Une administration, un service communal ou une entité mandatée par le secteur public peut utiliser l'IA générative, à une condition : savoir précisément où vont les données saisies, qui peut les lire et à quelles fins elles sont réutilisées. En Suisse, la loi sur la protection des données en vigueur depuis le 1er septembre 2023 s'applique directement aux traitements fondés sur l'IA. Il n'existe pas de « zone grise » réglementaire pour les outils d'IA : si une donnée personnelle entre dans le prompt, la nLPD s'applique.
Cet article fait le point sur le cadre juridique, sur les règles que la Confédération s'impose à elle-même, et sur les critères concrets pour choisir une alternative à ChatGPT lorsque les données sont sensibles.
TL;DR
- La Suisse n'a pas de loi générale sur l'IA, mais la nLPD s'applique déjà pleinement à tout traitement de données personnelles par une IA.
- La Confédération interdit de saisir des informations personnelles, internes, confidentielles ou secrètes dans des outils d'IA générative externes.
- Rendre un prompt « anonyme » ne suffit pas toujours : un risque de réidentification subsiste dès que des éléments de contexte restent.
- Le critère décisif est l'hébergement et le droit applicable, puis la traçabilité : journaux d'audit, rôles, export des logs.
- Nectos est un espace IA souverain, hébergé en Suisse, pensé comme alternative à ChatGPT pour les professionnels et les organisations soumis au secret.
Table des matières
- Où en est le cadre juridique suisse en 2026
- Ce que la Confédération s'impose à elle-même
- Les pièges les plus fréquents
- Réunions hybrides : le cas oublié
- Cinq critères pour choisir une IA compatible avec le droit suisse
- Déployer sans improviser : le volet organisationnel
- Notre point de vue chez Nectos
- Une alternative à ChatGPT pensée pour le contexte suisse
- FAQ
- Sources
Où en est le cadre juridique suisse en 2026
La Suisse ne dispose pas encore d'une législation générale spécifique à l'IA. Le Conseil fédéral a discuté le 12 février 2025 d'un état des lieux sur les approches possibles pour réglementer l'IA, avec une logique qui privilégie des adaptations sectorielles et des mesures non contraignantes. Un projet destiné à mettre en œuvre la Convention du Conseil de l'Europe sur l'IA est en cours d'élaboration, avec des propositions attendues d'ici la fin de 2026 sur la transparence, la protection des données, la non-discrimination et la surveillance.
Attendre cette loi pour agir serait pourtant une erreur. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) rappelle que la nLPD est neutre sur le plan technologique. Concrètement, tout ce que vous savez déjà de la protection des données reste valable : licéité, bonne foi, proportionnalité, finalité, sécurité, information des personnes concernées.
Le PFPDT précise aussi une limite utile : tant qu'un système d'IA traite uniquement des données matérielles ou des informations sans référence à des personnes, il n'est en principe pas concerné par la législation sur la protection des données. Dès qu'il traite des données se rapportant à des personnes, la loi s'applique. Dans une administration, une fiduciaire ou un cabinet, c'est presque toujours le cas : courriers, dossiers, procès-verbaux, décisions.
Ce que la nLPD change pour un outil d'IA
Trois points reviennent dans la pratique :
- La transparence. Le PFPDT indique que les personnes qui interagissent avec un agent conversationnel ont le droit de savoir qu'elles parlent à une machine, et de savoir si leurs données servent à entraîner le système ou à d'autres finalités.
- La finalité. Des données collectées pour une tâche précise ne peuvent pas être détournées pour entraîner ou améliorer un modèle sans base légale ou consentement. C'est le principal obstacle des outils grand public hébergés à l'étranger, dont les conditions d'utilisation prévoient souvent la réutilisation des contenus.
- Les transferts transfrontaliers. Dès que les données quittent la Suisse, il faut s'assurer que le pays de destination offre une protection adéquate, ou prévoir des garanties contractuelles. Pour l'UE, la Commission européenne a confirmé en janvier 2024 l'adéquation de la Suisse, ce qui facilite les flux dans l'autre sens. Cela ne règle pas la question des fournisseurs situés hors de ces cadres, ni celle de l'accès par des autorités étrangères, comme sous le CLOUD Act.
Ce que la Confédération s'impose à elle-même
La meilleure boussole pour une commune, un canton ou un mandataire du secteur public reste la pratique de l'administration fédérale. La Chancellerie fédérale publie une fiche technique sur l'utilisation d'outils d'IA générative au sein de l'administration fédérale. Son point de départ est sobre : ces outils ne sont pas « intelligents » au sens courant, ils calculent la suite statistiquement la plus probable d'un texte. Ils peuvent donc produire des résultats convaincants et faux.
Deux conséquences en découlent.
