Pour sécuriser vos contrats fournisseurs IA en Suisse, imposez immédiatement un accord de traitement des données (DPA) conforme à la nLPD, un droit d'audit explicite et une interdiction contractuelle d'utiliser vos données pour entraîner les modèles du fournisseur. Ces trois clauses constituent le socle non négociable de toute relation avec un prestataire d'intelligence artificielle, quelle que soit la taille du contrat.
Actions à mener cette semaine :
- Inventoriez vos contrats IA actifs : identifiez ceux qui ne comportent pas de DPA signé ou qui s'appuient uniquement sur des conditions générales (AGB/CGV) non négociées.
- Classez vos fournisseurs par criticité : données de santé, données financières ou données RH en tête de liste, car la nLPD impose des exigences renforcées pour les données sensibles.
- Exigez sous 48 heures un résumé documenté des mesures techniques et organisationnelles (MTOM) de chaque fournisseur prioritaire — c'est un filtre opérationnel efficace pour distinguer les prestataires sérieux des autres.
- Vérifiez la localisation des serveurs : tout transfert hors de Suisse ou hors de l'EEE doit être couvert par des garanties contractuelles approuvées (clauses-types ou mécanismes équivalents).
- Consultez un avocat spécialisé en droit IT suisse avant de signer ou de renouveler tout contrat impliquant des données personnelles traitées par IA.
Points clés
Sécuriser vos contrats fournisseurs IA en Suisse repose sur trois piliers non négociables : un DPA conforme à la nLPD, un droit d'audit exercé annuellement et une interdiction contractuelle d'entraînement des modèles sur vos données.
| Point | Détails |
|---|---|
| DPA conforme à la nLPD | Exigez un accord de traitement signé couvrant finalité, MTOM, localisation et durée avant toute mise en production. |
| Interdiction d'entraînement | Inscrivez dans le corps du contrat l'interdiction d'utiliser vos données pour affiner les modèles du fournisseur. |
| Droit d'audit annuel | Prévoyez un audit sur pièces ou sur site avec préavis de 15 jours et processus de remédiation sous 30 jours. |
| Clause d'exit et portabilité | Garantissez la restitution des données en format exportable sous 30 jours à la fin du contrat, sans frais. |
| Gouvernance interne | Intégrez une revue annuelle des fournisseurs IA dans votre calendrier de gouvernance, avant les renouvellements. |
| Nectos comme référence | Nectos héberge vos données exclusivement en Suisse avec logs exportables et anonymisation, simplifiant les audits nLPD. |
Table des matières
- Ce que la nLPD impose dans vos contrats IA avec les fournisseurs
- Propriété intellectuelle : à qui appartiennent les outputs générés par IA ?
- Comment intégrer la conformité réglementaire dans la gouvernance de vos contrats IA
- Quelles clauses inclure dans tout contrat IA avec un fournisseur en Suisse ?
- Comment organiser la surveillance opérationnelle et les audits de vos fournisseurs IA
- Stratégie de négociation : ce que vous ne pouvez pas accepter
- Checklist et mini-template prêts à remettre à votre fournisseur
- Ce qu'un espace IA souverain change concrètement pour vos contrats en Suisse
- Ce que l'expérience pratique enseigne sur la gestion des contrats IA en Suisse
- Nectos : un workspace IA souverain pour simplifier votre conformité nLPD
- Sources
- Questions fréquentes
Ce que la nLPD impose dans vos contrats IA avec les fournisseurs
Depuis l'entrée en vigueur de la nLPD révisée, la responsabilité finale du traitement des données reste celle de votre entreprise, et non celle de votre prestataire. Si un fournisseur IA ne respecte pas la loi, c'est vous qui portez le risque juridique et réputationnel. L'EDÖB le précise sans ambiguïté : le responsable du traitement doit prévoir des droits d'audit, des obligations de confidentialité et des mécanismes de suppression et de rectification dans tout contrat d'externalisation.
Un DPA (accord de traitement des données) conforme à la nLPD doit couvrir au minimum :
- La finalité du traitement : décrire précisément pour quelles tâches le fournisseur est autorisé à traiter vos données, sans formulations vagues telles que « amélioration du service ».
- Les catégories de données : lister explicitement les types de données transmises (données personnelles ordinaires, données sensibles au sens de l'art. 5 nLPD, données de collaborateurs).
