Centre de confiance
Quiconque travaille en Suisse avec des données de clients — fiduciaires, révision, notariat, droit — se pose les mêmes questions avant de recourir à l'IA : où vont les données ? Est-ce compatible avec le secret professionnel ? Peut-on prouver ce qui s'est passé ? Praevana est conçu précisément autour de ces questions. Cette page y répond ouvertement — y compris sur ce que nous ne pouvons (pas encore) faire. Nous ne prétendons pas «100 %», «sans faille» ni «certifié». Nous ne sommes pas certifiés par un organisme externe. Notre force est une combinaison de méthodes vérifiable, assortie de limites honnêtement nommées.
Une enquête sectorielle auprès d'experts-comptables suisses (juin 2026) cite le secret professionnel et la protection des données comme le principal obstacle au recours à l'IA — exactement l'axe pour lequel Praevana est conçu.
De quoi il s'agit
Praevana est un outil métier assisté par IA pour le travail quotidien des professions réglementées suisses. La protection des données sensibles n'est pas une fonction parmi d'autres, mais le point de départ de toute l'architecture.
Comment nous protégeons les données des clients
Anonymisation d'abord — en mode protégé, aucun texte brut dans le cloud. Avant qu'une requête n'atteigne un modèle de langage cloud, le texte — y compris le contenu des documents — passe par une anonymisation en plusieurs étapes. Le modèle cloud ne voit que du texte neutralisé avec des marqueurs ; la ré-attribution n'a lieu qu'ensuite, dans notre propre infrastructure. Pourquoi pas simplement un «fournisseur sûr» ? Le modèle utilisé en production relève de la juridiction américaine et n'offre pas de résidence des données UE/CH. C'est précisément pourquoi nous ne nous fions pas au lieu de stockage, mais au fait que seul du texte anonymisé atteint le cloud. Les engagements contractuels seuls ne nous suffisent pas — la mesure technique vient avant. Plusieurs étapes de détection indépendantes. L'anonymisation combine plusieurs procédés indépendants (détection par motifs, y compris formats suisses comme AVS/IBAN/IDE, plus plusieurs détecteurs de noms/entités assistés par IA). L'attribution reste stable tout au long d'un dialogue. Limite honnête. Il n'existe pas de garantie à 100 % — la détection statistique peut, dans des cas isolés, laisser passer quelque chose. Notre force réside dans la combinaison de plusieurs étapes, pas dans une promesse absolue. Déterministe quand c'est possible (formats suisses validés), mesuré quand c'est nécessaire (chaque version est validée contre un corpus de test étiqueté), et un auto-contrôle du texte masqué avant l'envoi — fail-closed. La détection s'effectue sur site ; en mode protégé, seul le texte masqué est transmis au modèle. Les exceptions délibérées sont la recherche web et la vérification d'une entreprise ; vous déclenchez l'une et l'autre vous-même. Vous activez la recherche web pour chaque message, dès l'abonnement Starter et sur demande, et son utilisation est journalisée.
Secret professionnel (art. 321 CP) & protection des données
Le secret professionnel est le moteur premier de toute l'architecture — chaque décision technique est évaluée à l'aune de sa capacité à exclure de manière plausible toute révélation de données protégées. La protection des données (nLPD révisée) est intégrée de bout en bout. Limite honnête. L'appréciation juridique finale (avis de droit) et l'analyse d'impact relative à la protection des données sont menées comme des documents distincts — ceux-ci sont en cours, pas encore achevés. Nous ne les présentons pas comme déjà disponibles. Statut communiqué de façon transparente lors des échanges.
Contrôle, traçabilité & séparation des clients
Journal d'audit dans toutes les formules. Chaque traitement est journalisé par locataire (tenant), filtrable et exportable (CSV ; export PDF dès la formule Pro). Le journal d'audit atteste que le contenu envoyé à l'IA était anonymisé. L'étendue de l'attribution nominative et la conservation dépendent de la configuration. Séparation des clients. Les clients sont isolés les uns des autres au niveau de la base de données ; chaque accès est vérifié au regard du locataire et des autorisations.
