Charte IA en entreprise : un modèle pour les PME suisses

Dans bien des PME romandes, l’IA est entrée par la petite porte. Un collaborateur traduit une offre, une apprentie fait relire ses courriels, et personne n’a jamais dit avec quel compte ni avec quelles données. Chacun s’est donc fixé sa propre règle. Cette dispersion m’inquiète davantage que le choix de tel ou tel outil.

En Suisse, une charte IA n’a pas de forme imposée : c’est une directive de l’employeur, adossée au CO et à la LPD. Le dossier que la loi demande pour chaque outil (contrat, transfert, registre) se monte article par article selon la nLPD ; ici, on écrit la règle interne.

Directive de l’employeur ou règlement d’entreprise : la base légale de la charte IA

L’art. 321d CO autorise l’employeur à établir des directives générales sur l’exécution du travail et la conduite des travailleurs. Ceux-ci les observent selon les règles de la bonne foi. Une charte IA entre dans cette case, sans vote ni approbation d’une autorité.

Le règlement d’entreprise obéit à d’autres règles. Obligatoire dans les entreprises industrielles (art. 37 LTr), en principe facultatif ailleurs, il est soumis à l’autorité cantonale. Lui seul permet de prévoir des sanctions disciplinaires (art. 38 LTr).

Pour une fiduciaire ou une régie, mon choix va à la directive, remise contre signature. Le droit européen ne change pas cette base : il ne touche une PME suisse que dans les cas décrits dans notre guide du règlement européen sur l’IA.

Modèle de charte IA pour une PME suisse : douze chiffres à copier

Le modèle tient sur une page recto verso. Il est numéroté en chiffres, comme les directives internes suisses, pour qu’on puisse renvoyer un collègue au « ch. 6 ». Remplacez les crochets et biffez ce qui ne vous concerne pas.

Si je ne devais garder qu’un passage, ce serait le ch. 6 : sans liste nommée, « confidentiel » veut dire autre chose pour chacun. Le détail champ par champ se trouve dans notre inventaire des données à retirer avant l’IA.

Pour une affichette d’une demi-page au secrétariat, la directive courte de notre guide ChatGPT fait l’affaire. Le texte ci-dessous est celui qu’on fait signer.

Outils autorisés et compte d’entreprise : la liste que tient la direction

Le ch. 3 renvoie à une liste. Pour chaque outil, elle indique le type de compte, le rôle du fournisseur et les usages admis. Si vous tenez un registre des activités de traitement (art. 12 LPD), la même information y entre.

Le compte privé est exclu même payant, pour une raison simple : l’art. 9 LPD n’admet la sous-traitance que sur la base d’un contrat ou de la loi. L’abonnement qu’un employé ouvre avec son adresse personnelle ne lie le fournisseur qu’à lui.

Sur Copilot, je lirais deux fois une ligne précise. Selon Microsoft, les invites de Copilot Chat relèvent du contrat d’entreprise, mais les recherches web envoyées à Bing suivent d’autres conditions. Ce partage, détaillé dans notre guide sur Copilot et les données, doit figurer sur la liste.

Données de clients interdites dans l’IA : ce que chaque métier ajoute

Nommer les documents marche mieux qu’un principe. La charte adoptée le 28 avril 2026 par l’Institut de langue et civilisation françaises de l’Université de Neuchâtel interdit ainsi de déposer dans une IA le matériel fourni par les enseignants.

Pour les avocats, notaires et médecins, la barre monte. L’art. 9, al. 1, let. b LPD exclut la sous-traitance qu’une obligation de garder le secret interdit, et l’art. 321 CP s’ajoute. Pour une étude de Sion ou de Neuchâtel, ce cumul est décortiqué dans l’art. 321 CP face aux assistants d’IA.

Un catalogue de quarante rubriques, personne ne le relit. Au ch. 6, je me limite aux trois ou quatre dossiers qui circulent chez vous chaque semaine.

Art. 328b CO : quand l’IA traite les données du personnel

Une charte regarde souvent vers les clients et oublie l’équipe. L’art. 328 CO oblige pourtant l’employeur à protéger la personnalité du travailleur, et l’art. 328b limite les données qu’il traite à l’aptitude à l’emploi et à l’exécution du contrat, la LPD en plus.

