nLPD et projets IA : la checklist pour PME romandes

Le jour où l'e-mail d'un client entre dans un prompt, votre projet d'IA traite des données personnelles — et la loi fédérale sur la protection des données s'applique, en entier, depuis ce jour-là. Pas de période transitoire : la nouvelle loi (nLPD) est en vigueur depuis le 1er septembre 2023, et le Préposé fédéral à la protection des données et à la transparence (PFPDT) a confirmé qu'elle est technologiquement neutre — l'IA n'a droit à aucun régime spécial, ni plus sévère ni plus clément.

La bonne nouvelle : pour une PME, la conformité d'un projet d'IA n'est ni un chantier juridique de six mois ni une raison de ne pas lancer. C'est une série de questions à poser dans le bon ordre, avant le lancement. Ce playbook les pose, explique le minimum vital de chacune, et se termine par une checklist à copier dans votre outil de gestion de projet.

Ce que la nLPD change — et ne change pas — pour un projet d'IA

Trois repères pour situer le terrain, sans jargon :

1. Elle protège les personnes physiques. Données de clients, de collaborateurs, de prospects. Les données purement techniques ou d'entreprises ne sont pas concernées — mais un e-mail professionnel nominatif l'est.
2. Le traitement privé est licite par défaut. Contrairement au Règlement général sur la protection des données européen (RGPD), la nLPD n'exige pas de base légale pour chaque traitement. En échange, elle impose des devoirs précis : informer, sécuriser, encadrer les transferts, répondre aux demandes d'accès. C'est sur ces devoirs que se joue votre conformité.
3. Les sanctions visent des personnes. Jusqu'à CHF 250 000 d'amende pénale pour la personne physique responsable, en cas de violation intentionnelle de devoirs précis. Le législateur a voulu que la protection des données soit un sujet de direction — pas un dossier qu'on délègue et qu'on oublie.

Les 7 questions à poser avant de lancer

1. Quelles données personnelles entrent dans le système ?

L'inventaire d'abord. Listez ce qui entrera réellement dans les prompts, les documents indexés, les journaux : noms, e-mails, adresses, dossiers, photos. Repérez les données sensibles (santé, opinions, données biométriques, origine) — elles déclenchent des exigences renforcées à chaque étape suivante.

Puis appliquez le principe le plus rentable de toute la loi : la minimisation. Ce qui n'entre pas dans le système n'a pas besoin d'être protégé. Pseudonymisez avant le prompt quand l'identité n'apporte rien à la tâche — un LLM qui résume un dossier n'a presque jamais besoin du nom du client.

2. Où partent les données ?

Chaque fournisseur d'IA est un maillon d'une chaîne : le modèle, son cloud, leurs sous-traitants. La question n'est pas « le fournisseur est-il connu ? » mais « dans quel pays le traitement a-t-il lieu, et avec quelle garantie ? »

• Suisse et Union européenne : pays reconnus adéquats, pas de formalité supplémentaire.
• États-Unis : adéquat si le fournisseur est certifié sous le Swiss-U.S. Data Privacy Framework (DPF), reconnu par le Conseil fédéral depuis septembre 2024. La certification se vérifie en deux minutes sur le registre officiel — par entreprise, pas par produit.
• Ailleurs, ou fournisseur non certifié : clauses contractuelles types à intégrer au contrat.

3. Votre fournisseur s'entraîne-t-il sur vos données ?

Les offres professionnelles (API, plans entreprise) des grands fournisseurs excluent en général l'entraînement sur vos données par défaut ; les offres grand public gratuites, souvent pas. La différence doit être contractuelle, pas supposée : exigez un contrat de traitement des données (DPA) qui fixe l'usage, la durée de conservation des prompts et la chaîne de sous-traitance. C'est votre devoir de diligence en tant que responsable du traitement — le sous-traitant agit sur mandat, et le mandat s'écrit.

4. L'IA prend-elle des décisions automatisées ?

Si le système produit une décision individuelle automatisée — un effet juridique ou une atteinte notable pour la personne : refuser un crédit, écarter une candidature, résilier un service — la loi impose d'en informer la personne et de lui permettre de demander une revue humaine.

Notre position d'architecture, que nous appliquons dans nos propres projets : gardez l'humain dans la boucle aux points de décision dès la conception. Ce n'est pas seulement de la conformité — c'est ce qui rend le système digne de confiance.

