Extraterritorialité
Cloud Act américain
Les autorités américaines peuvent exiger l'accès aux données traitées par un fournisseur de droit US, même si les serveurs sont en Europe. Le lieu du serveur ne protège pas, l'opérateur compte.
Page pilier, avril 2026
Pour les avocats, fiduciaires, notaires, cabinets médicaux, administrations et gestionnaires de fortune soumis au secret professionnel, à la nLPD et à la FINMA. Une architecture hébergée en Suisse, sur modèles ouverts, affranchie du Cloud Act.
01 · Le vrai problème
Ouvrir ChatGPT dans un cabinet d'avocats, une fiduciaire ou un cabinet médical, ce n'est pas utiliser un outil bureautique. C'est confier des données sensibles à un acteur de droit américain, potentiellement accessible par des autorités étrangères, en dehors du cadre posé par le législateur suisse. Les risques sont concrets, chiffrés et personnels.
Extraterritorialité
Les autorités américaines peuvent exiger l'accès aux données traitées par un fournisseur de droit US, même si les serveurs sont en Europe. Le lieu du serveur ne protège pas, l'opérateur compte.
Amende
La nLPD en vigueur depuis le 1er septembre 2023 prévoit des amendes jusqu'à 250 000 CHF. Elle vise les personnes physiques, pas seulement l'entreprise. Le dirigeant reste personnellement exposé.
Peine
La violation du secret professionnel (avocats, médecins, notaires, ecclésiastiques et leurs auxiliaires) est punie d'une peine privative de liberté de trois ans au plus. Un prompt mal placé peut suffire.
Autorité
Le Préposé fédéral a déjà alerté sur les usages de ChatGPT et rappelé que la nLPD s'applique directement aux traitements par IA. Les entreprises doivent vérifier, avant chaque usage, où vont les données.
02 · Définition
Le mot est utilisé à toutes les sauces. Une architecture réellement souveraine coche quatre critères cumulatifs, pas un seul. Si un fournisseur n'en remplit que deux ou trois, ce n'est pas souverain, c'est du marketing.
Les serveurs qui exécutent le modèle et stockent les données doivent se trouver physiquement sur le territoire suisse. Pas en Irlande, pas à Francfort, pas « dans l'UE ». En Suisse, vérifiable.
L'entreprise qui opère l'infrastructure doit être de droit suisse, sans maison mère aux États-Unis. Sans quoi le Cloud Act peut forcer un transfert, même depuis la Suisse. L'opérateur compte autant que le serveur.
Aucune dépendance juridique ou capitalistique envers un acteur soumis à la juridiction américaine. La chaîne technique (compute, stockage, réseau, identité) doit être traçable, de bout en bout, hors périmètre US.
Le modèle IA doit pouvoir tourner sur votre infrastructure ou chez un hébergeur suisse, sans appel externe obligatoire. Les modèles open-weight (poids publiés, licence permissive) remplissent ce critère. Les API propriétaires non.
03 · Bascule 2026
Pendant longtemps, il fallait choisir entre qualité (ChatGPT, Claude) et souveraineté (modèles locaux). Ce compromis n'existe plus. En avril 2026, Google a publié Gemma 4 sous licence Apache 2.0. Combiné à Qwen3, Llama et aux autres familles open-weight, on atteint 90 à 95% de la qualité des modèles propriétaires sur les tâches professionnelles courantes, sur du matériel hébergé en Suisse.
Publié le 2 avril 2026 par Google DeepMind sous licence Apache 2.0. Quatre tailles disponibles, du modèle 2B qui tourne sur un poste bureautique jusqu'au 31B dense qui rivalise avec les modèles propriétaires sur le raisonnement. Contexte long (128K à 256K tokens), multimodalité native (texte, images, code), appel de fonctions structuré pour l'intégration métier.
04 · Architecture
Une architecture concrète, qu'on adapte à chaque cabinet selon les volumes, les métiers et les outils déjà en place. Cinq briques, toutes vérifiables, toutes de droit suisse ou open-weight.
05 · Cadre légal suisse
Six textes à connaître avant toute intégration d'IA dans un cabinet réglementé. Ils ne sont pas optionnels, ils conditionnent la responsabilité personnelle du dirigeant.
nLPD · 1er sept. 2023
Sanctions jusqu'à 250 000 CHF contre les personnes physiques en cas de transfert non conforme à l'étranger, de défaut de diligence ou de sous-traitance non encadrée.
Art. 321 CP · Code pénal
Avocats, médecins, notaires, ecclésiastiques et auxiliaires. Violation punie d'une peine privative de liberté jusqu'à trois ans ou d'une peine pécuniaire. Le secret ne se délègue pas à un prompt.
