Lors d’une séance du conseil d’administration, des chiffres sont mis sur la table avant leur publication, ainsi que des décisions de personnel, des projets de rachat et des procédures juridiques en cours. Les documents correspondants comptent parmi les plus confidentiels d’une société. Avec chaque outil numérique qu’un conseil utilise, se pose donc la question de savoir où se trouvent ces données et qui peut y accéder.
La souveraineté des données signifie qu’une organisation détermine, et peut retracer, où ses données sont stockées et traitées, sous quel droit cela se passe et qui y a accès. (Cet article ne remplace pas un conseil juridique.)
Quelles données naissent autour d’une séance du conseil
Autrefois, c’étaient la convocation, les documents et le procès-verbal. Avec les outils d’IA, bien d’autres s’y ajoutent : l’enregistrement de la séance, la transcription complète, les résumés IA des documents, les notes des membres et les questions qu’ils posent à un chat IA.
La transcription mérite une attention particulière. Un procès-verbal consigne les décisions et les principaux arguments. Une transcription contient chaque phrase, y compris celle qui a été dite ouvertement en séance justement parce qu’elle ne devait pas figurer au procès-verbal. L’endroit où cette transcription est créée et stockée n’est pas une question technique secondaire pour un conseil d’administration.
Le CLOUD Act américain, expliqué simplement
Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) est une loi fédérale américaine de 2018. Il permet aux autorités américaines d’exiger des fournisseurs soumis au droit américain la remise de données qui se trouvent en leur possession, sous leur garde ou sous leur contrôle. L’endroit où les données sont physiquement stockées ne joue pas de rôle déterminant.
Pour les sociétés suisses, cela signifie qu’un centre de données en Suisse ne règle pas la question à lui seul. Ce qui compte, c’est qui exploite le service et si cette entreprise ou sa société mère est soumise au droit américain. Selon une opinion répandue, cela concerne aussi les filiales suisses de groupes américains.
S’y ajoute un malentendu fréquent. Pour la communication de données personnelles à des entreprises américaines certifiées, le Conseil fédéral a reconnu en 2024 un niveau de protection adéquat (Swiss-U.S. Data Privacy Framework). Cela règle la protection des données lors du transfert, mais ne change rien aux droits d’accès des autorités américaines selon le CLOUD Act.
La probabilité d’un tel accès dans un cas particulier est difficile à évaluer. Pour le conseil d’administration, il s’agit d’ailleurs moins de probabilité que du devoir de diligence qu’il doit à la société (art. 717 CO) : il doit pouvoir expliquer pourquoi il confie les documents les plus confidentiels de la société à un fournisseur donné.
Ce que la nLPD exige des conseils et de l’IA
La loi fédérale révisée sur la protection des données (nLPD) est en vigueur depuis le 1er septembre 2023. Elle protège les données personnelles des personnes physiques, pas les secrets d’affaires. Elle reste pertinente pour un conseil d’administration, parce que les documents de séance contiennent beaucoup de données personnelles, de l’évaluation de la direction aux questions salariales et aux dossiers du personnel, et parce qu’un enregistrement contient la voix de tous les participants.
En 2023, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a rappelé que la loi sur la protection des données en vigueur s’applique directement aux traitements de données assistés par l’IA. Pour l’usage de l’IA au sein des conseils, quatre dispositions sont particulièrement importantes :
- La société reste responsable lorsqu’un fournisseur traite des données pour elle, et doit s’assurer qu’il garantit la sécurité des données (art. 9 LPD).
- La sécurité des données doit être adaptée au risque (art. 8 LPD).
- Les données personnelles ne peuvent être communiquées à l’étranger qu’à certaines conditions (art. 16 LPD).
- Qui collecte des données personnelles en informe les personnes concernées (art. 19 LPD). Au sein d’un conseil, cela signifie en pratique que tout le monde sait que la séance est enregistrée.
