Sécurité et secret professionnel (art. 321 CP)
Ce qui protège le secret de vos dossiers
Nous nommons l’opérateur, les modèles et le chiffrement, pour que votre conseil vérifie au lieu de nous croire. L’essentiel tient en cinq lignes ; le détail suit, une partie par sujet.
- Vos fichiers restent sur votre poste ; seuls les extraits nécessaires à la tâche sont transmis à l’opérateur suisse. L’éditeur n’en reçoit jamais le moindre contenu : seulement des statistiques d’usage (étapes, compteurs, codes d’erreur).
- Rien n’est envoyé sans votre validation ; les documents produits attendent votre validation (sauf renonciation explicite de votre part) ; les retouches d’un document existant que vous avez désigné s’appliquent tout de suite et restent réversibles.
- Chaque appel d’IA passe par un opérateur suisse — c’est l’architecture même du produit, il n’y a rien à choisir ni à activer.
- Les outils web de l’IA sont désactivés par défaut : aucune requête ne part vers un tiers hors de Suisse à l’initiative de l’IA, sauf si vous activez explicitement le mode web — l’activation relève alors de votre décision et de votre responsabilité.
- Vous pouvez rendre des dossiers totalement illisibles pour l’IA.
Les mesures, en mots simples
Ce que fait chaque protection
Chaque carte décrit une protection que LEMIA est conçu pour assurer — une obligation de moyens, pas une promesse de résultat. On commence par ce que chacune empêche ; ce qui la fait tenir est nommé plus bas, dans le détail technique.
Tout se passe sur votre poste
Vos dossiers ne partent pas « dans le Cloud » de l’éditeur : il ne les héberge pas et ne les lit pas. Un contact reste nécessaire : le poste vérifie sa licence au moins une fois par fenêtre hors ligne (24 heures par défaut, fixée pour votre cabinet) et cesse de travailler au-delà, jusqu’à la vérification suivante (la FAQ le détaille).
Les agents restent dans les dossiers que vous ouvrez
L’IA ne peut ouvrir que les dossiers que vous lui confiez, rien au-delà. Vous pouvez en outre désigner des dossiers rendus totalement illisibles pour elle : elle ne pourra ni les ouvrir ni même savoir ce qu’ils contiennent.
Tout passe par la Suisse, dès la conception
Le traitement par l’IA est confié à un opérateur suisse (INFOMANIAK NETWORK SA, Genève), dans ses propres centres de données en Suisse — pour le texte comme pour vos images, vos documents scannés et vos enregistrements à transcrire. Quant aux outils par lesquels l’IA pourrait aller interroger un service à l’étranger, ils sont désactivés par défaut — sauf si vous activez explicitement le mode web, et cette activation relève alors de votre décision.
Une zone tampon avant vos vrais dossiers
Les documents produits par l’IA sont d’abord préparés dans une zone tampon (espace d’attente), à l’écart. Aucun document nouveau n’arrive dans vos vrais dossiers tant que vous n’avez pas validé ; seuls ceux que vous retenez y sont recopiés — sauf si vous renoncez vous-même à cette étape, dans les Paramètres. La correction d’un document qui existe déjà, elle, s’applique tout de suite — et reste annulable.
Rien n’est envoyé sans votre accord
L’application n’envoie aucun courriel et ne déclenche aucune action externe à votre place : à ce jour, elle ne comporte aucun connecteur vers votre messagerie ni vers un service en ligne. Un document produit se remet par vos propres outils, exactement comme si vous l’aviez rédigé vous-même. Si des connecteurs sont un jour proposés, chaque envoi vous sera présenté avec son contenu affiché sous vos yeux, pour votre validation.
Vos clés d’accès dans un coffre chiffré
Vos clés d’accès sont conservées dans un coffre chiffré sur votre machine ; le poste qui appelle Infomaniak utilise la clé en clair au moment de l’appel, comme tout logiciel qui utilise une clé d’API.
Des journaux chiffrés, qui restent chez vous
LEMIA garde une trace technique de ses actions pour vous permettre de vérifier ce qui s’est passé. Ce journal est chiffré sur votre machine et ne la quitte pas. Ce qui remonte à l’éditeur se limite à des métadonnées techniques (compteurs, durées, statuts) : ni contenu, ni nom de fichier n’y figure.
