Visiter le site →
← Retour au blog

Équipes américaines : 4 clauses nLPD à exiger dans un DPA IA suisse

3 septembre 2026
Équipes américaines : 4 clauses nLPD à exiger dans un DPA IA suisse

Un DPA conforme à la nLPD pour un fournisseur d'IA doit couvrir explicitement quatre points : l'hébergement des données, les mécanismes de transfert international, la chaîne complète de sous‑traitance, et l'interdiction (ou l'opt‑out) de réutiliser vos données pour entraîner des modèles. Sans ces quatre clauses, le document que votre fournisseur vous présente comme un « DPA standard » ne suffit pas à couvrir votre responsabilité légale.

En bref:

  • Un DPA conforme à la nLPD doit impérativement couvrir l'hébergement des données, les transferts internationaux, la chaîne de sous-traitance et l'interdiction d'utiliser vos données pour entraîner les modèles, faute de quoi il n'assure pas la responsabilité légale.
  • Les mécanismes de transfert de données vers l'étranger doivent reposer sur des clauses contractuelles types ou le cadre Swiss‑US Data Privacy Framework, en vérifiant systématiquement la validité des certifications.
  • La cartographie complète de la chaîne de sous-traitance doit inclure chaque prestataire, comme modèles, bases vectorielles ou services annexes, avec clauses d’annexe ou d’engagement solidaire pour éviter les risques invisibles.
  • Il est crucial d'exiger des mesures de sécurité précises comme le chiffrement AES-256, l’audit des environnements, la gestion fine des accès, et la preuve d’audits opérationnels pour garantir la protection des données.
  • Une analyse d’impact (AIPD) doit être menée pour tout traitement présentant un risque élevé, en documentant la finalité, les risques, ainsi que les mesures d’atténuation, et en demandant une description technique précise au fournisseur.

Table des matières

Clauses contractuelles essentielles d'un DPA pour fournisseur d'IA

Un DPA n'est pas un formulaire administratif à parapher entre deux réunions. C'est le document qui détermine qui porte la responsabilité en cas de fuite de données, de mauvais usage d'un modèle ou de contrôle réglementaire. La nLPD, entrée en vigueur en 2023, exige des contrats écrits avec chaque sous‑traitant traitant des données pour le compte d'un responsable, et cette obligation s'applique pleinement aux traitements par intelligence artificielle, selon une analyse publiée par ICTjournal.

Le document doit aussi lister les catégories de données couvertes, sans quoi vous risquez de découvrir après coup que vos données RH ou vos documents financiers ne relevaient pas du périmètre contractuel.

Les finalités autorisées méritent une attention particulière. Un DPA solide doit :

  • Interdire explicitement l'utilisation de vos données pour entraîner ou affiner les modèles du fournisseur, ou à défaut, prévoir un mécanisme d'opt‑out clair et vérifiable ;
  • Fixer une durée de conservation précise, avec suppression automatique ou restitution des données à l'échéance du contrat ;
  • Prévoir un délai maximal de notification en cas d'incident de sécurité, généralement entre 24 et 72 heures selon la gravité ;
  • Décrire les modalités de restitution des données en cas de résiliation, y compris le format d'export.

Les modèles contractuels suisses observés dans la pratique intègrent typiquement des clauses sur le lieu de traitement et sur le droit du donneur d'ordre à s'opposer au recours à un nouveau sous‑traitant, comme le montre un modèle de contrat de sous‑traitance conforme à la LPD. Ces DPA structurent généralement leurs sections autour des mêmes rubriques : définitions, obligations du fournisseur, obligations du client, transferts et sous‑traitance, comme on le retrouve dans la plupart des modèles de référence sur le marché, dont celui publié par Gatekeeper.

Conseil de pro : Ne vous fiez jamais à une mention générique du type « conforme au RGPD ». Le RGPD et la nLPD ne se recouvrent que partiellement. Exigez que le DPA cite nommément la nLPD et, si votre secteur y est soumis, les dispositions sectorielles applicables (secret bancaire, secret médical, etc.).

Transferts internationaux : quels mécanismes respectent la nLPD ?

