L'IA et la nLPD : ce que votre PME doit vérifier

L'intelligence artificielle dans les PME suisses progresse rapidement : 34% l'utilisent consciemment en 2025 contre 22% en 2024 selon l'étude AXA/Sotomo. Mais cette adoption s'accompagne d'un angle mort critique. Seules 34% des PME ont établi des règles claires sur les données que leurs employés peuvent saisir dans les outils d'IA, d'après les données sectorielles de 2025.

Cette lacune expose les dirigeants à des risques juridiques concrets. La nLPD (nouvelle Loi sur la Protection des Données) s'applique directement aux traitements basés sur l'intelligence artificielle selon le Préposé fédéral à la protection des données (PFPDT). Les amendes atteignent CHF 250'000 maximum pour les dirigeants en cas de manquement intentionnel, contrairement au RGPD européen qui vise les entreprises. Si l'identification de l'auteur représente un effort disproportionné, l'amende peut être reportée sur l'entreprise dans la limite de CHF 50'000.

Obligations légales concrètes

La nLPD impose plusieurs exigences aux PME utilisant l'IA. Les fabricants et exploitants de systèmes d'intelligence artificielle doivent rendre transparent la finalité, le fonctionnement et la source des données traitées. Cette obligation touche même les PME qui intègrent des outils d'IA externes.

Les entreprises doivent tenir un registre des activités de traitement, sauf exemption pour celles de moins de 250 collaborateurs si le traitement présente un risque limité. Cette exemption ne s'applique pas automatiquement aux systèmes d'IA qui manipulent des données sensibles.

Une annonce rapide au PFPDT devient obligatoire en cas de violation de la sécurité des données impliquant l'IA. Les entreprises doivent également garantir la protection des données par défaut et effacer ou anonymiser les données personnelles qui ne sont plus nécessaires dans leurs systèmes d'intelligence artificielle.

Le vrai risque quotidien

Le risque principal n'est pas une cyberattaque sophistiquée mais un collaborateur qui saisit des informations sensibles dans un outil grand public sans mauvaise intention, selon les analyses sectorielles. Un employé qui colle une liste client dans ChatGPT pour « nettoyer les données » ou qui demande à Claude d'analyser un rapport contenant des données personnelles crée une violation immédiate.

Ce scénario devient plus probable quand on sait que seulement 23% des entreprises de moins de 10 personnes ont défini des règles d'utilisation de l'IA. La plupart des dirigeants sous-estiment cette exposition quotidienne.

Charte d'usage pratique

Une charte d'usage de l'IA efficace doit préciser quatre éléments : quels outils sont autorisés, quelles données peuvent être saisies, qui vérifie les contenus générés et comment signaler un incident. Cette documentation peut tenir sur une demi-page mais couvre les obligations légales essentielles.

Les outils grand public (ChatGPT, Claude, Gemini) nécessitent des précautions particulières. Leurs conditions d'utilisation permettent souvent l'analyse des données saisies pour améliorer leurs modèles. Les versions payantes « entreprise » de ces outils offrent généralement plus de garanties de confidentialité.

La formation des équipes reste critique. Expliquer concrètement qu'on ne saisit jamais de noms, d'adresses email, de montants de factures ou de données médicales dans un outil public suffit souvent. L'approche par exemples concrets fonctionne mieux que les principes abstraits.

Audit interne simple

Votre PME peut vérifier sa conformité avec un audit rapide. Première question : existe-t-il une politique écrite sur l'utilisation de l'IA, même sommaire ? Deuxième vérification : les employés savent-ils quelles données ils peuvent ou ne peuvent pas saisir dans les outils d'intelligence artificielle ?

Troisième contrôle : y a-t-il un inventaire des outils d'IA utilisés dans l'entreprise, incluant les extensions de navigateur et applications mobiles ? Quatrième point : existe-t-il une procédure pour signaler un incident lié aux données dans un système d'IA ?

Si trois réponses sur quatre sont négatives, votre exposition légale justifie une action rapide. Si une seule réponse est positive, l'urgence devient évidente.

Coûts et alternatives

La mise en conformité IA-nLPD coûte généralement moins cher que l'accompagnement IA global d'une PME. Une charte d'usage et une formation d'équipe représentent quelques milliers de francs, contre des dizaines de milliers pour une amende.

Certaines PME peuvent reporter ces investissements. Si vous n'utilisez aucun outil d'IA et interdisez formellement leur usage professionnel, les obligations nLPD spécifiques à l'intelligence artificielle ne s'appliquent pas. Cette position devient difficile à maintenir quand les employés utilisent des extensions de navigateur ou des applications intégrant de l'IA.

Pour les très petites structures (moins de 5 personnes) sans données sensibles, une politique orale claire et documentée peut suffire temporairement. Mais l'évolution rapide des outils rend cette approche fragile.

Questions fréquentes

Les outils IA gratuits exposent-ils plus ma PME ?

Oui, significativement. Les versions gratuites de ChatGPT, Claude ou Gemini utilisent souvent les conversations pour améliorer leurs modèles. Leurs conditions d'utilisation sont moins protectrices que les versions payantes « entreprise » qui offrent des garanties de confidentialité.

Ma PME de 15 personnes doit-elle tenir un registre des traitements IA ?

Pas automatiquement. L'exemption s'applique aux entreprises de moins de 250 collaborateurs si le traitement présente un risque limité. Mais si vos systèmes d'IA traitent des données sensibles (santé, données biométriques, informations sur des poursuites), le registre devient obligatoire.

Comment former rapidement mes équipes à la conformité IA ?

Commencez par des exemples concrets : « Ne jamais saisir de noms de clients, d'adresses email ou de montants dans ChatGPT ». Cette approche pratique fonctionne mieux que les formations théoriques sur la protection des données. Une session d'une heure avec des cas d'usage réels suffit souvent.

Quels sont les premiers signaux d'une violation de données avec l'IA ?

Un employé qui réalise avoir saisi des données sensibles dans un outil public, une fuite d'informations clients tracée vers un usage d'IA, ou la découverte que des données confidentielles circulent dans des conversations avec des assistants intelligents. La déclaration rapide au PFPDT limite les sanctions.

Puis-je utiliser l'IA pour traiter des données de mes clients suisses ?

Oui, mais avec des précautions. Choisissez des outils avec des garanties de confidentialité, informez vos clients du traitement automatisé, et assurez-vous de pouvoir effacer leurs données du système d'IA. Les versions « entreprise » des grands modèles offrent généralement ces fonctionnalités.

La conformité IA-nLPD ne nécessite pas de révision complète de vos processus, mais exige une attention systématique aux flux de données. Une approche pragmatique, centrée sur les cas d'usage réels de votre PME, suffit souvent à couvrir les obligations légales tout en préservant les bénéfices de l'intelligence artificielle.

Nos services d'automatisation incluent l'audit de conformité nLPD pour les systèmes intelligents que nous mettons en place. Vous souhaitez évaluer l'exposition de votre PME ? Demandez un diagnostic gratuit pour identifier vos priorités de mise en conformité.