1. La LPD révisée (nLPD) s’applique aussi aux traitements utilisant l’IA
Le Préposé fédéral à la protection des données et à la transparence indique que la loi fédérale sur la protection des données s’applique directement aux traitements fondés sur l’IA. Il souligne notamment les exigences de transparence sur la finalité, le fonctionnement et les sources de données.
Cette page fournit une méthode opérationnelle et ne remplace pas un avis juridique adapté à l’activité, aux données et aux personnes concernées.
2. Inventorier avant de connecter
Pour chaque processus, notez les catégories de données consultées, leur provenance, la finalité, les destinataires, la durée utile et les systèmes concernés. Séparez les données nécessaires des données simplement disponibles. Une boîte complète, un disque partagé ou un CRM entier ne devraient pas être exposés si quelques dossiers ou champs suffisent.
Pourrions-nous expliquer simplement à la personne concernée pourquoi cette donnée est utilisée et ce que l’agent prépare ou décide ?
3. Limiter les permissions et les actions
Distinguez la lecture, la création de brouillons, la modification et l’envoi. Le principe du moindre privilège consiste à n’autoriser que ce qui est nécessaire au cas d’usage. Les actions engageantes, sensibles ou inhabituelles peuvent rester soumises à une personne autorisée.
Prévoyez également la révocation, la rotation des identifiants, l’historique des actions et une procédure lorsque le résultat est incorrect. La sécurité ne se résume pas à l’emplacement du serveur.
4. Documenter fournisseurs et responsabilités
Identifiez le responsable du traitement, les sous-traitants, les lieux de traitement applicables, les transferts éventuels et les engagements contractuels. Vérifiez si les données servent à entraîner des modèles et sous quelles conditions. La réponse doit pouvoir être soutenue par un contrat ou une documentation actuelle, pas seulement par une phrase commerciale.
Lorsque des personnes sont directement concernées par le traitement, déterminez comment elles sont informées et comment elles peuvent exercer leurs droits. Les décisions ayant un effet significatif méritent une analyse spécifique.
5. Checklist avant un pilote
- Finalité et résultat attendu écrits.
- Catégories de données et sources inventoriées.
- Accès techniques limités au besoin.
- Actions interdites ou soumises à validation définies.
- Sous-traitants et lieux de traitement documentés.
- Usage ou non-usage pour l’entraînement confirmé.
- Durées de conservation et suppression prévues.
- Journalisation, révocation et gestion d’incident testées.
- Information des personnes et droits analysés.
- Responsable interne du pilote nommé.
Source officielle
PFPDT — IA et protection des données, consulté le 21 juillet 2026.
Questions fréquentes
Comment sécuriser les données d’une PME avec l’IA ?
La sécurité ne vient pas du modèle mais du cadre posé autour de lui. Quatre mesures couvrent l’essentiel : limiter les accès au strict nécessaire plutôt que d’ouvrir un compte administrateur ; séparer les droits de lecture et d’écriture ; laisser en brouillon toute action sortante engageante ; et conserver un journal des opérations consultable par l’entreprise. À cela s’ajoutent les questions contractuelles : localisation de l’hébergement, liste des sous-traitants, durée de conservation et conditions de suppression. Une IA sécurisée est une IA dont on peut expliquer, après coup, ce qu’elle a consulté et pourquoi.
Un agent IA est-il conforme à la LPD suisse ?
La conformité ne dépend pas de l'outil mais de son encadrement : finalité documentée, minimisation des données accessibles, information des personnes concernées, encadrement des sous-traitants, journalisation des actions et durée de conservation définie. Un même agent peut être conforme dans une entreprise et non conforme dans une autre.
Quelles données une PME ne devrait-elle jamais rendre accessibles à un agent IA ?
Celles qui ne sont pas nécessaires au processus automatisé — c'est la règle de base. En pratique, cela exclut souvent les données de santé, les données relatives à des poursuites, les informations RH individuelles et les archives dont la finalité n'a plus de lien avec la tâche visée.
Faut-il informer ses clients qu'une IA traite leurs demandes ?
L'information des personnes concernées est un principe central de la LPD. Au-delà de l'obligation, une mention claire dans la politique de confidentialité et, selon les cas, dans la communication opérationnelle, évite un problème de confiance bien plus coûteux qu'une phrase supplémentaire.
Les données servent-elles à entraîner des modèles d'IA ?
Cela doit être établi par écrit avec le fournisseur, jamais supposé. La question à poser précisément est : les données transmises sont-elles utilisées pour entraîner ou améliorer des modèles, par le fournisseur ou par ses propres sous-traitants, et sous quelles conditions ?
Que faut-il documenter avant de démarrer un pilote IA ?
La finalité du traitement, la liste des données accessibles, les sous-traitants impliqués, la localisation de l'hébergement et des traitements, les actions soumises à validation, le format du journal, la durée de conservation et la procédure de révocation des accès. Ce document sert autant à la conformité qu'à la conduite du projet.
Les obligations exactes dépendent du contexte. Pour des données sensibles ou un traitement à risque élevé, faites valider le dispositif par la personne compétente en protection des données ou par un conseil juridique.