Secret bancaire suisse : peut-on utiliser ChatGPT ?

Un gestionnaire de fortune à Lausanne sort d’un rendez-vous et veut un compte rendu propre avant midi. Il ouvre ChatGPT, colle sa note : nom de la cliente, IBAN, numéro de relation, solde au franc près. Que l’outil écrive bien ne m’inquiète pas.

La question est pénale : l’art. 47 de la loi sur les banques, ou son pendant dans la LEFin, s’applique-t-il à ce collage ? Cette page part des textes publiés sur Fedlex et par la FINMA. Ce que cela change au guichet et au bureau de gestion est traité côté banques et gestion de fortune.

Qui est tenu au secret bancaire selon l’art. 47 LB

L’art. 47 al. 1 let. a LB vise quatre qualités : organe, employé, mandataire ou liquidateur d’une banque, ou d’une personne au sens de l’art. 1b (les établissements qui acceptent des dépôts du public jusqu’à 100 millions de francs, sans les investir ni les rémunérer). Les organes et employés d’une société d’audit y figurent aussi.

Avec un assistant d’IA, c’est sur le mot « mandataire » que je m’arrêterais d’abord. Un prestataire choisi et instruit par la banque peut l’être ; un service ouvert dans un onglet, sans contrat, n’en a pas le profil. Les let. b et c, détaillées ci-dessous, élargissent encore le cercle.

Les avocats et médecins relèvent d’un autre texte, l’art. 321 CP sur le secret professionnel.

Violation du secret bancaire : intention, négligence et peines

Pour la révélation intentionnelle, l’al. 1 prévoit une privation de liberté qui peut atteindre trois ans, ou une peine pécuniaire. L’al. 1bis monte à cinq ans avec un avantage pécuniaire. La poursuite et le jugement incombent aux cantons (al. 6) : à Genève ou à Lausanne, c’est le Ministère public du canton qui instruit.

L’al. 2 pèse le plus pour l’IA : par négligence, l’amende peut monter jusqu’à 250 000 francs. Personne ne colle une note client pour la trahir. On la colle par habitude, un vendredi en fin de journée. C’est exactement ce que vise la négligence.

La LPD ajoute sa couche : le PFPDT rappelle depuis mai 2025 qu’elle s’applique directement à l’IA. Ses amendes visent d’abord la personne physique, comme l’explique le guide consacré à la nLPD face à l’IA. Ce cumul me semble sous-estimé dans les petites structures.

Gestionnaire de fortune indépendant : l’art. 69 LEFin

Le gestionnaire de fortune n’est pas une banque. L’art. 2 LEFin le range parmi les établissements financiers, avec les trustees, les directions de fonds ou les maisons de titres. Sur la base d’un mandat, il dispose des valeurs patrimoniales de ses clients, en leur nom et pour leur compte (art. 17).

L’art. 69 LEFin reprend la structure de l’art. 47 LB : organe, employé, mandataire ou liquidateur d’un établissement financier, mêmes peines, même amende pour négligence. Sa surveillance courante revient à un organisme de surveillance autorisé par la FINMA (art. 61 al. 2).

Une différence pratique compte davantage : la circulaire FINMA 2018/3 sur l’outsourcing ne cite pas le gestionnaire de fortune individuel dans son champ. Faute de circulaire, c’est dans le mandat de gestion que je poserais la règle d’abord : notre modèle de clause IA s’y adapte.

FINMA et intelligence artificielle : la communication 08/2024

Le 18 décembre 2024, la FINMA a publié sa communication sur la surveillance 08/2024, « Gouvernance et gestion des risques en lien avec l’utilisation de l’intelligence artificielle ». Elle constate qu’il n’existe pas de législation propre à l’IA en Suisse : les exigences prudentielles, neutres sur le plan technologique, couvrent déjà ces risques.

Le Conseil fédéral a confirmé cette voie le 12 février 2025 : ratifier le traité du Conseil de l’Europe consacré à l’IA et réglementer secteur par secteur. Pour une banque, l’interlocuteur reste donc la FINMA, pas une future loi générale.

Une phrase de la communication vise droit le conseiller pressé : depuis l’IA générative, des applications sont accessibles à tous, ce qui rend l’inventaire difficile à tenir complet. Un ChatGPT utilisé « à côté » n’a rien d’un détail toléré : je l’inscris à l’inventaire, et la charte IA de l’établissement doit le nommer.

Circulaire FINMA 2018/3 : l’assistant d’IA, une externalisation ?

