En bref:
- La conformité à la nLPD impose aux entreprises suisses de respecter des principes stricts pour la protection des données professionnelles traitées par l'IA.
- Une gouvernance rigoureuse, notamment la cartographie des flux et l'évaluation d'impact, est essentielle pour assurer la sécurité et la conformité continues.
La confidentialité des données professionnelles en intelligence artificielle est une obligation légale définie par la nouvelle Loi fédérale sur la protection des données (nLPD), entrée en vigueur en septembre 2023. Cette loi impose à toute organisation suisse traitant des données par IA de respecter les principes de transparence, de minimisation et de sécurité. Les amendes atteignent 250 000 CHF pour les personnes physiques en cas de violation intentionnelle. La responsabilité ne repose pas uniquement sur l'entreprise : chaque collaborateur qui utilise un outil d'IA avec des données sensibles engage sa responsabilité personnelle.
Quelles sont les exigences légales de la nLPD pour la confidentialité données professionnelles IA ?
La nLPD repose sur trois principes fondamentaux : finalité, proportionnalité et transparence. Toute utilisation d'un outil d'IA pour traiter des données professionnelles doit poursuivre un objectif défini à l'avance. Les données collectées ne peuvent pas dépasser ce qui est strictement nécessaire à cet objectif.
L'article 21 de la nLPD impose une obligation d'information et un droit de révision humaine pour toute décision automatisée ayant un effet juridique ou significatif sur une personne. Concrètement, un système d'IA qui évalue des candidatures ou calcule des primes ne peut pas agir seul sans qu'une voie de recours humaine soit prévue. Cette exigence distingue la nLPD d'un simple cadre technique : elle ancre la responsabilité dans la chaîne de décision.
Sur le plan de la sécurité, la nLPD exige des mesures techniques adaptées au risque : chiffrement des données, contrôle d'accès, journalisation des traitements. Ces mesures ne sont pas optionnelles. Elles doivent être documentées et vérifiables.
En cas de fuite de données sensibles, toute organisation utilisant une IA doit notifier le PFPDT dans un délai de 72 heures. Ce délai, fixé par l'article 24 de la nLPD, est identique à celui du RGPD européen. Un dépassement expose l'organisation à des sanctions supplémentaires et à une perte de crédibilité auprès des autorités.
La nLPD se distingue du RGPD sur un point clé : la responsabilité pénale est celle des personnes physiques, non des entités juridiques. Un directeur informatique ou un responsable RH qui autorise un traitement non conforme peut être poursuivi à titre personnel. Cette asymétrie renforce l'urgence d'une gouvernance documentée à chaque niveau de l'organisation.
Les obligations principales à retenir :
- Définir une finalité précise avant tout traitement IA
- Informer les personnes concernées et prévoir une révision humaine (art. 21 nLPD)
- Mettre en place chiffrement, contrôle d'accès et journalisation
- Notifier le PFPDT sous 72 heures en cas d'incident (art. 24 nLPD)
- Documenter chaque traitement dans un registre exploitable
- Engager la responsabilité pénale des personnes physiques (art. 60 nLPD)
Quels risques la confidentialité des données court-elle avec l'IA en entreprise ?
Les outils d'IA générative présentent des risques spécifiques que les politiques de sécurité classiques ne couvrent pas. Le premier risque est la fuite par les prompts : un collaborateur qui soumet un contrat confidentiel, un courriel RH ou une stratégie commerciale à un outil d'IA externe expose ces données à des serveurs hors de Suisse, souvent aux États-Unis.
-
Transferts transfrontaliers non conformes. Héberger des données aux États-Unis expose l'organisation au CLOUD Act américain, qui autorise les autorités fédérales américaines à accéder aux données stockées par des entreprises américaines, même sur des serveurs étrangers. La nLPD interdit ces transferts sans garanties contractuelles équivalentes.
-
Réentraînement des modèles sur vos données. Certains fournisseurs d'IA utilisent les données soumises par les utilisateurs pour améliorer leurs modèles. Un accord de traitement des données (DPA) doit interdire explicitement cette réutilisation. Sans cette clause, vos secrets commerciaux peuvent alimenter un modèle accessible à vos concurrents.
-
Hallucinations et erreurs factuelles. Un outil d'IA peut générer des informations incorrectes sur un employé, un client ou un partenaire. Si ces erreurs sont transmises ou utilisées pour prendre une décision, elles constituent une violation de l'exactitude des données exigée par la nLPD.
-
Sanctions pénales pour les collaborateurs. L'utilisation imprudente d'un outil d'IA peut engager des poursuites pour violation du secret commercial ou manquement au devoir de fidélité prévu par le Code des obligations suisse. Ce risque concerne autant les employés que les dirigeants.
