Visiter le site →
← Retour au blog

Preuve de conformité IA : ce qu'il faut réunir en Suisse

5 novembre 2026
Preuve de conformité IA : ce qu'il faut réunir en Suisse

En Suisse, il n'existe pas de « label IA » unique qui prouverait à lui seul qu'un assistant est conforme. La preuve est un dossier : des documents, des journaux et des contrats qui démontrent, à la demande d'un client, d'un auditeur ou du PFPDT, comment les données personnelles sont traitées. Cet article détaille ce dossier, pièce par pièce, pour les fiduciaires, cabinets juridiques, établissements de santé, services RH et PME qui cherchent une alternative à ChatGPT compatible avec la nLPD.

Nectos
Gardez vos données IA en Suisse
Nectos propose un espace IA souverain suisse, avec des modèles hébergés localement et des données qui restent sur des serveurs suisses.
Découvrir Nectos

En bref

  • La LPD, en vigueur depuis le 1er septembre 2023, s'applique directement aux traitements basés sur l'IA, sans attendre une loi spécifique.
  • Le dossier de preuve repose sur cinq pièces : registre des traitements, analyse d'impact (AIPD) si le risque est élevé, contrats de sous-traitance, journaux d'accès et preuves de sécurité (ISO 27001, ISO 42001).
  • La charge de la preuve incombe au responsable du traitement, pas au fournisseur : choisir un assistant hébergé en Suisse réduit les transferts à documenter.
  • Le règlement européen sur l'IA (AI Act) n'est pas le cadre de base en Suisse, mais il peut concerner les entreprises qui touchent le marché de l'UE.

Table des matières

Ce que « preuve de conformité » signifie pour une IA en Suisse

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) rappelle que la LPD est formulée de manière neutre sur le plan technologique et directement applicable aux traitements de données basés sur l'IA, indépendamment des réglementations futures. Il n'y a donc pas de vide juridique à invoquer.

Concrètement, prouver sa conformité revient à répondre à trois questions pour chaque usage de l'IA :

  1. Quelles données personnelles entrent dans l'assistant, pour quelle finalité ?
  2. Où transitent-elles, et qui peut y accéder (fournisseur, sous-traitants, juridictions étrangères) ?
  3. Quelles traces montrent que les règles ont été appliquées en pratique ?

Le PFPDT exige que fabricants, fournisseurs et utilisateurs de systèmes d'IA indiquent de manière transparente la finalité, le fonctionnement et les sources de données. Il rattache cette transparence au droit de s'opposer à un traitement automatisé ou d'exiger qu'une décision automatisée soit examinée par un être humain. Votre dossier doit donc aussi montrer comment une personne concernée peut exercer ces droits.

Les utilisateurs qui dialoguent directement avec un modèle de langage ont, selon le PFPDT, le droit de savoir s'ils parlent à une machine et si leurs saisies sont réutilisées pour entraîner ou améliorer des programmes. C'est un point à documenter dès la mise en service.

Les cinq pièces d'un dossier de preuve solide

1. Le registre des activités de traitement

L'art. 12 al. 2 LPD impose au responsable de tenir un registre. Selon le texte de la loi sur Fedlex, il contient au minimum :

  • l'identité du responsable du traitement ;
  • la finalité du traitement ;
  • les catégories de personnes concernées et de données traitées ;
  • les catégories de destinataires ;
  • le délai de conservation ou les critères pour le fixer ;
  • une description générale des mesures de sécurité ;
  • en cas de communication à l'étranger, l'État concerné et les garanties prévues.

L'ordonnance prévoit une exception pour les entreprises de moins de 250 collaborateurs, sauf traitement de données sensibles à grande échelle ou profilage à risque élevé (art. 24 OPDo). Or une fiduciaire, un cabinet médical ou un service RH traitent souvent des données sensibles : ne présumez pas que l'exception vous couvre. Le plus sûr est de documenter l'assistant IA dans le registre dans tous les cas.

2. L'analyse d'impact (AIPD) lorsque le risque est élevé

Selon l'analyse de l'art. 22 LPD publiée par aicompliant.ch, une AIPD préalable est requise lorsqu'un traitement peut entraîner un risque élevé pour la personnalité ou les droits fondamentaux, notamment avec de nouvelles technologies ou un traitement à grande échelle de données sensibles. Un assistant IA qui lit des dossiers de clients, des certificats médicaux ou des contrats de travail entre souvent dans ce cadre.

L'AIPD doit être conservée au moins deux ans après la fin du traitement, selon l'art. 14 de l'ordonnance sur la protection des données. Elle sert de preuve datée de votre réflexion : risques identifiés, mesures retenues, risque résiduel.

