nLPD et IA : ce qu'elle exige si vous utilisez ChatGPT
· Mis à jour le
Joaquín Trapero in Spécialiste de l'intelligence artificielle et de la protection des données, fondateur de Nonimo.
Un assistant d’IA ne fait pas changer de loi. La LPD révisée, en vigueur depuis le 1er septembre 2023, vise tout texte qui permet de reconnaître quelqu’un, qu’il passe par un tableur ou par une fenêtre de discussion. L’IA, je la range dans l’ancien régime : elle ajoute surtout des pièces au dossier.
Je les passe en revue article par article, chaque fois avec le cas d’une PME, d’une fiduciaire ou d’une régie romande qui travaille avec ChatGPT. Les serveurs et les réglages d’OpenAI ont leur propre page : ChatGPT en Suisse et la LPD.
La nLPD s'applique déjà à ChatGPT et à tout outil d'IA qui traite des données personnelles. Le PFPDT le dit depuis novembre 2023. Pour l'entreprise : un compte professionnel sous contrat (art. 9), une base pour l'étranger (art. 16), l'information des clients (art. 19) et une analyse d'impact si le risque est élevé.
La nLPD s’applique à l’IA : la position du PFPDT depuis 2023
Le 9 novembre 2023, deux mois après l’entrée en vigueur de la loi, le Préposé fédéral l’a écrit net : la LPD ne vise aucune technologie en particulier, donc elle s’applique directement à l’IA. Il a repris le même raisonnement le 8 mai 2025.
Sa page « IA et protection des données » du 24 septembre 2025 vise fabricants, fournisseurs et utilisateurs. L’entreprise qui équipe son personnel d’un assistant est utilisatrice. Une commune, elle, relève d’abord de sa loi cantonale, comme le détaille l’IA dans les communes suisses.
Le message n’a pas bougé en trois ans, ce que je tiens pour une bonne nouvelle : la règle est connue, et l’on peut mettre ses outils en ordre aujourd’hui. Le tableau traduit le PFPDT en tâches de bureau ; le Préposé ne cite aucun article, c’est moi qui les ajoute.
Ce que dit le PFPDT, traduit pour un bureau
OpenAI absent de la liste des destinataires : l'oubli de l'art. 19, en surbrillance, guette la PME qui a ouvert ChatGPT sans revoir sa déclaration.
| Position du PFPDT | Article de la LPD (rattachement proposé) | Pour une entreprise utilisatrice |
|---|---|---|
| Finalité, fonctionnement et sources de données rendus transparents | Art. 19 | Le fournisseur d'IA, OpenAI pour ChatGPT, figure parmi les destinataires annoncés aux clients |
| Droit de savoir qu'on écrit à une machine, et si les saisies servent à l'entraînement | Art. 6 al. 3 et art. 19 | Un assistant de discussion sur votre site, même bâti sur ChatGPT, se présente comme tel |
| Droit d'exiger qu'un être humain revoie une décision automatisée | Art. 21 | Une personne reste en bout de chaîne quand l'outil trie des dossiers |
| Risque élevé admis, avec des mesures de protection | Art. 22 et 23 | Analyse d'impact avant de lancer l'usage |
| Visages, images ou voix falsifiés : toujours signalés | Pas de rattachement retenu | Un visuel retouché par IA d'une personne réelle est annoncé comme tel |
| Reconnaissance faciale généralisée en temps réel, « social scoring » : interdits | Pas de rattachement retenu | Hors du champ d'un bureau, mais la limite est posée |
Sources : PFPDT, brève du 9 novembre 2023 et page « IA et protection des données » du 24 septembre 2025. Ces pages ne citent aucun numéro d'article : la deuxième colonne est un rattachement fait par Nonimo, pas par le PFPDT.
Principes de l’art. 6 et protection dès la conception pour un outil d’IA
L’art. 6 LPD pose les règles de tout traitement : licéité, bonne foi, proportionnalité, finalité reconnaissable, destruction des données inutiles. L’al. 5 ajoute l’exactitude, qu’on cite peu. Une date que ChatGPT invente dans la lettre d’un client devient une donnée inexacte.
