Construire une infrastructure numérique souveraine en Suisse à l'ère de l'intelligence artificielle

Engler Stefan · P-M · Conseil des Etats · Grisons · Le Groupe du Centre. Le Centre. PEV.

Präsident (Engler Stefan, Präsident): Es liegt Ihnen ein schriftlicher Bericht der Kommission vor. Die Kommission beantragt, die Motion anzunehmen. Der Bundesrat beantragt die Ablehnung der Motion.

Juillard Charles · Mit-M · Conseil des Etats · Jura · Le Groupe du Centre. Le Centre. PEV.

Pourquoi la Suisse doit-elle créer une infrastructure numérique souveraine ? Aujourd'hui, nos sociétés reposent sur des infrastructures numériques : stockage de données, services cloud, identité numérique, intelligence artificielle ou encore services administratifs en ligne. Pour un État moderne comme la Suisse, ces infrastructures sont devenues aussi stratégiques que les routes, l'énergie ou les réseaux de télécommunication. Pourtant, une grande partie de ces infrastructures numériques dépendent aujourd'hui de fournisseurs étrangers, en particulier des grandes entreprises technologiques américaines. Face à cette situation, la question de la souveraineté numérique devient centrale.

La souveraineté numérique peut être définie, en gros, comme la capacité d'un État de contrôler et de garantir le fonctionnement des ressources numériques nécessaires à l'accomplissement de ses missions publiques. À l'aune des guerres hybrides qui se propagent à travers le monde, nous devons agir avec sévérité et conviction.

Dépendance numérique versus indépendance numérique : un enjeu stratégique. Aujourd'hui, une grande partie du cloud mondial est contrôlée par quelques grandes entreprises comme Amazon, Microsoft ou Google. Or, ces services ne sont pas neutres. Ils sont soumis aux législations de leur pays d'origine. Par exemple, certaines lois américaines, comme le Cloud Act, permettent aux autorités d'exiger l'accès à des données hébergées par des entreprises américaines, même lorsque les serveurs se trouvent à l'étranger. Cela signifie que des données publiques, administratives ou sensibles pourraient être accessibles à des autorités étrangères.

Pour un pays comme la Suisse, cela pose plusieurs problèmes. Le premier problème est le risque pour la sécurité nationale. Les administrations publiques gèrent des informations sensibles, des données fiscales, des données de santé, des informations militaires et des données d'identité. Si ces données sont hébergées dans des infrastructures étrangères, la confidentialité et la sécurité ne sont plus entièrement garanties par le droit suisse.

Le deuxième risque est économique. En effet, la dépendance technologique peut également créer une dépendance économique. Si les infrastructures numériques clés appartiennent à des acteurs étrangers, la Suisse pourrait perdre de la valeur économique, des compétences technologiques et une partie de sa capacité d'innovation. À long terme, cela pourrait affaiblir la compétitivité du pays.

Le troisième risque est politique et géopolitique. Dans un contexte international très mouvementé, les technologies numériques deviennent des outils de pression politiques. L'État qui ne maîtrise pas ces infrastructures numériques pourra voir certains services interrompus, limités ou contrôlés par des acteurs extérieurs. La souveraineté numérique est donc un enjeu de sécurité nationale.

Pourquoi faut-il créer une infrastructure numérique souveraine ? Pour répondre à ces défis, la Suisse doit développer sa propre infrastructure numérique souveraine. Cela signifie plusieurs choses. Il faut tout d'abord des infrastructures situées en Suisse. Les données publiques essentielles doivent être hébergées dans des centres de données situés sur le territoire suisse. D'ailleurs, il y a plusieurs années déjà que de grandes entreprises étrangères ont acheté des anciens bunkers de l'armée dans les Alpes afin d'en faire leur coffre-fort numérique. C'est un exemple à suivre.

Cela garantit aussi que le droit suisse s'applique pleinement. C'est ici un autre volet fondamental de la motion. Il faut créer des bases légales qui permettront de conserver la souveraineté pleine et entière sur cette infrastructure et de tout ce qui la compose. Certes, il faudra recourir à certains matériaux, logiciels ou même ordinateurs fabriqués à l'étranger. Là aussi, il faut se prémunir d'un risque extérieur en ayant assez de réserves d'éléments critiques et plusieurs chaînes d'approvisionnement. Quoi qu'il en soit, les contrats devront contenir des clauses de sauvegarde et d'application unique du droit suisse sous peine de lourdes amendes financières. Il est aussi important de considérer que les données ne puissent pas être transférées à l'étranger, par exemple, par un logiciel qui permet un accès pour du support, pour de la maintenance, pour le contrôle des incidents ou simplement lorsqu'il fait un double des sauvegardes de données.

