ChatGPT en Suisse : est-ce autorisé et que dit la LPD ?

Une assistante médicale à Sion colle un rapport de sortie dans ChatGPT pour en tirer une lettre au patient. Le logiciel, je n’ai rien contre. Le rapport, lui, porte un nom, une date de naissance et un diagnostic : des données sensibles viennent de partir à l’étranger.

Ce guide s’en tient au droit suisse (nLPD, Code pénal, loi sur les banques) et à ce qu’OpenAI publie pour ses utilisateurs en Suisse. Le cadre général est dans ce que la nLPD exige d’un usage professionnel de l’IA.

ChatGPT en Suisse : autorisé, et quelle loi sur l’IA ?

Aucune loi fédérale n’interdit ChatGPT, ni au bureau ni à la maison. Les interdictions dont on entend parler sont des règles internes : une administration cantonale ou une banque qui bloque l’accès sur ses postes. Elles lient le personnel, pas la population, et je les comprends sur un poste qui traite des dossiers.

Pas de « loi IA » à attendre non plus. Le 8 mai 2025, le PFPDT a rappelé que la LPD, neutre sur le plan technologique, s’applique directement à l’IA. En mars 2025, la Suisse a apposé sa signature au traité-cadre du Conseil de l’Europe sur l’intelligence artificielle.

Le règlement européen sur l’IA n’est pas du droit suisse, mais il rattrape certaines entreprises romandes actives dans l’UE. Une loi fédérale dédiée n’est pas nécessaire pour encadrer ChatGPT au bureau : la règle existe depuis septembre 2023.

Où vont les données de ChatGPT quand on écrit depuis la Suisse

Pour une personne qui vit en Suisse, la politique de confidentialité européenne d’OpenAI, version du 24 août 2026, désigne OpenAI Ireland Limited, à Dublin, comme responsable du traitement. C’est à cette société qu’une demande d’accès ou d’effacement s’adresse.

La même politique annonce un traitement sur des serveurs hors de l’EEE, de la Suisse et du Royaume-Uni, notamment aux États-Unis. Ce que vous supprimez sort de ses systèmes sous 30 jours, sauf obligation de conserver : d’où l’intérêt de faire le ménage dans l’historique ChatGPT.

Un détail me chiffonne. Pour les transferts, OpenAI cite les décisions d’adéquation et les clauses types de la Commission européenne, sans instrument propre à la Suisse. L’entreprise qui s’y fie doit vérifier elle-même qu’elles tiennent face à l’art. 16 LPD.

Coller les données d’un client : ce que dit la nLPD

Dès que le texte identifie quelqu’un, c’est vous, ou votre entreprise, qui répondez du traitement. L’art. 16 al. 1 LPD autorise l’envoi à l’étranger vers un État que le Conseil fédéral juge adéquat. La liste figure à l’annexe 1 de l’OPDo.

Les États-Unis y figurent avec une réserve : seulement pour les organisations certifiées selon le cadre de protection des données Suisse–États-Unis. Sinon, il faut une garantie de l’art. 16 al. 2, comme des clauses types, ou une dérogation de l’art. 17, comme le consentement exprès.

L’amende vise la personne : sur plainte, l’art. 61 LPD prévoit jusqu’à 250 000 francs contre celui qui envoie sciemment des données à l’étranger hors de ces règles. On cite moins l’art. 9, et c’est dommage : pas de sous-traitance quand un secret l’interdit.

Secret professionnel et secret bancaire : avocats, médecins, banques

Pour une partie des métiers romands, le Code pénal passe avant la LPD. L’art. 321 CP punit, sur plainte, les avocats, notaires, médecins, pharmaciens, psychologues, physiothérapeutes, ostéopathes et leurs auxiliaires qui révèlent un secret confié. Les contrôleurs astreints au secret par le Code des obligations y figurent aussi.

L’art. 47 de la loi sur les banques (RS 952.0) va plus loin : l’employé simplement négligent risque déjà une amende plafonnée à 250 000 francs. Côté surveillance, la FINMA range la dépendance envers des tiers parmi les risques de l’IA que les établissements doivent gérer.

Les fiduciaires et les régies n’apparaissent pas dans l’art. 321 CP ; l’art. 62 LPD vise toutefois la révélation intentionnelle de données secrètes connues par la profession. Dans une étude, je ne transige pas : aucun nom de partie ne part chez un tiers. C’est aussi la règle pour les études d’avocats.

Sécuriser ChatGPT : entraînement, chat temporaire, API

Sur les comptes Free, Plus et Pro, OpenAI peut entraîner ses modèles sur vos conversations. Pour refuser, coupez « Améliorer le modèle pour tous » dans Paramètres, Contrôles des données. Un pouce levé ou baissé sur une réponse renvoie toutefois toute la conversation, même après ce refus.

