Utiliser ChatGPT et des outils comparables avec des données d’entreprise est légal en Suisse, à condition de respecter les exigences de la loi fédérale révisée sur la protection des données (LPD, souvent appelée nLPD) et, lorsque vous servez des utilisateurs de l’Union européenne, de l’EU AI Act. Ce ne sont pas les outils le problème, mais un usage non gouverné. Cet article est une information générale, pas un conseil juridique. Obtenez votre propre conseil avant de vous y fier.
Ce qu’exige la LPD suisse révisée
La LPD révisée s’applique depuis le 1er septembre 2023 et régit tout traitement de données personnelles par des organes privés et fédéraux (Confédération suisse, 2020). Lorsque vous saisissez des données personnelles dans un outil d’IA, les obligations centrales demeurent.
Une base légale et la transparence. Vous devez disposer d’une base adéquate pour le traitement et informer les personnes concernées, en substance, y compris du fait que des outils d’IA interviennent.
Minimisation des données et limitation des finalités. Ne fournissez à l’outil que les données personnelles qu’une tâche exige réellement, et ne les utilisez qu’à la finalité collectée.
Un contrat de sous-traitance avec les prestataires. Lorsqu’un prestataire traite des données personnelles pour votre compte, la LPD exige les mêmes garanties que celles qui vous lient, en pratique un accord de traitement avant tout traitement.
Une base légale pour le transfert transfrontalier. Envoyer des données à un modèle hébergé hors de Suisse est un transfert transfrontalier et nécessite une base légale adéquate, comme une décision d’adéquation ou des garanties contractuelles appropriées. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) supervise la conformité et publie des orientations.
Ce qu’ajoute l’EU AI Act
Si vous opérez dans l’UE ou servez des clients de l’UE, le Règlement (UE) 2024/1689, le règlement sur l’intelligence artificielle, superpose un régime fondé sur le risque au droit de la protection des données (Parlement européen et Conseil de l’Union européenne, 2024). Les obligations croissent avec l’usage : quelques pratiques sont interdites, les usages à haut risque portent des exigences substantielles, et la plupart des usages de productivité relèvent de catégories à moindre risque assorties d’obligations de transparence. Le règlement est entré en vigueur en 2024 et ses obligations s’appliquent par étapes, de sorte que la date pertinente dépend du cas d’usage. Même pour un usage à faible risque, des attentes de transparence et de supervision humaine s’appliquent.
À quoi ressemble concrètement un usage conforme
En pratique, un usage sûr de l’IA repose sur une poignée de contrôles qui traduisent le droit en ingénierie et en politique.
- Accès au moindre privilège. L’IA n’atteint que les données qu’une tâche requiert, rien de plus, imposé techniquement, pas par confiance.
- Un accord de traitement et une localisation des données connue. Vous savez où vont les données, qui y touche et à quelles conditions.
- Garde-fous et journalisation. Des règles explicites sur ce que l’outil peut et ne peut pas faire, avec une piste d’audit.
- Pas de données personnelles ou confidentielles non contrôlées dans les prompts d’outils grand public dépourvus de contrat entreprise et de conditions de données appropriées.
- Une trace du cas d’usage et de sa classification de risque, pour qu’une évaluation au titre de l’AI Act, si elle s’applique, soit simple plutôt que rétroactive.
La gouvernance n’est pas ici un rajout. C’est ce qui rend ces outils utilisables dans une entreprise réglementée : sans elle, la même capacité qui fait gagner des heures crée une exposition juridique et réputationnelle disproportionnée.
Intégrer l’IA à votre workflow en toute sécurité et légalité, avec les contrôles d’accès, les conditions de traitement et les garde-fous qui satisfont la LPD et l’EU AI Act, fait partie de notre service Knowledge Systems.
Références
Parlement européen et Conseil de l’Union européenne. (2024). Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle (règlement sur l’intelligence artificielle). Journal officiel de l’Union européenne. https://eur-lex.europa.eu/eli/reg/2024/1689/oj
Confédération suisse. (2020). Loi fédérale sur la protection des données (LPD) du 25 septembre 2020 (RS 235.1). Fedlex. https://www.fedlex.admin.ch/eli/cc/2022/491/fr