Assistant IA pour Teams dans les PME suisses : les règles

Une PME suisse peut utiliser un assistant IA pour Microsoft Teams comme amaiko même si les données sont stockées en Allemagne, parce que l’Allemagne et toute l’UE figurent sur la liste suisse des États au niveau de protection adéquat. Le vrai travail est ailleurs, dans le contrat de sous-traitance, la transparence envers les collaborateurs et un réglage du centre d’administration Microsoft qui touche aussi les tenants suisses depuis mars 2026. Cet article suit l’ordre de traitement d’un responsable informatique.

La loi sur la protection des données s’applique-t-elle aux assistants IA dans Teams ?

Oui, sans régime particulier. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) a retenu le 24 septembre 2025 que la loi fédérale sur la protection des données (LPD) est rédigée de manière technologiquement neutre et s’applique donc directement aux traitements de données assistés par l’IA. Qui confie des données personnelles à un outil d’IA en est le responsable au sens de la loi, que l’outil vienne de Microsoft, d’OpenAI ou d’un fournisseur bavarois.

Pour l’entreprise, cela signifie avant tout de la transparence. Finalité, fonctionnement et sources de données du traitement doivent être indiqués, y compris si les données des utilisateurs servent à l’entraînement. S’y ajoute l’inscription au registre des activités de traitement, si l’entreprise y est tenue. Une analyse d’impact relative à la protection des données ne s’impose qu’en cas de risque élevé pour les personnes concernées.

Un assistant Teams qui rédige des procès-verbaux, priorise les e-mails et retrouve des documents internes reste, dans la plupart des PME, sous le seuil de l’analyse d’impact. Le profilage de clients ou l’évaluation de dossiers de candidature seraient une autre affaire.

Les données peuvent-elles être stockées en Allemagne ?

Oui. La LPD autorise la communication de données personnelles à l’étranger sans garanties supplémentaires lorsque le Conseil fédéral a reconnu à l’État de destination un niveau de protection adéquat. Ces États figurent à l’annexe 1 de l’ordonnance sur la protection des données (OPDo), États membres de l’UE compris. Sur le plan de la protection des données, l’Allemagne est donc pour une entreprise suisse un territoire national qui utilise une autre monnaie.

amaiko stocke toutes les données dans des centres de données allemands et les traite exclusivement au sein de l’UE. Pour une PME suisse, cela se résume à signer le contrat de sous-traitance et, si l’entreprise y est tenue, à compléter le registre. Clauses contractuelles types, Transfer Impact Assessments et débat sur le Data Privacy Framework américain tombent, puisqu’aucun octet ne part vers un pays sans décision d’adéquation.

Dès qu’un fournisseur traite des données aux États-Unis, il faut des garanties contractuelles et une évaluation des risques, et c’est là que la section suivante entre en jeu.

Que signifie Flex Routing pour les tenants Copilot suisses ?

Microsoft a introduit pour Microsoft 365 Copilot une fonction appelée Flex Routing. En période de pointe, le traitement par le modèle peut avoir lieu hors de la frontière de données de l’UE, concrètement aux États-Unis, au Canada ou en Australie. La fonction s’applique expressément aux tenants de l’UE et de l’AELE, donc aussi à la Suisse. Pour les tenants créés après le 25 mars 2026, elle est activée par défaut.

Microsoft écrit à ce sujet : « All tenant administrators are encouraged to check their tenant’s flex routing setting. » Pour une PME suisse, cela veut dire vérifier le centre d’administration sous Copilot, Paramètres, Flex routing during peak load periods, et documenter la décision pour le conseiller à la protection des données. Qui ignore ce réglage ne peut ni évaluer ni documenter la communication de données à l’étranger — et c’est précisément ce que la loi demande.

Microsoft a annoncé le traitement local des interactions Copilot pour 15 pays, dont la Suisse. Depuis la mise à jour d’avril 2026, seuls l’Australie, l’Inde, les Émirats arabes unis, le Royaume-Uni et les États-Unis sont annoncés pour fin 2026, le Canada suivant en 2027 et le Japon en 2028. Aucune date pour la Suisse. Flex Routing reste donc, pour un moment encore, un réglage à gérer activement. Le volet RGPD est traité dans Copilot est-il conforme au RGPD en 2026 ou existe-t-il des alternatives ?

Critère	amaiko	Microsoft 365 Copilot (tenant suisse)
Lieu de stockage des données	Allemagne	Suisse ou frontière de données de l’UE
Traitement par l’IA	exclusivement dans l’UE, par conception	frontière de données de l’UE, en période de pointe États-Unis, Canada, Australie si Flex Routing est actif
Flex Routing	inexistant	actif par défaut pour les tenants dès le 25.03.2026, désactivation dans le centre d’administration
Base légale de la communication à l’étranger	adéquation (annexe 1 OPDo)	adéquation pour l’UE, garanties nécessaires pour le traitement en dehors
Licence requise	toute licence Microsoft 365 avec Teams	Business Basic, Standard, Premium, Apps for Business ; la variante Enterprise ajoute E3, E5, F3 et d’autres
Mémoire d’une conversation à l’autre	persistante, s’enrichit automatiquement	par session
Prix par utilisateur et par mois	29,91 € avec facturation annuelle, facturation en CHF possible	18,20 € (Business) à 26,00 € (Enterprise) en plus de la licence de base

Quelles exigences une PME suisse pose-t-elle à l’assistant lui-même ?