FINMA · Guidance 08/2024
Banques, gestionnaires de fortune et assurances doivent documenter leurs usages IA, maintenir la responsabilité humaine et encadrer la sous-traitance. La FINMA a publié ses attentes fin 2024.
PFPDT · Avis en vigueur
Le PFPDT rappelle que la nLPD s'applique directement aux IA génératives. Les entreprises doivent vérifier avant chaque usage où les données vont, comment elles sont traitées, et informer les personnes concernées.
Cloud Act · Loi US 2018
Oblige les fournisseurs de droit américain à remettre les données sur requête des autorités US, indépendamment du lieu de stockage. Entre en conflit frontal avec la nLPD et le secret professionnel suisse.
Cantons · Directives locales
Ordres des avocats, des médecins, chambres des notaires, administrations cantonales. Chacun publie ses propres recommandations sur l'usage de l'IA, à intégrer au projet dès le cadrage.
06 · Pour qui
Six familles de métiers où l'usage d'une IA non souveraine expose personnellement le dirigeant ou le professionnel. À chaque fois, une obligation légale précise et un cas d'usage typique.
Avocats, études d'avocats
Secret professionnel de l'avocat, protégé par l'art. 321 CP et les règles cantonales. Cas typique, rédaction et synthèse de mémoires, analyse de pièces, veille jurisprudentielle sur dossiers actifs.Fiduciaires, notaires
Fiscalité, comptabilité, actes authentiques, successions. Secret professionnel pour les notaires, secret fiscal pour les fiduciaires. Cas typique, préparation de bouclement, rédaction d'actes, questions-réponses clients.Cabinets médicaux, EMS
Données de santé, catégorie sensible de la nLPD. Secret médical très protégé. Cas typique, synthèse de dossiers patients, aide à la rédaction, tri administratif d'emails, jamais sans souveraineté réelle.Administrations cantonales
Données des administrés, secret de fonction, directives cantonales sur l'informatique. Cas typique, rédaction de courriers, synthèse de dossiers, aide à la décision sur données internes.Banques, gestion de fortune
FINMA, secret bancaire, LBA. Attentes de gouvernance IA documentées depuis 2024. Cas typique, reporting client, analyse de dossiers, conformité LBA, avec traçabilité complète des usages IA.Pharma, medtech, R&D
Données cliniques, propriété intellectuelle, secrets industriels. Régulation sectorielle Swissmedic. Cas typique, revue documentaire, synthèse de littérature scientifique, aide à la rédaction réglementaire.07 · Approche TimeKraft
TimeKraft n'est pas un produit SaaS. Pas de plateforme fermée à vendre, pas d'abonnement magique. Une architecture sur mesure, construite pour votre cabinet, avec votre vocabulaire métier. Voici le processus concret.
Cartographie des flux, identification des données sensibles, contraintes légales.
Choix du modèle, dimensionnement GPU, schéma d'intégration, plan de sécurité.
Mise en place chez Infomaniak, intégrations Outlook, Bexio, systèmes métier.
Sessions courtes, répétées, centrées sur les cas d'usage métier des équipes.
Supervision, évolutions du modèle, nouveaux cas d'usage, conformité continue.
08 · Questions fréquentes
Sur la majorité des tâches professionnelles courantes (rédaction, synthèse, classement, extraction d'information, rédaction juridique ou fiduciaire simple), les modèles open-weight de dernière génération atteignent 90 à 95% de la qualité des modèles propriétaires. L'écart se creuse uniquement sur le raisonnement complexe sur de très longs documents. Pour un cabinet, c'est amplement suffisant, d'autant que la souveraineté compense largement le petit delta de qualité.
Non, pas pour les professions sous secret. OpenAI reste une entreprise de droit américain, soumise au Cloud Act. Les autorités américaines peuvent exiger l'accès aux données, même si les serveurs sont en Europe. Pour un avocat, un notaire ou un médecin, c'est une violation potentielle du secret professionnel (art. 321 CP) et de la nLPD. Les conditions contractuelles d'un fournisseur ne suspendent pas une loi fédérale américaine.
Entre quatre et huit semaines pour une architecture simple (un cas d'usage métier, une intégration principale). Plus long si plusieurs métiers, plusieurs intégrations ou une migration depuis un outil existant. Un audit préalable de deux semaines permet de cadrer précisément la durée, le coût et le périmètre du projet avant tout engagement de build.
