent de plus en plus la question, directement ou dans leurs questionnaires fournisseurs. Les communes et institutions publiques exigent souvent un hébergement en Suisse dans leurs appels d'offres. Les fiduciaires, cabinets et entreprises soumises au secret professionnel en font une condition d'entrée. Pouvoir répondre « vos données sont en Suisse, chez un hébergeur suisse » ferme le sujet en une phrase. Toute autre réponse ouvre une discussion.
Les vraies contreparties du choix suisse
Soyons honnêtes sur l'autre plateau de la balance. Les géants américains offrent un catalogue de services plus large et certains modèles d'IA de pointe y arrivent en premier. Pour une grande entreprise aux besoins exotiques, cela peut peser. Pour les processus typiques d'une PME (traitement de documents, tri de messages, préparation d'offres), les solutions hébergeables en Suisse couvrent aujourd'hui l'essentiel des besoins, à qualité comparable. L'écart de prix, quand il existe, se compte en dizaines de francs par mois : rarement décisif face au coût d'une discussion de conformité avec un gros client.
Les questions à poser, où que vous hébergiez
- Dans quel pays les données sont-elles stockées, et par une société de quel droit ?
- Où les données transitent-elles lors des traitements par IA ? Le stockage en Suisse ne sert à rien si chaque document part ailleurs pour être analysé.
- Qui détient les clés de chiffrement ?
- Le contrat de sous-traitance au sens de la nLPD est-il disponible, avec la liste des sous-traitants ?
Le conseil Akasia
Notre position est connue : nous hébergeons les solutions de nos clients en Suisse, notamment chez notre partenaire Infomaniak, et nous n'y voyons aucune raison de complexité supplémentaire. Mais le plus important n'est pas où nous hébergeons, c'est que vous sachiez répondre à la question. Faites l'exercice cette semaine : pour vos cinq outils principaux, notez où résident les données et sous quel droit. Le résultat surprend la plupart des dirigeants qui s'y livrent.