Il faudra également considérer la gestion et les processus, comme les plans de données, les processus de maintenance, les plans de bascule ou, autrement dit, avoir une alternative en cas de problème opérationnel : les audits, les règles de cybersécurité, etc., bref, toute la mise en oeuvre des mesures techniques et organisationnelles nécessaires pour ne pas compromettre l'autonomie opérationnelle.

Une gouvernance publique ou suisse : les infrastructures doivent opérer sous le contrôle de l'État, par l'État lui-même ou par des entreprises suisses en partenariat public-privé sous juridiction suisse. C'est ici l'élément central. Cela permet de garantir un contrôle démocratique et juridique selon notre propre système politique. D'autres éléments sont également à considérer, tels que l'ancrage juridique des entreprises concernées ou le fait de s'assurer que rien ne permet d'intrusion étrangère : contrôle du capital, droits applicables, extension aux sous-traitants, autres éléments très sensibles.

Utilisation de technologies ouvertes : le recours à des technologies open source peut également renforcer la souveraineté numérique. Les logiciels ouverts permettent notamment une plus grande transparence, une indépendance vis-à-vis d'un fournisseur unique ou une meilleure sécurité grâce à l'audit du code.

Une stratégie de cloud hybride : il ne s'agit pas forcément d'abandonner totalement les fournisseurs étrangers, même si la motion vise à s'appuyer en priorité sur les hautes écoles et les entreprises suisses, qui sont tout à fait intéressées à ce développement. Une approche réaliste consiste à adopter une architecture hybride, un cloud souverain pour des données sensibles, un cloud public pour des services moins critiques. C'est d'ailleurs l'orientation adoptée par la Confédération. Il manque cependant encore l'arsenal législatif dont j'ai parlé plus tôt.

Quelles sont les initiatives actuelles en Suisse ? La Suisse n'est pas restée sans rien faire. Il faut dire que ma motion date de mars 2024. Elle a déjà commencé à agir dans ce domaine. Un exemple majeur est le projet "Swiss Government Cloud". En décembre 2024, soit neuf mois après le dépôt de ma motion, nous avons approuvé un financement d'environ 247 millions de francs pour créer une infrastructure cloud souveraine destinée à l'administration fédérale.

L'objectif, je vous le rappelle, est de renforcer la sécurité des données, d'améliorer la fiabilité des services numériques publics et de réduire la dépendance aux fournisseurs étrangers. Ce cloud public pourra être utilisé par la Confédération, les cantons, les villes et les communes. Il constitue une première étape vers une infrastructure numérique nationale.

Les bases légales de la souveraineté numérique suisse : la création d'une infrastructure numérique souveraine s'appuie déjà sur plusieurs bases légales existantes.

La Constitution fédérale : plusieurs principes constitutionnels soutiennent indirectement la souveraineté numérique - la sécurité nationale, la protection de la sphère privée et la dépendance de l'État. Faut-il encore ajouter une base constitutionnelle spécifique ? La question est posée et notre Conseil y a déjà souscrit. Ces principes obligent l'État à protéger les infrastructures essentielles. Je vous renvoie notamment à la stratégie de souveraineté numérique du Conseil fédéral, la loi fédérale sur la protection des données (LPD) ou encore l'e-ID récemment approuvée par le peuple. Cependant, il manque toujours encore la définition légale de la souveraineté numérique. Qu'est-ce que la souveraineté numérique ?

Les lois de protection contre les intrusions étrangères dans les infrastructures et les bases de données nationales : s'il ne fallait retenir qu'une chose de cette motion, ce serait absolument ce dernier élément. Vu la situation géopolitique actuelle, il faut agir sans délai.

En conclusion, la transformation numérique de toutes les strates de notre système démocratique - Confédération, cantons et communes - est inévitable, mais, pour qu'elle soit compatible avec les valeurs suisses, telles que la sécurité, la dépendance, la protection des données et la démocratie, elle doit s'appuyer sur des infrastructures numériques souveraines. La dépendance technologique représente aujourd'hui un risque stratégique. Grâce à des initiatives comme le "Swiss Government Cloud" et un cadre juridique solide, la Suisse a l'opportunité de construire une infrastructure numérique fiable, sécurisée et indépendante. Comme le diable se cache dans les détails, la Confédération se doit de définir elle-même ses caractéristiques dans le détail et ne pas se reposer complètement sur des entreprises externes ou des labels.

Investir dans la souveraineté numérique n'est pas seulement une question technologique, c'est un choix politique, économique et démocratique pour l'avenir du pays. Malgré tout ce qui est déjà en cours et ce qui a été fait, je dirais même en complément de cela, la Commission de la politique de sécurité vous recommande, à l'unanimité, d'accepter la motion proposée.

