nLPD et IA : ce qu'une PME suisse doit savoir avant de se lancer

L'intelligence artificielle ouvre de nombreuses possibilités aux PME : tri des e-mails, résumés de documents, agents vocaux, assistants internes. Mais dès que ces outils traitent des informations sur des personnes (clients, patients, collaborateurs), la protection des données entre en jeu. En Suisse, le cadre de référence est la nouvelle loi fédérale sur la protection des données, appelée nLPD.

Cet article présente les repères principaux. Il ne constitue pas un conseil juridique : pour toute décision, nous vous recommandons de consulter un juriste ou un avocat spécialisé.

Le cadre : une loi en vigueur depuis le 1er septembre 2023

La nLPD et son ordonnance d'application (OPDo) sont entrées en vigueur le 1er septembre 2023. Elles remplacent l'ancienne loi de 1992 et rapprochent le droit suisse des standards européens, tout en gardant leurs propres règles.

La loi est formulée de manière neutre sur le plan technologique. Elle ne contient pas de chapitre spécifique à l'IA, mais elle s'applique pleinement à tout traitement de données personnelles, y compris lorsqu'il passe par un modèle d'IA. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) l'a rappelé dans ses communications.

Les principes à respecter au quotidien

Plusieurs principes de la nLPD concernent directement les projets d'IA :

• Transparence : les personnes doivent être informées de la collecte de leurs données et de son but. Concrètement, votre déclaration de protection des données doit refléter les outils réellement utilisés. Lorsqu'une décision est prise uniquement de manière automatisée et produit des effets importants pour une personne, la loi prévoit en principe un devoir d'information spécifique.
• Finalité et proportionnalité : on ne collecte que les données nécessaires au but annoncé. C'est le principe de minimisation. Avant d'envoyer un document entier à un outil d'IA, demandez-vous si toutes les informations qu'il contient sont utiles.
• Exactitude : les données traitées doivent être correctes. Un résultat produit par une IA doit pouvoir être vérifié et corrigé.
• Sécurité : le responsable du traitement doit prendre des mesures techniques et organisationnelles adaptées au risque : gestion des accès, chiffrement, journalisation, sauvegardes.
• Protection des données dès la conception et par défaut : les réglages par défaut d'un outil doivent limiter le traitement au strict nécessaire.

Lorsque le traitement présente un risque élevé pour les personnes concernées, la loi prévoit une analyse d'impact relative à la protection des données, à réaliser avant le traitement.

Registre, violations et sous-traitants

Trois obligations pratiques méritent une attention particulière :

• Registre des activités de traitement : la nLPD impose en principe de tenir un registre décrivant les traitements effectués. L'ordonnance prévoit une exception pour les entreprises de moins de 250 collaborateurs, sauf si elles traitent à grande échelle des données sensibles ou effectuent un profilage à risque élevé. Même lorsqu'il n'est pas obligatoire, un registre simple reste un bon outil de pilotage.
• Annonce des violations : en cas de violation de la sécurité des données qui entraîne vraisemblablement un risque élevé pour les personnes concernées, le responsable doit l'annoncer au PFPDT dans les meilleurs délais. Le PFPDT met un formulaire d'annonce à disposition sur son site.
• Sous-traitance : si un prestataire (éditeur d'outil d'IA, hébergeur) traite des données pour votre compte, un contrat doit encadrer ce traitement, et vous restez responsable de vous assurer que le prestataire garantit la sécurité des données.

Transfert de données à l'étranger

De nombreux services d'IA fonctionnent sur des serveurs situés hors de Suisse. La nLPD encadre ces transferts :

• Le Conseil fédéral publie une liste des États qui offrent un niveau de protection adéquat. Les transferts vers ces pays sont en principe possibles.
• Vers les autres pays, des garanties sont nécessaires, par exemple des clauses contractuelles types reconnues par le PFPDT.
• La déclaration de protection des données doit indiquer les pays de destination.

C'est l'une des raisons pour lesquelles beaucoup de PME préfèrent, quand c'est possible, un hébergement des données en Suisse. Cela ne dispense pas des autres obligations, mais simplifie la question des transferts.

Comment nous travaillons

Chez LYL Software, nous intégrons ces questions dès la conception d'un projet d'IA et d'automatisation :

• nous identifions avec vous les données personnelles concernées et limitons ce qui est envoyé aux modèles ;
• nous privilégions un hébergement en Suisse (Infomaniak) quand c'est possible et documentons les éventuels prestataires étrangers ;
• nous prévoyons la gestion des accès, la journalisation et une validation humaine pour les décisions importantes ;
• nous vous fournissons les informations techniques utiles pour votre registre et votre déclaration de protection des données.

Nous ne sommes pas juristes. Pour valider votre conformité, notamment dans les secteurs sensibles comme les cabinets médicaux ou l'assurance et le courtage, faites appel à un juriste ou à un avocat spécialisé. Les sites officiels admin.ch et edoeb.admin.ch publient aussi des guides utiles.