La nLPD interdit-elle d’utiliser ChatGPT en entreprise ?

Non. Elle n’interdit aucun outil, mais elle s’applique dès que des données personnelles sont envoyées. L’entreprise doit informer les personnes, encadrer le fournisseur comme sous-traitant et garantir un niveau de protection adéquat si les données quittent la Suisse.

Quelle est l’amende maximale prévue par la nLPD ?

Jusqu’à 250 000 francs en cas de violation intentionnelle de certaines obligations. Elle vise la personne responsable, pas seulement l’entreprise.

Peut-on envoyer des données personnelles à un fournisseur américain ?

Oui, sous conditions. Le Conseil fédéral reconnaît depuis le 15 septembre 2024 un niveau de protection adéquat pour les entreprises américaines certifiées au cadre Suisse-États-Unis. À défaut, il faut des garanties contractuelles, comme des clauses types.

Remplacer les noms par des pseudonymes rend-il les données anonymes ?

Pas nécessairement. Si un recoupement d’informations permet de retrouver la personne, les données restent personnelles et la loi s’applique.

nLPD et IA : que vérifier avant d’envoyer des données à un LLM

Q: Faut-il tenir un registre des traitements pour les usages d’IA ?

En principe oui, avec une exemption pour les entreprises de moins de 250 collaborateurs dont le traitement présente un risque limité. Le tenir à jour reste utile pour recenser les usages d’IA.

nLPD et IA : la réponse courte

Envoyer des données personnelles à un modèle d’IA hébergé par un tiers est un traitement de données au sens de la nouvelle loi suisse sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023. Rien n’interdit de le faire, mais l’entreprise reste responsable de ces données : elle doit savoir ce qui part, vers qui, dans quel pays, et ce que le fournisseur a le droit d’en faire. Ce qui compte n’est pas l’outil, c’est la catégorie de données envoyée.

Cet article propose une méthode en trois niveaux de données, cinq questions à poser à tout fournisseur et une checklist à passer avant la mise en production. Il ne remplace pas un avis juridique : en cas de doute sur un cas précis, faites relire par un juriste ou consultez le Préposé fédéral à la protection des données et à la transparence (PFPDT).

Ce que la nLPD change pour l’usage d’un LLM

Une personne responsable, une amende personnelle

La nLPD protège les données des personnes physiques. Les sanctions pénales visent la personne responsable, pas seulement l’entreprise : l’amende peut atteindre 250 000 francs en cas de violation intentionnelle de certaines obligations, comme le devoir d’informer ou le respect des exigences de sous-traitance. Pour une PME, cela signifie qu’un dirigeant ou un responsable informatique ne peut pas déléguer le sujet à « l’outil ».

Les obligations qui touchent directement l’IA

Devoir d’informer : les personnes dont vous traitez les données doivent savoir que ces données sont traitées, et pour quelles finalités. Si vos clients ne l’ont jamais appris, le résumé automatique de leurs courriels par un LLM pose déjà problème.
Sous-traitance : un fournisseur d’IA qui traite vos données pour votre compte est un sous-traitant. Il ne doit faire que ce que vous auriez le droit de faire vous-même, et vous devez vous assurer qu’il garantit la sécurité des données.
Communication à l’étranger : envoyer des données vers un pays sans protection jugée adéquate exige des garanties, par exemple des clauses contractuelles types. Pour les États-Unis, le Conseil fédéral reconnaît depuis le 15 septembre 2024 un niveau de protection adéquat pour les entreprises certifiées au cadre de protection des données Suisse-États-Unis. Vérifiez que votre fournisseur y figure.
Analyse d’impact : elle est requise lorsqu’un traitement peut entraîner un risque élevé pour les personnes, par exemple avec des données sensibles ou du profilage.
Décision individuelle automatisée : si une décision qui produit un effet juridique ou une atteinte notable est prise uniquement par une machine, la personne doit en être informée et pouvoir faire valoir son point de vue.
Annonce des violations : une violation de la sécurité des données qui entraîne vraisemblablement un risque élevé doit être annoncée au PFPDT dans les meilleurs délais.

Le registre des activités de traitement est en principe obligatoire, avec une exemption pour les entreprises de moins de 250 collaborateurs dont le traitement présente un risque limité. Le tenir à jour reste une bonne pratique, car il oblige à recenser les usages d’IA.

