Sécurité et confidentialité
Ce qui protège vos dossiers — nommé, expliqué, vérifiable
Beaucoup promettent « hébergé en Suisse » sans rien nommer. Nous nommons l’opérateur, les modèles et le chiffrement — pour que votre conseil vérifie au lieu de nous croire.
Le principe, en une phrase
Votre travail reste sous votre contrôle, d’un bout à l’autre
LEMIA est un logiciel qui tourne sur votre ordinateur. Le travail de l’IA est confié, sans exception, à un opérateur suisse ; l’éditeur du logiciel ne voit jamais vos textes ; et rien n’est envoyé sans que vous ayez dit oui, tandis que toute modification de vos dossiers peut être annulée. Chaque mesure ci-dessous n’est qu’une façon concrète de tenir ces trois engagements.
Les mesures, en mots simples
Ce que fait chaque protection
Chaque carte décrit une protection que LEMIA est conçu pour assurer — une obligation de moyens, pas une promesse de résultat. On commence par ce que chacune empêche ; ce qui la fait tenir est nommé plus bas, dans le détail technique.
Tout se passe sur votre poste
Vos dossiers ne partent pas « dans le nuage » de l’éditeur : il ne les héberge pas et ne les lit pas. Pour faire fonctionner le logiciel, il ne voit que des repères techniques — l’étape en cours, quelques compteurs — jamais vos textes ni vos pièces.
Les agents restent dans le dossier que vous ouvrez
L’IA ne peut ouvrir que le dossier de travail que vous lui confiez, rien au-delà. Vous pouvez en outre désigner des dossiers rendus totalement illisibles pour elle : elle ne pourra ni les ouvrir ni même savoir ce qu’ils contiennent.
Tout passe par la Suisse, dès la conception
Le traitement par l’IA est confié à un opérateur suisse, non soumis au droit américain — pour le texte comme pour vos images et documents scannés. Quant aux outils par lesquels l’IA pourrait aller interroger un service à l’étranger, ils sont coupés.
Une zone tampon avant vos vrais dossiers
Les documents produits par l’IA sont d’abord préparés dans une zone tampon (espace d’attente), à l’écart. Aucun document nouveau n’arrive dans vos vrais dossiers tant que vous n’avez pas validé ; seuls ceux que vous retenez y sont recopiés. La correction d’un document qui existe déjà, elle, s’applique tout de suite — et reste annulable.
Rien n’est envoyé sans votre accord
Aucun courriel n’est envoyé, aucune action externe n’est déclenchée à votre place. Chaque envoi vous est présenté avec son contenu affiché sous vos yeux, pour votre validation. Envoyer reste votre décision, exactement comme si vous aviez rédigé le message vous-même.
Vos clés d’accès dans un coffre chiffré
Les clés qui donnent accès à l’IA sont conservées dans un coffre chiffré sur votre machine. Elles ne sont jamais exportées, jamais affichées en clair, jamais envoyées à l’éditeur.
Des journaux chiffrés, qui restent chez vous
LEMIA garde une trace technique de ses actions pour vous permettre de vérifier ce qui s’est passé. Ce journal est chiffré sur votre machine et ne la quitte pas. Ce qui remonte à l’éditeur se limite à des métadonnées techniques (compteurs, durées, statuts) : ni contenu, ni nom de fichier n’y figure.
Une protection en plusieurs couches
La sécurité ne tient pas à un seul réglage que l’on pourrait oublier d’activer. Si une protection faiblit, une autre bloque à sa place. Enfin, face au doute, le système ferme par défaut plutôt qu’il n’ouvre.
En un schéma
Plusieurs couches entre le monde et vos dossiers
Les mesures ci-dessus s’emboîtent : pour qu’un document nouveau atteigne vos dossiers, il faut les traverser toutes, l’une après l’autre. La correction d’un document que vous avez désigné emprunte un chemin plus court — elle s’applique tout de suite, et reste annulable.
