Conseils · 10.07.2026 · 6 min
LPD et intelligence artificielle : les obligations réelles d'une PME suisse
Ce que la loi suisse sur la protection des données exige déjà quand vous utilisez ChatGPT et consorts : information (art. 19), registre dès 250 collaborateurs, AIPD, décisions automatisées (art. 21), sous-traitants et transferts.
La LPD s'applique déjà à vos usages d'IA
Beaucoup de dirigeants attendent une « loi suisse sur l'IA » pour se pencher sur la question. C'est une erreur de calendrier : la loi fédérale sur la protection des données (LPD), révisée et en vigueur depuis le 1er septembre 2023, s'applique dès aujourd'hui à tout traitement de données personnelles, intelligence artificielle (IA) comprise. C'est la position du Préposé fédéral à la protection des données et à la transparence (PFPDT).
Concrètement : dès qu'un collaborateur saisit dans ChatGPT ou un outil comparable le nom d'un client, un courriel, un dossier RH (ressources humaines) ou tout élément permettant d'identifier une personne, il y a traitement de données personnelles. Les obligations de la LPD s'appliquent, que l'outil soit gratuit ou payant, et que l'AI Act européen vous concerne ou non.
Informer les personnes (art. 19)
Le devoir d'information est l'obligation de base. Vous devez informer les personnes concernées de la collecte de leurs données : identité du responsable, finalités du traitement, destinataires, et pays de destination en cas de communication à l'étranger (art. 19 LPD).
Appliqué à l'IA, cela signifie que votre politique de confidentialité doit mentionner l'usage d'outils d'IA lorsqu'ils traitent des données personnelles : quels types de données, pour quelles finalités, avec quels prestataires et dans quels pays. Une politique rédigée avant 2023 et jamais mise à jour a peu de chances de couvrir vos usages actuels.
Le registre des traitements : seulement dès 250 collaborateurs (art. 12)
Bonne nouvelle pour les petites structures : le registre des activités de traitement n'est obligatoire qu'à partir de 250 collaborateurs. En dessous de ce seuil, l'exemption s'applique, sauf traitements à risque élevé — typiquement le traitement de données sensibles à grande échelle ou le profilage à risque élevé (art. 12 al. 5 LPD et son ordonnance).
Deux réserves. D'une part, si le Règlement général sur la protection des données (RGPD) européen s'applique à votre activité, son exemption équivalente (art. 30 RGPD) est nettement plus étroite. D'autre part, même exemptée, une PME a intérêt à tenir un inventaire léger de ses usages d'IA : c'est le point de départ de toutes les autres obligations, et le futur droit — AI Act comme avant-projet suisse — le suppose.
L'analyse d'impact en cas de risque élevé (art. 22)
L'analyse d'impact relative à la protection des données (AIPD) est requise lorsque le traitement envisagé est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes (art. 22 LPD). Le risque élevé résulte notamment du profilage à grande échelle, du traitement de données sensibles ou de l'usage de nouvelles technologies — l'IA en est l'exemple type.
En pratique, une PME qui utilise l'IA pour de la traduction ou de l'aide rédactionnelle interne n'atteint généralement pas ce seuil. Un scoring de clients, une analyse comportementale à grande échelle ou un traitement automatisé de dossiers de santé, si. Si l'AIPD révèle un risque élevé résiduel malgré les mesures prévues, le PFPDT doit être consulté avant le traitement (art. 23 LPD).
Décisions individuelles automatisées (art. 21)
L'art. 21 LPD encadre les décisions prises exclusivement par un traitement automatisé et produisant des effets juridiques pour la personne ou l'affectant de manière significative. Exemples : un refus de crédit décidé par un algorithme sans intervention humaine, ou un tri de candidatures entièrement automatisé qui écarte des dossiers.
Dans ces cas, vous devez informer la personne de l'existence de la décision automatisée, lui permettre de faire valoir son point de vue et lui donner la possibilité de demander qu'une personne physique revoie la décision. Le geste de conformité le plus simple reste de garder un humain décisionnaire réel — pas un simple presse-bouton — dans les processus qui touchent les personnes.
Sous-traitants et transferts à l'étranger (art. 9 et 16)
Votre fournisseur d'IA qui traite des données personnelles pour votre compte est un sous-traitant. La sous-traitance exige un contrat ou une base légale, l'assurance que le sous-traitant respecte la sécurité des données, et votre accord préalable pour toute sous-sous-traitance (art. 9 LPD). Vérifiez donc les conditions professionnelles de vos outils : un compte grand public gratuit offre rarement ces garanties, et certains services utilisent par défaut vos contenus pour entraîner leurs modèles.