L'article 16 de la nLPD impose des garanties spécifiques dès que des données personnelles quittent la Suisse vers un pays dont le niveau de protection n'est pas jugé équivalent. Or la plupart des plateformes commerciales d'IA font transiter les données par des infrastructures situées aux États‑Unis ou dans l'Union européenne, souvent sans que le client final en ait pleinement conscience, selon une synthèse d'Orange ITS sur la conformité nLPD des agents IA.

Deux mécanismes principaux permettent de sécuriser ces flux :

  • Les clauses contractuelles types (SCC), qui imposent des engagements contractuels précis au destinataire étranger des données ;
  • Le Swiss‑US Data Privacy Framework, entré en application en septembre 2024, qui autorise les transferts vers des entreprises américaines certifiées sans exiger de garanties supplémentaires.

Si votre fournisseur d'IA fait transiter vos données par des serveurs américains sans certification DPF valide, le DPA doit alors intégrer d'autres garanties, faute de quoi le transfert reste juridiquement fragile. Vérifiez systématiquement l'existence du certificat DPF et exigez qu'il soit documenté par écrit plutôt qu'affirmé oralement lors d'un appel commercial, car cette certification doit être vérifiée et tracée par le fournisseur lui‑même.

Concrètement, demandez trois documents avant toute signature :

  1. Un registre des transferts internationaux, précisant les pays de destination et la base légale invoquée pour chacun ;
  2. Une annexe listant les lieux physiques de traitement (data centers, sous‑traitants hébergeurs) ;
  3. Une attestation de certification DPF le cas échéant, avec date de renouvellement.

Un fournisseur qui héberge exclusivement en Suisse élimine ce problème à la racine, ce qui simplifie considérablement l'analyse juridique et réduit le nombre de garanties à négocier.

Chaîne de sous‑traitance IA : comment la cartographier sans rien oublier

Un DPA qui ne mentionne que le fournisseur principal passe souvent sous silence toute une chaîne de prestataires invisibles. La cartographie complète de la chaîne de traitement révèle fréquemment des flux vers des services tiers non anticipés par l'équipe achat, comme le souligne ICTjournal dans son analyse des obligations liées à l'IA.

Voici les catégories à inventorier systématiquement :

  1. Le fournisseur de modèle (LLM ou API sous‑jacente), qui peut être distinct de l'éditeur du logiciel que vous utilisez ;
  2. La base vectorielle (vector database) qui stocke les représentations de vos documents pour la recherche sémantique ;
  3. La couche d'observabilité, souvent un service tiers de monitoring qui capte des extraits de vos requêtes ;
  4. Le service de transcription, si l'outil traite des réunions audio ou vidéo ;
  5. Le CRM ou l'outil de support client connecté à la plateforme, qui peut recevoir des métadonnées d'usage.

Chacun de ces maillons doit figurer individuellement dans une annexe contractuelle, avec un contrat écrit distinct ou une clause d'engagement solidaire du fournisseur principal. Exigez aussi un droit d'audit ou, à défaut, un accès aux annexes détaillant les engagements pris par chaque sous‑traitant.

Trois signes doivent immédiatement vous alerter : l'absence de toute liste de sous‑traitants, un refus catégorique de droit d'audit même limité, ou des clauses vagues sur l'entraînement des modèles qui laissent la porte ouverte à une réutilisation ultérieure de vos données.

Conseil de pro : Demandez que le DPA prévoie un délai de préavis (30 jours est une norme raisonnable) avant tout ajout d'un nouveau sous‑traitant, avec droit d'opposition motivé de votre part.

Quelles mesures de sécurité (TOMs) exiger et comment en obtenir la preuve ?

Les mesures techniques et organisationnelles, souvent abrégées TOMs, forment le socle opérationnel de la conformité. Un DPA sérieux les référence explicitement plutôt que de se contenter d'une formule creuse comme « mesures de sécurité appropriées ».

Les engagements à rechercher :

  • Chiffrement des données au repos et en transit, avec précision de la norme utilisée (AES‑256 est la référence courante) ;
  • Séparation stricte des environnements clients et gestion rigoureuse des clés de chiffrement ;
  • Journaux d'audit exportables, avec une politique de rétention définie et un accès garanti en cas de contrôle ou de litige ;
  • Contrôles d'accès basés sur les rôles, avec revues périodiques des droits accordés aux collaborateurs du fournisseur.

