IA en entreprise et protection des données (nLPD) en Suisse

Que dit la nLPD, et en quoi concerne-t-elle l'IA ?

En vigueur depuis le 1er septembre 2023, la loi fédérale révisée sur la protection des données (nLPD) encadre tout traitement de données personnelles, c'est-à-dire toute information se rapportant à une personne identifiée ou identifiable : un nom dans un e-mail, un numéro de client, une adresse, un dossier RH, une conversation de support. La loi est technologiquement neutre : elle ne parle pas d'« intelligence artificielle », mais elle s'applique intégralement dès qu'un outil d'IA traite ce type de données.

Concrètement, coller le CV d'un candidat dans ChatGPT, faire résumer des notes médicales par un modèle, ou alimenter un assistant interne avec votre base clients sont des traitements de données personnelles au sens de la loi. Ils doivent donc respecter les principes de base : finalité déterminée, proportionnalité (ne traiter que ce qui est nécessaire), exactitude, transparence envers les personnes concernées et sécurité.

Deux notions méritent une attention particulière. Les données sensibles (santé, opinions religieuses ou politiques, vie sexuelle, données biométriques, poursuites) exigent des précautions renforcées. Et la communication de données à l'étranger n'est autorisée que vers un pays offrant une protection adéquate, ou moyennant des garanties contractuelles (clauses types). Or beaucoup de services d'IA grand public sont hébergés aux États-Unis, ce qui déclenche précisément cette règle.

À noter : la nLPD ne soumet pas l'usage de l'IA à une autorisation préalable. Elle impose une responsabilité. C'est à l'entreprise de pouvoir démontrer qu'elle traite les données correctement, le cas échéant via une analyse d'impact (AIPD) lorsque le traitement présente un risque élevé pour les personnes.

Ce qu'on peut faire avec l'IA, et ce qu'il faut éviter

La distinction utile n'est pas « IA autorisée ou interdite », mais « quelles données pour quel usage et sur quel outil ». Une bonne partie des cas d'usage des PME ne touche aucune donnée personnelle et ne pose donc pas de difficulté particulière.

Généralement sans problème : rédiger un texte marketing, générer du code, résumer un document public, traduire une notice, brainstormer, structurer un tableau de chiffres anonymes. Tant qu'aucune donnée personnelle ni secret d'affaires n'est en jeu, l'outil grand public convient.

• À éviter sur un service grand public non maîtrisé : coller des dossiers RH, des données de santé, des contrats nominatifs, des listes clients complètes ou des identifiants/mots de passe.
• Risqué sans cadre : laisser les collaborateurs utiliser des comptes personnels gratuits pour traiter des données de l'entreprise (aucun contrat, données potentiellement réutilisées).
• À encadrer : toute décision automatisée ayant un effet important sur une personne (tri de candidatures, scoring de crédit) impose information et, souvent, intervention humaine.
• Possible avec précautions : traiter des données personnelles via une offre professionnelle contractualisée (version entreprise, API), avec hébergement et non-réutilisation garantis.

Les bonnes pratiques : minimiser, héberger en Suisse, éviter l'entraînement

Trois réflexes réduisent l'essentiel du risque, sans freiner l'adoption de l'IA.

Minimiser. Avant d'envoyer quoi que ce soit à un modèle, on retire ou on remplace ce qui n'est pas nécessaire. Pseudonymiser (remplacer les noms par des identifiants), masquer les coordonnées, ne transmettre que l'extrait utile plutôt que le dossier complet. Moins une requête contient de données identifiantes, moins le risque est élevé, quel que soit l'outil.

Maîtriser l'hébergement. Pour les traitements impliquant des données personnelles, privilégier des services dont les données restent en Suisse ou dans l'Espace économique européen, ou passer par des API professionnelles permettant de choisir la région. Plusieurs fournisseurs offrent désormais une résidence des données en Europe, et certains modèles peuvent tourner sur une infrastructure suisse. C'est sur ce point que des studios spécialisés comme Algoria, à Villeneuve (VD), aident les PME romandes à câbler leurs automatisations (par exemple via n8n ou Make) en gardant les données sur des serveurs en Suisse.

Éviter l'entraînement sur vos données. Beaucoup d'offres gratuites se réservent le droit de réutiliser les saisies pour améliorer leurs modèles. Les offres professionnelles (ChatGPT Team/Enterprise, Claude pour les entreprises, accès par API) prévoient à l'inverse, par défaut, la non-utilisation des données pour l'entraînement et une conservation limitée. Il faut le vérifier dans les conditions et, idéalement, signer un contrat de sous-traitance (DPA) avec le fournisseur.

Cloud, API ou on-premise : quelle architecture choisir ?

Le niveau de contrôle souhaité détermine l'architecture. Il existe un dégradé entre l'outil grand public et le modèle hébergé chez soi, chacun avec ses compromis.

• IA cloud grand public (ChatGPT, Claude, gratuit ou Plus) : rapide, peu coûteux, idéal pour des contenus sans données personnelles. À réserver aux usages non sensibles.
• Offres entreprise (Team/Enterprise) : contrat, non-réutilisation des données, gestion des accès. Bon compromis pour la plupart des PME, comptez quelques dizaines de francs par utilisateur et par mois.
• Accès par API (OpenAI, Anthropic, ou modèles hébergés en Europe) : permet de construire ses propres outils (RAG sur documents internes, OCR, assistants), de choisir la région d'hébergement et de cloisonner les données. Coût à l'usage, plus un développement initial.
• On-premise / modèle ouvert auto-hébergé (Llama, Mistral, etc. sur un serveur suisse ou interne) : contrôle maximal, aucune donnée ne quitte l'infrastructure. Pertinent pour des données très sensibles, mais nécessite des compétences et du matériel ; le budget se compte généralement en milliers à dizaines de milliers de francs.

Une démarche simple pour une PME romande

Inutile de viser la perfection juridique du premier coup. Une approche par étapes suffit à se mettre en règle et à avancer.

Commencer par cartographier : quels usages de l'IA existent déjà (officiels ou non), et quelles données y transitent. Beaucoup d'entreprises découvrent à cette étape un usage informel via comptes personnels.

Classer ensuite les données par sensibilité, rédiger une courte charte d'utilisation de l'IA (ce qui est permis, sur quels outils, avec quelles données), choisir des outils professionnels avec contrat pour tout ce qui touche des données personnelles, et tenir à jour le registre des traitements prévu par la loi. Pour les traitements à risque élevé, prévoir une analyse d'impact.