L’art. 7 veut ces principes dès la conception, avec des préréglages limités au minimum requis. Pour ChatGPT, tout se joue à l’ouverture des comptes : espace d’entreprise plutôt que comptes privés, entraînement exclu, historique court, accès nominatifs. L’art. 8 ajoute une sécurité adaptée au risque.
Avec un assistant qui rédige, l’exactitude passe avant les autres : il invente une échéance avec le même aplomb qu’il recopie la bonne. Le même principe ne mord pas pareil selon l’usage : choisissez le vôtre.
Quels principes votre usage de l'IA met-il à l'épreuve ?
Quatre usages courants dans un bureau romand.
Proportionnalité (art. 6 al. 2). Pour résumer un fil de courriels, ChatGPT n'a besoin ni des noms ni des coordonnées. Retirez-les avant l'envoi ; les données sensibles d'un client, santé ou poursuites, encore plus. La liste est dans les données sensibles selon la nLPD.
Destruction (art. 6 al. 4) et information (art. 19). L'enregistrement d'une assemblée de PPE ou d'un conseil d'administration n'a plus d'utilité une fois le procès-verbal adopté. Les participants doivent savoir qu'un outil le traite.
Exactitude (art. 6 al. 5) et décision automatisée (art. 21). Un résumé de CV qui se trompe sur un diplôme fausse la sélection. Si l'outil écarte seul des candidats, l'art. 21 s'applique ; la section qui lui est consacrée suit plus bas.
Finalité reconnaissable (art. 6 al. 3). Le visiteur doit savoir qu'il écrit à une machine et si ses messages servent à entraîner le système. Le PFPDT le dit en toutes lettres.
D'après la LPD (RS 235.1), art. 6, 7, 19 et 21, et la page du PFPDT « IA et protection des données ». Usages choisis à titre d'exemple.
Contrat de sous-traitance et transfert à l’étranger : le dossier du fournisseur d’IA
Le fournisseur qui traite des données pour votre compte est un sous-traitant. L’art. 9 l’admet avec un contrat, et si aucun secret ne s’y oppose. Pour une banque, ce dernier point se lit avec le secret bancaire face à l’IA.
Serveurs hors de Suisse ? L’art. 16 accepte les États de l’annexe 1 de l’OPDo, où les États-Unis ne figurent que pour les organisations certifiées selon le cadre Suisse–États-Unis. Sinon, il faut une garantie de l’al. 2 ou une dérogation de l’art. 17.
Chez OpenAI, ce contrat est un avenant sur le traitement des données, rattaché à son contrat de services pour les entreprises ; un client établi en Suisse le conclut avec OpenAI Ireland Ltd. Un compte ChatGPT privé n’en a pas : je n’y mettrais aucun dossier client.
Le dossier de votre fournisseur d'IA est-il complet ?
Cochez ce que vous pouvez montrer aujourd'hui, document à l'appui.
0 pièce(s) sur 7
Dossier lacunaire. Les cases non cochées des art. 9 et 16 renvoient aux infractions de l'art. 61 LPD si l'envoi est intentionnel.
Il manque des pièces. Commencez par celles de l'art. 9 : sans elles, le reste ne tient pas.
Le cadre contractuel tient. Reste ce que vos collaborateurs collent chaque jour dans l'outil.
Liste établie d'après la LPD, art. 9, 16, 17 et 19, et l'annexe 1 de l'OPDo. Le mandat d'une fiduciaire peut ajouter ses propres limites (l'IA en fiduciaire), le secret bancaire aussi (banques et gérants de fortune).
Devoir d’informer : la déclaration de protection des données face à l’IA
L’art. 19 oblige à dire aux personnes qui traite leurs données, pourquoi, et à quels destinataires elles vont. OpenAI en est un dès que des données de clients passent par ChatGPT. Si les données quittent la Suisse, l’al. 4 ajoute l’État et la garantie retenue.