Votre poste — chiffré
Périmètre de travail
Zone tampon
Votre validation
La zone tampon
Deux issues possibles — une seule mène à vos dossiers
Les documents nouveaux que produisent les agents attendent dans la zone tampon. De là, deux issues seulement : vous validez, et le résultat est écrit dans vos dossiers ; vous refusez, et il n’est écrit nulle part. Votre décision est le seul chemin par lequel un document nouveau entre chez vous.
Un document qui existe déjà et que vous demandez de corriger, renommer ou supprimer ne passe pas par là : le geste s’applique tout de suite, sur l’objet que vous avez vous-même désigné. Ce qui vous protège alors n’est pas l’attente mais le retour arrière : une copie de l’original est mise de côté avant toute retouche, et si cette copie ne peut pas être faite, l’écriture est refusée.
Le détail, nommé
Ce que nous utilisons, précisément
Chaque ligne ci-dessous nomme ce que nous utilisons — en clair, et avec ses limites : de quoi contrôler, point par point, les promesses de cette page.
| Ce qui est en jeu | Ce que nous utilisons |
|---|---|
| Traitement de l’IA | Infomaniak (INFOMANIAK NETWORK SA, Genève, Suisse) — opérateur suisse, non soumis au droit américain |
| Modèles | Ministral-3, Mistral-Small-4, Qwen3.5 (122B et 397B), Kimi-K2.6 et Nemotron — des modèles à poids ouverts, servis en Suisse, choisis selon la tâche |
| Vos fichiers | ils restent sur votre poste ; seuls les extraits nécessaires à la tâche demandée sont transmis à l’opérateur suisse |
| Coffre de clés | chiffrement AES-256-GCM, clé de 256 bits conservée sur votre machine et protégée par DPAPI (Windows) ; jamais affichée en clair, jamais exportée, jamais transmise à l’éditeur |
| Journal des traitements | chiffré au repos sur votre machine. Si le chiffrement est indisponible, LEMIA refuse d’écrire le journal plutôt que de l’écrire en clair |
| Ce qui remonte à l’éditeur | des repères techniques seulement — étapes, compteurs, durées, verdicts ; le détail est juste en dessous |
| Outils web de l’IA | désactivés par défaut : l’IA ne peut pas interroger un service situé hors de Suisse, sauf si vous activez le mode web optionnel (bouton globe, avertissement à accepter) — l’IA a alors pour consigne de ne rien divulguer de sensible dans ses requêtes, et l’activation relève de votre responsabilité |
| Dossiers interdits | une liste rouge que vous tenez, sur votre dossier de travail : vous pouvez rendre des dossiers totalement illisibles pour l’IA |
| Registre et journalisation | registre des activités (art. 12 nLPD) et journalisation (art. 4 OPDo), conservés au moins un an, exportables en un dossier daté |
La limite, puisqu’il faut la dire. La protection du coffre par DPAPI s’exerce dans le périmètre de votre compte Windows : elle met vos clés hors d’atteinte d’un autre utilisateur de la machine et d’une copie du disque, mais pas d’un programme qui tournerait déjà sous votre propre session. C’est la limite de tout logiciel de bureau ; nous préférons l’écrire que la taire.
Ce qui remonte à l’éditeur
Une liste blanche, fermée par défaut
Pour que la licence fonctionne, quelques repères techniques quittent votre poste. Ils ne passent pas par un filtre qui retirerait ce qui est interdit — c’est l’inverse : seuls les champs explicitement autorisés passent, et tout champ non prévu est rejeté. Des tests automatiques échouent si un contenu franchit cette frontière, et la séparation est revérifiée à chaque modification du logiciel.
run 4f2a… etape 3 / 5
statut termine jetons 1 240 entree / 380 sortie
duree 12,4 s verdict accepteVoilà à quoi ressemble ce que nous voyons. Ce qui n’y figure jamais : vos textes, vos instructions, les contenus produits, et jusqu’aux noms de vos fichiers.