- La durée et les conditions de suppression : prévoir une date de fin de traitement et un délai de suppression certifiée après résiliation.
- Les mesures techniques et organisationnelles (MTOM) : exiger une annexe détaillant chiffrement, contrôle d'accès, journaux d'audit et procédures de sauvegarde.
- La localisation des données : indiquer nommément les pays et centres de données où les données seront hébergées et traitées.
Pour les transferts transfrontaliers, la nLPD exige des garanties contractuelles approuvées lorsque les données quittent la Suisse vers un pays sans niveau de protection adéquat reconnu. Les clauses-types de l'UE (SCCs) peuvent être adaptées, mais leur applicabilité au contexte suisse doit être vérifiée avec un juriste, notamment en raison du CLOUD Act américain qui expose les données hébergées chez des prestataires soumis au droit américain.
Les droits des personnes (accès, rectification, suppression, portabilité) doivent être répercutés contractuellement sur le fournisseur : celui-ci doit s'engager à répondre à vos demandes dans des délais compatibles avec les délais légaux imposés par la nLPD (30 jours en règle générale).
Enfin, inscrivez une clause d'interdiction d'entraînement dans le DPA lui-même : « Le fournisseur s'interdit d'utiliser les données, prompts ou outputs du client pour entraîner, affiner ou améliorer ses modèles, sauf accord écrit préalable et explicite du client. » ICTjournal recommande d'anticiper également des annexes IA spécifiques pour répondre aux futures exigences réglementaires, notamment celles qui découleront de l'AI Act européen.
Propriété intellectuelle : à qui appartiennent les outputs générés par IA ?
La question de la titularité des droits sur les résultats produits par un système IA reste juridiquement ouverte dans la plupart des juridictions, y compris en Suisse. Une analyse publiée par le Stanford CodeX Center souligne que l'incertitude sur la protection des outputs générés par IA justifie d'obtenir contractuellement un droit d'utilisation illimité ou une cession explicite des droits, plutôt que de s'en remettre aux dispositions légales par défaut.
Trois éléments distincts méritent un traitement contractuel séparé :
-
Les inputs (données, prompts, documents fournis au système) : ils restent votre propriété. Le contrat doit l'affirmer explicitement et interdire toute réutilisation par le fournisseur.
-
Le modèle affiné (« fine-tuned ») : si vous financez l'ajustement d'un modèle sur vos données, négociez la propriété ou une licence exclusive sur cette version ajustée, distincte du modèle de base.
-
Les outputs (textes, analyses, recommandations générés) : exigez soit une cession complète des droits, soit une licence perpétuelle, mondiale et libre de redevances pour votre usage.
-
Usage interne uniquement : une licence non exclusive, perpétuelle et libre de redevances suffit généralement. Formulez-la ainsi : « Le fournisseur accorde au client une licence non exclusive, perpétuelle et libre de redevances pour utiliser, reproduire et modifier les outputs à des fins internes. »
-
Commercialisation des outputs : exigez une cession complète des droits patrimoniaux ou une garantie d'indemnisation si un tiers revendique des droits sur les outputs générés.
Prévoyez également une clause de garantie IP : le fournisseur garantit que les outputs ne violent pas les droits de tiers et s'engage à indemniser le client en cas de réclamation. Sans cette clause, vous assumez seul le risque de contrefaçon involontaire.
Comment intégrer la conformité réglementaire dans la gouvernance de vos contrats IA
La nLPD n'est pas la seule contrainte à anticiper. L'AI Act européen, bien que d'application directe limitée en Suisse, influence déjà les pratiques des fournisseurs opérant sur le marché européen. Ses exigences de transparence et de traçabilité constituent une référence utile pour structurer vos obligations contractuelles. Les lignes directrices de la Commission européenne sur l'éthique et la transparence de l'IA fournissent un cadre complémentaire pour anticiper ces évolutions.
- Registre des traitements : tenez à jour un registre interne listant chaque fournisseur IA, les données traitées, la base légale et les garanties contractuelles en place. C'est une obligation formelle sous la nLPD pour les entreprises traitant des données à grande échelle.
- Analyse d'impact (AIPD/PIA) : pour tout traitement présentant un risque élevé (profilage, décisions automatisées affectant des personnes), réalisez une analyse d'impact avant déploiement et inscrivez l'obligation de coopération du fournisseur dans le contrat.
