RGPD, nLPD et IA : comment rester conforme en Suisse quand on automatise

Vous voulez déployer un agent IA ou une automatisation dans votre PME suisse, mais la question de la conformité vous freine ? Voici, sans jargon juridique, ce que la nLPD et le RGPD exigent réellement quand on met de l'intelligence artificielle en production — et la checklist que nous appliquons sur nos projets romands.

nLPD, RGPD : quelle loi s'applique à ma PME ?

Depuis le 1ᵉʳ septembre 2023, la nouvelle Loi fédérale sur la protection des données (nLPD) s'applique à toutes les entreprises établies en Suisse. Le RGPD européen, lui, s'applique dès que vous traitez des données de résidents de l'UE — donc dès qu'un client français, allemand ou belge remplit un formulaire sur votre site.

Concrètement : la plupart des PME romandes doivent respecter les deux. La bonne nouvelle, c'est que la nLPD s'est largement alignée sur le RGPD ; un projet conforme RGPD est presque conforme nLPD, à quelques nuances près.

Principales différences en pratique

• Notification de violation : « dans les meilleurs délais » côté nLPD, 72 h côté RGPD.
• DPO : facultatif en Suisse (sauf secteurs sensibles), obligatoire en UE dans plusieurs cas.
• Sanctions : amendes personnelles jusqu'à 250 000 CHF en Suisse (visant les responsables), jusqu'à 4 % du CA mondial côté RGPD.
• Registre des traitements : obligatoire dans les deux régimes dès que vous traitez des données à caractère personnel de manière régulière.

Où héberger les données quand on utilise l'IA ?

C'est LA question qui bloque 80 % des projets IA en PME. Trois cas de figure :

1. Données non sensibles, hébergement UE ou Suisse

OpenAI, Anthropic et Mistral proposent tous des offres avec traitement en Europe (Irlande, Francfort, Paris). Pour la majorité des cas d'usage PME — résumés, tri d'e-mails, chatbot FAQ — c'est parfaitement suffisant.

2. Données clients ou financières

Privilégiez un hébergement suisse (Infomaniak, Exoscale) et, côté modèle IA, une API européenne avec engagement de non-entraînement sur vos données. Mistral (France) et Azure OpenAI (Suisse Nord) sont les options les plus utilisées.

3. Données de santé, RH sensibles, secret professionnel

Modèle open source hébergé chez un provider suisse, ou solution 100 % on-premise. C'est plus coûteux mais c'est le seul choix réaliste pour un cabinet médical, une étude d'avocats ou une fiduciaire manipulant des dossiers sensibles.

Contrats de sous-traitance : ce qui doit y figurer

Dès que vous envoyez des données personnelles à un fournisseur IA, vous devez signer un contrat de sous-traitance (Data Processing Agreement). Les points non négociables :

• Interdiction explicite d'utiliser vos données pour entraîner des modèles.
• Localisation des serveurs et sous-traitants ultérieurs.
• Durée de conservation et procédure de suppression.
• Notification en cas de faille de sécurité.
• Clauses contractuelles types (CCT) pour les transferts hors UE/CH.

Checklist conformité IA — à cocher avant la mise en production

• ✅ Cartographie des données personnelles qui transitent par le modèle.
• ✅ Base légale identifiée (consentement, intérêt légitime, contrat…).
• ✅ Contrat de sous-traitance signé avec chaque fournisseur IA.
• ✅ Registre des activités de traitement mis à jour.
• ✅ Politique de confidentialité mise à jour (mention explicite de l'IA).
• ✅ Analyse d'impact (AIPD) réalisée si traitement à risque élevé.
• ✅ Procédure interne de gestion des demandes (accès, effacement, opposition).
• ✅ Formation courte des collaborateurs qui utilisent l'outil.

Les 3 pièges qu'on voit le plus souvent

• ChatGPT « perso » utilisé pour le travail : les collaborateurs collent des données clients dans l'interface grand public. Non-conforme et non traçable.
• Chatbot sans mention : oublier d'indiquer clairement que l'utilisateur échange avec une IA — obligation renforcée par le futur AI Act européen.
• Logs conservés indéfiniment : par défaut, beaucoup d'outils gardent les conversations. Configurez une purge automatique (30 à 90 jours suffisent en général).