Responsabilité humaine
Le principe est celui de l'utilisation responsable des systèmes d'IA, décrit par la Chancellerie dans sa page sur l'IA dans l'administration fédérale. La personne qui utilise l'outil reste responsable du contenu qu'elle reprend. Une note, une décision ou une réponse à un administré rédigée avec l'aide d'une IA doit être relue, vérifiée et assumée.
Discipline de saisie
Les règles de l'administration interdisent de saisir des informations personnelles, internes, confidentielles ou secrètes dans des outils d'IA générative externes. Autrement dit, même au sein de la Confédération, la sécurité ne tient pas seulement au choix du logiciel : elle tient à ce que l'on y met. Et lorsque l'usage touche des données sensibles, la voie praticable est une infrastructure maîtrisée. L'administration fédérale développe ses propres solutions internes, comme l'application de recherche d'images et de vidéos de l'armée, ou travaille dans des environnements où les modèles sont adaptés aux données internes sans échange avec l'extérieur.
Pour une PME, un cabinet ou une petite collectivité, bâtir son propre environnement est rarement réaliste. La question devient : comment obtenir un niveau de maîtrise comparable avec un service du commerce ?
Les pièges les plus fréquents
« J'ai anonymisé, donc c'est bon »
C'est l'erreur la plus répandue. Les directives fédérales mettent en garde : des données dites anonymisées peuvent souvent être réidentifiées lorsqu'on les croise avec d'autres informations, par exemple une date de naissance, un sexe et un lieu de résidence. Si vous ne pouvez pas garantir la suppression complète de tous les éléments de contexte, la seule attitude conforme consiste à traiter la saisie comme une donnée personnelle soumise à la nLPD.
Une anonymisation automatique des prompts réduit le risque, mais elle ne remplace ni l'hébergement maîtrisé ni la discipline de saisie. Elle en est un complément.
Le compte personnel utilisé « juste pour gagner du temps »
Un collaborateur qui colle un extrait de dossier dans son compte privé d'un assistant grand public fait sortir des données de l'organisation, sans contrat, sans journal, sans contrôle. Le risque est d'autant plus élevé que l'usage est discret. La réponse n'est pas l'interdiction sèche, qui pousse l'usage dans l'ombre, mais une solution officielle, simple et conforme, fournie à l'équipe.
Le secret de fonction et le secret professionnel
Pour une administration, le secret de fonction s'ajoute à la nLPD. Pour une fiduciaire, un cabinet d'avocats ou un établissement de santé, c'est le secret professionnel. Un prestataire qui traite ces informations à l'étranger, ou qui peut y être contraint par un droit étranger, complique sérieusement la démonstration de conformité. Si vous exercez dans l'un de ces domaines, posez-vous cette question : pourriez-vous expliquer à votre autorité de surveillance, ou à un administré, où est passé son dossier ?
Réunions hybrides : le cas oublié
Les séances en présentiel et à distance, avec transcription automatique, concentrent plusieurs risques. L'enregistrement capte des propos de personnes qui n'ont pas forcément été informées, les noms et fonctions sont cités, et la transcription est ensuite stockée et résumée. Quelques règles simples :
- Informer les participants, en début de séance, qu'une transcription est produite et à quelle fin.
- Limiter l'usage de la transcription à la finalité annoncée : le procès-verbal, pas l'évaluation des personnes.
- Vérifier l'hébergement du service de transcription : la voix et le texte sont des données personnelles.
- Fixer une durée de conservation et la faire respecter, y compris pour les résumés.
- Relire le résumé avant diffusion : l'IA peut attribuer un propos à la mauvaise personne.
Ces mesures valent pour tout outil, y compris le nôtre. La technique ne dispense jamais de l'information des personnes.
Cinq critères pour choisir une IA compatible avec le droit suisse
| Critère | Question à poser | Pourquoi c'est décisif |
|---|---|---|
| Hébergement | Où sont stockées et traitées les données, y compris par les sous-traitants ? | Détermine le droit applicable et le risque d'accès par une autorité étrangère |
| Entraînement | Les contenus sont-ils utilisés pour améliorer les modèles ? | Principe de finalité de la nLPD |
| Traçabilité | Existe-t-il des journaux d'audit complets, exportables ? | Permet de démontrer la conformité en cas de contrôle |
| Contrôle d'accès | Rôles, droits, administration centralisée ? | Limite l'exposition au strict nécessaire |
| Documentation | Le fournisseur documente-t-il son architecture ? | Base d'une analyse de risques sérieuse |
Un point mérite d'être souligné : le critère de l'hébergement ne se résume pas à « serveurs en Suisse ». Un fournisseur dont le siège ou les sous-traitants se trouvent à l'étranger reste exposé à des demandes d'autorités étrangères. C'est pourquoi nous défendons une souveraineté juridique, pas seulement géographique, ce que nous détaillons dans notre page sur la souveraineté suisse comme garantie légale.