Wicki Hans · Mit-M · Conseil des Etats · Nidwald · Groupe libéral-radical

Kollege Juillard greift sehr wichtige Fragen zur digitalen Infrastruktur und zur Cybersicherheit auf. Gleichzeitig geht es aber auch um potenziell sehr weitreichende staatliche Infrastrukturvorhaben, und dies notabene nicht zuletzt zu einem Zeitpunkt, in dem der Bund unter erheblichem finanzpolitischen Druck steht. Im Rahmen des Entlastungspakets 27 haben wir intensiv darüber diskutiert, wie die bestehenden Ausgaben grundsätzlich priorisiert und effizienter eingesetzt werden können. Gerade vor diesem Hintergrund ist es zentral, dass neue staatliche Vorhaben auch im digitalen Bereich nicht nur technologisch, sondern auch finanzpolitisch sorgfältig geprüft werden.

Bei staatlichen IT-Projekten haben wir zunehmend auch ein Finanzproblem. Die Beispiele dazu waren auch in diesem Jahr wieder in den Schlagzeilen. Probleme beim Rollout, markante Kostenüberschreitungen sowie operative Probleme, wie sie beim E-Voting oder bei anderen Projekten auftreten, sind immer wieder Tatsache. Solche Vorfälle untergraben das Vertrauen in die Fähigkeit des Staates, grosse IT-Projekte zuverlässig und effizient umzusetzen. Gerade deshalb stellt sich bei neuen staatlichen IT-Vorhaben auch immer die Frage der Finanzen.

Grundsätzlich müssen wir festhalten: Regulierung und Finanzen sind nicht unsere Engpässe. Vielmehr bedarf es einer straffen, zielgerichteten Führung dieser Projekte.

Wichtige Punkte, die die Motion Juillard anspricht, sind die IT-Sicherheit und die Souveränität. Diese Bereiche müssen eine Gemeinschaftsaufgabe von Staat, Forschung und Privatwirtschaft sein. Die Chancen für die Schweiz liegen nicht in einem digitalen Reduit, sondern in einer guten, kohärenten Wirtschaftspolitik, die ein Cybersecurity-Ökosystem in der Schweiz fördert.

Wie man es nicht machen sollte, zeigt die VÜPF-Revision: Hoch gehandelte Schweizer Firmen aus der gesamten Cybersicherheit werden ins Ausland vertrieben. Wenn dieses Know-how in der Schweiz fehlt, dann wird es schwierig. Aus diesem Grund hat Ihre KVF-S zuletzt auch die Motion Feller angenommen.

Wir können und sollen auch nicht alles selbst machen. Das ist, glaube ich, hinreichend bekannt. Das Internet hält sich nicht an Landesgrenzen. Wie in anderen Bereichen auch, tun wir im digitalen Umfeld gut daran, von internationaler Expertise und Arbeitsteilung zu profitieren.

KI wurde erwähnt. Sie ist nicht nur ein neues Cyberrisiko, sondern auch eine riesige Cyberchance. Entscheidend ist deshalb ein optimales Preis-Leistungs-Verhältnis. Ein einzelner Staat kann weder die globalen Investitionen noch die personellen Ressourcen grosser Technologieanbieter replizieren. Nur ein kleines Beispiel: Bei Microsoft arbeiten allein rund 35 000 Fachleute an den Themen Cybersicherheit und Resilienz. Eine halbe Bundesverwaltung ist dort im Einsatz. Sie wissen es: Würde die Schweiz versuchen, solche Kapazitäten selbst aufzubauen, wäre das nicht nur extrem teuer, es würde auch grundsätzlich nicht ausreichen.

Ein Fazit: Das Problem ist real, aber wir müssen es etwas differenzierter angehen. IT-Projekte des Bundes werden regelmässig etwas teurer als ursprünglich prognostiziert. Neben den Investitionskosten müssen wir uns auch immer die dann anfallenden Betriebskosten vor Augen führen. Der Bund investiert bereits heute Milliarden von Franken in die Informatik. Entscheidend ist deshalb, dass staatliche IT-Projekte effizient umgesetzt und bestehende Mittel wirksam eingesetzt werden. Souveränität braucht auch eine wirtschaftliche und militärische Zusammenarbeit, denn ohne die Wirtschaft geht es hier nicht. Diversifikation ist entscheidend. Wir können und sollten uns nicht vom Ausland abkoppeln, auch wenn wir etwas unabhängiger werden sollten.

Am Ende müssen wir die bestmögliche Sicherheit und Souveränität zum bestmöglichen Preis-Leistungs-Verhältnis erzielen. Aus diesem Grund tut der Zweitrat gut daran, Zielsetzungen, Instrumente und mögliche Kostenfolgen etwas detaillierter zu prüfen und neben der sicherheitspolitischen Perspektive auch Wirtschafts-, Technologie- und Finanzaspekte mit einzubeziehen.

