Les questions qui viennent avant le choix d'une machine.

Aucune définition légale ne protège l'expression : elle désigne aussi bien un service américain dont les serveurs sont à Zurich qu'une machine posée dans votre local technique. La seule question qui tranche est de savoir s'il existe un tiers capable d'être contraint de produire vos données — et non de savoir où sont les disques.

Non, sauf à se placer dans l'une des trois voies que la directive IA de la Fédération Suisse des Avocats identifie : une solution installée dans votre réseau dont aucune donnée ne sort, le respect des règles d'externalisation, ou l'accord éclairé du client valant renonciation. En dehors de ces trois voies, la directive écrit que les informations confidentielles ne doivent pas être saisies dans un système d'IA.

L'art. 321 CP réprime la révélation d'un secret confié en raison de la profession. C'est un délit, poursuivi sur plainte, et la responsabilité pèse personnellement sur le professionnel — un contrat avec un fournisseur ne la déplace pas. La question n'est donc pas de savoir si le fournisseur s'engage à la confidentialité, mais si le secret est révélé.

Oui, à condition que l'État de destination offre une protection adéquate — la liste est fixée par le Conseil fédéral — ou, à défaut, que des garanties particulières soient mises en place. Deux points sont souvent manqués : une adéquation peut ne couvrir qu'une partie des destinataires d'un pays, et l'adéquation ne règle jamais la question du secret professionnel, qui est un régime distinct.

Non, pas par lui-même. Le CLOUD Act permet de contraindre un fournisseur soumis au droit américain à produire des données qu'il détient ou contrôle, y compris lorsqu'elles sont stockées hors des États-Unis. Ce qui compte est donc l'entité contraignable, pas la localisation du stockage.

Elle demande d'établir avant tout usage ce qu'il advient des données saisies, reconnaît trois voies licites — solution installée dans le réseau du cabinet sans sortie de données, respect des règles d'externalisation, ou consentement éclairé du client —, et écrit qu'à défaut les informations confidentielles ne doivent pas être saisies dans un système d'IA. Elle rappelle en outre quatre devoirs : vérifier le résultat, assumer la responsabilité, surveiller le droit d'auteur, et informer le cas échéant.

Une interdiction sans dispositif de remplacement ne réduit pas l'usage, elle le déplace hors de toute traçabilité : le collaborateur colle un extrait de dossier dans un service public depuis son navigateur personnel, et rien n'en garde trace. Avant de décider quoi que ce soit, il est possible de mesurer l'ampleur réelle en quelques jours, avec les outils déjà en place.

Elle est requise lorsque le traitement envisagé est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées — ce que la loi rattache notamment à l'usage d'une technologie nouvelle. Le déploiement d'une IA générative sur des dossiers contenant des données sensibles entre typiquement dans cette hypothèse.

Le professionnel répond de la mauvaise exécution de son mandat et ne peut pas invoquer une erreur de l'IA. Le résultat doit être vérifié de manière indépendante et critique — et une IA n'est pas capable de vérifier ses propres résultats : lui demander si sa réponse est exacte ne produit aucune garantie.