Déployer sans improviser : le volet organisationnel
Aucun outil, même souverain, ne remplace un cadre interne. Avant de généraliser un assistant IA, une organisation gagne à :
- définir quelles catégories de données sont autorisées, et lesquelles restent exclues ;
- désigner un responsable et documenter les usages dans le registre des activités de traitement ;
- former les équipes à la vérification des résultats ;
- conduire une analyse d'impact lorsque le traitement présente un risque élevé pour les personnes concernées ;
- prévoir une revue régulière des journaux d'usage.
Sur les mesures techniques et organisationnelles d'un déploiement responsable, notamment l'intégration de l'IA dans les outils métier, ce guide sur l'intégration de l'IA dans un CRM donne une méthode pragmatique pour les PME.
Notre point de vue chez Nectos
Nous voyons le même schéma chez les professionnels suisses : l'IA est déjà dans les équipes, souvent par des comptes personnels, et la direction découvre le sujet après coup. Nous pensons que la bonne réponse n'est ni l'interdiction ni la confiance aveugle, mais un espace de travail que l'organisation maîtrise.
Pour nous, cela suppose quatre engagements que nous tenons comme des conditions d'exploitation, pas comme des arguments commerciaux : les données restent et sont traitées en Suisse, sous droit suisse, sur une infrastructure cloud suisse (Hidora) ; aucune donnée client ne sert à entraîner des modèles ; chaque usage laisse une trace dans des journaux d'audit exportables ; les administrateurs gèrent les accès et les rôles.
Nous ajoutons l'anonymisation automatique des prompts, tout en rappelant ce que les directives fédérales soulignent : elle réduit le risque, elle ne l'abolit pas. C'est pourquoi le contrôle d'accès et la traçabilité comptent autant que le filtre. Notre ambition est simple : qu'un responsable de service puisse répondre précisément à la question « où vont nos données ? » sans demander l'avis d'un juriste étranger.
— Nectos
Une alternative à ChatGPT pensée pour le contexte suisse
Si votre équipe utilise déjà ChatGPT à titre personnel et que vous cherchez une alternative à ChatGPT conforme à la nLPD, Nectos réunit dans un seul espace un chat IA privé, l'analyse de documents, une base de connaissances privée, la transcription et le résumé de réunions, et une recherche web anonymisée. Les abonnements se font par siège et par mois : Starter à 29.90 CHF, Pro à 49.90 CHF, Pro+ à 99.90 CHF, avec un essai disponible. Le détail des offres figure sur la page des tarifs. Pour une comparaison point par point, consultez Nectos vs ChatGPT.
FAQ
Quelle IA respecte la confidentialité ?
Aucune IA n'est confidentielle par nature : tout dépend de l'hébergement, du droit applicable, de l'usage des données pour l'entraînement et de la traçabilité. Pour des données sensibles, privilégiez un service hébergé en Suisse, sous droit suisse, sans entraînement sur vos contenus et avec des journaux d'audit. Et gardez la discipline de saisie : ne fournissez que ce qui est nécessaire.
Est-ce que le RGPD s'applique en Suisse ?
Le RGPD n'est pas la loi suisse, mais il peut s'appliquer à une organisation suisse qui traite des données de personnes situées dans l'UE dans certaines situations. En Suisse, c'est d'abord la nLPD, en vigueur depuis le 1er septembre 2023, qui s'applique. La Commission européenne a reconnu l'adéquation du niveau de protection suisse en janvier 2024. Pour un cas précis, demandez l'avis d'un juriste.
Quelle IA utiliser en Suisse pour des données professionnelles ?
Choisissez un service dont l'hébergement, le traitement et les sous-traitants sont en Suisse, avec contrôle d'accès et journaux exportables. Évitez les comptes personnels pour des contenus professionnels. Si vous traitez des informations couvertes par le secret professionnel, faites valider le choix par votre responsable de la protection des données.
Comment l'IA est-elle utilisée dans l'administration ?
La Confédération encadre l'usage de l'IA générative par des aide-mémoire et une stratégie dédiée, avec la responsabilité humaine pour principe. Les usages courants relèvent de l'aide à la rédaction, de la recherche dans de grands volumes de documents ou de contenus, et de la synthèse. Les informations personnelles, confidentielles ou secrètes ne doivent pas être saisies dans des outils externes.
Sources
- PFPDT : la loi actuelle sur la protection des données est directement applicable à l'IA
- PFPDT : recours à l'intelligence artificielle au quotidien, exemples pratiques
- PFPDT : IA et protection des données
- Chancellerie fédérale : réglementation de l'IA
- Chancellerie fédérale : utilisation de systèmes d'IA dans l'administration fédérale
- Chancellerie fédérale : fiche technique sur l'IA générative
- Département de la défense : recherche intelligente d'images et de vidéos pour l'armée