- Clause de mise à jour réglementaire : prévoyez que le fournisseur s'engage à adapter ses pratiques et sa documentation dans un délai défini (par exemple 60 jours) si une nouvelle exigence légale ou réglementaire entre en vigueur.
- Dispositions sectorielles : en finance (FINMA) et en santé (LaMal, secret médical), des exigences supplémentaires s'appliquent. Intégrez des clauses spécifiques sur la confidentialité professionnelle et la localisation des données dans ces secteurs.
- Comité ou revue IA annuelle : inscrivez dans le contrat une revue annuelle conjointe de conformité, avec production d'un rapport par le fournisseur sur les incidents, les évolutions du modèle et les mesures correctives prises.
- Traçabilité comme preuve de conformité : les journaux d'audit (logs d'accès, logs de traitement, historique des modifications du modèle) constituent votre principale preuve en cas de contrôle de l'EDÖB ou de litige. Leur conservation et leur exportabilité doivent être garanties contractuellement.
Quelles clauses inclure dans tout contrat IA avec un fournisseur en Suisse ?
Le tableau ci-dessous classe les clauses essentielles par priorité de négociation. Chaque clause est accompagnée de son objectif juridique et d'un extrait de formulation prêt à proposer.
| Clause | Priorité | Objectif | Extrait de formulation |
|---|---|---|---|
| DPA (accord de traitement) | Must-have | Formaliser les obligations nLPD du fournisseur | « Le fournisseur traite les données uniquement selon les instructions documentées du client et aux fins décrites à l'annexe A. » |
| Interdiction d'entraînement | Must-have | Protéger la souveraineté des données | « Le fournisseur s'interdit d'utiliser les inputs, prompts ou outputs pour entraîner ou affiner ses modèles sans accord écrit préalable. » |
| Droit d'audit | Must-have | Vérifier la conformité réelle | « Le client dispose du droit de mandater un auditeur tiers, avec préavis de 15 jours ouvrables, pour vérifier le respect des obligations contractuelles. » |
| SLA sécurité | Must-have | Garantir un niveau de protection minimal | « Le fournisseur maintient une disponibilité élevée et notifie tout incident de sécurité dans les 24 heures suivant sa détection. » |
| Notification d'incidents | Must-have | Respecter les délais nLPD (72 h vers l'EDÖB) | « Tout incident affectant des données personnelles est notifié au client dans les 24 heures, avec rapport complet sous 72 heures. » |
| Clause d'exit et portabilité | Should-have | Garantir la continuité en cas de résiliation | « À la fin du contrat, le fournisseur remet au client l'ensemble des données dans un format standard exportable sous 30 jours. » |
| Transfert de logs | Should-have | Assurer la traçabilité post-contrat | « Les journaux d'audit sont exportables à tout moment et remis au client dans les 5 jours ouvrables sur demande. » |
| Garanties IP | Should-have | Éviter les litiges sur les outputs | « Le fournisseur garantit que les outputs ne violent pas les droits de tiers et indemnise le client en cas de réclamation fondée. » |
| Limitation de responsabilité | Should-have | Équilibrer les risques financiers | « La responsabilité du fournisseur est limitée au montant des honoraires versés sur les 12 derniers mois, sauf faute grave ou dol. » |
| Sous-traitants et flow-down | Should-have | Contrôler la chaîne de traitement | « Le fournisseur communique la liste complète de ses sous-traitants et s'engage à leur imposer des obligations équivalentes. » |
| Validation humaine obligatoire | Nice-to-have | Réduire le risque d'hallucinations IA | « Toute décision à impact significatif basée sur un output IA fait l'objet d'une validation par un responsable humain désigné. » |
Conseil de pro : Exigez que l'interdiction d'entraînement et le droit d'audit figurent dans le corps du contrat principal, pas seulement en annexe. Les annexes sont plus facilement modifiées unilatéralement par le fournisseur lors des renouvellements.
Comment organiser la surveillance opérationnelle et les audits de vos fournisseurs IA
Un contrat bien rédigé ne suffit pas si aucun mécanisme de contrôle ne l'accompagne. La surveillance opérationnelle doit être planifiée dès la négociation, avec des jalons concrets inscrits dans le contrat.