Une protection en plusieurs couches
La sécurité ne tient pas à un seul réglage que l’on pourrait oublier d’activer. Si une protection faiblit, une autre bloque à sa place. Enfin, face au doute, le système ferme par défaut plutôt qu’il n’ouvre.
En un schéma
Plusieurs couches entre le monde et vos dossiers
Les mesures ci-dessus s’emboîtent : pour qu’un document nouveau atteigne vos dossiers, il faut les traverser toutes, l’une après l’autre. La correction d’un document que vous avez désigné emprunte un chemin plus court — elle s’applique tout de suite, et reste annulable.
Votre poste
Périmètre de travail
Zone tampon
Votre validation
La zone tampon
Deux issues possibles — une seule mène à vos dossiers
Les documents nouveaux que produisent les agents attendent dans la zone tampon. De là, deux issues seulement : vous validez, et le résultat est écrit dans vos dossiers ; vous refusez, et il n’est écrit nulle part. Tant que vous n’y renoncez pas vous-même dans les Paramètres, votre décision est le seul chemin par lequel un document nouveau entre chez vous.
Un document qui existe déjà et que vous demandez de corriger, renommer ou supprimer ne passe pas par là : le geste s’applique tout de suite, sur l’objet que vous avez vous-même désigné. Ce qui vous protège alors n’est pas l’attente mais le retour arrière : une copie de l’original est mise de côté avant toute retouche, et si cette copie ne peut pas être faite, l’écriture est refusée.
Le détail, nommé
Ce que nous utilisons, précisément
Chaque ligne ci-dessous nomme ce que nous utilisons — en clair, et avec ses limites : de quoi contrôler, point par point, les promesses de cette page.
| Ce qui est en jeu | Ce que nous utilisons |
|---|---|
| Traitement de l’IA | Infomaniak (INFOMANIAK NETWORK SA, Genève, Suisse) — opérateur suisse, dans ses propres centres de données en Suisse |
| Modèles | Qwen3.5 (397B) pour lire, analyser, rédiger et vérifier chaque étape ; Mistral-Small-4 pour juger une exécution de workflow terminée et lire vos images ; Whisper pour transcrire vos enregistrements ; Ministral-3 pour un contrôle de sécurité des fichiers texte fournis à un workflow (détection d’instructions cachées) : toujours actif, il ne porte ni sur les Word, PDF, tableurs et images, ni sur la Conversation et les Agents. Deux autres modèles restent admis par le logiciel sans être proposés au choix : Nemotron et Kimi K2.6. Tous à poids ouverts, servis en Suisse — cette liste est complète |
| Vos fichiers | ils restent sur votre poste ; seuls les extraits nécessaires à la tâche demandée sont transmis à l’opérateur suisse |
| Coffre de clés | chiffrement AES-256-GCM, clé de 256 bits conservée sur votre machine et protégée par DPAPI (Windows) ; jamais affichée en clair, jamais exportée ; le poste qui appelle Infomaniak utilise la clé en clair au moment de l’appel, comme tout logiciel qui utilise une clé d’API |
| Journaux d’exécution (contenu des demandes) | chiffrés au repos sur votre machine. Si le chiffrement est indisponible, LEMIA refuse d’écrire le journal plutôt que de l’écrire en clair |
| Journal des traitements (art. 4 OPDo) | sans le contenu des demandes, noms de fichiers neutralisés ; tenu sur votre machine, hors de portée des agents, non chiffré |
| Ce qui remonte à l’éditeur | des repères techniques seulement — étapes, compteurs, durées, verdicts, codes d’erreur, nom du modèle appelé et coût estimé ; le détail est juste en dessous |
| Outils web de l’IA | désactivés par défaut : l’IA ne peut pas interroger un service situé hors de Suisse, sauf si vous activez le mode web optionnel (bouton globe, avertissement à accepter) — l’IA a alors pour consigne de ne rien divulguer de sensible dans ses requêtes, et l’activation relève de votre responsabilité |
| Dossiers interdits | une liste rouge que vous tenez, sur les dossiers que vous ouvrez : vous pouvez rendre des dossiers totalement illisibles pour l’IA |
| Registre et journalisation | registre des activités (art. 12 nLPD) et journalisation (art. 4 OPDo), conservés au moins un an, exportables en un dossier daté |
La limite, puisqu’il faut la dire. La protection du coffre par DPAPI s’exerce dans le périmètre de votre compte Windows : elle met vos clés hors d’atteinte d’un autre utilisateur de la machine et d’une copie du disque, mais pas d’un programme qui tournerait déjà sous votre propre session. C’est la limite de tout logiciel de bureau ; nous préférons l’écrire que la taire.
