Une PME suisse qui utilise l’IA n’a pas besoin d’une nouvelle loi pour avoir des obligations : la loi fédérale sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023, s’applique dès qu’un collaborateur met un e-mail de client ou un dossier du personnel dans un outil d’IA. La bonne nouvelle : le travail tient en quelques décisions écrites. Voici la méthode, sans jargon juridique, et ce qu’il faut vérifier.

Ce que la nLPD demande déjà

Cinq obligations comptent pour un usage courant de l’IA :

  • Finalité et proportionnalité. Vous savez à quoi sert chaque usage, et vous n’y mettez que les données nécessaires. « Gagner du temps » ne justifie pas de charger tout l’historique clients.
  • Sous-traitance (art. 9). Le fournisseur d’IA qui traite des données personnelles pour vous est un sous-traitant : il faut un contrat qui encadre ce traitement et ses propres sous-traitants. Les conditions grand public des outils gratuits ne le font pas.
  • Communication à l’étranger (art. 16 et 17). Si les données sont traitées hors de Suisse, le pays doit offrir une protection adéquate (c’est le cas de l’Union européenne) ou le contrat doit contenir des garanties, comme les clauses contractuelles types. Pour les États-Unis, les entreprises certifiées au Swiss-US Data Privacy Framework sont reconnues depuis le 15 septembre 2024.
  • Information (art. 19). Votre déclaration de confidentialité mentionne les catégories de destinataires, y compris les fournisseurs d’IA, et les pays où les données sont traitées.
  • Analyse d’impact (art. 22). Elle est requise avant un traitement susceptible d’entraîner un risque élevé, par exemple sur des données de santé ou pour évaluer des personnes.

La loi prévoit aussi des amendes pénales qui visent les personnes responsables, pas seulement l’entreprise. L’analyse nLPD, AI Act et IA générative détaille ces points et le cas des entreprises qui travaillent avec l’Union européenne.

Étape 1 : lister les usages, pas toutes les données

Inutile d’inventorier toutes les données de l’entreprise. On liste ce qui ira dans l’IA : pour chaque usage prévu, les documents concernés, leur origine (interne, client, fournisseur, candidat) et la personne responsable. Une demi-journée suffit ; c’est une partie du Workshop IA.

Étape 2 : classer en trois niveaux

NiveauExemplesRègle
InterneProcédures, modèles, offres types, notes internes, textes à publierDans l’outil professionnel de l’entreprise. Jamais dans un compte gratuit ou personnel
ClientE-mails, dossiers, factures et coordonnées de clients, fournisseurs, candidats ou collaborateursSeulement dans l’outil validé (contrat de sous-traitance, pas d’entraînement, lieu de traitement connu), pour les usages listés, avec le minimum de données
ProtégéDonnées sensibles au sens de la nLPD (santé, opinions religieuses ou politiques, données biométriques, poursuites et sanctions, aide sociale…), informations sous secret professionnel ou sous engagement de confidentialité, secrets d’affairesPas dans un outil externe par défaut. Exception seulement sur décision écrite, après analyse, avec une solution adaptée

Le piège est de tout classer au niveau le plus strict : c’est rassurant, mais l’outil devient inutilisable et les collaborateurs retournent à leur compte gratuit. Le bon classement protège le nécessaire et laisse travailler sur le reste.

Étape 3 : choisir et régler l’outil

À vérifier une fois à l’ouverture des comptes, puis à chaque changement de formule ou de fournisseur :

  • Pas d’entraînement sur vos contenus. Sur les formules professionnelles des principaux assistants (ChatGPT Business et Enterprise, Claude Team et Enterprise, Microsoft 365 Copilot, Gemini pour Google Workspace), c’est le réglage par défaut. Il n’y a pas d’« opt-out » à chercher, mais une clause à lire.
  • Le contrat de sous-traitance et la liste des sous-traitants du fournisseur.
  • Le lieu de traitement et la base du transfert : pays adéquat, certification au Data Privacy Framework ou clauses contractuelles types.
  • La conservation : combien de temps les conversations et fichiers sont gardés, et qui peut les supprimer.
  • Les accès : qui administre l’espace, connexion centralisée (SSO) si possible, retrait des comptes le jour d’un départ.
  • Les connecteurs : quels outils externes (messagerie, stockage de fichiers) l’assistant peut lire. Au départ, le moins possible.

Notre guide ChatGPT gratuit, Plus, Business ou Enterprise applique cette liste à ChatGPT.

Étape 4 : le secret professionnel et vos engagements

Le secret professionnel ne dépend pas de la nLPD. Les professions visées par l’article 321 du Code pénal (avocats, notaires, médecins, réviseurs et leurs auxiliaires, notamment) ne peuvent confier une information couverte par le secret à un tiers que dans un cadre compatible avec ce secret : contrat adapté, solution hébergée sous votre contrôle, ou accord du client selon le cas. Une fiduciaire est en outre liée par son devoir de discrétion envers ses mandants ; une banque par le secret bancaire.

Relisez aussi vos contrats clients : un accord de confidentialité ou une clause qui interdit la sous-traitance non déclarée peut interdire un usage que la loi permettrait.

Étape 5 : relire avant que ça sorte

Toute sortie de l’IA qui part vers l’extérieur (client, fournisseur, autorité) est relue par une personne. Pour les agents qui envoient des messages, la règle est stricte : brouillon validé au départ, envoi automatique seulement pour une catégorie à faible risque, après au moins quatre semaines de brouillons validés et sur décision écrite. Le guide agents la détaille.

Étape 6 : prévoir l’incident et suivre

Écrivez ce qu’on fait si une donnée protégée part dans l’outil ou si une erreur part chez un client : qui supprime, qui informe, qui décide. Si une violation de la sécurité des données entraîne un risque élevé pour les personnes concernées, elle doit être annoncée au PFPDT dans les meilleurs délais.

Revoyez ensuite les règles à chaque nouvel outil, nouveau fournisseur ou nouvel usage : un point court chaque mois au début, puis chaque trimestre.

Les trois erreurs qui rendent la sécurité décorative

  1. La règle écrite que l’outil contredit. La directive interdit les comptes personnels, mais aucun outil professionnel n’est fourni. Résultat : des usages non déclarés.
  2. Le classement « tout est protégé ». L’outil devient inutile et les règles sont contournées.
  3. La relecture supprimée trop tôt. On l’enlève quand l’usage est stable et mesuré, pas quand on est pressé.

Ce que ça coûte

La fiche des données autorisées et interdites fait partie du Workshop IA (CHF 1'900 hors TVA, 4 heures). La configuration de l’outil avec votre IT, les contrats à vérifier, les règles et le suivi relèvent de l’Accompagnement IA, à prix fixe sur devis ou en abonnement dès CHF 1'800 par mois pour 10 heures, trois mois minimum. Ce guide est une méthode de travail, pas un avis juridique sur votre situation.