La plupart des outils d'IA hébergent les données à l'étranger. Une communication de données à l'étranger n'est licite que si l'État de destination assure un niveau de protection adéquat selon la liste du Conseil fédéral, ou moyennant des garanties appropriées telles que des clauses contractuelles de protection des données (art. 16 LPD). Identifiez le lieu d'hébergement de chaque outil et la base du transfert.
Les erreurs fréquentes
Première erreur : coller des données de clients ou de collaborateurs dans un outil d'IA grand public, sans contrat de sous-traitance ni paramétrage. C'est le cas le plus courant, et il cumule les manquements : information (art. 19), sécurité (art. 8), sous-traitance (art. 9), transfert (art. 16).
Deuxième erreur : croire que l'exemption de registre vaut exemption générale. Le seuil de 250 collaborateurs ne concerne que le registre de l'art. 12 : information, sécurité, droits des personnes et AIPD s'appliquent à toute entreprise, dès le premier collaborateur.
Troisième erreur : oublier les collaborateurs. Leurs données sont aussi des données personnelles ; l'usage d'outils d'IA qui analysent leur activité doit être annoncé et proportionné. Quatrième erreur : ignorer les demandes d'accès — toute personne peut demander quelles données vous traitez à son sujet, et le délai usuel de réponse est de 30 jours (art. 25 LPD).
Par où commencer
Quatre gestes dans l'ordre : inventorier les outils d'IA réellement utilisés dans l'entreprise, y compris les usages officieux ; mettre à jour la politique de confidentialité (art. 19) ; passer chaque outil au crible sous-traitance et transfert (art. 9 et 16) ; identifier les usages qui touchent des décisions sur des personnes ou un risque élevé, pour traiter l'art. 21 et, le cas échéant, l'AIPD (art. 22).
L'évaluation gratuite AI-Karma, pensée pour les PME suisses, couvre ces points en une quinzaine de minutes et signale, indicateur par indicateur, les repères juridiques applicables — LPD comme AI Act. Si vos activités touchent le marché européen, le module /aiact précise ce qui s'ajoute aux obligations suisses, et le module /transparence fournit les mentions d'information prêtes à l'emploi.
Ceci n'est pas un avis juridique. Pour les traitements sensibles ou à grande échelle, faites valider votre analyse par un conseil spécialisé.
Questions fréquentes
Ma PME doit-elle tenir un registre des traitements pour utiliser l'IA ?
Seulement à partir de 250 collaborateurs, ou en cas de traitements à risque élevé — données sensibles à grande échelle ou profilage à risque élevé (art. 12 al. 5 LPD). En dessous, l'exemption s'applique, mais un inventaire léger des usages d'IA reste la base de toutes les autres obligations.
Puis-je utiliser ChatGPT avec des données de clients ?
Uniquement dans un cadre maîtrisé : offre professionnelle avec contrat de sous-traitance (art. 9 LPD), exclusion de l'entraînement sur vos contenus, information des personnes (art. 19), sécurité proportionnée (art. 8) et vérification du pays d'hébergement (art. 16). Un compte grand public gratuit ne remplit généralement pas ces conditions.
Quand une analyse d'impact (AIPD) est-elle obligatoire ?
Lorsque le traitement est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux (art. 22 LPD) : profilage à grande échelle, données sensibles, nouvelles technologies. Si un risque élevé subsiste malgré les mesures, le PFPDT doit être consulté avant le traitement (art. 23 LPD).
Qu'exige l'art. 21 LPD pour les décisions automatisées ?
Si une décision produisant des effets juridiques ou affectant significativement une personne est prise exclusivement par un traitement automatisé, vous devez l'en informer, lui permettre de faire valoir son point de vue et lui offrir une revue par un humain.
Le RGPD s'applique-t-il aussi à ma PME suisse ?
Il peut s'appliquer en plus de la LPD si vous offrez des biens ou services à des personnes situées dans l'UE ou suivez leur comportement (art. 3 RGPD). Dans ce cas, certaines exigences sont plus strictes qu'en droit suisse, notamment pour le registre des traitements (art. 30 RGPD).
Et votre entreprise, où en est-elle ?
Score sur 24 indicateurs, classification AI Act, plan d’action — 15 minutes, gratuit, sans compte.