Ce qui remonte à l’éditeur
Une liste blanche, fermée par défaut
Pour que la licence fonctionne, quelques repères techniques quittent votre poste. Ils ne passent pas par un filtre qui retirerait ce qui est interdit — c’est l’inverse : seuls les champs explicitement autorisés passent, et tout champ non prévu est rejeté. Des tests automatiques échouent si un contenu franchit cette frontière, et la séparation est revérifiée à chaque modification du logiciel.
run 4f2a… etape 3 / 5
statut termine jetons 1 240 entree / 380 sortie
duree 12,4 s verdict accepteVoilà à quoi ressemble ce que nous voyons. Ce qui n’y figure jamais : vos textes, vos instructions, les contenus produits, et jusqu’aux noms de vos fichiers.
Relevé réseau
Ce qui part du poste, et vers où
Un client, votre conseil ou le PFPDT vous demandera un jour où partent les pièces. Voici la réponse, et de quoi la vérifier sans nous croire. LEMIA tourne sur votre poste ; pendant une tâche, il ne contacte que des destinations que l’on compte sur une main, et que son code énumère nommément. Seuls quelques modules de ce code, eux aussi nommés, ont le droit d’importer une bibliothèque réseau : si un autre module importait l’une des bibliothèques que nos tests connaissent par leur nom, notre propre suite de tests échouerait.
| Destination | Quand | Ce qui y transite |
|---|---|---|
| api.infomaniak.com Infomaniak AI Services, Suisse |
à chaque appel d’IA | les extraits de vos pièces nécessaires à la tâche (ou l’enregistrement à transcrire) et les consignes de l’agent, sous votre clé — traités en Suisse, jamais lus par l’éditeur |
| api.lemia.ch serveur de contrôle de l’éditeur, Suisse |
à l’ouverture, puis toutes les 15 minutes (chaque minute tant que le poste est bloqué) ; pendant une exécution, aux points de contrôle entre deux étapes ; quand vous téléchargez un registre de référence | des repères techniques seulement : identifiants d’étapes, compteurs, verdicts, codes d’erreur, nom du modèle appelé, coût estimé. Le filtre est une liste blanche fermée : un texte, un nom de fichier ou une consigne n’y passent pas |
| lemia.ch | à l’ouverture (vérification de mise à jour, liste des registres publiés) ; quand vous téléchargez un registre de référence | un numéro de version ; pour la liste des registres, le jeton de session du poste ; pour un registre, le jeton de session du poste et le nom du paquet demandé — aucun contenu. Le paquet vient en HTTPS de lemia.ch seulement ; sa signature et son empreinte sont vérifiées avant installation |
| le web Brave, puis DuckDuckGo en repli ; les pages que l’IA ouvre |
seulement si vous activez le mode web — bouton globe, avertissement à accepter, consentement qui expire | les requêtes de recherche de l’IA, avec pour consigne de n’y mettre aucun élément sensible — une consigne, pas une garantie. Elles partent par Brave Search (page publique) ou, à défaut, DuckDuckGo — sociétés établies aux États-Unis, qui reçoivent l’adresse IP de votre poste ; par l’API Brave (api.search.brave.com) si votre cabinet a posé sa propre clé. Brave est interrogé d’abord ; DuckDuckGo ne reçoit une requête que si Brave a échoué ou n’a rien rendu sur cette requête, ou a échoué peu auparavant — de cinq minutes à deux heures au plus, selon les échecs récents —, ou si la limite de prudence de la page publique de Brave est atteinte (cinq recherches en dix minutes sur le poste). Un seul moteur est interrogé à la fois, jamais les deux ensemble |
- Aucune autre destination. Ni service d’analyse d’audience, ni rapport d’erreur automatique vers un tiers, ni police de caractères chargée depuis un serveur : l’application est servie depuis le poste.
- Ce que vous envoyez vous-même n’est pas dans ce relevé. Un document validé puis transmis depuis votre messagerie est votre geste, par votre compte — il n’est jamais à l’initiative de l’IA.
- Un modèle local (Ollama, sans sortie réseau) existe pour le développement hors ligne ; il n’est pas proposé en usage normal.
