Comparer les modèles d'hébergement pour les organisations suisses

Modèles d'hébergement pour les organisations suisses : l'essentiel à retenir

Avant toute comparaison de modèles, quatre filtres s'imposent : localisation des données, souveraineté des données, responsabilité opérationnelle et réglementation. La loi révisée sur la protection des données (LPD) exige un niveau de protection adéquat pour les transferts de données vers l'étranger. L'hébergement en Suisse élimine ce risque, car il n'engendre aucun transfert transfrontalier (mydata.ch). Deuxième filtre : le US CLOUD Act. Les hyperscalers américains y sont soumis, et les autorités américaines peuvent exiger l'accès aux données, même si celles-ci sont stockées en Suisse (mydata.ch). L'emplacement d'un centre de données ne doit donc pas être confondu avec la juridiction du prestataire.

La souveraineté des données se décompose en trois éléments vérifiables : l'emplacement physique, le droit applicable et le contrôle des accès. 4net souligne que les données relèvent de la juridiction suisse et que tout traitement est conforme au RGPD et à la LPD, effectué sur le sol suisse ; l'accès par des autorités étrangères n'est possible qu'avec une ordonnance judiciaire suisse. En interrogeant séparément ces trois éléments, on distingue si une offre signifie simplement « serveurs en Suisse » ou si elle relève effectivement du droit suisse.

La responsabilité opérationnelle détermine la charge en personnel. Selon que seule la plateforme ou également le système d'exploitation, les applications et la surveillance soient gérés, cela dépend du modèle et des services managés souscrits en supplément. Celui qui assume lui-même l'exploitation en porte la responsabilité – même si la plateforme bénéficie d'un SLA (accord de niveau de service).

La réglementation agit comme un filtre préalable, avant même la comparaison des prix : un profil d'exigences spécifique au secteur – comme la conformité FINMA ou une certification ISAE 3402 – peut exclure d'emblée certains prestataires. Ce n'est qu'ensuite qu'il est pertinent de se poser la question du modèle (partagé, VPS, cloud privé, colocation).

Aperçu des modèles : de l'hébergement web au cloud privé souverain

Le choix comprend essentiellement l'hébergement web partagé, les serveurs virtuels (VPS/VM), les serveurs dédiés, le cloud privé, l'Infrastructure-as-a-Service (IaaS) et le cloud public, la colocation ou les datacenters virtualisés, ainsi que des offres spécialisées pour la groupware et les charges de travail IA. Les modèles diffèrent moins par la puissance de calcul que par trois aspects : à qui appartient le matériel, qui l'exploite et sous quelle juridiction le prestataire opère.

Les serveurs virtuels sont considérés comme flexibles et peu gourmands en capital ; aspectra associe toutefois les clouds privés dédiés à des environnements de grande envergure où aucune tierce partie ne doit utiliser le même matériel.

Flow Swiss décrit l'IaaS comme une infrastructure multi-régionale adaptée aux entreprises pour les charges de travail critiques, avec un stockage tout-flash sur NVMe à 100 %, le chiffrement au repos en standard, ainsi que des VPC (réseaux privés), des Security Groups (pare-feu) et des adresses IP élastiques. Les environnements complexes peuvent être créés et gérés via un panneau de contrôle et une API. L'hébergement a lieu en Suisse, le prix sur demande.

Les variantes hybrides combinent datacenters virtualisés et colocation ; des modèles spécialisés couvrent l'hébergement de groupware ainsi que l'hébergement LLM/GPU chez des prestataires suisses ou des hyperscalers (mydata.ch).

Le paysage des prestataires se divise en deux groupes. Selon mydata.ch, les prestataires purement suisses offrent un hébergement 100 % suisse, sans risque lié au CLOUD Act et une souveraineté totale des données ; les hyperscalers comme AWS, Microsoft Azure, Google Cloud et Oracle OCI sont soumis au CLOUD Act. Dans l'aperçu des prestataires IA de mydata.ch, tous les prestataires listés exploitent des centres de données en Suisse (Zurich, Genève ou Bâle ; état février 2025) ; l'emplacement seul ne permet donc pas de distinguer les groupes à cet endroit.

