La loi couvre déjà l'IA
La loi fédérale sur la protection des données révisée, souvent appelée nLPD, est en vigueur depuis le 1er septembre 2023. Elle est rédigée de manière neutre sur le plan technologique. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) a rappelé qu'elle s'applique directement aux traitements de données basés sur l'IA. Il n'existe pour l'instant pas de loi suisse spécifique à l'IA que les PME devraient respecter.
Données personnelles dans les prompts
Une donnée personnelle est toute information concernant une personne identifiée ou identifiable. Avec l'IA, elle apparaît souvent sans que personne ne s'en rende compte. Cas typique : un collaborateur copie l'e-mail d'un client dans un outil de chat public pour rédiger vite une réponse. L'e-mail contient un nom, une adresse et peut-être les détails d'une réclamation. C'est un traitement de données personnelles, qui se déroule désormais chez un tiers, souvent hors de Suisse. Soyez particulièrement attentif aux éléments suivants :
- E-mails de clients et de fournisseurs avec noms, numéros de téléphone et adresses
- Documents RH comme CV, certificats de travail ou absences
- Données de santé, par exemple dans un cabinet médical ou chez un courtier en assurances, qui sont des données sensibles au sens de la loi
La règle la plus simple est la minimisation. Ne transmettez à l'IA que ce dont elle a besoin pour la tâche. Souvent, le travail peut se faire avec des noms supprimés ou remplacés par des marqueurs. Quand ce n'est pas possible, choisissez une solution où vous décidez où les données sont traitées et ce que le prestataire a le droit d'en faire.
Les fournisseurs d'IA sont des sous-traitants
Lorsqu'un service externe traite des données personnelles pour votre compte, la loi parle de sous-traitance (art. 9 LPD). Vous restez responsable du traitement. Vous ne pouvez confier des données que si le sous-traitant les traite comme vous seriez en droit de le faire vous-même, et vous devez vous assurer qu'il garantit la sécurité des données. En pratique, cela passe par un contrat de sous-traitance écrit. Avant d'utiliser un service d'IA avec des données réelles, vérifiez que le contrat règle au minimum :
- Quelles données sont traitées et dans quel but
- Que le prestataire n'utilise pas vos données pour entraîner ses modèles
- Où les données sont stockées et traitées, sous-traitants ultérieurs compris
- Combien de temps les entrées et les résultats sont conservés et quand ils sont effacés
- Les mesures de sécurité techniques et organisationnelles
- Le soutien en cas de violation de la sécurité des données ou de demande d'accès
Transférer des données à l'étranger
Beaucoup de modèles d'IA tournent dans des centres de données hors de Suisse. Selon l'art. 16 LPD, des données personnelles peuvent être communiquées à l'étranger si le Conseil fédéral a constaté que l'État concerné offre un niveau de protection adéquat. La liste figurant dans l'ordonnance sur la protection des données comprend les États de l'UE et de l'EEE, le Royaume-Uni et d'autres pays. Depuis le 15 septembre 2024, les États-Unis ne sont considérés comme adéquats que pour les entreprises certifiées selon le Swiss-US Data Privacy Framework.
Pour les autres pays, ou pour un prestataire américain non certifié, il faut des garanties supplémentaires, en général des clauses contractuelles types reconnues par le PFPDT, accompagnées d'une évaluation des risques dans le pays de destination. L'art. 17 LPD prévoit quelques exceptions, comme le consentement exprès, mais elles ne sont pas faites pour servir de base à l'activité courante.
| Hébergement | Conséquence pour la protection des données |
|---|---|
| Suisse | Aucune communication à l'étranger. La solution la plus simple pour les données sensibles et les administrations. |
| UE ou EEE | Protection adéquate selon le droit suisse. Un bon choix pour la plupart des usages en PME. |
| États-Unis, prestataire certifié | Adéquat si le prestataire est certifié selon le Swiss-US Data Privacy Framework. Vérifiez la certification et les services qu'elle couvre. |
| Autres pays | Clauses contractuelles types et évaluation des risques nécessaires. À éviter pour des données personnelles sans bonne raison. |
Devoir d'informer et décisions automatisées
Selon l'art. 19 LPD, vous devez informer les personnes lorsque vous collectez leurs données personnelles. Votre déclaration de protection des données indique les finalités, les destinataires ou catégories de destinataires et, si des données partent à l'étranger, les pays concernés et les garanties utilisées. Si vous introduisez un service d'IA qui traite des données de clients, mettez cette déclaration à jour. Si vous placez un assistant de chat sur votre site, indiquez clairement que les visiteurs échangent avec une IA et non avec une personne.
