La conversation se déroule presque toujours de la même façon. Un dirigeant nous montre l’outil que son équipe a adopté le mois dernier. Il fonctionne, tout le monde l’aime. Puis vient la question : « au fait, où vont les documents qu’on y dépose ? » Et personne autour de la table ne sait répondre.
Ce n’est pas une négligence. C’est la conséquence d’un décalage : les outils d’IA s’adoptent en quelques minutes, par les équipes elles‑mêmes, alors que le cadre juridique suisse suppose une décision documentée, prise en amont, par quelqu’un d’identifiable. Entre les deux, il y a un vide que personne n’a rempli.
Cet article ne fait pas l’inventaire de la nouvelle loi fédérale sur la protection des données. Il isole les cinq points qui, dans notre expérience, décident réellement si un déploiement d’IA tient ou ne tient pas — et il commence par celui que presque personne ne connaît.
1. La sanction ne vise pas votre entreprise
C’est le point le plus mal compris de la nLPD, entrée en vigueur le 1er septembre 2023 en remplacement de la loi de 1992. Beaucoup de dirigeants raisonnent par analogie avec le RGPD européen, où l’amende frappe la société et se calcule en pourcentage du chiffre d’affaires. Le mécanisme suisse est différent, et il est plus personnel.
Les articles 60 et suivants de la LPD prévoient une amende pouvant aller jusqu’à 250 000 francs, prononcée par l’autorité judiciaire cantonale, et dirigée contre la personne physique responsable — un directeur, un membre du conseil. L’entreprise ne peut pas la prendre à sa charge. Au‑delà de 5 000 francs, une inscription au casier judiciaire devient possible.
Figure 1. Qui paie, et combien
Deux régimes de sanction qu’on confond souvent, alors qu’ils ne visent pas la même personne.
- • Vise l’entreprise
- • Négligence incluse
- • Assurable, provisionnable
- • Vise la personne physique
- • Infractions intentionnelles seulement
- • Non prise en charge par la société
Sources : art. 60 ss LPD ; PFPDT, dispositions pénales (voir note méthodologique)
Deux nuances comptent. D’abord, seule l’infraction intentionnelle est punissable : la négligence ne l’est pas, ce qui est nettement plus clément que le régime européen. Ensuite, « intentionnel » ne veut pas dire « malveillant ». Savoir qu’une obligation existe et choisir de ne pas s’en occuper suffit. C’est précisément la situation d’un dirigeant à qui l’on a signalé le sujet et qui l’a repoussé à plus tard.
Ce que cela change en pratique
La conformité cesse d’être un sujet qu’on délègue à l’informatique. Quand la sanction est personnelle et non assurable, la décision de brancher ou non un outil sur des données personnelles remonte naturellement au niveau qui l’assume. C’est inconfortable, mais c’est aussi ce qui rend le sujet traitable : il y a un décideur identifié, pas un comité.
2. Le registre : l’exemption est plus étroite qu’on ne croit
L’article 12 LPD impose de tenir un registre des activités de traitement. L’article 24 de l’ordonnance en dispense les entreprises de moins de 250 collaborateurs. Beaucoup de PME s’arrêtent à cette phrase et concluent qu’elles ne sont pas concernées. La condition d’effectif n’est pourtant que la première des deux.
L’exemption suppose aussi que les traitements présentent un risque limité d’atteinte à la personnalité. Un traitement de données sensibles à grande échelle, ou un profilage à risque élevé, fait tomber la dispense quel que soit l’effectif. Or brancher un service d’IA sur des dossiers RH, des données de santé ou des évaluations de collaborateurs relève souvent de cette catégorie.
Figure 2. Êtes‑vous réellement dispensé de registre ?
Les deux conditions sont cumulatives. Une seule qui tombe, et le registre redevient obligatoire.
Sources : art. 12 LPD ; art. 24 OPDo
Notre recommandation est pragmatique : tenez le registre même si vous êtes dispensé. Pas pour la conformité, pour vous. C’est le seul document qui répond en trente secondes à la question « quelles données partent où, et sous quel contrat ». Sans lui, chaque nouvel outil rouvre une enquête interne.
3. Brancher un outil d’IA, c’est un transfert
Un service d’IA n’est pas un logiciel installé chez vous. C’est un sous‑traitant, souvent établi à l’étranger, à qui vous confiez des données. Le trajet compte autant que la destination : entre le moment où un collaborateur colle un extrait de contrat dans une interface et le moment où ce texte est traité, il franchit plusieurs frontières juridiques.
Figure 3. Le trajet réel d’un document déposé dans un outil d’IA
Chaque étape soulève une question distincte. Une seule sans réponse suffit à bloquer le déploiement.
Sur le transfert lui‑même, la situation s’est simplifiée pour un cas très fréquent : depuis le 15 septembre 2024, le Conseil fédéral reconnaît le Swiss‑US Data Privacy Framework. Les transferts vers une entreprise américaine certifiée sous ce cadre ne nécessitent plus de clauses contractuelles types ni d’analyse d’impact du transfert. Encore faut‑il vérifier que votre fournisseur figure effectivement sur la liste des certifiés — beaucoup ne le sont pas.