Avantages et risques des hyperscalers par rapport aux prestataires suisses

Hébergement web et serveurs virtuels : rapides, flexibles, mais avec responsabilité propre

Les VPS font partie des modèles avec un délai de mise en œuvre court : les serveurs virtuels sont rapidement provisionnés et décommissionnés, n'immobilisent pas de capital, et les ressources peuvent être allouées ou retirées selon la charge (aspectra). Cela les rend intéressants pour les startups, les PME et les équipes dont les besoins sont encore instables.

Au sein du modèle VPS, deux modes d'exploitation déterminent la charge de travail. Avec des VM « nues », le client installe et exploite lui-même le système d'exploitation et les applications ; alternativement, il existe des VM avec Linux ou Windows préinstallés. Dans les deux cas, le prestataire surveille les composants et exploite l'environnement avec un SLA (aspectra).

Le SLA couvre la plateforme, pas l'application propre au client. Le patching, la sécurisation, les sauvegardes, les certificats et la surveillance de l'application restent à la charge du client, sauf si un service managé est souscrit en supplément.

Un test pratique documenté montre jusqu'où un seul VPS peut aller : un auteur de cloudzy.com a fait fonctionner quatre plateformes CIAM auto-hébergées (ZITADEL, FusionAuth, Logto et Ory Hydra) pendant une semaine côte à côte sur un seul VPS pour les comparer. Pour les systèmes d'identité ou d'accès, l'impact d'une panne sur les clients payants constitue un risque spécifique.

L'hébergement web partagé se situe en dessous du VPS : le prestataire gère les serveurs web, la base de données et l'environnement d'exécution, le client s'occupe des contenus et de l'application. L'hébergement VPS est classé dans les comparatifs de coûts dans le segment de prix moyen avec des ressources garanties et est généralement recommandé aux PME en croissance et aux petites boutiques e-commerce (deeken-group).

Serveurs dédiés et clouds privés : isolation, performance et SLA clairs

Selon aspectra, les clouds privés sont typiquement utilisés pour des environnements de grande envergure et lorsque aucune tierce partie ne doit travailler sur le même matériel. L'isolation n'est pas seulement une question de performance, mais aussi de conformité : un matériel séparé peut être clairement attribué à un mandat, une exigence sectorielle ou un client.

Les serveurs dédiés sont la variante physique : un serveur est mis à disposition exclusivement pour une organisation, sans que d'autres clientes et clients n'utilisent le même matériel. Dans l'aperçu des prestataires de swissmadesoftware, « Dedicated Server » est listé comme une catégorie distincte à côté des « Dedicated Private Clouds » ; les indications concrètes sur la virtualisation, l'exploitation et le SLA sont spécifiques au prestataire et doivent être demandées au cas par cas.

L'étendue des prestations incombe au prestataire : acquisition des serveurs et du stockage, installation de l'environnement de virtualisation selon les objectifs commerciaux, mise en place des VM, installation des systèmes d'exploitation (Linux ou Windows), surveillance de tous les composants pertinents et exploitation de l'environnement soit 5x10h, soit 7x24h avec SLA. Comme technologie de virtualisation, aspectra cite VMware ESXi ; hébergement en Suisse, prix sur demande.

Pour l'acquisition, quatre questions sont décisives : quelle pile de virtualisation est utilisée, qui supporte la licensing du système d'exploitation invité, quelle fenêtre d'exploitation s'applique, et le matériel est-il réellement exclusif ? Pour les serveurs dédiés, le cycle de vie du matériel s'ajoute comme sujet propre.

Colocation et datacenters virtualisés : infrastructure propre dans des centres de données suisses

En colocation, le matériel reste la propriété de l'organisation. Le prestataire fournit l'espace, l'électricité, le refroidissement, la connectivité et la protection physique des accès dans le centre de données. Le système d'exploitation, la virtualisation et les applications fonctionnent sous sa propre responsabilité. Dans le datacenter virtualisé, la même idée est virtualisée : un environnement propre et délimité sur l'infrastructure d'un prestataire suisse. Le support et l'exploitation sont inclus.