5. Faut-il une analyse d'impact (AIPD) ?

L'analyse d'impact relative à la protection des données est obligatoire quand le traitement présente un risque élevé — la loi cite expressément l'usage de nouvelles technologies, le traitement de données sensibles à grande échelle, le profilage à risque élevé. Beaucoup de projets d'IA cochent la première case ; tous ne présentent pas un risque élevé pour autant.

Le réflexe utile : documentez l'évaluation même quand la conclusion est « pas d'AIPD nécessaire ». Une page suffit. Si le risque élevé se confirme et qu'il subsiste après vos mesures, la consultation du PFPDT (ou de votre conseiller à la protection des données) est l'étape suivante.

6. Que dit votre politique de confidentialité ?

Le devoir d'informer s'applique à tout traitement : finalités, destinataires ou catégories de destinataires, pays de destination. Si votre assistant IA envoie des extraits de conversations client à un fournisseur américain, votre politique de confidentialité doit le refléter — avant le lancement, pas après la première question embarrassante.

7. Pouvez-vous répondre à une demande d'accès ?

Toute personne peut vous demander quelles données vous traitez à son sujet. Avec un système d'IA, la réponse honnête exige de savoir : ce qui figure dans vos journaux de prompts, ce qui est indexé dans votre base documentaire, ce que votre fournisseur conserve et combien de temps. Définissez une politique de rétention des prompts et des sorties dès la conception — c'est beaucoup plus simple que de reconstruire l'historique sous pression, dans le délai légal de 30 jours.

Les pièges propres aux LLM

Quatre points où nous voyons les projets trébucher :

• Les prompts sont des données personnelles. Tout le monde protège la base de données ; peu de monde pense aux journaux d'invocation, aux traces de débogage, aux captures d'écran dans les tickets. Vos logs font partie du périmètre.
• Le shadow AI est déjà dans vos murs. Si vos collaborateurs collent des données client dans un outil grand public gratuit, votre premier chantier de conformité n'est pas contractuel : c'est une directive interne claire et une alternative professionnelle à leur donner.
• Les index documentaires (RAG) héritent des droits d'accès. Un moteur de recherche interne qui répond à tout le monde avec les documents de tout le monde est une violation de la personnalité en attente. Les contrôles d'accès du système source doivent survivre dans l'index.
• La chaîne de sous-traitance est plus longue qu'elle en a l'air. Modèle → cloud du modèle → hébergeur de votre application → outil d'observabilité. Chaque maillon qui voit des données personnelles doit être sous contrat et, s'il est hors de Suisse, couvert par une garantie de transfert.

La checklist

À copier telle quelle dans votre outil de projet — chaque case correspond à une section ci-dessus :

## Conformité nLPD — projet IA

### Inventaire

- [ ] Données personnelles entrantes listées (prompts, index, journaux)
- [ ] Données sensibles identifiées et minimisées
- [ ] Pseudonymisation appliquée là où l'identité n'apporte rien

### Fournisseurs et transferts

- [ ] Pays de traitement identifié pour chaque maillon de la chaîne
- [ ] Certification DPF vérifiée (registre officiel) ou clauses types signées
- [ ] DPA signé : pas d'entraînement sur nos données, rétention définie
- [ ] Sous-traitants du fournisseur passés en revue

### Conception

- [ ] Décisions automatisées identifiées ; revue humaine prévue
- [ ] Évaluation du risque documentée (AIPD réalisée si risque élevé)
- [ ] Contrôles d'accès du système source répercutés dans l'index RAG
- [ ] Politique de rétention des prompts et sorties définie

### Devoirs

- [ ] Politique de confidentialité mise à jour AVANT le lancement
- [ ] Procédure de demande d'accès testée (délai : 30 jours)
- [ ] Directive interne IA communiquée aux collaborateurs
- [ ] Registre des traitements tenu (recommandé même si exempté)
- [ ] Annonce de violation : qui décide, qui notifie le PFPDT, sous quel délai

Et la suite ?

La Suisse n'a pas de loi sur l'IA aujourd'hui, et c'est un choix : le Conseil fédéral a opté début 2025 pour la ratification de la Convention sur l'IA du Conseil de l'Europe et des ajustements sectoriels, plutôt que pour un équivalent de l'AI Act européen. Si vous servez des clients dans l'UE, l'AI Act peut néanmoins vous concerner — nous y consacrerons un article du Radar suisse.

D'ici là, la nLPD est le terrain de jeu complet, et ce playbook en couvre l'essentiel. Les textes font foi : la loi sur Fedlex et les guides du PFPDT. Et si vous préférez poser ces questions à quelqu'un qui les a déjà traversées en construisant des systèmes d'IA — c'est précisément le premier atelier de notre accompagnement stratégique.