Plus de 99 % des entreprises suisses sont des PME, et la plupart n’ont pas de service informatique propre. Les exigences envers un assistant IA diffèrent donc de celles d’un grand groupe.

Il doit démarrer sans projet. amaiko s’installe dans Teams via le Microsoft Marketplace, s’authentifie par Microsoft Entra et reprend les autorisations existantes. Un canal qu’un collaborateur ne peut pas voir reste invisible pour son assistant aussi.

Il doit conserver le savoir. Dans une entreprise de 40 personnes, l’une connaît les conditions des fournisseurs, l’autre l’historique des clients. Quand l’une part, le savoir part avec elle. amaiko bâtit à partir des conversations, réunions et documents une mémoire d’entreprise persistante. Un collaborateur démissionne : comment sécuriser son savoir décrit ce que cela donne au quotidien.

Il doit se manifester de lui-même. Un assistant que personne n’ouvre ne remplit aucune exigence de conformité et n’économise pas une heure. Le Morning Briefing dans Teams résume les tâches ouvertes, les nouveaux e-mails et la journée avant que quelqu’un le demande.

Comment introduire l’assistant en conformité avec la protection des données ?

L’ordre éprouvé dans les PME suisses tient en quatre étapes. D’abord signer le contrat de sous-traitance avec le fournisseur et vérifier que le stockage a lieu dans un État au bénéfice d’une décision d’adéquation. Ensuite, si l’entreprise est tenue de tenir un registre des activités de traitement, y compléter la finalité, les catégories de données et le destinataire. Puis ajouter un paragraphe sur l’IA à la déclaration de protection des données et à la directive interne, pour la transparence. Enfin vérifier les droits d’accès dans Teams, car l’assistant voit exactement ce que voit l’utilisateur.

Pour les équipes aux exigences particulièrement strictes, fiduciaires, cabinets d’avocats ou prestataires de santé, il existe liberté pour 44,87 € par utilisateur et par mois, soit 429 € par utilisateur et par an en facturation annuelle. Chaque modèle vient de Mistral, chaque token est traité dans l’UE, par choix d’architecture permanent.

Pour voir comment amaiko s’intègre dans ton tenant, réserve une démo. Nous passons ensemble en revue le contrat de sous-traitance et les autorisations, avec ton conseiller à la protection des données si tu le souhaites. Le coût réel et les postes absents de toute liste de prix, Combien coûte amaiko par utilisateur dans le quotidien Microsoft 365 ? les calcule.

Questions fréquentes (FAQ)

Une PME suisse peut-elle utiliser un assistant IA qui stocke les données en Allemagne ?

Oui. L’Allemagne et tous les États de l’UE figurent à l’annexe 1 de l’ordonnance sur la protection des données (OPDo) comme pays au niveau de protection adéquat. Des données personnelles peuvent y être communiquées sans garanties supplémentaires.

La loi sur la protection des données s’applique-t-elle vraiment aux outils d’IA ?

Oui. Le PFPDT a précisé le 24 septembre 2025 que la LPD est formulée de manière technologiquement neutre et s’applique directement aux traitements de données assistés par l’IA.

Ai-je besoin d’une analyse d’impact relative à la protection des données pour l’utiliser ?

Seulement en cas de risque élevé pour les personnes concernées. Un assistant qui traite les documents internes, les réunions et les e-mails d’une équipe reste en général sous ce seuil. Le contrat de sous-traitance reste obligatoire dans tous les cas. L’inscription au registre des activités de traitement, elle, ne s’impose que si l’entreprise compte au moins 250 collaborateurs, traite des données sensibles à grande échelle ou procède à un profilage à haut risque ; en dessous, elle est recommandée mais pas obligatoire.

Microsoft 365 Copilot est-il concerné par Flex Routing pour les tenants suisses ?

Oui. Flex Routing s’applique aux tenants de l’UE et de l’AELE, donc aussi à la Suisse. Pour les tenants créés après le 25 mars 2026, il est actif par défaut. Microsoft encourage chaque administrateur à vérifier le réglage ; si tu ne veux pas de traitement hors de l’UE, tu le désactives dans le centre d’administration.

amaiko stocke-t-il des données en Suisse ?

Non, dans des centres de données allemands. Le traitement par l’IA a lieu exclusivement dans l’UE. Les données ne quittent l’UE que si tu le demandes expressément.

Combien coûte amaiko pour une équipe suisse ?

29,91 € par utilisateur et par mois avec facturation annuelle. La facturation passe par Stripe dans la monnaie de ton choix, donc aussi en francs.

Dois-je informer les collaborateurs et les clients de l’utilisation de l’IA ?

Oui. Le PFPDT exige que finalité, fonctionnement et sources de données des traitements assistés par l’IA soient indiqués de manière transparente. Un paragraphe dans la déclaration de protection des données et une directive interne d’utilisation suffisent dans la plupart des cas.