-
Perte de maîtrise sur les données confidentielles. Une fois des données transmises à un service externe, leur suppression effective est rarement garantie. Les politiques de rétention des fournisseurs varient considérablement et restent souvent opaques.
Conseil de pro : Avant d'autoriser un outil d'IA dans votre organisation, vérifiez systématiquement où les données sont hébergées, si un DPA est disponible, et si le fournisseur s'engage contractuellement à ne pas réutiliser vos données pour l'entraînement de ses modèles.
Comment mettre en place une gouvernance pour protéger les données professionnelles avec l'IA ?
Une gouvernance efficace commence par la cartographie des flux de données. Chaque traitement IA doit être identifié : quelles données entrent, où elles sont envoyées, combien de temps elles sont conservées. Cette cartographie alimente le registre des traitements, qui doit être exploitable et non simplement théorique. Un registre non exploité ne garantit pas la conformité devant le PFPDT.
Pour les traitements à risque élevé, notamment ceux impliquant des données RH, médicales ou financières, une Évaluation d'Impact sur la Protection des Données (AIPD) est obligatoire. L'AIPD identifie les risques résiduels et documente les mesures prises pour les réduire. Elle constitue une preuve de diligence en cas de contrôle.
Les mesures de gouvernance à déployer :
- Cartographie des traitements IA : identifier chaque flux de données et son destinataire
- AIPD pour tout traitement à risque élevé (données RH, médicales, financières)
- DPA avec chaque fournisseur d'IA : exiger une clause interdisant le réentraînement sur vos données
- Hébergement en Suisse ou dans l'UE pour éviter les risques liés aux transferts transfrontaliers
- Mise à jour de la politique de confidentialité avec mention explicite des traitements IA
- Formation annuelle des collaborateurs sur les risques liés à l'usage de l'IA
- Audit de conformité annuel avec vérification des accès et des journaux de traitement
- Procédures de suppression des données définies contractuellement avec les fournisseurs
| Mesure | Priorité | Référence légale |
|---|---|---|
| Registre des traitements IA | Immédiate | nLPD art. 12 |
| AIPD pour traitements à risque | Avant déploiement | nLPD art. 22 |
| DPA avec fournisseurs | Avant tout usage | nLPD art. 9 |
| Notification PFPDT en cas d'incident | Sous 72 heures | nLPD art. 24 |
| Formation des collaborateurs | Annuelle | Bonne pratique |
Le rôle du DPO est central dans cette gouvernance. Le délégué à la protection des données combine compétences juridiques et techniques pour assurer la conformité continue des projets IA. Il agit comme point de contact avec le PFPDT et coordonne les réponses aux incidents.
Conseil de pro : Pour les documents confidentiels traités par IA, privilégiez des solutions hébergées en Suisse avec chiffrement de bout en bout. L'hébergement local élimine le risque de transfert transfrontalier sans nécessiter de contrats-types supplémentaires.
Comment gérer les droits des personnes concernées dans le contexte de l'IA ?
Toute personne dont les données sont traitées par un système d'IA dispose d'un droit d'accès à ces données. Ce droit s'applique aux résultats générés par l'IA, aux données d'entrée utilisées, et aux décisions automatisées prises sur cette base. La réponse à une demande d'accès doit être fournie dans un délai raisonnable et de manière compréhensible.
Lorsqu'une organisation reçoit une demande d'accès portant sur des traitements IA, elle doit exclure les prompts et consignes qui contiennent des secrets commerciaux ou des informations confidentielles sur d'autres personnes. Cette exclusion doit être documentée et justifiée. La transparence ne signifie pas la divulgation intégrale : elle signifie informer la personne de ce qui la concerne directement.
Les bonnes pratiques pour gérer ces demandes :
- Tenir un journal des traitements IA permettant de retrouver les données utilisées pour chaque décision
- Prévoir une procédure de révision humaine pour toute décision automatisée contestée
- Vérifier que les résultats transmis ne contiennent pas d'hallucinations ou d'erreurs factuelles
- Documenter chaque demande d'accès et la réponse apportée
- Informer proactivement les personnes concernées des traitements IA qui les affectent
La distinction entre données conservées et hallucinations est particulièrement critique lors des réponses aux demandes d'accès. Transmettre une information erronée générée par l'IA comme si elle était factuelle constitue une violation supplémentaire de la nLPD. Chaque réponse doit être vérifiée par un humain avant transmission.