Les trois niveaux de données, de « libre » à « interdit sans garanties »

La question « puis-je utiliser ChatGPT pour ça ? » n’a pas de réponse unique. La réponse dépend de ce que contient le texte envoyé. Voici une grille de tri que nous utilisons pour cadrer un projet avant d’écrire la moindre ligne de code.

Niveau	Exemples	Règle de départ
1. Aucune donnée personnelle	Texte marketing, documentation produit publique, code sans secret, données agrégées	Utilisation possible avec un outil grand public, dans le respect des secrets d’affaires
2. Données personnelles ordinaires	Courriels clients, noms et coordonnées, tickets de support, CV	Offre professionnelle avec contrat de sous-traitance, pays et durée de conservation connus, information des personnes
3. Données sensibles ou protégées	Santé, opinions, données biométriques ou génétiques, dossiers couverts par le secret professionnel	Pas d’envoi sans analyse d’impact, base légale claire et, si possible, hébergement maîtrisé

Les données génétiques et biométriques font partie des données sensibles depuis la révision de la loi. Quant au secret professionnel, il s’impose indépendamment de la nLPD à des professions comme les avocats et les médecins : leurs dossiers ne devraient pas quitter l’étude ou le cabinet sans garanties solides.

Pseudonymiser ne suffit pas toujours

Remplacer un nom par « Client A » réduit le risque, mais ne rend pas les données anonymes si un recoupement permet de retrouver la personne : une date, un montant, un poste et une ville suffisent souvent. Tant que quelqu’un peut raisonnablement identifier la personne, vous restez dans le champ de la loi.

Cinq questions à poser à tout fournisseur d’IA

Où les données sont-elles traitées et stockées ? Un pays, un fournisseur cloud et, idéalement, une région précise.
Mes données servent-elles à entraîner ses modèles ? Les offres professionnelles et l’accès par API excluent en général l’entraînement par défaut, les comptes gratuits grand public moins souvent. Lisez les conditions de l’offre que vous utilisez réellement.
Combien de temps les conserve-t-il, et peut-on les supprimer ? Les journaux de conversation comptent aussi.
Quels sous-traitants ultérieurs interviennent ? Un fournisseur d’IA s’appuie souvent sur un hébergeur tiers, et la chaîne doit rester documentée.
Existe-t-il un contrat de sous-traitance et des garanties pour le transfert hors de Suisse ? Sans cela, l’envoi de données personnelles n’est pas défendable.

Un exemple concret : résumer des courriels clients

Prenons une PME qui veut résumer automatiquement les courriels de son support. Le contenu relève du niveau 2 : noms, adresses, parfois des détails de commande. Avant le projet, il faut vérifier que la déclaration de confidentialité mentionne cet usage, que l’offre choisie exclut l’entraînement sur les données, que le fournisseur figure sur une liste de transferts reconnus, et que les courriels qui contiennent des données de santé ou de paie sont filtrés avant l’envoi.

Le même projet devient un tout autre sujet si l’outil lit aussi les pièces jointes d’un service RH. Les dossiers de candidature et les fiches de salaire exigent un cadrage séparé, et une revue humaine si l’IA contribue à une décision sur une personne.

La checklist avant la mise en production

Les catégories de données envoyées sont listées et classées par niveau.
Les personnes concernées sont informées de l’usage de l’IA dans la déclaration de confidentialité.
Un contrat de sous-traitance couvre le fournisseur, et le pays de traitement est connu.
Les entrées sont filtrées : on n’envoie que les champs utiles à la tâche.
Les journaux et les prompts sont conservés pour une durée définie, et un responsable est nommé.
Une procédure de réaction à une violation existe, avec le PFPDT comme destinataire de l’annonce.
Un humain relit les sorties qui influencent une décision sur une personne.

Ce contrôle s’intègre naturellement au reste de la démarche. Le choix du fournisseur découle des critères pour choisir un modèle IA, la vérification des entrées rejoint ce que nous décrivons dans pourquoi les automatisations IA échouent sur les vraies données, et la validation finale s’appuie sur la méthode pour tester un système IA avant la démo.

Quand héberger soi-même plutôt qu’envoyer à un tiers

Pour le niveau 3, ou lorsque le volume justifie l’investissement, un modèle ouvert hébergé en Suisse ou dans votre propre infrastructure évite la question du transfert. Il déplace toutefois la responsabilité : sécurité, mises à jour, qualité des réponses. Pour la plupart des PME, une offre professionnelle bien contractualisée couvre le niveau 2 à moindre coût, et l’hébergement maîtrisé se réserve aux dossiers les plus sensibles.