Publié le 17 septembre 2026
INTERNE, CONFIDENTIEL, SECRET : la Confédération classe ses documents. Et votre PME ?
Avant de décider ce que son assistante IA avait le droit de lire, le Parlement suisse a eu besoin d’une chose que peu d’entreprises possèdent : une classification de ses propres documents. Sans elle, la question « où mettre le curseur » n’a pas de réponse — parce qu’on ne sait pas de quoi on parle. Voici comment faire le même exercice chez vous, sans direction juridique et sans projet de six mois.
Les trois niveaux de la Confédération
L’ordonnance concernant la protection des informations de la Confédération (OPrI, RS 510.411) définit trois niveaux. INTERNE (art. 7) : informations dont la prise de connaissance par des personnes non autorisées peut porter atteinte aux intérêts du pays. CONFIDENTIEL (art. 6) : celles dont la divulgation peut porter préjudice à ces intérêts. SECRET (art. 5) : celles dont la divulgation peut porter un grave préjudice. L’assistante IA du Parlement s’arrête au premier niveau.
Pourquoi ça vous concerne, même sans secret d’État
L’échelle n’est pas transposable telle quelle — vous n’avez pas de documents dont la fuite mettrait le pays en danger. Mais le mécanisme, lui, l’est entièrement : on ne peut pas décider où un document a le droit d’aller tant qu’on n’a pas dit ce qu’il vaut.
Et la hiérarchie existe déjà chez vous, sans avoir jamais été écrite. Personne n’hésite à envoyer la plaquette commerciale par e-mail ; tout le monde hésiterait à faire la même chose avec la grille salariale. Entre les deux, il y a une échelle implicite que chacun applique à sa manière — c’est-à-dire de façon incohérente.
Les quatre niveaux d’une PME
Quatre suffisent. Plus, et personne ne s’en sert.
- Public — ce qui est déjà en ligne ou destiné à l’être : plaquettes, offres d’emploi, articles, tarifs publiés. Aucune restriction.
- Interne — ce qui circule dans l’entreprise sans être secret : procédures, comptes rendus de réunion, plannings, documentation produit. Une fuite embarrasse, elle ne coûte pas.
- Confidentiel — ce dont la divulgation a un coût direct : contrats en négociation, grille salariale, marges, liste de clients, dossiers RH, correspondance avec un avocat. C’est le niveau le plus peuplé, et le plus mal traité.
- Données sensibles — la catégorie juridique de l’art. 5 let. c de la nLPD : santé, sphère intime, opinions religieuses, philosophiques, politiques ou syndicales, mesures d’aide sociale, poursuites ou sanctions pénales et administratives, données génétiques et biométriques. Ici, ce n’est plus une question de prudence, c’est une question de loi.
Un certificat médical dans un dossier du personnel relève du quatrième niveau, pas du troisième. Beaucoup d’entreprises l’apprennent au mauvais moment.
Comment faire le tri sans y passer six mois
Ne partez pas de vos dossiers, partez de vos flux. Listez les dix types de documents que vos équipes manipulent chaque semaine — factures fournisseurs, contrats, candidatures, procès-verbaux, décomptes, correspondance client — et attribuez un niveau à chaque type, pas à chaque fichier.
Dix lignes dans un tableau, une après-midi de travail, et vous avez ce que le Parlement a mis des mois à formaliser. L’exercice a une vertu secondaire : il révèle en général deux ou trois flux dont personne ne savait qu’ils contenaient des données sensibles.
À chaque niveau, son hébergement
La classification ne sert à rien si elle ne débouche pas sur une règle technique. Voici celle que nous appliquons chez nos clients.
Public et interne : n’importe quel outil conforme fait l’affaire, y compris un cloud suisse mutualisé. Le risque est faible et la commodité prime.
Confidentiel : cloud suisse dédié, aucun sous-traitant soumis au CLOUD Act, journalisation de chaque traitement. C’est le niveau sur lequel se joue la conformité nLPD de la majorité des PME.
Données sensibles : exécution locale. Pas parce que le cloud suisse serait insuffisant en droit, mais parce qu’à ce niveau la seule garantie qui ne dépend d’aucun contrat est physique — le document ne quitte pas vos machines.
Ce que ça change dans une négociation fournisseur
Une fois cette grille en main, la conversation avec un fournisseur d’IA change de nature. Vous ne demandez plus « êtes-vous souverain ? », question à laquelle tout le monde répond oui. Vous demandez : jusqu’à quel niveau de ma grille votre solution est-elle utilisable, et qu’est-ce que vous me proposez au-dessus ?
C’est exactement la question que le Parlement s’est posée. Sa réponse a été : jusqu’à INTERNE avec Swisscom, rien au-dessus pour l’instant. Au moins, elle est claire.
Commencez par le tableau, pas par l’outil
La plupart des projets d’IA en entreprise commencent par le choix d’un outil et finissent par une discussion sur la conformité. L’ordre inverse coûte une après-midi et évite la discussion.
Dix types de documents, quatre niveaux, une colonne « où ça a le droit d’aller ». Le reste en découle.
Questions fréquentes
Quels sont les niveaux de classification de la Confédération suisse ?
L’OPrI (RS 510.411) en définit trois : INTERNE (art. 7), CONFIDENTIEL (art. 6) et SECRET (art. 5), du moins grave au plus grave selon le préjudice que causerait une divulgation à des personnes non autorisées.
Une PME a-t-elle besoin de classer ses documents ?
Elle n’y est pas obligée par la loi, mais sans classification elle ne peut pas décider rationnellement où son IA a le droit d’aller. Quatre niveaux — public, interne, confidentiel, données sensibles — suffisent pour la grande majorité des entreprises suisses.
Qu’est-ce qu’une donnée sensible au sens de la nLPD ?
L’art. 5 let. c vise les données sur les opinions ou activités religieuses, philosophiques, politiques ou syndicales, sur la santé, la sphère intime ou l’appartenance à une race, les mesures d’aide sociale, les poursuites ou sanctions pénales et administratives, ainsi que les données génétiques et biométriques.
Faut-il traiter toutes ses données en local ?
Non, et ce serait inutilement coûteux. Les niveaux public et interne se traitent très bien dans un cloud suisse conforme. L’exécution locale se justifie pour les documents confidentiels les plus sensibles et pour les données sensibles au sens de la nLPD.
Pour approfondir : pourquoi le Parlement suisse a plafonné son IA à « INTERNE », et ce que vos collaborateurs font déjà avec vos documents.
Dix types de documents, quatre niveaux. On fait l’exercice avec vous en vingt minutes.