À refaire chez vous
Comment le vérifier vous-même
Rien à installer. Vous faites le relevé vous-même, sur votre poste, avec un dossier fictif — jamais avec un dossier réel.
Ouvrez le Moniteur de ressources
Touche Windows, tapez resmon, onglet Réseau. Cochez
les processus LEMIA, node et python dans la liste du haut.
Lancez une tâche sur un dossier fictif
Dans l’espace Agents, une demande ordinaire : « une synthèse de ces pièces, en Word ».
Notez les adresses distantes
Le tableau « Connexions TCP » liste chaque adresse contactée par les processus cochés, pendant toute la tâche.
Résolvez les noms
Dans une invite de commandes, nslookup suivi de l’adresse rend le nom
du serveur.
Comparez à la liste
Chaque nom doit correspondre à une ligne du tableau ci-dessus. Un nom qui n’y figure pas mérite une question — posez-la-nous, nous répondons en détail.
Ce relevé décrit le logiciel tel qu’il est construit, pas un engagement de résultat sur votre réseau : un antivirus, un proxy d’entreprise ou une autre application ouverte ont leurs propres connexions, qui apparaîtront à côté.
Preuve
Le dossier de conformité, tel que l’application le produit
Le jour où l’on vous demande vos preuves, vous n’avez rien à rédiger : un bouton dans l’espace Conformité, et un document Word daté sort. Aucune IA n’y touche : il est assemblé depuis la journalisation et la configuration réelles du poste, et il ne peut pas dire autre chose que ce que le logiciel fait. Le registre, le mode web, les opérations sur les droits et le journal des traitements y sont en tableaux.
L’Étude Exemple n’existe pas : son responsable est une personne fictive et son registre a été fabriqué pour l’exemple — trois traitements sur un dossier inventé. La structure, les mesures et les durées, elles, sont exactement celles que l’application écrit pour un vrai cabinet.
Ce qu’il contient
Quatre extraits, repris du fichier
Le registre des activités (art. 12 nLPD)
Un tableau par finalité, agrégé depuis chaque traitement, lettre par lettre de l’art. 12 al. 2. Jamais un contenu, jamais un nom de fichier. Huit lignes sur dix :
Rubrique Indication Finalité (let. b) Projet d’acte à partir d’un mandat Nature des traitements Agents (travail dans les dossiers) — 1 traitement(s), période : 27.08.2026 → 27.08.2026 Catégories de personnes concernées (let. c) clients (personnes morales) Catégories de données personnelles (let. c) mandat, notes de séance Catégories de destinataires (let. d) Infomaniak (Suisse) Délai de conservation (let. e) 90 jours puis purge automatique Communication à l’étranger (let. g) Aucune communication de données personnelles à l’étranger Pays de traitement par l’IA CH
Le règlement de traitement (art. 5 OPDo)
Les mesures techniques et organisationnelles, écrites depuis la configuration au moment de l’export. Trois lignes parmi celles du fichier :
« Tout appel à un modèle d’IA est routé vers Infomaniak AI Services (Suisse) : le contenu est traité en Suisse, n’est pas conservé durablement par le sous-traitant (stockage temporaire le temps du traitement — conditions particulières LLM API d’Infomaniak, art. 6) et n’est pas utilisé pour entraîner des modèles. »
« Dossiers interdits (liste rouge) : les dossiers verrouillés par le cabinet sont physiquement illisibles par les agents et par l’assistant conversationnel. État au moment de l’export : 0 dossier(s) interdit(s) sur 0 espace(s) de travail protégé(s). »
« La retouche, le renommage ou la suppression d’un document que l’utilisateur a lui-même désigné s’applique immédiatement. La garantie n’est alors pas l’attente mais la réversibilité : l’original est recopié dans une corbeille locale et le geste inscrit dans un journal d’annulation AVANT toute écriture — un échec de sauvegarde refuse l’écriture. L’utilisateur peut défaire chaque geste, un par un. »
Le compte des dossiers interdits est celui du poste fictif : sur le vôtre, c’est votre liste rouge qui s’y lit.
La journalisation (art. 4 OPDo), les sous-traitants (art. 9), les violations (art. 24)
La synthèse de la journalisation — enregistrements, période, conservation d’au moins 365 jours, indépendante de la purge du contenu —, le tableau des sous-traitants avec leur pays et leurs garanties, le journal des violations, et les opérations sur les droits des personnes, datées une à une.