L'art. 21 LPD prévoit un devoir particulier pour les décisions individuelles automatisées. Lorsqu'une décision repose exclusivement sur un traitement automatisé et a des effets juridiques ou une incidence importante pour la personne, par exemple le refus d'une candidature, vous devez l'en informer. Elle peut faire valoir son point de vue et demander qu'une personne réexamine la décision. Le plus simple est de concevoir le processus pour que l'IA prépare et qu'un humain décide. C'est ainsi que nous construisons nos solutions : des personnes valident ce que l'IA prépare.
Quand faut-il une analyse d'impact ?
L'art. 22 LPD impose une analyse d'impact relative à la protection des données (AIPD) lorsqu'un traitement est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. La loi cite le traitement de données sensibles à grande échelle et la surveillance systématique de grandes parties du domaine public, et les nouvelles technologies peuvent aussi accroître le risque. Répondre à des questions sur les horaires d'ouverture ou lire des factures de fournisseurs n'atteint en général pas ce seuil. Analyser des dossiers de patients, évaluer des collaborateurs ou profiler des clients avec l'IA peut l'atteindre. Si un risque élevé subsiste malgré les mesures prévues, le PFPDT doit être consulté au préalable (art. 23 LPD).
Vérifiez aussi le registre des activités de traitement (art. 12 LPD). Les entreprises de moins de 250 collaborateurs en sont dispensées, sauf si elles traitent des données sensibles à grande échelle ou effectuent un profilage à risque élevé. Même dispensé, vous gagnez à tenir une courte liste indiquant quel outil d'IA traite quelles données : c'est utile et peu coûteux.
L'AI Act européen : utile si vous travaillez avec l'UE
L'AI Act de l'Union européenne ne s'applique pas en tant que tel en Suisse. Il peut toutefois concerner une entreprise suisse qui met un système d'IA sur le marché de l'UE, ou dont le système d'IA produit des résultats utilisés dans l'UE. Une PME suisse qui utilise un outil d'IA pour ses propres affaires en Suisse n'est en principe pas concernée. Un éditeur de logiciels suisse qui vend un produit d'IA à des clients européens peut l'être. Les obligations entrent en vigueur par étapes, et une partie du calendrier peut encore évoluer. Pour la plupart des PME, les points pertinents sont la transparence, par exemple signaler aux utilisateurs qu'ils interagissent avec une IA, et des règles plus strictes pour les usages à haut risque comme le recrutement. Si vous vendez dans l'UE, faites examiner votre cas précis.
Liste de contrôle pratique
- Recensez les outils d'IA utilisés, y compris les outils gratuits que des collaborateurs utilisent de leur propre initiative
- Utilisez des offres professionnelles ou des API avec contrat de sous-traitance, pas des comptes privés
- Vérifiez où les données sont traitées et privilégiez la Suisse ou l'UE
- Pour un prestataire américain, contrôlez la certification Data Privacy Framework
- Mettez à jour votre déclaration de protection des données et signalez les assistants de chat comme IA
- Examinez si une AIPD est nécessaire en cas de données sensibles ou de profilage
- Rédigez une courte règle interne sur ce qui peut être saisi dans les outils d'IA et formez votre équipe
Notre approche chez Linxa
Nous développons des solutions d'IA pour les PME et les administrations suisses en tenant compte de ces règles dès le départ. Sur demande, l'hébergement se fait en Suisse ou dans l'UE, les données de nos clients ne servent pas à entraîner des modèles, et des personnes valident ce que l'IA prépare. Lors de l'atelier AI Discovery (dès CHF 1'200), nous examinons vos cas d'usage avec leurs implications en matière de protection des données, pour que vous sachiez avant un pilote quelles données peuvent aller où. Pour un premier avis, réservez la consultation gratuite de 30 minutes par appel vidéo.