La justification de tels modèles est de plus en plus réglementaire. 4net décrit la rapatriement des datacenters virtuels comme une réponse à la dépendance envers les prestataires américains comme Microsoft Azure, AWS ou Google Cloud : si le cadre EU-US Data Privacy Framework venait à tomber, le transfert légalement sûr de données personnelles vers les USA ne serait plus garanti. 4net cite comme avantages la sécurité juridique dans la juridiction suisse, le contrôle des accès sans ingérence d'autorités étrangères sans ordonnance judiciaire suisse, ainsi que des trajets de données plus courts et traçables, avec un impact sur la latence et les performances.

Un exemple suisse concret est fourni par hosttech : le prestataire de services IT SOWARIS s'appuie sur le datacenter virtualisé de hosttech pour sa propre infrastructure serveur et utilise en plus la colocation dans le centre de données DATAROCK à Nottwil pour soulager les ressources cloud. Selon hosttech, les facteurs décisifs étaient le rapport qualité-prix, l'emplacement suisse des serveurs et le contact personnel. SOWARIS accompagne les entreprises en infrastructure IT, cybersécurité, services cloud Microsoft, services managés et agence web.

Il en résulte un schéma typique : les charges élastiques ou à court terme restent dans le cloud, tandis que les systèmes stables, gourmands en ressources ou liés à des licences migrent vers du matériel propre dans un centre de données suisse. Lors de la comparaison, le cycle de vie du matériel, l'accès sur site, les prestations Remote Hands, les contrats d'électricité et de refroidissement ainsi que la connexion réseau sont les principaux drivers de coûts – pas le mètre carré dans le centre de données.

Évolution de la souveraineté des données : de la dépendance au cloud vers le rapatriement

Modèles d'hébergement spécialisés : Groupware et charges de travail IA en Suisse

Pour l'e-mail et la collaboration, walkingtoweb propose un hébergement Groupware basé sur Kerio Connect, qu'il qualifie de cloud e-mail sécurisé, conforme au RGPD et à la LPD, pour les entreprises et les équipes. E-mails, rendez-vous, tâches, notes et contacts se trouvent dans une solution intégrée, utilisable via Kerio Webmail ou par connexion aux solutions e-mail et calendrier existantes. Le prestataire positionne cette solution depuis plus de 20 ans comme une alternative à Microsoft Exchange, Gmail et Office 365.

Les critères de vérification pour l'hébergement Groupware sont concrets. Dans quelle mesure les boîtes aux lettres, calendriers et contacts existants peuvent-ils être migrés ? Quels clients hors ligne et mobiles sont pris en charge, et quelles interfaces sont disponibles pour les intégrations ? Dans quel pays les boîtes aux lettres et les sauvegardes sont-elles stockées ? Cette dernière question décide de l'admissibilité du modèle pour les organisations réglementées.

Pour les charges de travail IA, le marché se sépare entre prestataires suisses et hyperscalers. Selon mydata.ch, Infomaniak exploite une plateforme 100 % suisse avec des modèles open source (Llama, Mistral, Qwen, Whisper), une API compatible OpenAI et un prix par token de CHF 0.10 à 1.00 par million de tokens ; les données sont traitées exclusivement dans des centres de données suisses à Genève et Zurich, sans détour par des serveurs américains. Swisscom propose Llama 8B/70B, Whisper et GenAI Studio à partir de CHF 1'000 par mois (abonnement) et est conforme FINMA ainsi que certifié ISAE 3402.

Pour les charges de formation et d'inférence intensives en calcul, mydata.ch liste Phoenix Systems avec GPU as a Service (H100/H200) et kvant Cloud à partir de CHF 250 par mois, incluant ISO 27001 et Confidential Computing. Safe Swiss Cloud est également listé avec Private AI Hosting, déploiement LLM et RAG (prix sur demande, ISO 27001, conforme FINMA). Les deux sont positionnés pour la recherche, les équipes ML, les startups ou les secteurs réglementés.

Le côté hyperscaler est transparent sur les prix : AWS Bedrock (Claude, Llama, Titan) et Azure OpenAI à partir d'environ USD 0.15 par million de tokens, Google Vertex AI (Gemini) à partir d'environ USD 0.075 par million de tokens. Une comparaison des prix n'est significative que si l'admissibilité légale du prestataire pour les données concrètes a été clarifiée au préalable ; la compatibilité API (par exemple interfaces compatibles OpenAI) réduit en outre le risque de changement.