Enregistrements : 3 (dont 3 en traitement souverain)
Période couverte : 24.08.2026 → 02.09.2026
Traitements effectués avec le mode web activé : 1 (consentements au mode web enregistrés : 1)
Conservation : au moins 365 jours (art. 4 al. 5 OPDo), indépendamment de la purge du contenu
Violations de la sécurité des données (art. 24 nLPD)
Aucune violation documentée à ce jour.
Le mode web et le journal des traitements, ligne par ligne
Chaque traitement fait avec le mode web actif est daté, avec son poste et son activité ; chaque acceptation de l’avertissement aussi. En annexe, une ligne par traitement. Ce qui a été cherché n’y figure pas : ce serait du contenu, et il n’est pas conservé.
« Le mode web était actif pendant ces traitements : des requêtes de recherche ont pu partir vers les moteurs nommés au registre. Le texte des requêtes et les pages ouvertes ne sont pas conservés. »
Date et heure Poste Activité (finalité) Nature 02.09.2026 11:11 poste-7Q4K Synthèse d’un dossier contentieux pour l’assurance Conversation Annexe — Journal des traitements (art. 4 OPDo)
Date et heure Poste Nature Finalité Modèles Pays Fichiers lus Fichiers écrits Mode web 24.08.2026 10:19 poste-7Q4K Agents (travail dans les dossiers) Synthèse d’un dossier contentieux pour l’assurance Qwen3.5-397B CH 4 1 non 27.08.2026 15:52 poste-7Q4K Agents (travail dans les dossiers) Projet d’acte à partir d’un mandat Qwen3.5-397B CH 2 1 non 02.09.2026 11:11 poste-7Q4K Conversation Synthèse d’un dossier contentieux pour l’assurance Qwen3.5-397B CH 1 0 oui
Limites
Ce que ce dossier ne fait pas
- Il ne couvre que les traitements effectués via LEMIA. Il s’annexe à la documentation de protection des données du cabinet ; il ne remplace pas le registre des traitements faits par d’autres moyens.
- Il ne rend pas un cabinet « conforme ». Nos mesures sont des obligations de moyens : la conformité complète dépend du contrat de sous-traitance et de votre situation, à valider avec votre conseil.
- Il ne se rédige pas à votre place pour le reste. Les champs que seul le cabinet connaît — l’identité du responsable, les finalités quand vous ne les avez pas renseignées — sont marqués « à compléter », jamais devinés.
Charge de la preuve
Qui monte le dossier de conformité ?
Votre faîtière ne répond pas par oui ou par non : elle nomme les voies par lesquelles un dossier couvert peut passer. La Fédération suisse des avocats en reconnaît trois : un logiciel installé et exploité sur le réseau interne de l’étude, sous la garantie qu’aucune donnée n’en sorte ni ne soit stockée hors de son infrastructure ; le respect strict des règles relatives à l’externalisation ; ou, avec le consentement éclairé du client, une déclaration de renonciation au secret professionnel et à la LPD. Et elle ajoute qu’« en l’absence de ces garanties, les informations confidentielles […] ne doivent pas être introduites dans les systèmes d’IA » (Lignes directrices portant sur l’utilisation de l’intelligence artificielle, 14 juin 2024, ch. 2.1). La FMH demande de son côté, pour les données de patients, des garanties techniques et juridiques d’un traitement exclusivement local ou contrôlé (recommandations sur les grands modèles de langage, 14 août 2025).
LEMIA est construit pour la deuxième voie, l’externalisation, et son travail consiste à vous en fournir les pièces : un sous-traitant unique et nommé, en Suisse, un registre qui s’écrit depuis la journalisation de l’application, et un dossier daté. Cette voie n’est réservée à personne : ce qui décide, c’est ce que votre fournisseur vous donne par écrit — et ce qui reste à votre charge, c’est de tenir la voie choisie et de pouvoir le montrer.
