Depuis l’entrée en vigueur de la nouvelle loi sur la protection des données (nLPD), la responsabilité du traitement des données personnelles repose clairement sur l’entreprise — donc sur vous, dirigeant. Introduire l’IA ne change pas ce principe ; cela change les questions à poser. Voici lesquelles, sans jargon juridique.
Ce que la nLPD attend de votre PME
La nLPD, en vigueur depuis septembre 2023, s’applique à toutes les entreprises suisses, quelle que soit leur taille. Elle exige notamment que vous sachiez quelles données personnelles vous traitez, dans quel but, où elles sont stockées et qui y accède — y compris vos prestataires. Les sanctions prévues visent les personnes physiques responsables, avec des amendes pouvant atteindre 250 000 francs.
Rien de tout cela n’interdit d’utiliser l’IA. Mais dès qu’un outil traite des données de clients, de collaborateurs ou de fournisseurs, il entre dans le périmètre de la loi — et c’est à vous de pouvoir en répondre.
Question 1 — Où vos données sont-elles hébergées ?
Beaucoup d’outils d’IA grand public traitent les données sur des serveurs hors de Suisse et hors d’Europe. Ce n’est pas automatiquement illégal, mais cela vous oblige à vérifier que le pays de destination offre un niveau de protection adéquat, ou à mettre en place des garanties contractuelles supplémentaires — un travail juridique réel, souvent disproportionné pour une PME.
La voie la plus simple et la plus robuste : privilégier un hébergement en Suisse. Vos données restent sous droit suisse, la question du transfert international ne se pose pas, et vous pouvez répondre en une phrase à un client qui vous demande où sont ses données.
Question 2 — Vos données servent-elles à entraîner des modèles ?
C’est le point le plus souvent ignoré. Certains services d’IA utilisent par défaut les contenus soumis — e-mails, documents, offres — pour améliorer leurs modèles. Concrètement, des informations de vos clients peuvent alimenter un système que vous ne contrôlez pas, sans que ces clients y aient jamais consenti.
Avant tout déploiement, exigez une réponse écrite à cette question : « Nos données sont-elles utilisées pour entraîner vos modèles ? » La seule réponse acceptable pour un usage professionnel est non, contractuellement garanti. Les offres professionnelles sérieuses le proposent ; les versions gratuites, rarement.
Question 3 — Qui sont les sous-traitants, et qu’avez-vous signé ?
Dès qu’un prestataire traite des données personnelles pour votre compte, la nLPD demande un cadre contractuel : un contrat de sous-traitance qui précise ce que le prestataire peut faire des données, ses obligations de sécurité et ce qu’il advient des données en fin de contrat. Demandez la liste des sous-traitants de votre fournisseur d’IA — s’il ne peut pas la produire, c’est un signal.
Question 4 — Pouvez-vous revenir en arrière ?
La réversibilité est votre assurance-vie numérique : si vous changez de prestataire ou arrêtez un outil, vous devez pouvoir récupérer vos données dans un format exploitable et obtenir leur suppression effective. Ce point se négocie avant la signature, pas au moment du départ. Une automatisation bien conçue documente ses processus : votre entreprise reste propriétaire de sa logique métier, pas seulement de ses données.
La check-list du dirigeant
- Hébergement des données en Suisse (ou garanties de transfert solides et documentées).
- Engagement écrit : aucune utilisation de vos données pour entraîner des modèles.
- Contrat de sous-traitance conforme nLPD, liste des sous-traitants disponible.
- Registre des traitements mis à jour lorsque l’outil traite des données personnelles.
- Clause de réversibilité : export des données et suppression garantis en fin de contrat.
- Information transparente de vos clients et collaborateurs lorsque c’est requis.
La conformité n’est pas un frein, c’est un argument
Nos clients le constatent : pouvoir dire « vos données sont hébergées en Suisse, ne servent à entraîner aucun modèle et restent réversibles » rassure les clients finaux, les partenaires et les collaborateurs. Une PME qui traite ce sujet sérieusement transforme une obligation légale en avantage commercial — pendant que ses concurrents improvisent.