Points clés
La protection des données professionnelles dans les projets d'IA repose sur trois piliers indissociables : conformité légale à la nLPD, gouvernance documentée, et choix d'infrastructures hébergées en Suisse ou dans l'UE.
| Point | Détails |
|---|---|
| Responsabilité pénale individuelle | Les personnes physiques risquent jusqu'à 250 000 CHF d'amende en cas de violation intentionnelle de la nLPD. |
| Notification obligatoire sous 72 heures | Toute fuite de données sensibles doit être signalée au PFPDT dans ce délai strict. |
| DPA avec clause de non-réentraînement | Chaque fournisseur d'IA doit s'engager contractuellement à ne pas utiliser vos données pour ses modèles. |
| Hébergement suisse ou européen | Éviter les transferts vers les États-Unis protège contre le CLOUD Act et les sanctions nLPD. |
| Révision humaine des décisions automatisées | L'article 21 de la nLPD impose une voie de recours humaine pour toute décision IA à effet significatif. |
Ce que l'expérience terrain révèle sur la gouvernance IA en Suisse
La plupart des organisations suisses qui adoptent l'IA commettent la même erreur : elles traitent la conformité comme un projet ponctuel plutôt que comme un processus continu. Un registre des traitements rédigé une fois et jamais mis à jour ne protège personne. Le PFPDT évalue la conformité effective, pas la conformité théorique. Ses enquêtes et recommandations ont un poids réel sur la réputation et les opérations des organisations contrôlées.
L'autre erreur fréquente concerne les contrats avec les fournisseurs d'IA. Beaucoup d'organisations signent des conditions générales sans lire les clauses de traitement des données. Or, signer un DPA avec des clauses claires sur la non-réutilisation des données est la mesure la plus efficace pour maîtriser le risque réel. Sans cette clause, vous cédez potentiellement vos données à un tiers sans contrepartie.
La souveraineté suisse n'est pas un argument marketing. C'est une garantie juridique concrète : des données hébergées en Suisse ne sont pas soumises au CLOUD Act américain, et leur traitement reste sous juridiction suisse. Pour les cabinets juridiques, les fiduciaires, les RH et les prestataires de santé, ce point n'est pas négociable. Choisir une infrastructure suisse simplifie la conformité et réduit le nombre de contrats-types nécessaires.
— Nectos
Nectos : l'espace IA souverain pour vos données professionnelles
Les professionnels suisses qui traitent des données sensibles avec l'IA ont besoin d'une garantie que leurs données ne quittent jamais la Suisse. Nectos est un espace de travail IA souverain, hébergé exclusivement sur des serveurs suisses, conforme à la nLPD et conçu pour les contextes professionnels suisses.
Nectos propose l'analyse de documents confidentiels, des bases de connaissances privées, la transcription de réunions et des assistants IA adaptés aux besoins des entreprises suisses, sans aucun partage de données avec des tiers étrangers. Chaque traitement reste sous juridiction suisse. Pour les organisations qui veulent allier productivité et conformité, la solution souveraine Nectos offre une réponse directe aux exigences de la nLPD. Consultez également le Pack Sécurité & Conformité pour une mise en conformité structurée et documentée.
Questions fréquentes
Qu'est-ce que la nLPD impose pour les traitements IA en Suisse ?
La nLPD exige finalité définie, proportionnalité, transparence, sécurité technique et notification au PFPDT sous 72 heures en cas de fuite. Les personnes physiques responsables de violations intentionnelles risquent des amendes jusqu'à 250 000 CHF.
Comment protéger les données RH traitées par une IA ?
Les données RH sont des données sensibles au sens de la nLPD. Leur traitement par IA nécessite une AIPD, un DPA avec le fournisseur interdisant le réentraînement, et une révision humaine pour toute décision automatisée affectant un employé.
Peut-on utiliser un outil d'IA étranger pour traiter des données professionnelles suisses ?
Un outil étranger peut être utilisé si un DPA conforme est signé et si des garanties équivalentes à la nLPD sont en place. Les transferts vers les États-Unis exposent au CLOUD Act et restent la problématique la plus critique pour la conformité en 2026.
Que doit contenir un DPA avec un fournisseur d'IA ?
Un DPA doit interdire explicitement l'utilisation des données du client pour entraîner les modèles IA, définir les mesures de sécurité appliquées, préciser les délais de suppression des données, et identifier les sous-traitants éventuels.
Comment répondre à une demande d'accès portant sur des traitements IA ?
La réponse doit inclure les données personnelles traitées et les décisions prises, mais exclure les prompts contenant des secrets commerciaux. Chaque réponse doit être vérifiée par un humain pour éviter la transmission d'erreurs ou d'hallucinations générées par l'IA.