Trois confusions courantes
Ce qui se ressemble, et ne se vaut pas
Le vocabulaire de la confidentialité est désormais partagé par tout le marché. Trois distinctions décident pourtant de ce qui vous protège réellement. Posez-les à n’importe quel éditeur — à nous compris.
Localiser n’est pas sortir d’une juridiction
Un serveur situé en Suisse mais exploité par une société soumise au droit américain reste dans le champ de ce droit. La bonne question n’est donc pas « où sont les machines », mais qui les opère, et sous quel droit. Le nôtre est un opérateur suisse, nommé plus haut. Nous développons ce point juste en dessous.
Un engagement contractuel n’est pas une propriété d’architecture
« Vos données n’entraînent pas les modèles » est presque toujours une clause de contrat — chez nous aussi, et nous le disons : cet engagement remonte par contrat jusqu’à l’opérateur suisse. Ce qui relève de l’architecture, c’est qui peut techniquement lire : le logiciel tourne sur votre poste, et l’éditeur ne reçoit pas vos contenus.
Chiffrer son stockage n’est pas détenir la clé d’accès
Apporter sa propre clé de chiffrement protège des fichiers au repos chez un prestataire qui, lui, continue d’exécuter le traitement. Ici, la clé qui ouvre l’accès au modèle est la vôtre, dans votre coffre, sur votre machine : c’est votre compte qui appelle l’IA, pas le nôtre.
Souveraineté
Héberger en Suisse ne suffit pas. La souveraineté, oui
Pour un professionnel lié par le secret (art. 321 CP), le vrai critère n’est pas où sont les serveurs, mais qui peut être légalement contraint d’y accéder. Héberger les données en Suisse répond à une question de protection des données. Mais les héberger, c’est aussi les confier à un prestataire. Le secret professionnel pose alors une autre question : ce prestataire peut-il être contraint d’ouvrir vos dossiers ? Une « région suisse » exploitée par un groupe soumis à un droit étranger reste exposée.
« Mes données sont dans une région suisse. »
Une loi d’accès extraterritoriale — par exemple le CLOUD Act américain (18 U.S.C. § 2713) — vise l’opérateur soumis au droit américain et l’oblige à produire les données « regardless of whether… located within or outside of the United States » (« que ces données soient situées à l’intérieur ou à l’extérieur des États-Unis ») : donc même dans une « région suisse ». Ce qui compte n’est pas le drapeau du centre de données, mais le droit auquel l’opérateur est soumis.
Un opérateur suisse qu’aucune autorité étrangère ne peut contraindre
Vos traitements par l’IA passent, sans exception, par un opérateur suisse sans maison-mère étrangère, sur ses propres serveurs. Ils restent ainsi hors de portée d’un droit d’accès extraterritorial.
Tout le reste s’exécute sur votre poste
Le logiciel travaille sur votre machine : le contenu n’est jamais lu par l’éditeur, et rien n’est envoyé sans votre validation, et toute écriture est réversible. Ce sont les mesures décrites plus haut sur cette page.
Ce que nous ne prétendons pas. Le seuil exact à partir duquel un cloud étranger devient inadmissible n’est pas tranché par les tribunaux : il relève de votre appréciation professionnelle. Notre argument porte sur le risque juridique de contrainte, non sur des cas avérés.
- Accès extraterritorial — CLOUD Act, 18 U.S.C. § 2713 : oblige un opérateur soumis au droit américain à produire les données « regardless of whether… located within or outside of the United States » — la contrainte s’applique même dans une « région suisse ».
Le risque d’accès étranger est juridiquement établi, mais aucun cas n’a été publiquement documenté s’agissant de données suisses (procédures scellées). Le panorama du secret professionnel (art. 321 CP, nLPD) est détaillé ci-dessous.
