IA et nLPD : utiliser ChatGPT et l'IA en entreprise sans risque pour vos données

Un collaborateur colle un e-mail de client dans ChatGPT pour préparer une réponse. Un autre y dépose un tableau de commandes pour en tirer un résumé. C'est pratique, rapide, et dans beaucoup d'entreprises personne ne l'a vraiment décidé. La question arrive ensuite : est-ce permis par la nouvelle loi sur la protection des données, la nLPD ?

La réponse courte : oui, l'IA est permise, mais les règles qui s'appliquent à vos données ne disparaissent pas parce qu'un outil d'IA les traite. Voici ce qu'il faut savoir, sans jargon.

Pas de loi spéciale : c'est la nLPD qui s'applique

La Suisse n'a pas, pour l'instant, de loi propre à l'intelligence artificielle. Le Préposé fédéral à la protection des données (PFPDT) l'a rappelé : la nLPD, en vigueur depuis le 1er septembre 2023, s'applique directement aux traitements faits avec l'IA. Dès qu'un outil reçoit un nom, une adresse, un e-mail ou un dossier client, ce sont des données personnelles, et la loi s'applique comme pour n'importe quel logiciel.

Les cinq points à vérifier

1. Où vont les données. Beaucoup d'outils d'IA traitent les données hors de Suisse. C'est possible vers les pays reconnus par la Confédération comme offrant une protection suffisante, ou avec des garanties contractuelles. Encore faut-il savoir où se trouve le serveur, ce qui n'est pas toujours écrit en clair.
2. Ce que le fournisseur en fait. Certaines offres gratuites ou grand public peuvent utiliser ce que vous saisissez pour améliorer leurs modèles. Les offres professionnelles l'excluent en général par contrat. Le fournisseur est alors un sous-traitant : il faut un contrat qui dit ce qu'il a le droit de faire, et rien de plus.
3. Ce que vos clients savent. La nLPD impose d'informer les personnes dont vous traitez les données. Si l'IA intervient dans le traitement, votre déclaration de confidentialité doit le dire, et si un chatbot répond à vos clients, ils doivent savoir qu'ils parlent à une machine.
4. Qui décide. Une décision prise uniquement par la machine et qui a des effets importants pour une personne (refuser une candidature, un crédit, un dossier) doit être signalée, et la personne peut demander qu'un humain la revoie. Le plus simple : garder une validation humaine sur ce qui compte.
5. Ce qui est sensible. Santé, données financières détaillées, dossiers du personnel : pour ces données, un traitement à risque élevé peut exiger une analyse d'impact écrite avant de commencer. Dans le doute, ces données ne vont pas dans un outil grand public.

Ce qu'une entreprise peut faire dès cette semaine

• Faire la liste des outils d'IA déjà utilisés, y compris ceux que les collaborateurs ont adoptés seuls. On ne protège pas ce qu'on ne connaît pas.
• Écrire une règle d'usage d'une page : quels outils, pour quoi, et quelles données ne doivent jamais y entrer.
• Passer aux comptes professionnels pour les outils que vous gardez, avec les options d'entraînement désactivées et un contrat de sous-traitance.
• Mettre à jour la déclaration de confidentialité de votre site si l'IA traite des données de vos clients.
• Retirer les noms quand ils ne servent à rien. Pour résumer un échange ou reformuler un texte, l'IA n'a souvent pas besoin de savoir de qui il s'agit.

Les sanctions de la nLPD visent les personnes responsables, pas seulement l'entreprise : les amendes peuvent atteindre 250'000 francs en cas de violation intentionnelle de certains devoirs, comme celui d'informer. Raison de plus pour que la règle soit écrite plutôt que supposée.

Une IA construite pour vos données

Quand l'IA touche à des données de clients tous les jours (lire des factures, trier des demandes, préparer des réponses), la solution la plus sûre est souvent de ne pas passer par un outil grand public. Une automatisation sur mesure peut être hébergée en Suisse, utiliser un modèle choisi pour l'endroit où il traite les données, ne transmettre que ce qui est nécessaire et garder la trace de chaque traitement.

C'est ainsi que nous construisons nos automatisations et agents IA : chaque flux de données est décrit par écrit, pour votre registre et pour répondre à vos clients. Un exemple concret : l'automatisation des factures fournisseurs. Pour savoir par où commencer sans rien risquer, le diagnostic de processus identifie ce qui vaut la peine d'être automatisé, et comment le faire proprement. Sur l'hébergement, voir aussi héberger son site en Suisse.

Cet article donne des repères généraux et ne remplace pas un avis juridique pour votre situation.