Sur le point qui décide — l’appel d’IA lui-même —, l’écrit n’est pas avec nous. Vous ouvrez votre propre compte chez l’opérateur suisse et vous employez votre propre clé : celui qui traite le contenu de vos dossiers est donc votre sous-traitant, sous vos conditions, sans intermédiaire. Ce que l’éditeur vous donne par écrit porte sur le reste, et c’est plus étroit : ce que le logiciel envoie, ce qu’il n’envoie pas, et les métadonnées de licence — le seul flux qui nous parvienne (le détail du routage, ce que cela change à la facture).
| Ce qu’il faut | Avec une IA grand public | Avec LEMIA |
|---|---|---|
| Un traitement chez un opérateur suisse | à configurer et à vérifier par vous : région, sous-traitants, réglages du service | l’état par défaut : chaque appel d’IA passe par Infomaniak, rien à activer |
| Qui peut lire le contenu | le fournisseur, selon son contrat et le droit auquel il est soumis | traité en Suisse, jamais lu par l’éditeur |
| Le registre des activités (art. 12 nLPD) et la journalisation (art. 4 OPDo) | à tenir à la main, et à organiser | produits par l’application : un dossier Word daté, prêt pour votre conseil ou pour le PFPDT — voir celui d’un cabinet fictif |
| La validation de chaque livrable | à organiser dans votre cabinet | intégrée : aucun document nouveau n’entre sans votre validation, toute retouche est réversible |
Nos mesures sont des obligations de moyens : la conformité complète dépend du contrat de sous-traitance et de votre situation, à valider avec votre conseil.
Trois confusions courantes
Ce qui se ressemble, et ne se vaut pas
Le vocabulaire de la confidentialité est désormais partagé par tout le marché. Trois distinctions décident pourtant de ce qui vous protège réellement. Posez-les à n’importe quel éditeur — à nous compris.
Localiser n’est pas sortir d’une juridiction
Un serveur situé en Suisse mais exploité par une société soumise au droit américain reste dans le champ de ce droit. La bonne question n’est donc pas « où sont les machines », mais qui les opère, et sous quel droit. Le nôtre est un opérateur suisse, nommé plus haut. Nous développons ce point juste en dessous.
Un engagement contractuel n’est pas une propriété d’architecture
« Vos données n’entraînent pas les modèles » est presque toujours une clause de contrat — chez nous aussi, et nous le disons : cet engagement remonte par contrat jusqu’à l’opérateur suisse. Ce qui relève de l’architecture, c’est qui peut techniquement lire : le logiciel tourne sur votre poste, et l’éditeur ne reçoit pas vos contenus.
Chiffrer son stockage n’est pas détenir la clé d’accès
Apporter sa propre clé de chiffrement protège des fichiers au repos chez un prestataire qui, lui, continue d’exécuter le traitement. Ici, la clé qui ouvre l’accès au modèle est la vôtre, dans votre coffre, sur votre machine : c’est votre compte qui appelle l’IA, pas le nôtre.
Souveraineté
Héberger en Suisse ne suffit pas. La souveraineté, oui
Pour un professionnel lié par le secret (art. 321 CP), le vrai critère n’est pas où sont les serveurs, mais qui peut être légalement contraint d’y accéder. Héberger les données en Suisse répond à une question de protection des données. Mais les héberger, c’est aussi les confier à un prestataire. Le secret professionnel pose alors une autre question : ce prestataire peut-il être contraint d’ouvrir vos dossiers ? Une « région suisse » exploitée par un groupe soumis à un droit étranger reste exposée.
« Mes données sont dans une région suisse. »
Une loi d’accès extraterritoriale — par exemple le CLOUD Act américain (18 U.S.C. § 2713) — vise l’opérateur soumis au droit américain et l’oblige à produire les données « regardless of whether… located within or outside of the United States » (« que ces données soient situées à l’intérieur ou à l’extérieur des États-Unis ») : donc même dans une « région suisse ». Ce qui compte n’est pas le drapeau du centre de données, mais le droit auquel l’opérateur est soumis.
Un opérateur suisse, dans ses propres centres en Suisse
Vos traitements par l’IA passent, sans exception, par un opérateur suisse (INFOMANIAK NETWORK SA, Genève), dans ses propres centres de données en Suisse.
Tout le reste s’exécute sur votre poste
Le logiciel travaille sur votre machine : le contenu n’est jamais lu par l’éditeur, et rien n’est envoyé sans votre validation ; toute retouche d’un document existant est réversible. Ce sont les mesures décrites plus haut sur cette page.
Ce que nous ne prétendons pas. Le seuil exact à partir duquel un Cloud étranger devient inadmissible n’est pas tranché par les tribunaux : il relève de votre appréciation professionnelle. Notre argument porte sur le risque juridique de contrainte, non sur des cas avérés.