La formule passe-partout « Nous pouvons faire appel à des prestataires » ne nomme ni État ni garantie : elle rate l’al. 4, et je la tiens pour une déclaration à refaire. Côté clients, la même transparence peut figurer dans une clause IA du contrat de mandat.
Un paragraphe à adapter dans votre déclaration
Remplacez les crochets. Pour un espace ChatGPT d'entreprise, l'avenant d'OpenAI désigne OpenAI Ireland Ltd. comme cocontractant d'un client suisse.
Pour rédiger, traduire et résumer notre correspondance, nous utilisons un assistant d'intelligence artificielle fourni par [nom du fournisseur], qui agit comme sous-traitant sur la base d'un contrat. Les textes transmis peuvent être traités en [État]. Ce transfert repose sur [décision d'adéquation du Conseil fédéral / clauses types reconnues par le PFPDT]. Nos contrats excluent l'utilisation de vos données pour entraîner les modèles du fournisseur.
Modèle rédigé d'après l'art. 19 al. 2 et 4 LPD. N'écrivez la dernière phrase que si vos contrats le prévoient.
Décision individuelle automatisée : quand l’art. 21 vise un outil d’IA
L’art. 21 vise une décision prise exclusivement par un traitement automatisé, qui a des effets juridiques pour la personne ou l’affecte de manière significative. Vous devez l’en informer ; elle peut faire valoir son point de vue et exiger qu’une personne physique revoie la décision.
Exceptions : la décision sert un contrat et satisfait la demande, ou la personne a expressément consenti. L’OFCS et le PFPDT pointent la présélection de candidats reprise telle quelle. Une régie qui trie des dossiers de location s’en approche, et l’IA en régie immobilière commence par ce tri.
Ma préférence va à un partage simple : ChatGPT classe, une personne écarte. Le gain de temps reste, et l’art. 21 ne trouve plus prise, à condition que la relecture en soit une.
Votre outil prend-il une décision individuelle automatisée ?
Exemple : la Régie Crêt-Fleuri SA, à Monthey, fait trier par ChatGPT ses dossiers de candidature à un appartement.
Le résultat de l'outil s'applique-t-il sans qu'une personne l'examine avant qu'il touche le candidat ?
La décision a-t-elle des effets juridiques pour la personne, ou l'affecte-t-elle de manière significative (refus d'un logement, d'un emploi, d'un crédit) ?
La personne a-t-elle expressément consenti à une décision automatisée, ou la décision lui accorde-t-elle ce qu'elle demandait dans le cadre d'un contrat ?
Régie inventée pour l'exemple. Schéma d'après l'art. 21 LPD, qui ne remplace pas l'examen d'un cas réel.
Registre des activités de traitement : une ligne par outil d’IA
L’art. 12 impose, comme règle de base, un registre des activités de traitement. L’art. 24 OPDo en dispense les entreprises de moins de 250 collaborateurs au 1er janvier, sauf si elles traitent des données sensibles à grande échelle ou font du profilage à risque élevé.
Exempté ou non, je tiens à cette ligne. Elle oblige à répondre aux sept rubriques de l’art. 12 al. 2, et ces réponses servent ensuite partout : déclaration de protection des données, charte IA de l’entreprise, réponse à un client inquiet.
La ligne de registre d'un assistant d'IA
Les sept rubriques de l'art. 12 al. 2 LPD, remplies pour une fiduciaire fictive qui travaille avec ChatGPT.
| Rubrique | Exemple : Fiduciaire des Grands-Chênes Sàrl, Payerne |
|---|---|
| a. Responsable | Fiduciaire des Grands-Chênes Sàrl, avec ses coordonnées |
| b. Finalité | Rédiger, traduire et résumer la correspondance des mandats |
| c. Personnes et données | Clients et leurs interlocuteurs ; noms, coordonnées, montants, échéances |
| d. Destinataires | OpenAI Ireland Ltd., sous-traitant lié par l'avenant de traitement des données |
| e. Conservation | Historique effacé après 30 jours par réglage du compte d'entreprise |
| f. Sécurité | Comptes nominatifs, double authentification, identifiants retirés avant l'envoi |
| g. Étranger | Irlande (annexe 1 OPDo) ; États-Unis : clauses types reconnues par le PFPDT |
Exemple inventé : la fiduciaire et ses réglages sont fictifs ; cocontractant et garanties suivent l'avenant d'OpenAI. Rubriques reprises de l'art. 12 al. 2 LPD.