Le droit qui vous lie, par profession
Chaque métier a son secret — et son article de loi
Le cœur du droit qui vous lie tient souvent en un article : l’art. 321 du Code pénal punit quiconque révèle sans droit un secret confié dans l’exercice de sa profession — délit poursuivi sur plainte, peine privative de liberté jusqu’à trois ans ou peine pécuniaire. Il couvre un cercle fermé de professions ; d’autres régimes s’y ajoutent ou le prolongent. Point rassurant : les auxiliaires sont eux-mêmes astreints au secret (art. 321 ch. 1 CP), et la révélation reste non punissable avec le consentement de l’intéressé ou sur autorisation écrite de l’autorité supérieure (ch. 2).
Médecins et professions de santé
Le secret médical relève de l’art. 321 CP, complété par l’art. 40 de la loi sur les professions médicales (LPMéd) et le droit cantonal. Santé, diagnostics, dossiers des patients : ce sont, de surcroît, des données sensibles au sens de la nouvelle loi sur la protection des données (nLPD) — art. 5 LPD.
Avocats
Au secret de l’art. 321 CP s’ajoute l’art. 13 de la loi sur la libre circulation des avocats (LLCA) : un secret renforcé, portant sur toutes les affaires confiées, illimité dans le temps et opposable aux tiers.
Notaires
Le notaire est visé par l’art. 321 CP et par le droit cantonal (par exemple, à Genève, l’art. 7 de la loi sur le notariat, LNot). La portée exacte varie d’un canton à l’autre.
Secteur public et administration
Les fonctionnaires et agents publics — état civil, offices AI, registre foncier, taxation — sont tenus au secret de fonction (art. 320 CP). Sa levée passe par le consentement écrit de l’autorité supérieure.
Banque et révision
Le secret bancaire (art. 47 de la loi sur les banques, LB) est pénal ; l’organe de révision agréé est tenu au secret de l’art. 730b CO : la révision agréée est la seule activité fiduciaire adossée à un secret pénal (art. 321 CP).
Fiduciaires « purs » (hors art. 321)
Les fiduciaires non couverts par l’art. 321 restent liés par le secret d’affaires (art. 162 CP / art. 6 LCD) et par le régime de repli de la LPD (art. 62). Le devoir de discrétion existe ; seule sa base légale change.
Retenez deux choses : la sanction est pénale et se déclenche sur plainte ; vos auxiliaires ne vous mettent pas en faute — ils sont eux-mêmes astreints au secret (art. 321 ch. 1 CP), et la révélation reste non punissable avec le consentement de l’intéressé ou sur autorisation écrite de l’autorité supérieure (ch. 2).
La protection des données, par-dessus
La LPD s’ajoute au secret — elle ne le remplace pas
Au secret professionnel se superpose un second régime, cumulatif : la LPD. Elle s’applique à toute donnée personnelle, et ses exigences s’imposent que vous releviez ou non de l’art. 321.
- Le simple acheminement est déjà un « traitement » (art. 5 LPD) — même sans lecture. Faire transiter une donnée par un service tiers, c’est la traiter ; le même article définit les données sensibles (santé, sphère intime, données génétiques ou biométriques, poursuites et sanctions pénales…).
- L’art. 8 LPD impose la sécurité des données : c’est l’obligation à laquelle répondent les mesures décrites plus haut — chiffrement, cloisonnement, journalisation.
- L’art. 9 LPD encadre le traitement confié à un tiers, sur instruction et moyennant des garanties de sécurité : c’est la base du contrat de sous-traitance (DPA). L’accès aux modèles d’IA s’effectuant au moyen des clés d’accès propres de votre cabinet, ce contrat se conclut directement entre votre cabinet et le fournisseur d’IA — l’Éditeur n’y est pas partie (voir CGU, art. 5.1 et 11.2, et la politique de confidentialité, §3).