Workflow d'acceptance avant mise en production :
- Définissez des critères d'acceptation mesurables (taux d'erreur maximal, délai de réponse, précision sur un jeu de données de test représentatif).
- Prévoyez une période de tests contradictoires de 10 à 20 jours ouvrables avant tout déploiement en production.
- Inscrivez un plan de rollback : si les critères ne sont pas atteints, le fournisseur doit rétablir l'état précédent sans frais supplémentaires.
Accès aux journaux et preuves techniques :
- Demandez les logs d'accès (qui a accédé à quoi et quand), les logs de traitement (quelles données ont été traitées par le modèle) et, si applicable, un snapshot horodaté de la version du modèle utilisée.
- Précisez la périodicité de transmission (mensuelle par défaut, immédiate en cas d'incident) et le format (JSON ou CSV exportable).
- Vérifiez que les logs couvrent une période minimale de 12 mois, conformément aux pratiques recommandées pour les audits nLPD.
Modalités pratiques du droit d'audit :
- Prévoyez deux types d'audit : un audit sur pièces (documentation, certifications ISO 27001, rapports de tests de pénétration) et un audit sur site ou via un tiers mandaté.
- Fixez la fréquence à une fois par an minimum, avec possibilité d'audit exceptionnel en cas d'incident.
- Inscrivez un processus de remédiation : délai de correction des écarts constatés (30 jours pour les points critiques), rapport de suivi et droit de résiliation si les écarts persistent.
Conseil de pro : Pour préserver la confidentialité de votre propriété intellectuelle lors d'un audit, demandez des résumés métiers des MTOM plutôt que l'accès direct aux systèmes. Un fournisseur sérieux produit ce résumé en 48 heures ; un refus ou un délai excessif est lui-même un signal d'alerte.
Stratégie de négociation : ce que vous ne pouvez pas accepter
Certaines clauses sont non négociables. D'autres peuvent faire l'objet de concessions mesurées, à condition de les encadrer strictement. Weka le souligne : les fournisseurs résistent souvent aux interdictions d'entraînement, mais la pratique recommandée est d'inscrire ces restrictions dans le contrat, quitte à préparer des concessions mesurées sur d'autres points.
Non-négociables absolus :
- Utilisation des inputs ou prompts pour entraîner les modèles sans accord écrit explicite.
- Absence totale de droit d'audit ou refus de toute vérification par tiers.
- Transferts de données vers des pays tiers sans garanties contractuelles documentées.
- Absence de clause de notification d'incident dans un délai défini.
- Limitation de responsabilité à zéro ou à un montant symbolique en cas de violation de données.
Concessions acceptables à court terme :
- Accepter un audit sur pièces plutôt qu'un audit sur site la première année, à condition qu'un audit sur site soit prévu à partir de la deuxième année.
- Tolérer une période de transition de 90 jours pour la mise en conformité des sous-traitants existants, avec liste fournie dès la signature.
- Accepter une limitation de responsabilité financière, à condition qu'elle exclue explicitement les violations de données personnelles et les fautes graves.
Signaux d'alerte à traiter comme des refus :
- SLA de sécurité formulés en termes vagues (« meilleurs efforts », « délais raisonnables ») sans chiffres ni pénalités contractuelles.
- Absence de plan de notification d'incident avec délais précis.
- Refus de communiquer la liste des sous-traitants ou de l'actualiser en cours de contrat.
- Clauses de modification unilatérale des CGV avec préavis inférieur à 30 jours.
- Juridiction contractuelle exclusive dans un pays soumis au CLOUD Act, sans mécanisme de protection des données suisses.
Tactiques pratiques :
- Commencez par les fournisseurs qui traitent vos données les plus sensibles : c'est là que le risque est le plus élevé et que la négociation est la plus justifiée.
- Exigez les preuves de conformité (certifications, rapports d'audit récents) avant la signature, pas après.
- Traduisez systématiquement les AGB en annexes contractuelles négociées : une condition générale acceptée sans discussion devient une clause contractuelle opposable.
Checklist et mini-template prêts à remettre à votre fournisseur
Utilisez cette checklist pour structurer vos échanges précontractuels et contractuels. Les priorités sont classées par urgence.
Urgent (avant toute signature) :
- DPA signé, couvrant finalité, catégories de données, durée, MTOM et localisation.