Analyse d’impact (AIPD) : les usages d’IA à risque élevé
L’art. 22 exige une analyse d’impact préalable quand un traitement présente un risque élevé pour la personnalité ou les droits fondamentaux. La loi cite les données sensibles à grande échelle et la surveillance systématique de grandes parties du domaine public.
L’analyse décrit le traitement, évalue les risques et liste les mesures. Si un risque élevé subsiste, l’art. 23 impose de consulter le PFPDT, qui a deux mois pour objecter, sauf si le conseiller interne chargé de la protection des données a été consulté.
Un cabinet qui fait passer tous ses rapports médicaux par ChatGPT se rapproche du cas d’école. À sa place, je ferais l’analyse sans attendre de savoir où commence la « grande échelle ».
Votre usage de l'IA appelle-t-il une analyse d'impact ?
Cochez les signaux présents. Les deux premiers sont ceux que l'art. 22 al. 2 cite.
Score : 0
Aucun signal. Notez en deux lignes pourquoi le risque reste ordinaire.
Signal isolé. Examinez le traitement et écrivez votre conclusion, quelle qu'elle soit.
Risque élevé probable : analyse d'impact avant de commencer, puis consultation du PFPDT ou de votre conseiller si le risque demeure.
Les poids sont une pondération maison, tirée de l'art. 22 LPD et de l'art. 24 OPDo ; ils n'engagent aucune autorité. Le résultat s'affiche dans votre navigateur.
Amendes nLPD : jusqu’à 250 000 francs pour la personne responsable
La nLPD ne prévoit pas d’amende administrative contre l’entreprise. Elle punit les personnes privées qui agissent intentionnellement, jusqu’à 250 000 francs. Les art. 60 al. 1 et 61 se poursuivent sur plainte, les cantons jugent (art. 65), prescription de cinq ans (art. 66).
Les résumés qui s’arrêtent à ce chiffre ne me convainquent pas : un ordre du PFPDT de cesser un traitement (art. 51) ne suppose aucune intention, et il arrête l’outil net. Une fuite à risque élevé, elle, s’annonce au PFPDT dans les meilleurs délais.
Ce qu'un usage d'IA peut coûter, article par article
Le compte ChatGPT privé, en surbrillance, est le scénario le plus courant : aucun avenant, donc rien pour satisfaire l'art. 9.
| Situation | Article | Poursuite | Plafond |
|---|---|---|---|
| Clients non informés, ou décision automatisée passée sous silence | Art. 60 al. 1 | Sur plainte | 250 000 francs |
| Envoi vers un pays non adéquat sans garantie ni dérogation | Art. 61 let. a | Sur plainte | 250 000 francs |
| Dossiers clients collés dans un compte ChatGPT privé, hors des conditions de l'art. 9 | Art. 61 let. b | Sur plainte | 250 000 francs |
| Exigences minimales de sécurité de l'OPDo ignorées | Art. 61 let. c | Sur plainte | 250 000 francs |
| Décision du PFPDT non respectée | Art. 63 | D'office | 250 000 francs |
| Enquête disproportionnée pour trouver l'auteur dans l'entreprise | Art. 64 al. 2 | L'entreprise peut être condamnée à sa place | Si l'amende envisagée ne dépasse pas 50 000 francs |
Source : LPD (RS 235.1), art. 60 à 66. Toutes ces infractions supposent l'intention. Ce que la police cyber prend en charge ou non après un tel incident : l'assurance cyber face à l'IA.