Pour les projets sensibles, la meilleure pratique consiste à exiger la preuve d'audits opérationnels plutôt qu'une simple attestation papier, une recommandation que reprend l'analyse d'Orange ITS sur la conformité nLPD des agents IA. Une certification comme l'ISO/BEC 27001 constitue un signal utile, mais elle ne garantit pas à elle seule que vos données ne quittent jamais la Suisse ou qu'aucun sous‑traitant américain n'intervient dans la chaîne. Vérifiez toujours le périmètre exact couvert par la certification avant de la considérer comme une réponse suffisante.

Faut‑il réaliser une AIPD pour ce traitement IA ?

Une analyse d'impact relative à la protection des données (AIPD) devient nécessaire dès que le traitement présente un risque élevé pour les personnes concernées, notamment en cas de profilage, de décisions automatisées produisant des effets juridiques, ou de traitement de données sensibles (santé, données biométriques, opinions politiques). La nLPD impose cette analyse pour certains traitements à risque, une obligation que détaille ICTjournal.

Une AIPD sérieuse pour un traitement IA doit documenter :

  • Les finalités précises du traitement et la logique de fonctionnement du modèle utilisé ;
  • Les risques identifiés pour les personnes concernées et les mesures d'atténuation mises en place ;
  • Une évaluation du risque résiduel après application des mesures correctives.

Le fournisseur doit vous fournir les informations techniques nécessaires à cette analyse : description du modèle, provenance des données d'entraînement, mécanismes de filtrage des sorties. Un guide opérationnel suisse recommande d'ailleurs d'impliquer le délégué à la protection des données dès la phase de cartographie des flux pour les projets à risque, comme le détaille le guide de conformité IA en entreprise de SIDD.

Conseil de pro : Une AIPD de qualité se juge à sa précision, pas à sa longueur. Méfiez‑vous d'un document de 40 pages qui ne cite jamais nommément votre cas d'usage réel.

Checklist : que négocier concrètement avant de signer

La négociation d'un DPA gagne à suivre une séquence logique plutôt qu'une lecture linéaire du document fourni par le fournisseur.

  1. Inventoriez vos cas d'usage IA et les catégories de données concernées avant même d'ouvrir le contrat.
  2. Demandez la documentation complète : annexe des sous‑traitants, attestations de sécurité, politique d'entraînement des modèles.
  3. Vérifiez les clauses non négociables : localisation du traitement, interdiction d'entraînement, délai de notification d'incident.
  4. Validez techniquement les engagements affichés en demandant une démonstration des journaux d'audit et des mécanismes d'anonymisation.
  5. Négociez les SLA de remédiation en cas de manquement, avec des pénalités contractuelles claires plutôt que des formules d'engagement « au mieux ».

Des formulations précises à exiger dans le texte : « le fournisseur notifie le client dans un délai de 48 heures suivant la découverte d'un incident affectant les données personnelles » ; « les données du client sont supprimées de façon irréversible dans un délai de 30 jours suivant la résiliation » ; « aucune donnée du client ne sera utilisée pour l'entraînement, le réentraînement ou l'amélioration de tout modèle, sans consentement écrit préalable ». Un guide pratique de conformité IA rappelle qu'un DPA solide liste nommément les sous‑traitants, interdit l'entraînement non consenti et décrit sans ambiguïté les mécanismes de transfert utilisés, selon le guide SIDD.

Comment Nectos répond concrètement à ces exigences contractuelles

Nectos a construit son architecture en partant de ces exigences plutôt qu'en les ajoutant après coup. Les serveurs restent exclusivement en Suisse, ce qui écarte d'emblée toute question de transfert international vers les États‑Unis ou l'Union européenne. Aucune donnée n'est partagée avec les géants technologiques américains, et les modèles utilisés sont hébergés localement plutôt que sollicités via des API tierces.

Sur le plan opérationnel, la plateforme fournit :

  • Un export complet des journaux d'audit, consultable par les équipes de conformité sans dépendre d'une demande manuelle au support ;
  • Une anonymisation automatique des requêtes avant tout traitement sensible ;
  • Un contrôle d'accès administrateur avec gestion fine des rôles, permettant des revues d'accès régulières ;
  • Une politique explicite de non‑réutilisation des données pour l'entraînement de modèles tiers.