La circulaire 2018/3 « Outsourcing » définit l’externalisation : un prestataire remplit, de manière indépendante et durable, tout ou partie d’une fonction dont dépend de manière significative le respect du droit de la surveillance. Elle vise les banques, les maisons de titres, les assurances, les gestionnaires de fortune collective et les directions de fonds.

Quand elle s’applique, elle exige un inventaire des fonctions externalisées, un contrat écrit, un droit d’examen pour l’entreprise, sa société d’audit et la FINMA, et des garanties en cas de transfert à l’étranger. Le compte gratuit d’un conseiller ne coche aucune case : je l’écarte d’office.

Pour les banques, la circulaire 2023/1 ajoute les données critiques : accès limité au besoin de savoir, risques accrus quand elles sont accessibles depuis l’étranger, annonce immédiate à la FINMA d’une atteinte importante. Côté LPD, une atteinte pose aussi la question de l’annonce au PFPDT.

Données d’identification des clients (CID) : qui fixe la liste

Le sigle CID, pour client identifying data, circule dans les banques. On le trouve notamment dans un rapport d’experts rédigé en 2019 pour l’Association suisse des banquiers (ASB), sur l’art. 47 LB et les mandataires à l’étranger ; la version française le rend par « données d’identification du client ».

Le guide « cloud » de l’ASB (3e édition, novembre 2025), qui se déclare lui-même non contraignant, ne fournit pas de liste fermée. Chaque établissement définit lui-même quelles informations relèvent de ses données bancaires de clients. Votre directive interne prime donc sur toute liste trouvée en ligne, la mienne comprise.

Le même guide tire une conséquence utile : des données anonymisées ne sont plus des données bancaires de clients. Des données pseudonymisées non plus, du point de vue du destinataire, s’il n’a pas la table de correspondance. La méthode, table de correspondance comprise, a son propre guide, sur la pseudonymisation.

Nom, IBAN, montants : préparer une note de gestion avant l’IA

Un assistant a besoin de la tâche, pas de la cliente. Pour un compte rendu, une lettre de suivi ou une traduction, il lui faut l’objectif, le profil de risque, l’horizon et le ton. Le nom, l’IBAN et le numéro de relation ne l’aident en rien.

Les montants demandent plus de jugement. Un solde exact au centime, avec une date, se recoupe avec un relevé ; arrondi, il ne désigne plus personne. Même logique pour la commune et l’événement : « la vente de sa menuiserie à Moudon » suffit, sur une petite place, à reconnaître quelqu’un.

Le numéro de relation, je le surveille en premier : interne, sans format connu, il passe partout. Un relevé PDF ou un tableau de positions en Excel se traite en entier avec nos outils en ligne, qui passent, eux, par notre serveur.

Secret bancaire et assistant d’IA : la règle que je garde

Pour un conseiller comme pour un gestionnaire, je m’en tiens à ceci : aucune note de relation ne part nominative vers un assistant, même sur un compte d’entreprise. Le contrat règle l’outsourcing ; il ne rattrape pas un collage fait sur le mauvais onglet, un soir de bouclement.

Sur le poste du conseiller, l’application Nonimo pour la place financière romande remplace noms, IBAN, natels, e-mails, dates de naissance et numéros AVS par des étiquettes avant l’envoi. Quand l’assistant répond, Jacqueline Porchet retrouve son nom.

Le secret bancaire, lui, ne s’arrête pas au nom : numéro de relation, solde au centime et menuiserie de Moudon restent à votre charge, rubrique par rubrique ci-dessous. Pour équiper tout un bureau, les formules sont détaillées à part.

Sources

• Loi sur les banques (LB, RS 952.0) : art. 1b et art. 47, personnes tenues, peines, négligence, poursuite cantonale.
• Loi sur les établissements financiers (LEFin, RS 954.1) : art. 2, 17, 61 et 69, gestionnaires de fortune et secret professionnel.
• FINMA, communication sur la surveillance 08/2024 : gouvernance, inventaire, solutions de tiers.
• FINMA, circulaire 2018/3 « Outsourcing » : définition, champ d’application, contrat, transfert à l’étranger.
• ASB, Guide « cloud », 3e édition (novembre 2025) : données bancaires de clients, anonymisation et pseudonymisation.
• ASB, rapport d’experts sur l’art. 47 LB et les mandataires étrangers (2019) : notion de CID.
• Conseil fédéral, réglementation de l’IA, 12 février 2025 : ratification de la convention, approche par secteurs.
• PFPDT, la loi actuelle sur la protection des données est directement applicable à l’IA, 8 mai 2025.

Consulté le 9 novembre 2026.