3. Les contrats avec les fournisseurs et sous-traitants

L'art. 9 LPD exige un contrat avec chaque sous-traitant. Dans une architecture d'IA, la chaîne est plus longue qu'on ne le pense : selon l'analyse d'aicompliant.ch, elle peut inclure le fournisseur d'API du modèle, l'hébergement cloud, la base de données vectorielle, la plateforme d'observabilité et le CRM connecté. Chaque maillon est un contrat à conserver et une zone de risque à vérifier.

Cinq maillons contractuels d’une architecture IA

Le PFPDT précise que le responsable doit choisir soigneusement ses sous-traitants, les instruire et les surveiller, et que leurs mesures techniques et organisationnelles doivent faire l'objet d'un contrat et d'une vérification, par exemple par des audits et des certifications. Cette responsabilité est continue : signer le contrat ne suffit pas, il faut pouvoir montrer le suivi.

Si vous formez vos équipes à ces vérifications, les approches d'apprentissage personnalisé avec l'IA peuvent aider à structurer une montée en compétence adaptée à chaque rôle.

4. Les journaux d'accès et de traitement

Pour le traitement automatisé de données personnelles sensibles, l'enregistrement, la modification, la lecture, la communication, l'effacement et la destruction des données doivent être journalisés. Le contrôle fédéral des finances va dans le même sens : son guide d'audit de l'IA indique que les applications d'IA doivent limiter l'accès aux données strictement nécessaires et tenir des registres d'accès détaillés.

Un assistant qui n'offre ni journal d'audit ni export des logs vous laisse sans pièce à produire le jour où l'on vous la demande. C'est le premier critère à vérifier.

5. Les preuves de sécurité et les normes

La Suisse n'impose pas une certification particulière pour prouver qu'une IA est conforme. Mais la loi la reconnaît : le PFPDT a indiqué qu'un système certifié au sens de l'art. 13 LPD dispense le responsable privé d'établir une AIPD et permet de démontrer la protection des données par défaut.

Les normes ISO jouent un rôle de preuve de méthode. Selon SQS, organisme suisse de certification :

NormeCe qu'elle atteste
ISO/CEI 27001Un système de management de la sécurité de l'information : confidentialité, intégrité, disponibilité, gestion systématique des risques. Elle aide à prouver la conformité à la LPD.
ISO/CEI 42001Un cadre conçu pour les systèmes d'IA : gouvernance, gestion des risques, transparence, traçabilité des décisions, documentation et amélioration continue.

Une certification de votre fournisseur ne remplace pas votre propre dossier, mais elle en constitue une pièce utile, à joindre avec sa date de validité.

Hébergement et transferts : la preuve qui coûte le plus cher

Le PFPDT rappelle, dans son guide sur la communication de données à l'étranger, que la charge de la preuve reste au responsable du transfert. Le même guide demande de vérifier si les données seront traitées par des entreprises soumises à l'ordre juridique de pays tiers, ce qui vise notamment les lois d'accès extraterritorial comme le CLOUD Act.

Si les données voyagent vers des serveurs étrangers, il faut documenter l'État de destination, les garanties, les clauses contractuelles et l'évaluation du risque d'accès par des autorités étrangères. Chaque transfert ajoute des pièces et des points de contrôle.

À l'inverse, un traitement exclusivement en Suisse, sans sous-traitant étranger, supprime cette catégorie entière de justificatifs. C'est la logique que nous développons dans notre article sur la souveraineté suisse comme garantie légale.

Hébergement et transferts : la preuve qui coûte le plus cher

Évaluer un assistant IA avant de le déployer

Le guide d'audit du Contrôle fédéral des finances (publié en mai 2026) identifie comme principal risque les modèles mal documentés : sans documentation complète sur l'architecture, les données d'apprentissage et les possibilités d'audit, la capacité d'évaluation diminue. Pour un professionnel, cela se traduit par une grille de questions à poser à tout fournisseur d'assistant IA :

  1. Où les données sont-elles hébergées et traitées ? Exigez une réponse nominative (pays, hébergeur), pas une formule générale.
  2. Les saisies servent-elles à entraîner un modèle ? Le PFPDT considère que l'utilisateur a le droit de le savoir.
  3. Quels sous-traitants interviennent ? Demandez la liste complète et les contrats-types.
  4. Quels journaux sont disponibles ? Qui a consulté quoi, quand, avec export pour vos propres audits.
  5. Comment gérer le secret professionnel ? Avocats, médecins et fiduciaires doivent pouvoir limiter l'accès par rôle et anonymiser les données avant traitement.
  6. Quelles certifications et quelle documentation technique sont disponibles ?
  7. Comment sont gérées la conservation et la suppression ? Elles doivent correspondre au délai inscrit dans votre registre.

Conservez les réponses écrites : elles font partie de votre dossier de preuve.

Et l'AI Act européen ?