- Accès extraterritorial — CLOUD Act, 18 U.S.C. § 2713 : oblige un opérateur soumis au droit américain à produire les données « regardless of whether… located within or outside of the United States » — la contrainte s’applique même dans une « région suisse ».
Le risque d’accès étranger est juridiquement établi, mais aucun cas n’a été publiquement documenté s’agissant de données suisses (procédures scellées). Le panorama du secret professionnel (art. 321 CP, nLPD) est détaillé ci-dessous.
Le droit qui vous lie, par profession
Chaque métier a son secret — et son article de loi
Le cœur du droit qui vous lie tient souvent en un article : l’art. 321 du Code pénal punit quiconque révèle sans droit un secret confié dans l’exercice de sa profession — délit poursuivi sur plainte, peine privative de liberté jusqu’à trois ans ou peine pécuniaire. Il couvre un cercle fermé de professions ; d’autres régimes s’y ajoutent ou le prolongent. Point rassurant : les auxiliaires sont eux-mêmes astreints au secret (art. 321 ch. 1 CP), et la révélation reste non punissable avec le consentement de l’intéressé ou sur autorisation écrite de l’autorité supérieure (ch. 2).
Médecins et professions de santé
Le secret médical relève de l’art. 321 CP, complété par l’art. 40 de la loi sur les professions médicales (LPMéd) et le droit cantonal. Santé, diagnostics, dossiers des patients : ce sont, de surcroît, des données sensibles au sens de la nouvelle loi sur la protection des données (nLPD) — art. 5 LPD.
Avocats
Au secret de l’art. 321 CP s’ajoute l’art. 13 de la loi sur la libre circulation des avocats (LLCA) : un secret renforcé, portant sur toutes les affaires confiées, illimité dans le temps et opposable aux tiers.
Notaires
Le notaire est visé par l’art. 321 CP et par le droit cantonal (par exemple, à Genève, l’art. 7 de la loi sur le notariat, LNot). La portée exacte varie d’un canton à l’autre.
Secteur public et administration
Les fonctionnaires et agents publics — état civil, offices AI, registre foncier, taxation — sont tenus au secret de fonction (art. 320 CP). Sa levée passe par le consentement écrit de l’autorité supérieure.
Banque et révision
Le secret bancaire (art. 47 de la loi sur les banques, LB) est pénal ; l’organe de révision agréé est tenu au secret de l’art. 730b CO : la révision agréée est la seule activité fiduciaire adossée à un secret pénal (art. 321 CP).
Fiduciaires « purs » (hors art. 321)
Les fiduciaires non couverts par l’art. 321 restent liés par le devoir de fidélité du mandataire (art. 398 al. 2 CO), que l’art. 162 CP sanctionne pénalement — il vise la révélation d’un secret d’affaires que l’on était tenu de garder « en vertu d’une obligation légale ou contractuelle » —, et par le régime de repli de la LPD (art. 62). Le devoir de discrétion existe ; seule sa base légale change.
Retenez deux choses : la sanction est pénale et se déclenche sur plainte ; vos auxiliaires ne vous mettent pas en faute — ils sont eux-mêmes astreints au secret (art. 321 ch. 1 CP), et la révélation reste non punissable avec le consentement de l’intéressé ou sur autorisation écrite de l’autorité supérieure (ch. 2).
La protection des données, par-dessus
La LPD s’ajoute au secret — elle ne le remplace pas
Au secret professionnel se superpose un second régime, cumulatif : la LPD. Elle s’applique à toute donnée personnelle, et ses exigences s’imposent que vous releviez ou non de l’art. 321.
- Le simple acheminement est déjà un « traitement » (art. 5 LPD) — même sans lecture. Faire transiter une donnée par un service tiers, c’est la traiter ; le même article définit les données sensibles (santé, sphère intime, données génétiques ou biométriques, poursuites et sanctions pénales…).
- L’art. 8 LPD impose la sécurité des données : c’est l’obligation à laquelle répondent les mesures décrites plus haut — chiffrement, cloisonnement, journalisation.
- L’art. 9 LPD encadre le traitement confié à un tiers, sur instruction et moyennant des garanties de sécurité : c’est la base du contrat de sous-traitance (DPA). L’accès aux modèles d’IA s’effectuant au moyen des clés d’accès propres de votre cabinet, ce contrat se conclut directement entre votre cabinet et le fournisseur d’IA — l’Éditeur n’y est pas partie (voir CGU, art. 5.1 et 11.2, et la politique de confidentialité, §3).