Le PFPDT raisonne ainsi ailleurs. En mars 2025, il a jugé conforme à la LPD l’option offerte aux utilisateurs de X pour refuser l’entraînement de Grok, en ajoutant qu’il leur revient de s’en servir. Sur un compte où passent des dossiers, les pouces restent au repos : un clic suffit à tout renvoyer.

Sur Business, Enterprise, Edu et l’API, OpenAI n’entraîne pas ses modèles par défaut. Pour l’API, la documentation développeurs d’OpenAI propose une région « Europe (EEA + Switzerland) », sous conditions de conservation. Les pièces jointes suivent leurs propres règles, détaillées dans ce que ChatGPT garde des photos et fichiers.

Numéro AVS, IBAN, natel : préparer le texte avant de le coller

Dans un document de bureau romand, ce qui identifie quelqu’un tient souvent en formats fixes : le numéro AVS en 756, l’IBAN en CH, l’IDE en CHE, le natel en 07x. Le premier mérite une attention à part, car le numéro AVS circule bien au-delà de l’AVS.

Entre supprimer et remplacer, je choisis remplacer. Avec [PERSONNE_1] ou [IBAN_1], l’assistant sait encore qui paie et qui reçoit, et rédige une réponse que vous complétez ensuite. Le montant et l’objet restent : sans eux, il ne peut rien écrire d’utile.

Relisez ensuite ce qui échappe aux formats : un prénom au détour d’une phrase, un numéro de police d’assurance, « le seul garagiste de Vicques ». Pour un fichier entier, l’outil en ligne de Nonimo prend le relais ; pour un passage, le test ci-dessous fait un premier tri.

Une directive IA pour la fiduciaire, la régie ou la commune

Une PME n’a pas besoin d’un projet de six mois. Il faut surtout décider ce qui ne part jamais tel quel et sur quels comptes on travaille. Un compte personnel utilisé pour des dossiers échappe à tout contrôle ; si la PME était la mienne, c’est le premier trou que je boucherais.

La déclaration de protection des données doit suivre : l’art. 19 al. 4 LPD demande de nommer l’État de destination et, le cas échéant, la garantie. Si un dossier part par erreur avec un risque élevé pour les personnes, l’art. 24 impose une annonce au PFPDT dans les meilleurs délais.

Une directive d’une demi-page qu’on lit vaut mieux qu’une charte de vingt pages signée sans être ouverte. Pour la version longue, partez du modèle de charte IA pour PME.

ChatGPT au bureau en Suisse romande : mon verdict

ChatGPT n’est ni interdit ni neutre. Ce qui part chez OpenAI relève de la LPD et, pour les métiers tenus au secret, du Code pénal ou de la loi sur les banques. Un abonnement plus cher ne rappelle pas une donnée déjà partie.

Nonimo pour les bureaux suisses part de là. Sur votre ordinateur, avant que la relance de la fiduciaire parte, il pose [PERSONNE_1], [AHV_CH_1] ou [IBAN_1] à la place du nom écrit après « Client : », du natel, de l’e-mail et de la date de naissance. La lettre revenue de ChatGPT retrouve les vrais numéros.

L’opération n’anonymise pas tout : un compte postal ou une carte d’assuré LAMal peuvent rester lisibles, et c’est à vous de les masquer avant l’envoi. Ce que coûte chaque poste est sur la page des tarifs.

Sources

• Loi fédérale sur la protection des données (LPD, RS 235.1) : art. 5, 9, 16, 17, 19, 24, 61 et 62.
• Ordonnance sur la protection des données (OPDo, RS 235.11) : annexe 1, États-Unis adéquats seulement pour les organisations certifiées.
• PFPDT, la loi actuelle sur la protection des données est directement applicable à l’IA, 8 mai 2025 : LPD neutre technologiquement, convention du Conseil de l’Europe signée en mars 2025.
• PFPDT, clôture de l’enquête préliminaire contre X sur l’entraînement de Grok, 20 mars 2025 : option d’opposition jugée conforme à la LPD.
• OpenAI, Europe privacy policy, version du 24 août 2026 : responsable pour la Suisse, transferts, effacement sous 30 jours, recours au PFPDT.
• OpenAI, How your data is used to improve model performance : entraînement par défaut sur Free, Plus et Pro, effet des avis, offres professionnelles.
• FINMA, communication sur la surveillance 08/2024, 18 décembre 2024 : gouvernance et risques de l’IA, dont la dépendance envers des tiers.
• Data Privacy Framework List : liste officielle des organisations certifiées, avec un filtre Swiss-U.S.

Consulté le 9 novembre 2026.