Loi sur l’IA en Suisse : où en est le projet du Conseil fédéral
Le 12 février 2025, le Conseil fédéral a choisi de ratifier le traité-cadre de Strasbourg sur l’IA, que la Suisse a signé en mars 2025. Les adaptations seront surtout sectorielles, et la Convention vise d’abord l’État.
Le 28 octobre 2026, le gouvernement a fait le point : l’OFJ élabore les mesures juridiquement contraignantes, et la consultation doit s’ouvrir au printemps 2027. L’AI Act européen suit une autre logique, expliquée dans le règlement européen et les entreprises suisses.
Ce calendrier ne changera rien au ChatGPT de votre secrétariat avant plusieurs années ; la LPD, elle, le vise depuis septembre 2023. Attendre Berne pour mettre ChatGPT en ordre, c’est se tromper de texte.
Le calendrier suisse de l'IA
Une seule date, en surbrillance, crée des obligations ; les six autres sont des annonces.
| Date | Étape | Effet pour une entreprise |
|---|---|---|
| 1er septembre 2023 | Entrée en vigueur de la LPD révisée | S'applique à tout outil d'IA qui traite des données personnelles |
| 9 novembre 2023 | Brève du PFPDT : la LPD est directement applicable à l'IA | Pas de vide juridique à invoquer |
| 12 février 2025 | Le Conseil fédéral opte pour la ratification du traité de Strasbourg sur l'IA | Approche sectorielle, sans grande loi horizontale |
| Mars 2025 | Signature de la Convention par la Suisse | Aucun effet direct sur les entreprises |
| 16 octobre 2026 | Campagne commune de l'OFCS et du PFPDT sur l'IA au travail | Recommandations : comptes d'entreprise, données retirées avant la saisie |
| 26 et 28 octobre 2026 | Guide de l'OFCOM pour un code IA ; point d'étape du Conseil fédéral | Outil facultatif pour les associations et les entreprises |
| Printemps 2027 | Ouverture prévue de la consultation sur les mesures contraignantes de l'OFJ | Le texte pourra encore changer |
Sources : communiqués du Conseil fédéral du 12 février 2025 et du 28 octobre 2026, page de l'OFCOM « Intelligence artificielle », PFPDT et OFCS. La FAQ de l'OFCS du 16 octobre 2026 annonçait la consultation pour janvier de l'année 2027 ; nous retenons la date la plus récente.
![Le courriel d'une cliente fictive remplacé par [E-MAIL_1] avant ChatGPT, comme l'OFCS et le PFPDT le conseillent sous la nLPD](/guias/fr-ch/nlpd-ia-courriel-cliente-etiquette.webp "Un courriel de cliente devenu étiquette")
Conformité nLPD d’un outil d’IA : mon ordre de marche
Contrat, transfert, déclaration, registre : cela se règle une fois. Coller un texte dans ChatGPT revient toute la journée, et c’est ce geste que je soigne en premier : il décide de ce que reçoit le sous-traitant. L’OFCS et le PFPDT écrivent, à propos des données personnelles d’une saisie : « Anonymisez-les. »
C’est là que Nonimo travaille, sur votre ordinateur : avant l’envoi à ChatGPT, il pose des étiquettes à la place des données personnelles, vous montre ce qu’il a caché et rétablit les originaux dans la réponse. Le sous-traitant de l’art. 9 reçoit moins : l’art. 7 al. 3, appliqué au clavier.
Au sens de la nLPD, le texte reste toutefois personnel : la mention « le gérant de la PPE de Payerne » suffit parfois à désigner quelqu’un, d’où une relecture. Un registre Excel ou un contrat Word entier se traite avec les outils en ligne, qui passent par notre serveur.
Deux colonnes de travail pour un outil d'IA
À gauche, le dossier ; à droite, le geste de chaque envoi.