Qualité & gestion des erreurs de l'IA
L'IA générative reste faillible — nous le disons ouvertement. Nous y répondons par plusieurs mécanismes : une télémétrie qui détecte et neutralise les marqueurs inventés ; un procédé de marqueurs délibérément choisi qui réduit la confabulation ; et un humain dans la boucle là où cela compte (p. ex. résultats de recherche uniquement avec source attestée, sinon «à vérifier»). L'hallucination est mesurée et réduite — pas exclue.
Positionnement par rapport aux cadres établis (auto-évaluation)
Précision préalable : Praevana n'est pas certifié ni audité par un organisme externe. Le positionnement suivant est une auto-évaluation destinée à structurer les échanges — pas une preuve de conformité ou de certification.
- NIST AI RMF — Nous traitons honnêtement des parties d'Identifier / Mesurer / Gérer : identification des risques, mesure (porte d'évaluation contre un corpus de test, télémétrie), pilotage (cycles de réglage réguliers). Pas d'évaluation formelle de conformité.
- ISO/CEI 42001 (système de management de l'IA) — Briques présentes (décisions d'architecture documentées, journal d'audit, processus de contrôle/réglage défini). Pas de système de management certifié au sens de la norme.
- Règlement européen sur l'IA (EU AI Act) — Appréciation, pas un engagement : Praevana est un outil métier assisté par IA, pas un système à haut risque manifeste ; le classement contraignant relève du droit et reste à établir.
- FINMA / DORA — Pertinent uniquement si un client surveillé ou régulé au niveau financier dans l'UE utilise Praevana en sous-traitance ; nous fournissons alors des briques (journal d'audit, architecture indépendante du modèle), mais aucune preuve de conformité. Les fiduciaires suisses ne sont en règle générale pas surveillées par la FINMA.
Ce que nous disons ouvertement — limites connues
- Pas de certification ni d'audit externe. Auto-évaluation, non attestée.
- Pas de garantie d'anonymisation à 100 %. Détection statistique ; la force = combinaison de méthodes, mesurée et validée contre un corpus de test étiqueté.
- Pas de repli automatique en cas de panne d'un fournisseur. Le choix du fournisseur (Claude ou ChatGPT) est en service depuis juillet 2026 ; il ne s'agit pas d'un basculement automatique.
- Résidence des données du modèle cloud hors UE/CH ; la protection repose sur l'anonymisation, pas sur le lieu de stockage.
- Avis de droit et analyse d'impact en cours, pas encore achevés.
- Les textes juridiques (CGU / déclaration de protection des données / contrat de sous-traitance / mentions légales) existent en premières versions et sont en cours de finalisation juridique.
Questions fréquentes — réponses brèves
Les données voient-elles jamais un modèle cloud américain ?
Pas les données brutes des clients : textes et documents sont anonymisés en plusieurs étapes avant chaque appel au cloud ; le modèle ne voit que du texte neutralisé avec marqueurs. La protection repose délibérément sur l'anonymisation, pas sur le lieu de stockage.
Garantissez-vous une anonymisation à 100 % ?
Non, personne de sérieux ne le fait. Nous combinons plusieurs étapes de détection indépendantes, les mesurons contre un corpus de test étiqueté et validons chaque version sur cette base — et nous revérifions le texte masqué sur site avant l'envoi (fail-closed).
Qu'en est-il de l'art. 321 CP ?
Le secret professionnel est le moteur premier de l'architecture ; les engagements contractuels seuls ne nous suffisent pas, d'où l'anonymisation technique en amont. L'appréciation juridique finale est menée comme un document distinct, encore en cours.
Pouvez-vous prouver ce qui s'est passé ?
Oui, via un journal d'audit séparé par locataire, avec événements filtrables et export, qui atteste que le contenu envoyé était anonymisé.
Nos clients sont-ils séparés des autres ?
Oui, avec une séparation au niveau de la base de données ; chaque accès vérifie le locataire et les autorisations.
Que se passe-t-il si le fournisseur d'IA tombe en panne ?
L'architecture est indépendante du modèle, et vous choisissez vous-même le fournisseur (Claude ou ChatGPT). Il n'y a pas de basculement automatique intégré en cas de panne : le changement se fait en un clic, ce n'est pas un automatisme. Nous le disons ouvertement.
Êtes-vous certifiés ?
Non, et nous ne le prétendons pas. Nous exposons l'architecture, les mécanismes de mesure et les limites — c'est notre forme de fiabilité, et elle est vérifiable.