- Clause d'interdiction d'entraînement inscrite dans le corps du contrat.
- Liste des sous-traitants et pays de traitement communiquée par écrit.
- Garanties contractuelles pour tout transfert hors Suisse/EEE.
- Droit d'audit explicite avec modalités (préavis, fréquence, tiers possible).
Haut (dans les 30 jours suivant la signature) :
- SLA de sécurité avec délais chiffrés (notification d'incident sous 24 heures, rapport complet sous 72 heures).
- Clause d'exit et portabilité des données (format, délai de 30 jours, coût nul).
- Garanties IP sur les outputs (cession ou licence perpétuelle libre de redevances).
- Procédure de validation humaine pour les décisions à impact significatif.
- Registre interne mis à jour avec les informations du fournisseur.
Moyen (à intégrer au renouvellement ou à la prochaine révision) :
- Revue annuelle de conformité inscrite au calendrier contractuel.
- Clause de mise à jour réglementaire (délai de 60 jours pour adaptation).
- Rapport annuel du fournisseur sur incidents, évolutions du modèle et mesures correctives.
Mini-template de clauses (copier/coller) :
Toute utilisation à d'autres fins est interdite sans accord écrit préalable. »
Clause interdiction d'entraînement : « Le fournisseur s'interdit formellement d'utiliser les données, prompts, inputs ou outputs du client pour entraîner, affiner, améliorer ou évaluer ses modèles d'intelligence artificielle, sauf consentement écrit et explicite du client. »
Clause droit d'audit : « Le client dispose du droit de mandater un auditeur indépendant, avec préavis de 15 jours ouvrables, pour vérifier le respect des obligations contractuelles et légales du fournisseur. Les coûts de l'audit sont à la charge du client, sauf si des manquements significatifs sont constatés. »
Clause export des données et exit : « Dans les 30 jours suivant la fin du contrat, le fournisseur remet au client l'intégralité de ses données dans un format standard exportable (CSV, JSON ou équivalent), sans frais supplémentaires, puis procède à leur suppression certifiée. »
Ce qu'un espace IA souverain change concrètement pour vos contrats en Suisse
Voici comment une PME suisse du secteur du conseil a simplifié sa négociation contractuelle en optant pour une plateforme IA hébergée exclusivement en Suisse.
Contexte : la société traitait des documents confidentiels de clients via un outil IA dont les serveurs étaient localisés aux États-Unis. Le DPO a identifié un risque de transfert transfrontalier non couvert et une impossibilité pratique d'exercer le droit d'audit.
Problème juridique : absence de garanties contractuelles pour les transferts hors EEE, logs non exportables, et clause de modification unilatérale des CGV avec préavis de 15 jours seulement.
Solution contractuelle : migration vers un espace IA dont les données ne quittent pas la Suisse, avec DPA intégré, logs exportables à la demande et contrôle d'accès par rôle documenté.
Bénéfices opérationnels :
- Suppression du risque de transfert transfrontalier : les clauses-types et garanties associées ne sont plus nécessaires.
- Logs d'audit disponibles en temps réel, exportables en CSV, directement utilisables pour les contrôles EDÖB.
- Anonymisation automatique des prompts avant traitement, réduisant l'exposition des données personnelles.
- Gestion des droits d'accès par administrateur, avec journaux d'attribution et de révocation des droits.
Les capacités techniques à exiger d'un fournisseur souverain incluent : hébergement exclusif sur des serveurs suisses certifiés, export des logs à la demande, anonymisation des données avant traitement, contrôle d'accès administrateur avec gestion des rôles, et SLA de sécurité chiffrés avec pénalités contractuelles. La souveraineté suisse n'est pas un argument marketing : c'est une garantie légale qui simplifie directement la rédaction et la négociation des clauses de localisation et d'audit. Pour aller plus loin sur les erreurs à éviter avec les données clients, un guide pratique détaille les cas les plus fréquents observés en entreprise suisse.
Ce que l'expérience pratique enseigne sur la gestion des contrats IA en Suisse
L'erreur la plus fréquente observée dans les entreprises suisses n'est pas de signer un mauvais contrat : c'est de ne pas lire les CGV du fournisseur avant de déployer l'outil. Des équipes entières utilisent des systèmes IA pendant des mois avant que le service juridique découvre que les conditions générales autorisent l'utilisation des données pour l'entraînement des modèles, ou que les serveurs sont localisés hors de Suisse sans garantie contractuelle.