Hors de ce cas, deux voies subsistent : le pays figure sur la liste des États à protection adéquate annexée à l’ordonnance, ou vous encadrez le transfert par des clauses contractuelles types assorties d’une analyse d’impact. Ce n’est pas insurmontable. C’est simplement un travail qui doit être fait avant le déploiement, pas après.
4. Les cinq vérifications
Voici la liste que nous passons systématiquement avant d’ouvrir un outil d’IA à des équipes. Elle tient en une réunion d’une heure quand les réponses existent, et elle révèle en général deux ou trois trous qu’il vaut mieux découvrir maintenant.
Qui est le responsable identifié ?
Une personne nommée, pas une fonction. Puisque la sanction est personnelle, l’ambiguïté sur ce point n’est pas tenable. Cette personne doit pouvoir dire non.
Quelles catégories de données peuvent y entrer, et lesquelles sont interdites ?
Écrit, diffusé, et appliqué par des règles techniques quand c’est possible. Une consigne orale ne survit pas à la première urgence.
Où partent les données, et sous quel régime de transfert ?
Liste des États à protection adéquate, Swiss‑US Data Privacy Framework, ou clauses contractuelles types avec analyse d’impact. L’une des trois, documentée.
Le contrat de sous‑traitance existe‑t‑il vraiment ?
Les conditions générales acceptées d’un clic en font rarement office. Vérifiez la durée de conservation, l’usage pour l’entraînement, et les sous‑traitants ultérieurs.
Que se passe‑t‑il le jour de l’incident ?
La violation de sécurité doit être annoncée au PFPDT dans les meilleurs délais. Si personne ne sait qui appelle qui, le délai est déjà dépassé quand la question se pose.
Quatre erreurs qui reviennent
- Interdire l’IA par note de service. L’usage passe en clandestinité, sur des comptes personnels, et vous perdez toute visibilité — le contraire du résultat recherché.
- Confondre « données anonymisées » et « données dont on a retiré le nom ». Un dossier reste identifiant par son contenu, pas par son en‑tête.
- S’appuyer sur une mention de conformité affichée par le fournisseur sans vérifier le registre officiel des certifications.
- Traiter le sujet comme un projet informatique. La décision est de gouvernance : c’est celui qui porte la responsabilité pénale qui doit trancher.
Note méthodologique
Cet article s’appuie sur le texte de la loi fédérale sur la protection des données et de son ordonnance, ainsi que sur les informations publiées par le Préposé fédéral à la protection des données et à la transparence. Il décrit un cadre général et ne constitue pas un avis juridique : la qualification d’un traitement donné, l’étendue d’une dispense ou la nécessité d’une analyse d’impact dépendent de circonstances que seul un examen du cas permet d’établir. Pour une décision engageante, faites valider votre situation par un conseil qualifié. Les échéances et références citées sont à jour au 10 septembre 2026.
Conclusion
Le régime suisse a une propriété inhabituelle : en visant la personne plutôt que la société, il rend le sujet impossible à diluer. Personne ne peut provisionner cette amende ni la faire disparaître dans un budget conformité. Cela déplaît, et c’est pourtant ce qui permet d’avancer — il y a quelqu’un dont c’est la décision.
La bonne nouvelle, c’est que les cinq vérifications ci‑dessus ne demandent ni outil ni budget. Elles demandent une heure, un responsable nommé et l’acceptation d’écrire ce qui était jusque‑là implicite. Dans la plupart des PME que nous accompagnons, le travail réel tient en une demi‑journée.
Ce qui coûte cher, ce n’est jamais la conformité. C’est de découvrir après coup que trois services différents ont chacun branché leur propre outil sur les mêmes dossiers clients, sans que personne n’ait tranché.
Sources
- Loi fédérale sur la protection des données (LPD), entrée en vigueur le 1er septembre 2023 — notamment art. 12 (registre des activités de traitement), art. 22 (analyse d’impact), art. 24 (annonce des violations de la sécurité des données) et art. 60 ss (dispositions pénales).
- Ordonnance sur la protection des données (OPDo), art. 24 — dispense de registre pour les entreprises de moins de 250 collaborateurs dont les traitements présentent un risque limité ; annexe 1 — liste des États assurant une protection adéquate.
- Préposé fédéral à la protection des données et à la transparence (PFPDT), informations publiées sur les dispositions pénales et sur l’annonce des violations de la sécurité des données.
- Conseil fédéral, reconnaissance du Swiss‑US Data Privacy Framework — décision annoncée le 14 août 2024, modification de l’annexe 1 OPDo en vigueur depuis le 15 septembre 2024.
Savez‑vous où partent les données que vos équipes déposent ?
Nous passons les cinq vérifications avec vous, sur les outils réellement utilisés dans votre entreprise, et nous écrivons ce qui manque. Une demi‑journée, un responsable nommé, un cadre applicable.
Cadrer notre usage de l’IA