nLPD et intelligence artificielle : ce que les entreprises suisses doivent savoir en 2026
Cet article a une finalité informative et ne constitue pas un conseil juridique. Pour des évaluations spécifiques sur la conformité de votre entreprise à la nLPD, consultez un professionnel du droit qualifié.
La nouvelle loi fédérale sur la protection des données (nLPD) est en vigueur depuis le 1er septembre 2023. Près de trois ans plus tard, de nombreuses entreprises suisses n’ont toujours pas clarifié comment elle s’applique aux solutions d’intelligence artificielle qu’elles utilisent ou qu’elles envisagent d’adopter.
La question la plus fréquente que nous recevons est celle-ci : « Les données de nos clients sont-elles en sécurité si nous utilisons un agent IA ou un pipeline documentaire ? »
La réponse dépend de la façon dont le système est construit. Tous les systèmes d’IA ne se valent pas du point de vue de la conformité à la nLPD — et la différence entre un système conforme et un système non conforme n’est pas toujours visible de l’extérieur.
1. La nLPD en résumé — ce qui change par rapport à l’ancienne LPD
La nLPD a modernisé le cadre suisse de la protection des données, le rapprochant du RGPD européen tout en conservant des caractéristiques propres au système juridique suisse.
Les changements les plus pertinents pour les entreprises qui utilisent l’IA :
Élargissement de la définition des données personnelles. La nLPD inclut explicitement les données génétiques et biométriques parmi les catégories particulièrement dignes de protection.
Obligation de privacy by design. Les systèmes qui traitent des données personnelles doivent être conçus avec la protection des données comme élément fondateur, et non comme un ajout ultérieur.
Plus grande transparence. Les personnes concernées ont le droit de savoir quand leurs décisions sont influencées par des systèmes automatisés, et de demander une révision humaine.
Obligation de notification des violations. Les violations de données doivent être notifiées au Préposé fédéral à la protection des données et à la transparence (PFPDT) dans des délais définis.
Sanctions plus sévères. Les violations peuvent entraîner des sanctions allant jusqu’à 250 000 CHF pour les personnes physiques responsables.
2. Pourquoi l’IA pose des défis spécifiques à la nLPD
Les systèmes d’IA traitent les données différemment des logiciels traditionnels, ce qui crée des défis spécifiques pour la conformité à la nLPD.
Les modèles d’IA apprennent à partir des données. Un système d’IA entraîné sur les données des clients incorpore ces informations dans le modèle.
Les décisions automatisées exigent de la transparence. Si un agent IA prend ou influence des décisions concernant des personnes — approbation d’un crédit, réponse à une demande d’assurance, classification d’un client — la nLPD exige que les personnes concernées puissent demander une explication et une révision humaine.
Les données franchissent les frontières. De nombreux systèmes d’IA commerciaux traitent les données sur des serveurs étrangers — généralement aux États-Unis.
Les journaux et les conversations sont des données personnelles. Les conversations avec un agent IA contiennent des données personnelles. Elles doivent être gérées, archivées et supprimées selon les principes de la nLPD.
3. Les quatre exigences clés pour des systèmes d’IA conformes à la nLPD
Un système d’IA conforme à la nLPD doit respecter ces quatre exigences fondamentales.
1. Data residency suisse ou équivalente. Les données personnelles des clients suisses doivent être traitées sur une infrastructure dont les serveurs se trouvent en Suisse ou dans des pays offrant un niveau de protection reconnu comme équivalent.
2. Aucune utilisation des données pour l’entraînement. Les données des clients ne doivent pas être utilisées pour entraîner des modèles d’IA de tiers. C’est un point critique : de nombreux fournisseurs d’IA commerciaux utilisent les conversations et les données des utilisateurs pour améliorer leurs propres modèles.
3. Traçabilité et audit trail. Chaque opération du système d’IA doit être tracée : à quelles données il a accédé, quelles actions il a effectuées, et quand.
4. Droit à une révision humaine. Lorsque le système d’IA influence des décisions concernant des personnes, celles-ci doivent avoir le droit de demander que la décision soit révisée par un opérateur humain.
4. Data residency suisse : ce que cela signifie concrètement
« Data residency suisse » ne signifie pas seulement que l’entreprise fournisseuse a son siège en Suisse. Cela signifie que les serveurs physiques sur lesquels les données sont traitées et archivées sont physiquement situés en Suisse.
Cette distinction est importante car de nombreux fournisseurs IT ont leur siège légal en Suisse mais utilisent une infrastructure cloud étrangère — généralement AWS, Google Cloud ou Azure avec des régions en Allemagne, en Irlande ou aux États-Unis.
Pour vérifier la data residency réelle d’un système d’IA, demandez au fournisseur :
- Dans quelle région cloud les données sont-elles traitées ? (par ex. Switzerland North sur Azure, eu-central-1 sur AWS)
- Les données sont-elles parfois répliquées ou transférées vers des régions étrangères pour la sauvegarde ou la reprise après sinistre ?
- Où sont archivées les conversations et les journaux du système ?
- Où sont exécutés les modèles d’IA qui traitent les données ?
Atenek utilise une infrastructure avec data residency en Suisse pour tous les clients suisses en standard — et non comme une option supplémentaire.
5. Ce qu’il faut demander à votre fournisseur d’IA
Avant d’adopter tout système d’IA qui traite les données personnelles de vos clients, demandez au fournisseur une réponse écrite à ces questions :
- Où les données de nos clients sont-elles physiquement traitées et archivées ?
- Les données de nos clients sont-elles utilisées pour entraîner des modèles d’IA ? Sous quelle forme ?
- Existe-t-il un audit trail complet de toutes les opérations du système ?
- Comment la suppression des données sur demande est-elle gérée ?
- Comment les violations de données sont-elles gérées et dans quels délais sont-elles notifiées ?
- Le système a-t-il été évalué par un professionnel du droit pour sa conformité à la nLPD ?
Si le fournisseur ne sait pas répondre à ces questions avec précision, ou fournit des réponses vagues, c’est un signal d’alerte.
La conformité à la nLPD n’est pas une caractéristique optionnelle d’un système d’IA — c’est une exigence légale.
FAQ
La nLPD s’applique-t-elle aussi aux petites entreprises suisses ? Oui. La nLPD s’applique à toute entité privée qui traite des données personnelles en Suisse, quelle que soit sa taille.
Que risque une entreprise qui n’est pas conforme à la nLPD ? Les sanctions atteignent jusqu’à 250 000 CHF pour les personnes physiques responsables.
Un système d’IA basé sur ChatGPT est-il conforme à la nLPD ? Cela dépend de la façon dont il est configuré et de l’infrastructure qu’il utilise. Les modèles commerciaux d’OpenAI, de Google et d’autres traitent les données sur des serveurs principalement situés aux États-Unis.
Comment savoir si mon fournisseur d’IA est vraiment conforme à la nLPD ? Demandez une déclaration écrite précisant où les données sont traitées, si elles sont utilisées pour l’entraînement, et comment le droit à une révision humaine est garanti.
Atenek est-elle conforme à la nLPD ? Oui. Pour tous les clients suisses, nous utilisons une infrastructure avec data residency en Suisse, les données ne sont jamais utilisées pour entraîner des modèles de tiers, chaque opération est tracée avec un audit trail complet et chaque système inclut des mécanismes de révision humaine.