Principaux prestataires suisses pour les charges de travail IA selon la conformité et l'emplacement

Critères de décision : souveraineté, conformité, coûts et exploitation

Localisation des données et juridiction : où se trouve le centre de données, et sous quelle juridiction le prestataire opère-t-il ? La juridiction du prestataire doit être examinée séparément. À vérifier en complément : le chiffrement au repos, que Flow Swiss indique comme standard sur le stockage NVMe tout-flash.

Transfert et accès : 4net formule le contre-test : traitement conforme RGPD et LPD sur le site de données en Suisse et aucun accès par des autorités étrangères sans ordonnance judiciaire suisse. De plus, le siège, la société mère et les chaînes d'instruction du prestataire doivent être clarifiés pour pouvoir évaluer à qui il pourrait être obligé de remettre des données.

Preuves : ISO 27001 se retrouve chez tous les prestataires listés dans la comparaison IA ; pour les organisations réglementées s'ajoutent la conformité FINMA (Swisscom, Safe Swiss Cloud) et ISAE 3402 (Swisscom). Le Confidential Computing (Phoenix Systems) est un élément supplémentaire si les données doivent être protégées même pendant le traitement.

Exploitation et SLA : Avant la signature, clarifier quelles fenêtres d'exploitation le SLA couvre (aspectra), ce qui est exactement inclus, comment l'escalade et les heures de support sont réglés et s'il existe un accompagnement personnel avec des interlocuteurs fixes. Pour les serveurs dédiés, les fenêtres de maintenance et les processus de pièces de rechange doivent également être réglés.

Évolutivité et sortie : Le panneau de contrôle et l'API (Flow Swiss) montrent si les environnements peuvent être créés et gérés automatiquement ; les interfaces compatibles OpenAI (Infomaniak) facilitent le changement entre prestataires de modèles. À clarifier : l'exportation des données, les formats de données, les délais de résiliation et qui effectue la migration.

Structure des coûts : Les modèles d'abonnement, les prix des tokens dépendant de l'utilisation et les locations de GPU ne sont pas directement comparables ; les prix concrets des prestataires figurent dans la section sur les modèles d'hébergement spécialisés. Pour le cloud privé et l'IaaS, le prix est indiqué sur demande – il vaut la peine d'y détailler séparément les efforts pour l'exploitation, les licences et le support.

Principales preuves de conformité pour les secteurs réglementés

Questions importantes avant le choix d'un modèle d'hébergement

Quel modèle convient à quelle organisation ?

PME, startups et équipes en croissance : hébergement web ou VPS. Pour les fonctions IA, les prestataires suisses mentionnés dans la section sur les charges de travail IA sont envisageables.

Équipes avec des besoins croissants mais encore irréguliers : VPS ou Dedicated Private Cloud avec exploitation par le prestataire et SLA.

Banques et assurances : Swisscom (conforme FINMA, ISAE 3402) ou Safe Swiss Cloud (conforme FINMA, Private AI Hosting) font partie de la sélection restreinte ; alternativement, un Dedicated Private Cloud sur matériel exclusif avec SLA. Pour les données nécessitant une protection particulière, un prestataire purement suisse est la variante la moins risquée (mydata.ch).

Secteurs de la santé et du droit : La souveraineté des données sur les données de l'entreprise, des clients et des patients est décrite dans l'aperçu du marché comme particulièrement pertinente pour les secteurs financier, de la santé et du droit (mydata.ch). Côté modèle, le cloud privé ou la colocation en Suisse sont envisageables, complétés par un hébergement Groupware avec exploitation conforme LPD/RGPD.

Équipes de recherche et ML : Phoenix Systems propose GPU as a Service (H100/H200) avec Confidential Computing, positionné pour la recherche, les équipes ML et les startups ; Safe Swiss Cloud couvre Private AI et RAG (mydata.ch). Là où le Confidential Computing et le stockage des données en Suisse ne sont pas impératifs, les hyperscalers avec des prix de tokens dépendant de l'utilisation restent une option – en acceptant la dépendance envers les prestataires américains.

Entreprises et organisations avec leur propre matériel : serveurs dédiés ou colocation dans un centre de données suisse plus datacenter virtualisé.