Lors d'une due diligence, l'équipe de Nectos transmet un DPA personnalisé accompagné des annexes de sous‑traitance et de la documentation technique nécessaire à votre propre AIPD. La page sécurité de Nectos détaille l'ensemble de ces engagements avec les preuves techniques associées, plutôt qu'une simple déclaration d'intention.

Pourquoi un DPA solide devient un avantage commercial, pas seulement une contrainte

Pour une entreprise américaine qui vend à des clients régulés (finance, santé, secteur public), présenter un DPA rigoureux avec un fournisseur d'IA rassure directement l'acheteur final sur sa propre chaîne de conformité. Cela réduit le risque contractuel et réputationnel qui pèse sur vous en cas d'audit ou de litige, et cela distingue votre organisation des concurrents qui traitent la protection des données comme une case à cocher. Les fournisseurs capables d'apporter des preuves opérationnelles, journaux d'audit à l'appui, plutôt que de simples attestations, deviennent un atout de vente plutôt qu'une ligne de coût administrative.

— Adopt

Comment obtenir un DPA Nectos pour votre organisation

Nectos est l'alternative souveraine aux plateformes qui font transiter vos données par des infrastructures américaines : hébergement exclusivement suisse, aucun partage avec les géants technologiques et une documentation contractuelle pensée pour répondre point par point aux exigences de la nLPD plutôt qu'à celles d'un cadre réglementaire étranger.

Nectos

La plateforme regroupe un chat IA privé, une analyse intelligente de documents, une base de connaissances privée, la transcription de réunions et une recherche web anonymisée, tout en conservant l'anonymisation automatique des requêtes et l'export complet des journaux d'audit. Pour approfondir la mécanique juridique derrière cette approche, la page consacrée à la souveraineté suisse comme garantie légale détaille les fondements du modèle, et la fiche produit complète présente les fonctionnalités de gestion des rôles et d'anonymisation en détail.

Pour obtenir un exemplaire de DPA personnalisé, une annexe de sous‑traitance ou organiser une démonstration avec l'équipe conformité, la démarche démarre depuis la page sécurité de Nectos, où figurent les engagements techniques vérifiables et les modalités de contact pour votre due diligence.

Sources

Pour approfondir les aspects réglementaires de cet article, consultez l'analyse d'Orange ITS sur la conformité nLPD des agents IA, la synthèse d'ICTjournal sur l'application de la LPD à l'IA, le guide de conformité IA en entreprise de SIDD, ainsi qu'un exemple de contrat de sous‑traitance conforme à la LPD. Pour la rédaction de clauses contractuelles annexes, l'article de Digital Dandy sur les emailings conformes DDA illustre l'articulation entre pratiques contractuelles et exigences sectorielles.

Questions fréquentes

La Suisse dispose-t-elle d'une loi sur la protection des données ?

Oui, la Suisse applique la nLPD (nouvelle loi fédérale sur la protection des données) depuis 2023, qui encadre le traitement des données personnelles, y compris par des systèmes d'intelligence artificielle, comme le détaille ICTjournal.

Le Swiss‑US Data Privacy Framework est‑il toujours valide ?

Oui, ce cadre est entré en application en septembre 2024 et permet les transferts vers des entreprises américaines certifiées sans garanties contractuelles supplémentaires, à condition que la certification soit vérifiée et documentée par le fournisseur.

Quel pays a la législation la plus stricte en matière de protection des données ?

La Suisse et l'Union européenne figurent parmi les cadres les plus exigeants au monde, avec des obligations proches sur les transferts internationaux et les analyses d'impact, même si la nLPD suisse conserve ses propres spécificités et son autorité de contrôle distincte.

Quels sont les principes fondamentaux d'un DPA ?

Un DPA solide repose sur la définition claire des rôles, la limitation des finalités, la sécurité des données, la transparence sur la sous‑traitance, les droits des personnes concernées, la notification des incidents et la suppression des données à l'échéance contractuelle. Une plateforme comme Nectos structure justement son DPA autour de ces sept piliers, avec preuves techniques à l'appui.

Recommandations