La deuxième erreur récurrente est de traiter tous les fournisseurs IA de la même façon. Un outil de génération de textes marketing présente un profil de risque radicalement différent d'un système qui analyse des contrats clients, des données RH ou des dossiers médicaux. Commencer par les fournisseurs qui accèdent aux données les plus sensibles, c'est concentrer l'effort juridique là où le risque est réel.
Une gouvernance simple, fondée sur la traçabilité et la validation humaine des décisions à impact, réduit plus efficacement les risques juridiques que des formulations contractuelles complexes et vagues. Un contrat de 40 pages sans mécanisme de contrôle opérationnel ne protège personne. Un contrat de 8 pages avec un droit d'audit exercé annuellement et des logs exportables protège réellement l'entreprise.
Conseil de pro : Inscrivez une revue annuelle des fournisseurs IA dans votre calendrier de gouvernance, au même titre que l'audit financier. Prévoyez-la en début d'année, avant les renouvellements contractuels, pour disposer du temps nécessaire à la renégociation des clauses insuffisantes.
Nectos : un workspace IA souverain pour simplifier votre conformité nLPD
Gérer des contrats fournisseurs IA conformes à la nLPD est plus simple quand votre propre outil IA ne crée pas lui-même un risque contractuel supplémentaire. Nectos est un espace de travail IA dont les données ne quittent jamais la Suisse : hébergement exclusif sur des serveurs suisses, journaux d'audit exportables, anonymisation automatique des prompts, gestion des rôles et contrôle d'accès administrateur.
Concrètement, Nectos vous permet d'analyser vos contrats fournisseurs existants, de détecter les clauses manquantes et de préparer vos négociations, sans que vos documents confidentiels transitent par des serveurs étrangers soumis au CLOUD Act. Les logs sont disponibles à tout moment pour vos audits internes ou les contrôles de l'EDÖB. La page produit Nectos détaille l'ensemble des fonctionnalités techniques, et la page sécurité présente les garanties techniques et les certifications applicables. Pour démarrer, contactez Nectos pour une démonstration ou un audit rapide de vos contrats IA actuels sur Nectos.
Sources
Pour approfondir les points abordés dans cet article, les ressources suivantes constituent les références de base pour toute entreprise suisse engagée dans la gestion des contrats fournisseurs IA :
- Externalisation et sous-traitance (EDÖB)
- Une checklist pour les contrats IA en Suisse | ICTjournal
- Auditer conformité IA prestataires LPD | TimeKraft
Cet article fournit des informations générales à titre indicatif et ne remplace pas un avis juridique personnalisé. Pour toute clause sensible ou situation spécifique, consultez un avocat spécialisé en droit IT ou en protection des données suisse.
Questions fréquentes
Qu'est-ce qu'un DPA et est-il obligatoire en Suisse ?
Un DPA (accord de traitement des données) est le contrat qui formalise les obligations d'un fournisseur traitant des données personnelles pour votre compte. Il est obligatoire sous la nLPD dès que vous externalisez un traitement de données personnelles à un prestataire tiers.
Puis-je interdire à mon fournisseur IA d'utiliser mes données pour entraîner ses modèles ?
Oui, et cette interdiction doit figurer explicitement dans le contrat. En pratique, certains fournisseurs résistent à cette clause ; si elle est refusée, c'est un signal d'alerte qui justifie de reconsidérer le choix du prestataire.
Quelles garanties exiger si mon fournisseur IA héberge des données hors de Suisse ?
Exigez des garanties contractuelles approuvées (clauses-types adaptées au contexte suisse ou mécanismes équivalents reconnus par l'EDÖB), la liste des pays de traitement et le droit de résiliation si la localisation change sans accord préalable.
Comment gérer un litige avec un fournisseur IA sur un incident de données ?
Vérifiez d'abord que le contrat prévoit une procédure de notification et un délai de remédiation.
Nectos simplifie-t-il la conformité nLPD pour les contrats fournisseurs IA ?
Nectos héberge l'ensemble des données exclusivement sur des serveurs suisses, avec des journaux d'audit exportables et une anonymisation automatique des prompts, ce qui supprime le risque de transfert transfrontalier et facilite directement les audits requis par la nLPD.