Rösti Albert · BR-M · Conseil fédéral · Berne

Die Sicherheitspolitische Kommission hat die Motion einstimmig angenommen, trotzdem beantragt der Bundesrat deren Ablehnung. Das ist ein schwieriges Unterfangen, aber ich würde Ihnen trotzdem gerne sagen, weshalb. Wir tun dies nicht, weil wir die Idee oder die Anliegen dieser Motion Juillard infrage stellen, sondern weil wir meinen, es werde heute schon genügend gemacht und diese Fragen würden ausreichend adressiert. Lassen Sie mich das noch kurz zusammenfassen.

Es laufen verschiedene Gesetzesvorhaben, die dazu beitragen, dem Ziel einer souveränen digitalen Infrastruktur auch genügend Rechnung zu tragen. Grundlegend ist ein sicherer, vertrauenswürdiger Rahmen rund um Daten. Die Motion 22.3890, die die Erarbeitung eines Rahmengesetzes für die sekundäre Nutzung von Daten fordert, wurde angenommen. Der Vorentwurf für dieses Rahmengesetz ist derzeit in Erarbeitung und wird voraussichtlich Ende 2026 in die Vernehmlassung gehen. Hier ist die Federführung beim Bundesamt für Justiz. Weiter laufen die Vorbereitungen zur Umsetzung der Motion 23.3002 der Sicherheitspolitischen Kommission, "Mehr Sicherheit bei den wichtigsten digitalen Daten der Schweiz", die unter der Federführung des Bundesamtes für Cybersicherheit vorangetrieben werden. Im Zusammenhang mit dem Bericht in Erfüllung des Postulates 23.3050, "Verbindliche Standards für die digitale Verwaltungslandschaft der Schweiz. Braucht es einen Digitalisierungsartikel in der Bundesverfassung?", wurde im Dezember 2025 eine tripartite Kommission eingesetzt. Sie hat zum Auftrag, das EJPD bei der Formulierung eines Digitalisierungsartikels für die Bundesverfassung zu unterstützen.

Anfang 2025 hat der Bundesrat entschieden, dass die Schweiz die Rahmenkonvention des Europarates zu künstlicher Intelligenz ratifizieren soll. Bis Ende 2026 soll eine Vernehmlassungsvorlage zu gesetzlichen Bestimmungen in den Bereichen Transparenz, Datenschutz, Nichtdiskriminierung und Risikoabschätzung erarbeitet sein. Parallel dazu arbeitet unser Bundesamt für Kommunikation einen Umsetzungsplan mit rechtlich nicht verpflichtenden Massnahmen aus, der ebenfalls bis Ende 2026 vorliegen wird. Das EJPD erarbeitet die gesetzliche Grundlage für die Konvention, und wir erarbeiten nicht gesetzlich verpflichtende Massnahmen.

Eine souveräne digitale Schweiz braucht sichere Speichermöglichkeiten. Derzeit wird, voraussichtlich bis 2030, die Swiss Government Cloud aufgebaut. Die Infrastruktur wird Bundesbehörden, Kantonen und Gemeinden zur Verfügung stehen. Der vom Bundesrat beantragte Verpflichtungskredit in Höhe von 247 Millionen Franken wurde von den eidgenössischen Räten, von Ihnen, genehmigt. Mit der Forschungsinfrastruktur Alps des Centro svizzero di calcolo scientifico im Tessin verfügt die Schweiz über sehr hohe Rechenkapazitäten. Zu nennen ist auch das grosse Sprachmodell Apertus, welches der Öffentlichkeit seit September 2025 zur Verfügung steht.

Das Parlament hat weitere Vorstösse angenommen, die auch Forderungen aus der Motion Juillard betreffen. Zu nennen sind insbesondere die Berichte in Erfüllung der Postulate Z'graggen "Strategie Digitale Souveränität der Schweiz" und Andrey "Chancen und Risiken von KI-Systemen in der Cybersicherheit", welche der Bundesrat Ende 2025 zuhanden des Parlamentes verabschiedet hat.

Gestützt darauf sieht der Bundesrat keine Notwendigkeit von weiteren gesetzlichen Grundlagen für die Schaffung einer souveränen und sicheren digitalen Infrastruktur. Wie Sie meinen Ausführungen entnehmen konnten, ist die Arbeit departementsübergreifend am Laufen - das konnten Sie auch an meiner Unsicherheit erkennen: Das EJPD hat diverse Projekte, die Bundeskanzlei hat diverse Projekte, und auch wir im UVEK haben diverse Projekte.

Der Bundesrat ist vor diesem Hintergrund der Ansicht, dass es keinen neuen gesetzgeberischen Auftrag dazu braucht.

Wir bitten Sie um die Ablehnung der Motion, dies in Anerkennung der Anliegen dieser Motion.

Vote

Abstimmung - Vote

Für Annahme der Motion ... 31 Stimmen

Dagegen ... 11 Stimmen

(0 Enthaltungen)