Quelle loi s'applique à l'IA en Suisse ?
La loi fédérale sur la protection des données (LPD, RS 235.1), souvent appelée « nLPD » parce qu'elle a été révisée. Elle est en vigueur depuis le 1er septembre 2023.
Il n'existe pas, en Suisse, de loi à part pour l'IA dans une PME. Le Préposé fédéral à la protection des données (PFPDT) le rappelle : la LPD vaut pour toutes les technologies, IA comprise.
Ce guide explique les grandes lignes pour un patron de PME. Ce n'est pas un avis juridique : pour un cas précis, demandez à un juriste.
Qui est responsable : vous ou le prestataire ?
Vous décidez pourquoi et comment les données de vos clients sont traitées : vous êtes le responsable du traitement. Le prestataire qui fait tourner l'assistant traite ces données pour vous : il est votre sous-traitant (art. 9 LPD).
| Rôle | Qui | Ce que ça implique |
|---|---|---|
| Responsable du traitement | Vous, le patron | Vous répondez des données de vos clients, et vous choisissez un sous-traitant sérieux. |
| Sous-traitant | Le prestataire de l'assistant | Il ne traite les données que selon vos instructions, par contrat, et garantit leur sécurité (art. 9 LPD). |
| Sous-traitants ultérieurs | L'hébergeur, le fournisseur du modèle | Le prestataire ne peut y recourir qu'avec votre autorisation préalable (art. 9 LPD). |
Vos données peuvent-elles partir à l'étranger ?
Oui, mais pas n'importe comment. Une communication de données à l'étranger est permise vers un pays dont le Conseil fédéral a reconnu la protection comme adéquate. Sinon, il faut des garanties, par exemple des clauses contractuelles types (art. 16 LPD). Quelques exceptions existent, comme le consentement exprès de la personne (art. 17 LPD).
En pratique : beaucoup d'outils d'IA grand public envoient les messages vers des serveurs aux États-Unis. Demandez où tourne le modèle, pas seulement où sont stockées les données. « Suisse ou Union européenne » n'est pas la même chose que « Suisse ».
Faut-il prévenir vos clients ?
Oui. Quand vous collectez des données, vous informez les personnes de qui les traite, pourquoi, et à qui elles sont communiquées, y compris à l'étranger (art. 19 LPD).
Pour l'IA, le PFPDT ajoute un point simple : une personne qui échange avec un système d'IA doit savoir qu'elle parle à une machine, et si ses messages servent à autre chose.
- Une phrase dans l'accusé de réception : « Message préparé avec l'aide d'un assistant. »
- Une ligne dans votre déclaration de confidentialité : l'assistant, son sous-traitant, le pays d'hébergement.
- Une personne à qui s'adresser : vous.
Que se passe-t-il en cas de fuite de données ?
Si une violation de la sécurité des données entraîne vraisemblablement un risque élevé pour les personnes concernées, le responsable l'annonce au PFPDT dans les meilleurs délais. Le sous-traitant, lui, doit prévenir le responsable dans les meilleurs délais (art. 24 LPD).
D'où l'importance d'un délai écrit dans le contrat : sans lui, vous risquez d'apprendre la fuite trop tard pour réagir.
Les 8 questions à poser à un prestataire d'IA
Posez-les par écrit, et demandez des réponses par écrit. À droite, ce que nous répondons, tel que c'est écrit dans les documents remis avant l'essai.
| Question | Pourquoi la poser | Ce que répond Nawa Corps |
|---|---|---|
| 1. Où tournent le modèle d'IA et les données ? | Beaucoup d'outils d'IA envoient les messages à l'étranger, souvent aux États-Unis. | Les données de votre assistant sont hébergées en Suisse, et le modèle d'IA qui les lit y tourne aussi. |
| 2. Le modèle s'entraîne-t-il sur mes données ? | Un modèle entraîné sur vos messages peut en restituer des morceaux ailleurs. | Non. Vos données servent à la tâche convenue, jamais à entraîner un modèle d'IA. |
| 3. Qui peut voir mes données ? | Moins de personnes y ont accès, moins il y a de risques. | Vous, les personnes que vous désignez, et Ayoub Bensalem pour régler l'assistant et préparer le relevé. Le développeur ne travaille jamais sur vos données réelles sans votre accord écrit. |
| 4. Y a-t-il un contrat de sous-traitance ? | L'art. 9 LPD demande que la sous-traitance soit fixée par contrat. | Oui, signé avant l'essai. |
| 5. Combien de temps sont-elles gardées, et comment sont-elles supprimées ? | Une donnée gardée sans raison est une donnée de trop. | Le temps de la tâche (une demande traitée est archivée 12 mois pour le relevé, puis effacée). À la fin du contrat, nous vous rendons tout, puis nous effaçons tout dans les 30 jours et vous le confirmons par écrit. |
| 6. En cas de fuite, sous combien de temps suis-je prévenu ? | C'est vous qui devez, le cas échéant, l'annoncer au PFPDT (art. 24 LPD). | Sous 24 heures, avec ce qui s'est passé et ce que nous faisons. |
| 7. Qui sont vos propres sous-traitants ? | Vos données vont aussi chez eux : hébergeur, fournisseur du modèle. | Ils sont listés dans le contrat. Tout nouveau sous-traitant vous est annoncé 30 jours avant ; vous pouvez vous y opposer et résilier sans frais. |
| 8. Que se passe-t-il si le prestataire arrête ? | Un assistant qui s'éteint du jour au lendemain laisse vos demandes sans réponse. | Préavis de 60 jours, l'assistant tourne pendant ce temps, et vous recevez votre dossier complet (données et réglages en clair, avec une notice pour un autre prestataire). C'est notre garantie de continuité, écrite dans le contrat. |
Ce que nous ne promettons pas : une conformité garantie. Elle dépend aussi de ce que fait votre entreprise. Nous prenons des engagements écrits, et nous les signons.
Ces engagements valent pour l'assistant que nous installons chez vous. Ils ne valent pas pour Leo, l'assistant de conversation de ce site : voir notre page de confidentialité.
Les sources officielles
- Loi fédérale sur la protection des données (LPD), RS 235.1 — fedlex.admin.ch, texte officiel.
- IA et protection des données — Préposé fédéral à la protection des données et à la transparence.
- Site du PFPDT — guides, annonce des violations de la sécurité des données.
Pour la suite : l'automatisation par l'IA dans une PME genevoise et combien coûte un assistant IA.