Trier des candidatures avec une IA n’est pas interdit. Mais si un refus tombe sans regard humain sur le dossier, l’art. 21 LPD oblige à en informer le candidat, qui peut demander un réexamen par une personne. Le ch. 5 du modèle évite d’en arriver là.

Un certificat médical n’a rien à faire dans un assistant, compte d’entreprise ou pas : la santé figure parmi les données sensibles de la LPD. Passez votre chemin aussi sur les outils qui promettent de « mesurer l’engagement » à partir des courriels internes.

Contrôle de l’usage de l’IA par les employés : la limite de l’art. 26 OLT 3

L’art. 26 de l’ordonnance 3 relative à la loi sur le travail interdit les systèmes destinés à surveiller le comportement des travailleurs à leur poste. Le SECO range parmi ces systèmes les outils informatiques qui enregistrent des données, journaux d’événements et URL compris.

Tout contrôle n’est pas exclu pour autant : le SECO pose quatre conditions, reprises dans l’ordre ci-dessous. Elles valent aussi pour les communes, puisque les règles de la LTr sur la protection de la santé s’appliquent à leur administration (art. 3a LTr).

Ma ligne pour une PME : vérifier les comptes et les abonnements, jamais le contenu des conversations à titre préventif. Ouvrir les échanges d’une personne suppose un motif précis, comme un incident qu’elle a elle-même signalé.

Informer le personnel et former : adopter la charte IA pas à pas

Une directive dont personne n’a reçu le texte ne sert à rien le jour d’un litige. La remise contre signature, puis une courte séance, suffisent dans la plupart des bureaux.

Dès cinquante travailleurs, le personnel peut élire une représentation (loi sur la participation, art. 3) ; sans elle, il exerce lui-même ses droits (art. 4). Sur la protection de la santé, dont relève le contrôle technique, il est consulté avant la décision (art. 48 LTr).

Si une donnée part quand même, le ch. 10 fixe le premier geste ; l’évaluation du risque suit notre guide pour annoncer une violation au PFPDT. Je ne vois pas de pire idée que de punir l’aveu spontané d’une erreur : c’est lui qui permet d’annoncer à temps.

Charte IA au quotidien : le nom du client reste sur le poste

Une charte décrit un geste, mais ce geste doit encore être fait à 17 h 50, quand la lettre doit partir. C’est la limite de tout texte signé, et je préfère une règle appliquée au moment de l’envoi à une règle confiée à la mémoire.

L’application Nonimo pour les PME romandes fait le ch. 7 sur votre ordinateur, sans compter sur la mémoire. Le nom qui suit « Client : », le courriel, le natel, l’IBAN ou le numéro AVS partent en étiquettes, et le rappel revient avec le nom et le courriel de Mme Rossier à leur place.

L’application n’anonymise pas tout, et la relecture du ch. 4 reste due : « la cliente qui tient le kiosque de la gare d’Orbe » n’a pas d’étiquette, et quelqu’un doit la repérer. Un tableau de salaires entier relève plutôt des outils en ligne, qui traitent le fichier sur notre serveur.

Sources

• Loi fédérale sur la protection des données (LPD, RS 235.1) : art. 5, 7, 8, 9, 12, 19, 21 et 24.
• Code des obligations (CO, RS 220) : art. 321d, 328 et 328b.
• Loi sur le travail (LTr, RS 822.11), art. 3a, 37 à 39 et 48 ; ordonnance 3 (OLT 3, RS 822.113), art. 26 ; loi sur la participation (RS 822.14), art. 3 et 4, textes publiés sur Fedlex.
• PFPDT, la loi actuelle sur la protection des données est directement applicable à l’IA, 8 mai 2025 : la LPD vaut pour les traitements faits avec l’IA.
• SECO, Surveillance technique au poste de travail : outils informatiques comptés comme systèmes de surveillance, quatre conditions, information préalable.
• Microsoft Learn, protection des données d’entreprise dans Copilot et Copilot Chat : Microsoft sous-traitant, pas d’entraînement sur les invites, recherches web à part.
• Université de Neuchâtel, Charte de l’ILCF relative à l’utilisation de l’IA, adoptée le 28 avril 2026.

Consulté le 9 novembre 2026.