Non, l'IA n'est pas un vide juridique en Suisse : ce que dit vraiment la nLPD

Beaucoup de dirigeants pensent qu'en Suisse, l'usage de l'IA en entreprise n'est encadré par rien de précis. C'est faux, et c'est important de le savoir avant, pas après un problème.

La nLPD (nouvelle Loi fédérale sur la Protection des Données) est entrée en vigueur le 1er septembre 2023. Elle ne mentionne jamais le mot "intelligence artificielle". Elle n'en a pas besoin : elle est technologiquement neutre, ce qui veut dire qu'elle s'applique à tout traitement de données personnelles, peu importe l'outil utilisé pour le faire. Le Préposé fédéral à la protection des données l'a confirmé explicitement : dès qu'un outil d'IA traite une donnée personnelle, la nLPD s'applique intégralement.

"Le jour où un collaborateur copie un email client dans ChatGPT, l'entreprise est déjà concernée par la loi."

Une donnée personnelle, ce n'est pas seulement un numéro AVS ou un dossier médical. C'est un nom dans un email, un numéro de client, une adresse, une conversation de support, un commentaire RH. Concrètement : le jour où un collaborateur copie un email client dans ChatGPT pour lui demander de rédiger une réponse, l'entreprise est déjà concernée par la loi.

La bonne nouvelle, c'est que la nLPD n'interdit pas l'usage de l'IA. Elle impose une responsabilité. Une PME peut parfaitement utiliser ChatGPT, Claude, ou un outil interne, à condition de savoir quelles données elle confie, à qui, et où elles sont hébergées. La question n'est jamais "l'IA est-elle autorisée", elle est "quelles données, pour quel usage, sur quel outil".

Dans les faits, ça veut dire trois choses très concrètes:

• D'abord, votre politique de confidentialité doit dire clairement si vous utilisez l'IA pour traiter des données clients, pas juste un texte générique copié il y a cinq ans.
• Ensuite, vous devez savoir, noir sur blanc, quels outils IA sont utilisés dans votre entreprise, pour quoi, et où les données atterrissent, ce qui suppose déjà de connaître les usages réels de vos équipes, pas seulement ceux que vous avez validés officiellement.
• Enfin, si l'IA prend des décisions qui affectent directement une personne (tri de candidatures, scoring client), une analyse de risque formelle devient obligatoire.

Peu de dirigeants ont le temps de vérifier ces trois points seuls, et encore moins de savoir lequel s'applique à leur situation précise. C'est exactement le genre de zone grise qui coûte cher à découvrir trop tard.

Le vrai risque pour une PME n'est pas l'IA elle-même. C'est de l'utiliser sans savoir ce qu'elle envoie, où ça atterrit, et sans pouvoir répondre simplement si un client pose la question un jour.

Vous ne savez pas où vous en êtes sur ces trois points ? On peut y voir clair ensemble en quelques minutes sans engagement : écrivez-nous à bonjour@atelier-aa.ai.