Le règlement européen sur l'IA (AI Act) est un texte de l'Union européenne qui classe les systèmes d'IA par niveau de risque et fixe des obligations aux fournisseurs et déployeurs. Il ne s'applique pas automatiquement en Suisse, pays tiers. Selon une analyse dédiée aux entreprises suisses, il peut toutefois les concerner si leur système d'IA atteint le marché de l'UE, car sa portée est extraterritoriale (art. 2). La même analyse relève que la Suisse n'a pas encore de loi dédiée à l'IA.

Pour une PME qui ne travaille qu'en Suisse, le cadre de référence reste donc la nLPD, avec ses obligations de transparence, de registre, d'AIPD et de sous-traitance. Si vous servez des clients dans l'UE, ajoutez une vérification de la qualification de vos usages au regard de l'AI Act, et conservez-la dans le même dossier.

Notre point de vue

Nous constatons que la plupart des dossiers de conformité IA échouent sur un point simple : la chaîne de traitement est impossible à reconstituer. Les données ont quitté la Suisse, plusieurs sous-traitants sont intervenus, et personne ne peut produire de journal.

C'est pourquoi nous avons conçu Nectos autour de la preuve. Nos données restent et sont traitées exclusivement en Suisse, sous droit suisse, sur une infrastructure cloud suisse (Hidora), sans export ni sous-traitance à des fournisseurs étrangers. Nous n'entraînons aucun modèle sur les données de nos clients.

Nos journaux d'audit complets, l'exportation des logs, le contrôle d'accès administrateur et la gestion des rôles sont pensés pour alimenter votre registre et vos audits. L'anonymisation automatique des prompts permet de limiter les données personnelles exposées avant même le traitement.

Notre conviction : une alternative à ChatGPT pour les professionnels suisses doit rendre la conformité démontrable, pas seulement promise.

Nectos

Un espace IA conçu pour constituer votre dossier

Nectos est un espace de travail IA souverain, alternative à ChatGPT pour les particuliers et les entreprises en Suisse : chat IA privé, analyse de documents, base de connaissances privée, transcription de réunions, recherche web anonymisée, journaux d'audit et gestion des rôles, le tout hébergé sur des serveurs suisses et conçu pour la nLPD. Vous trouverez le détail sur la page produit.

Nectos

Les abonnements se facturent par siège et par mois : Starter à CHF 29.90, Pro à CHF 49.90 et Pro+ à CHF 99.90, avec un essai disponible. Consultez la page des tarifs pour comparer les niveaux et choisir celui qui correspond à votre équipe.

Constituer votre dossier en cinq étapes

  1. Cartographiez les usages : qui utilise l'assistant, avec quelles données, pour quelle finalité.
  2. Inscrivez l'assistant au registre (art. 12 LPD), même si vous pensez bénéficier de l'exception des moins de 250 collaborateurs.
  3. Évaluez le risque et rédigez une AIPD si des données sensibles ou une nouvelle technologie sont en jeu. Conservez-la au moins deux ans après la fin du traitement.
  4. Rassemblez les pièces fournisseur : contrat de sous-traitance, liste des sous-traitants, certifications, documentation technique, lieu d'hébergement.
  5. Activez les journaux et planifiez les revues : exportez les logs, contrôlez les accès par rôle et fixez une revue périodique de l'ensemble.

Pour les professions soumises au secret professionnel, associez votre conseil juridique ou votre responsable de la protection des données à l'étape 3. Les choix de risque relèvent de votre responsabilité, pas de celle du fournisseur.

Une démarche aussi écologique

La conformité ne se limite pas au droit : de plus en plus d'organisations documentent aussi l'impact environnemental de leurs outils. Notre approche est détaillée sur la page IA suisse écoresponsable.

FAQ

Existe-t-il un certificat officiel de conformité IA en Suisse ?

Pas de certificat unique et obligatoire. La LPD prévoit toutefois une certification des systèmes au sens de l'art. 13, que le PFPDT a présentée comme un moyen de démontrer la protection des données par défaut. En pratique, on combine registre, AIPD, contrats, journaux et normes comme l'ISO 27001.

Faut-il une AIPD pour utiliser un assistant IA au travail ?

Seulement si le traitement présente un risque élevé pour la personnalité ou les droits fondamentaux, par exemple avec des données sensibles à grande échelle. Un assistant qui analyse des dossiers clients ou médicaux y entre souvent. Documentez votre évaluation même si vous concluez que l'AIPD n'est pas nécessaire.

Un assistant IA hébergé en Suisse est-il automatiquement conforme à la nLPD ?

Non, l'hébergement n'est qu'une partie de la preuve. Vous devez encore définir la finalité, tenir le registre, encadrer les sous-traitants par contrat et assurer la traçabilité des accès. En revanche, un traitement purement suisse évite de justifier des transferts à l'étranger.

L'AI Act s'applique-t-il à mon entreprise suisse ?

Pas par défaut. Il peut s'appliquer si votre système d'IA ou ses résultats sont utilisés dans l'UE. Pour un usage purement suisse, la nLPD reste le cadre principal.

Sources