LLM suisses et IA souveraine : que vérifier avant l’usage ?

Un modèle associé à la Suisse, un service hébergé en Suisse et un produit de recherche juridique sont des offres différentes. Chacune peut trouver sa place dans un processus juridique, et chacune demande ses propres preuves de confidentialité, d’exactitude et de statut réglementaire.

Apertus, publié le 2 septembre 2025 par l’EPFL, l’ETH Zurich et le Centre suisse de calcul scientifique (CSCS), en est l’exemple suisse le plus net. Ses développeurs publient les poids du modèle en versions de 8 et 70 milliards de paramètres, avec le code d’entraînement et la documentation des données, sous une licence open source permissive. Ils indiquent l’avoir développé en tenant compte du droit suisse de la protection des données et du droit d’auteur ainsi que des obligations de transparence du règlement européen sur l’IA, et respecter les refus exprimés de manière lisible par machine dans les données d’entraînement. Ce sont des affirmations sur le modèle. Votre déploiement demande malgré tout son propre examen : quelle version, quel hébergeur, quelles conditions et quelle performance pour vos tâches.

Le benchmark Swiss-Judgment-Prediction publié par Niklaus et ses collègues en 2021 couvre des décisions du Tribunal fédéral en allemand, français et italien et examine notamment les différences selon le domaine juridique et l’année de publication. Il teste une tâche de prédiction définie, pas le conseil juridique général ni un modèle souverain actuel. Les données suisses et la couverture multilingue demandent toujours une évaluation propre à la tâche.

Examiner le service complet

Identifiez le fournisseur du modèle, l’hébergeur, l’entité contractante et les sous-traitants ultérieurs. Vérifiez où sont traités instructions, documents, journaux et sauvegardes, qui peut y accéder et si le fournisseur peut les utiliser pour l’entraînement. Examinez les conditions actuelles et le déploiement réel. Une référence nationale ou une localisation de serveur ne constitue qu’une partie de cette analyse.

Distinguer protection des données et exigences professionnelles

Identifiez responsable du traitement, sous-traitant, finalité, données et éventuelles communications à l’étranger. La protection suisse des données et le secret professionnel nécessitent leur propre examen. Si le RGPD s’applique, examinez base légale, données sensibles, sous-traitance, transferts et nécessité d’une analyse d’impact. Conserver les données en Suisse ne répond qu’à la question du lieu.

Consultez les indications du PFPDT et le RGPD. Pour les incidents, les rôles, les seuils de risque et les délais de notification diffèrent ; voir les indications sur les violations de données.

Suivre la voie réglementaire suisse

La Suisse ne dispose pour l’heure d’aucune législation propre à l’IA, comme le relève l’Office fédéral de la justice. Le 12 février 2025, le Conseil fédéral a décidé que la Suisse devait ratifier la Convention du Conseil de l’Europe sur l’IA et adapter le droit suisse là où c’est nécessaire : autant que possible par secteur, avec une réglementation transversale seulement dans les domaines clés pour les droits fondamentaux comme la protection des données, et avec des mesures non contraignantes en complément. La Convention doit s’appliquer en premier lieu aux acteurs étatiques. La Suisse a signé la Convention le 27 mars 2025. Le DFJP doit élaborer d’ici fin 2026 un avant-projet destiné à la consultation portant notamment sur la transparence, la protection des données, la non-discrimination et la surveillance. Dans un avis du 20 mai 2026 adressé au Parlement, le Conseil fédéral a indiqué que l’avant-projet était encore en préparation ; aucune consultation n’était ouverte lors de notre vérification du 26 septembre 2026. Dans le même avis, il a précisé que l’avant-projet devra en principe prévoir des obligations également pour les acteurs privés lorsque les droits fondamentaux ont un effet horizontal direct ou indirect, et que les participants à une journée de travail réunissant une soixantaine d’experts s’étaient largement accordés sur la nécessité de certaines prescriptions, notamment en matière de transparence, tant dans le secteur public que privé.

Dans l’intervalle, le PFPDT rappelle que la loi sur la protection des données, formulée de manière technologiquement neutre, s’applique directement aux traitements basés sur l’IA, y compris la transparence sur la finalité, le fonctionnement et les sources de données, et une analyse d’impact en cas de risque élevé. Réexaminez cette section dès la publication de l’avant-projet.

Vérifier le champ territorial et la destination

Une organisation suisse est soumise aux obligations du règlement sur l’IA par les liens prévus à l’article 2, et non du seul fait d’avoir un client dans l’UE. Examinez la mise sur le marché de l’Union, la mise en service dans l’Union et l’utilisation pertinente des sorties dans celle-ci, et déterminez les rôles de fournisseur, déployeur, importateur ou distributeur pour l’usage précis.

La recherche juridique privée ordinaire ou l’assistance contractuelle ne relève pas automatiquement du haut risque de l’annexe III. Son point 8 vise certains usages dans l’administration de la justice et les processus démocratiques. D’autres destinations listées, comme le recrutement, peuvent être pertinentes. Examinez l’article 6 et la destination réelle plutôt que de qualifier toute l’étude ou tout le modèle de haut risque.

Appliquer les dates propres aux dispositions

Les interdictions initiales de l’article 5 et l’article 4 sur la maîtrise de l’IA s’appliquent depuis le 2 février 2025 ; depuis le 27 juillet 2026, l’article 4 a une version modifiée qui impose de favoriser le développement de la maîtrise de l’IA, mais ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu. Le règlement (UE) 2026/1744, le train de mesures omnibus numérique sur l’IA, a ajouté deux interdictions applicables à partir du 2 décembre 2026 : les systèmes d’IA qui génèrent ou manipulent des contenus intimes réalistes d’une personne identifiable sans son consentement explicite, et le matériel pédopornographique (article 5, paragraphe 1, points b bis et b ter, précisés par les paragraphes 1 bis et 1 ter). Aucun étiquetage de transparence ne rend une telle pratique licite.

Le régime des modèles d’IA à usage général s’applique depuis le 2 août 2025, sous réserve des transitions. Les obligations de transparence de l’article 50 s’appliquent en principe depuis le 2 août 2026, avec une transition jusqu’au 2 décembre 2026 pour l’article 50, paragraphe 2, applicable aux systèmes génératifs mis sur le marché avant le 2 août 2026. Le calendrier du haut risque, modifié par le même règlement, prévoit le 2 décembre 2027 pour les obligations pertinentes de l’annexe III et le 2 août 2028 pour celles liées aux produits. Les transitions des systèmes existants et les exceptions propres aux rôles restent à vérifier pour votre usage.

Voir le texte consolidé, notamment les articles 2, 4, 5, 6, 50, 111 et 113 et le calendrier de la Commission.

Décider d’un usage délimité

Utilisez du matériel de test approuvé, vérifiez les sources juridiques originales, relevez les erreurs importantes et désignez une personne qualifiée pour la révision. Conservez ensemble l’évaluation du fournisseur, la décision sur les données, la destination, les tâches permises et la procédure d’escalade. Examinez le service et le processus effectivement utilisés ; un benchmark de modèle n’en est qu’un élément.