Où intervient le traitement par l’IA
Le stockage est une chose. Lorsqu’une IA rédige un procès-verbal ou résume un document, le contenu est transmis à un modèle de langage, et celui-ci ne tourne pas forcément au même endroit que le stockage. Avec les modèles fermés de grands fournisseurs, le contenu part vers leur infrastructure. Les modèles à poids ouverts, en revanche, peuvent être exploités sur une infrastructure propre ou suisse. Pour la question de la localisation des données, ce qui compte n’est donc pas seulement l’endroit où se trouvent les fichiers, mais aussi celui où le modèle calcule.
Ce que signifie « hébergement et traitement IA en Suisse » dans HeyEla
Dans HeyEla, les données de la plateforme se trouvent dans des centres de données suisses chez Nine Internet Solutions AG. Nine est certifiée ISO 27001 et ISO 9001. Le traitement IA a lieu par défaut en Suisse, en partie sur une infrastructure GPU propre, en partie chez des partenaires spécialisés. Des modèles optionnels dans l’UE peuvent être désactivés par client.
Les données des clients ne sont pas utilisées pour entraîner des modèles d’IA, c’est exclu par contrat. Le stockage est chiffré en AES-256, la transmission en TLS 1.2 ou plus. Chaque organisation est séparée logiquement des autres, avec sa propre base de données sur demande. Les enregistrements peuvent être supprimés sur demande immédiatement après la transcription. La liste des sous-traitants et le contrat de sous-traitance se trouvent dans le Trust Center.
Need-to-know jusqu’au point de l’ordre du jour
La souveraineté des données a aussi une dimension interne. Tous les membres de la direction ne doivent pas voir les documents sur la succession du CEO, et un invité qui se joint pour un point a besoin des documents de ce point et de rien d’autre.
Dans HeyEla, l’accès est piloté par la gestion des accès au moyen de rôles et de groupes, jusqu’au point individuel de l’ordre du jour. Il en va de même pour les dossiers et documents du hub documentaire. Et l’IA respecte les mêmes droits : la recherche IA et le chat IA ne voient que ce que la personne concernée a de toute façon le droit de voir. Plus d’informations dans l’article sur les droits d’accès au conseil d’administration.
Le court film suivant montre à quoi ressemblent dans HeyEla les groupes, les partages et un invité pour un seul point de l’ordre du jour.
Questions à poser à un fournisseur
Quel que soit l’outil, ces questions aident au moment du choix. En quoi les outils de prise de notes génériques se distinguent sur ces points des besoins d’un conseil est décrit dans un article séparé.
- Auprès de quelle entreprise les données se trouvent-elles, et cette entreprise ou sa société mère est-elle soumise au droit américain ?
- Où a lieu le traitement par l’IA, et un traitement hors de Suisse peut-il être désactivé ?
- Est-il exclu que les contenus servent à entraîner des modèles, et où est-ce écrit ?
- Existe-t-il une liste à jour des sous-traitants et un contrat de sous-traitance ?
- Les enregistrements peuvent-ils être supprimés après la transcription ?
- Les droits d’accès s’appliquent-ils aussi aux réponses de l’IA ?
- Comment les données sont-elles récupérées en fin de contrat, et dans quel format ?
Questions fréquentes
Le CLOUD Act américain s’applique-t-il aussi aux serveurs situés en Suisse ? Oui, si le fournisseur est soumis au droit américain. Le CLOUD Act se rattache au contrôle sur les données, pas à l’emplacement des serveurs. Ce qui compte est donc qui exploite le service.
Un conseil d’administration peut-il utiliser l’IA pour ses procès-verbaux ? Oui. Aucune loi ne l’interdit. La loi sur la protection des données s’applique aussi aux traitements assistés par l’IA, les participants doivent savoir qu’un enregistrement est effectué, et la responsabilité du procès-verbal reste au conseil : la présidence et la personne qui tient le procès-verbal le vérifient et le signent selon l’art. 713 al. 3 CO.
Qu’apporte un centre de données suisse si le fournisseur est une entreprise américaine ? Il améliore la situation de départ en matière de protection des données, mais n’écarte pas un éventuel accès selon le CLOUD Act. Qui veut exclure ce risque a besoin d’un fournisseur qui n’est pas soumis au droit américain.