- L’art. 21 LPD encadre la décision « exclusivement automatisée » : c’est vous qui décidez — vous relisez chaque sortie avant qu’elle produise le moindre effet à l’égard d’un tiers, et le logiciel ne déclenche aucune action externe sans votre accord. Cette qualification est ainsi écartée.
- Et surtout : l’amende (art. 60 et 61 LPD) — jusqu’à CHF 250 000, frappant la personne physique responsable — et non l’entreprise. Le levier le plus concret du droit qui vous lie.
Si l’activité de votre cabinet s’étend à l’Union européenne, le RGPD s’ajoute (sous-traitance, art. 28 ; analyse d’impact, art. 35).
Ce que LEMIA en fait, en une phrase : votre contenu est traité en Suisse, dès la conception et sans exception ; il n’est jamais lu par l’éditeur, et chaque sortie est relue et validée par vous avant tout envoi ; toute retouche de vos documents est réversible. Le traitement souverain répond à la question du transfert à l’étranger ; la validation humaine, à celle de la décision automatisée ; le fait que le contenu ne soit jamais lu, avec le contrat de sous-traitance, au secret et à la LPD.
Garanties vérifiables
Chaque promesse a sa clause, et sa preuve
Nous ne vous demandons pas de nous croire sur parole : chaque engagement ci-dessous est écrit — dans nos conditions d’utilisation, donc opposable, ou dans la documentation du produit — et correspond à un mécanisme du produit que vous pouvez constater lors d’une démonstration.
Contenu jamais lu par l’éditeur
Engagé : CGU art. 4.2 et 11.2 — l’éditeur ne reçoit ni vos documents ni les contenus produits. Constatable : le logiciel tourne sur votre poste ; seuls des repères techniques (étapes, compteurs) existent côté éditeur, jamais vos textes.
Opérateur suisse, inscrit dans l’architecture
Engagé : CGU art. 4.3 — les éléments nécessaires au traitement ne sont transmis qu’à l’opérateur suisse. Constatable : aucun réglage, aucun menu ne permet d’envoyer vos données à une IA hors de Suisse — la restriction est dans la structure du logiciel, pas dans une option.
Validation humaine, et retour arrière
Engagé : CGU art. 4.4 — aucun envoi sans votre accord explicite ; les documents produits attendent votre validation (sauf renonciation explicite de votre part) ; les retouches d’un document qui existe déjà s’appliquent tout de suite et restent réversibles. Constatable : demandez de corriger un montant dans un de vos documents — la correction s’applique, et « Annuler » la défait. Faites aussi l’essai d’un envoi : rien ne part tout seul.
Dossiers interdits, réellement illisibles
Engagé : fonction documentée du produit (espace Conformité). Constatable : placez un dossier en liste rouge, puis demandez à l’IA de le lire — elle ne peut ni l’ouvrir ni en lister le contenu.
Registre et dossier de conformité
Engagé : journalisation des traitements (art. 4 OPDo) conservée au moins un an. Constatable : l’espace Conformité exporte en un clic un dossier daté, prêt à être présenté au PFPDT ou à votre conseil.
Transparence sur l’IA
Engagé : CGU art. 8 — les contenus sont générés par des systèmes d’IA, peuvent comporter des erreurs et ne constituent pas un conseil professionnel. Constatable : l’information figure dans l’interface même, pas seulement dans le contrat.
Ce que nous ne prétendons pas
La confiance se gagne aussi en énonçant ses limites
Nos mesures sont des obligations de moyens, pas une garantie d’inviolabilité : aucun système n’est « 100 % inviolable ». La conformité juridique dépend aussi du contrat de sous-traitance et de votre situation : vous demeurez le responsable du traitement au sens de la LPD, et vos envois vers l’extérieur restent votre décision. Nous ne revendiquons aucune « conformité par construction ».
Faites relire cette page par votre conseil
Nous répondons volontiers, et en détail, à toute question touchant la protection de vos dossiers.
Signaler une faille de sécurité : écrivez à contact@lemia.ch en décrivant ce que vous avez observé et comment le reproduire, sans y joindre de données d’un tiers. Nous accusons réception et vous tenons informé de la suite donnée.