Ça dépend entièrement du volume, des intégrations et du niveau d'autonomie souhaité. L'hébergement GPU chez Infomaniak démarre bas, quelques centaines de francs par mois selon le modèle choisi. Le coût réel est dans l'architecture, les intégrations (Outlook, Bexio, Drive chiffré, systèmes métier) et la formation des équipes. On chiffre proprement après l'audit préalable. Pas de prix affiché avant, parce que ce serait mentir.
Oui, et souvent plus qu'un grand cabinet. Un petit cabinet a autant de données sensibles qu'un grand, mais moins de ressources pour gérer une fuite ou un contrôle PFPDT. Les modèles Gemma 4 E2B et E4B tournent sur du matériel modeste. La stack souveraine reste accessible pour une structure de trois à dix personnes, à condition d'accepter un périmètre initial resserré (un ou deux cas d'usage bien ciblés).
Parfaitement possible et souvent le plus réaliste. L'architecture hybride est recommandée dans bien des cas. Les tâches sensibles (dossiers clients, mémoires, analyses médicales, bouclements) passent par la stack souveraine. Le reste (rédaction générique, brainstorming, recherche publique, résumés de documents publics) peut rester sur un outil grand public. On trace la frontière ensemble, explicitement, avec une charte interne validée.
La formation fait partie intégrante du projet. J'accompagne les équipes sur les cas d'usage concrets de leur métier, avec des sessions courtes et répétées plutôt qu'un gros séminaire unique qui s'oublie en trois semaines. L'objectif est qu'un collaborateur non technique puisse utiliser l'outil en autonomie dès la deuxième semaine, avec une documentation interne adaptée au vocabulaire du cabinet.
Les modèles utilisés sont open-weight (Apache 2.0 pour Gemma 4). Les poids, les prompts, les données et l'architecture vous appartiennent. En cas de changement côté Infomaniak, on peut migrer vers un autre hébergeur suisse ou vers un serveur dédié chez vous, sans perdre le travail fait. C'est tout l'intérêt des modèles ouverts par rapport aux API propriétaires, la portabilité est garantie par la licence.
Non, et c'est volontaire. TimeKraft livre une architecture sur mesure, pas un produit standardisé. Chaque cabinet a ses flux, son vocabulaire métier et ses intégrations. Un SaaS générique forcerait à adapter le cabinet à l'outil, alors qu'une architecture sur mesure adapte l'outil au cabinet. C'est du conseil et du build, couverts par l'abonnement mensuel : construction, hébergement et maintenance compris, sans investissement initial.
Pages métier dédiées
Chaque profession a ses lois, ses directives, ses logiciels métier. Voici les pages spécifiques avec le cadre légal complet et les cas d'usage propres à chaque secteur.
Art. 321 CP, LLCA, lignes directrices FSA 2024. Rédaction mémoires, recherche jurisprudence, due diligence M&A, e-discovery.
Voir la page dédiée →nLPD, LSR, EXPERTsuisse. Intégrations Bexio, Abacus, Winbiz, Dr. Tax. OCR reçus, bouclement assisté, TVA, reporting client.
Voir la page dédiée →Art. 321 CP médical, LDEP, recommandations FMH 2025 LLM, HIN. Dictée médicale, lettres, codage CIM et Tarmed.
Voir la page dédiée →Suisse numérique 2025, Apertus (EPFL, ETHZ), LPrD cantonales. Traitement demandes citoyennes, synthèse consultations publiques.
Voir la page dédiée →On commence
Un entretien de cadrage de trente minutes pour regarder votre contexte, vos contraintes légales, et voir si une architecture souveraine a du sens pour vous.
Sans engagement
Confidentialité garantie
David Zbinden, consultant, Morges
Avis Google
Excellente prestation ! Très professionnel, réactif et à l'écoute. Travail soigné, conseils de qualité et solutions adaptées à mes besoins. Je recommande TimeKraft sans aucune hésitation.
Présentation au top sur le context engineering et Claude Code. David explique simplement des concepts techniques et donne des méthodes applicables tout de suite. Pédagogue, pro et honnête sur ce que l'IA peut faire ou pas. Exactement ce qu'on attend d'un spécialiste.
Une entreprise sérieuse et professionnelle. Les échanges ont toujours été très agréables et le concept est vraiment intéressant. Je leur souhaite beaucoup de succès !
Très bonne expérience avec Timekraft. Un accompagnement professionnel, réactif et vraiment à l’écoute. Les échanges sont simples et efficaces, avec une vraie implication et une volonté de proposer des solutions adaptées.
David a tout ce qu'on attend d'un partenaire. Fiable, consciencieux et de bonne humeur. C'est agréable de travailler avec lui. Les résultats eux aussi sont au rendez-vous.
Service pro, vous pouvez y aller les yeux fermés
Une écoute de qualité et un grand professionnalisme!