- L’art. 21 LPD encadre la décision « exclusivement automatisée » : c’est vous qui décidez — vous relisez chaque sortie avant qu’elle produise le moindre effet à l’égard d’un tiers, et le logiciel ne déclenche aucune action externe sans votre accord. Cette qualification est ainsi écartée.
- Et surtout : l’amende (art. 60 et 61 LPD) — jusqu’à CHF 250 000, frappant la personne physique responsable — et non l’entreprise. Le levier le plus concret du droit qui vous lie.
Si l’activité de votre cabinet s’étend à l’Union européenne, le RGPD s’ajoute (sous-traitance, art. 28 ; analyse d’impact, art. 35).
Ce que LEMIA en fait, en une phrase : votre contenu est traité en Suisse, dès la conception et sans exception ; il n’est jamais lu par l’éditeur, et chaque sortie est relue et validée par vous avant tout envoi, et chaque écriture dans vos dossiers est réversible. Le traitement souverain répond à la question du transfert à l’étranger ; la validation humaine, à celle de la décision automatisée ; le fait que le contenu ne soit jamais lu, avec le contrat de sous-traitance, au secret et à la LPD.
Garanties vérifiables
Chaque promesse a sa clause, et sa preuve
Nous ne vous demandons pas de nous croire sur parole : chaque engagement ci-dessous est écrit dans nos conditions d’utilisation — donc opposable — et correspond à un mécanisme du produit que vous pouvez constater lors d’une démonstration.
Contenu jamais lu par l’éditeur
Engagé : CGU art. 4.2 et 11.2 — l’éditeur ne reçoit ni vos documents ni les contenus produits. Constatable : le logiciel tourne sur votre poste ; seuls des repères techniques (étapes, compteurs) existent côté éditeur, jamais vos textes.
Opérateur suisse, inscrit dans l’architecture
Engagé : CGU art. 4.3 — les éléments nécessaires au traitement ne sont transmis qu’à l’opérateur suisse. Constatable : aucun réglage, aucun menu ne permet d’envoyer vos données à une IA hors de Suisse — la restriction est dans la structure du logiciel, pas dans une option. La seule autre possibilité est un modèle exécuté localement sur votre poste, hors ligne, sans aucune sortie réseau.
Validation humaine, et retour arrière
Engagé : CGU art. 4.4 — aucun envoi sans votre accord explicite ; les documents produits attendent votre validation ; les retouches d’un document qui existe déjà s’appliquent tout de suite et restent réversibles. Constatable : demandez de corriger un montant dans un de vos documents — la correction s’applique, et « Annuler » la défait. Faites aussi l’essai d’un envoi : rien ne part tout seul.
Dossiers interdits, réellement illisibles
Engagé : fonction documentée du produit (espace Conformité). Constatable : placez un dossier en liste rouge, puis demandez à l’IA de le lire — elle ne peut ni l’ouvrir ni en lister le contenu.
Registre et dossier de conformité
Engagé : journalisation des traitements (art. 4 OPDo) conservée au moins un an. Constatable : l’espace Conformité exporte en un clic un dossier daté, prêt à être présenté au PFPDT ou à votre conseil.
Transparence sur l’IA
Engagé : CGU art. 8 — les contenus sont générés par des systèmes d’IA, peuvent comporter des erreurs et ne constituent pas un conseil professionnel. Constatable : l’information figure dans l’interface même, pas seulement dans le contrat.
Ce que nous ne prétendons pas
La confiance se gagne aussi en énonçant ses limites
Nos mesures sont des obligations de moyens, pas une garantie d’inviolabilité : aucun système n’est « 100 % inviolable ». La conformité juridique dépend aussi du contrat de sous-traitance et de votre situation : vous demeurez le responsable du traitement au sens de la LPD, et vos envois vers l’extérieur restent votre décision. Nous ne revendiquons aucune « conformité par construction ».
Une question sur ces mesures ?
Nous répondons volontiers, et en détail, à toute question touchant la protection de vos dossiers.