Une fois, pour chaque outil
Contrat de sous-traitance signé (art. 9)Pays et garantie identifiés (art. 16)Déclaration de protection des données complétée (art. 19)Ligne de registre et, si le risque est élevé, analyse d'impact (art. 12 et 22)À chaque envoi
Noms, natels, IBAN et numéros AVS remplacés avant la saisiePrénoms et détails isolants relus à la mainMontants et dates utiles à la tâche conservésRien de couvert par un secret professionnel tel quelPour équiper tous les postes d'une organisation : le Gateway, et les tarifs par poste. Cette page résume la loi sans remplacer l'avis d'un juriste sur un dossier précis.
Sources
- Loi fédérale sur la protection des données (LPD, RS 235.1) : art. 5 à 9, 12, 16, 17, 19, 21 à 23, 51 et 60 à 66.
- Ordonnance sur la protection des données (OPDo, RS 235.11) : art. 24 (exception au registre) et annexe 1 (États adéquats).
- PFPDT, « La loi actuelle sur la protection des données est directement applicable à l’IA », 9 novembre 2023.
- PFPDT, « IA et protection des données », 24 septembre 2025 : transparence, réexamen humain, analyse d’impact, usages interdits.
- Conseil fédéral, « Réglementation de l’IA : le Conseil fédéral veut ratifier la Convention du Conseil de l’Europe », 12 février 2025.
- Conseil fédéral, « Le Conseil fédéral prend connaissance de l’avancement de la réglementation en matière d’IA », 28 octobre 2026 : consultation prévue au printemps 2027.
- OFCOM, « Intelligence artificielle » : état des travaux et guide pour un code en matière d’IA.
- OpenAI, « Data Processing Addendum », en vigueur depuis le 1er janvier 2026 : OpenAI Ireland Ltd. cocontractant d’un client suisse, accord général pour les sous-traitants.
- OFCS, « L’IA dans le quotidien professionnel », 16 octobre 2026 : recommandations établies avec le PFPDT.
Consulté le 9 novembre 2026.
Guides associés
Questions fréquentes
La nLPD s'applique-t-elle à l'intelligence artificielle ?
Oui, directement, depuis le 1er septembre 2023. Le PFPDT l'a écrit dès le 9 novembre 2023 : la loi ne vise aucune technologie en particulier, donc elle couvre aussi les traitements faits avec l'IA.
Quand la Suisse aura-t-elle une loi sur l'IA ?
Pas encore : la consultation est prévue au printemps 2027. L'OFJ prépare les mesures contraignantes pour appliquer le traité de Strasbourg sur l'IA ; le Parlement tranchera ensuite.
Le fournisseur d'IA est-il un sous-traitant au sens de la nLPD ?
Oui, en général, quand il traite les données pour votre compte. L'art. 9 LPD exige alors un contrat, aucun secret qui s'y oppose et des garanties de sécurité.
Faut-il informer ses clients qu'on utilise l'IA ?
Oui, si leurs données partent chez le fournisseur. L'art. 19 LPD demande de nommer les destinataires et, pour l'étranger, l'État et la garantie retenue.
Une PME doit-elle tenir un registre des traitements ?
Non, sous 250 collaborateurs au 1er janvier, sauf deux exceptions. L'art. 24 OPDo réserve les données sensibles à grande échelle et le profilage à risque élevé.
Faut-il une analyse d'impact pour utiliser un outil d'IA ?
Seulement si le risque pour les personnes est élevé. L'art. 22 LPD cite les données sensibles à grande échelle et la surveillance systématique du domaine public.
Qui paie l'amende en cas de violation de la nLPD ?
En principe, la personne physique responsable, jusqu'à 250 000 francs. L'entreprise peut être condamnée à sa place si l'amende envisagée ne dépasse pas 50 000 francs et que l'enquête serait disproportionnée (art. 64).
Une amende nLPD est-elle inscrite au casier judiciaire ?
Oui, si elle dépasse 5000 francs. Les infractions à la LPD sont des contraventions, et l'art. 18 LCJ fait saisir dans VOSTRA celles punies d'une amende supérieure. En dessous, ce motif seul ne mène pas au casier.