La loi fédérale sur la protection des données révisée (LPD, souvent appelée « nLPD ») est en vigueur depuis le 1er septembre 2023. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) souligne que la LPD est neutre sur le plan technologique et s'applique donc directement aussi aux traitements de données effectués au moyen de l'IA.
Il n'existe à ce jour aucune loi spécifique sur l'IA en Suisse. Le Conseil fédéral entend ratifier la Convention sur l'IA du Conseil de l'Europe et adapter le droit suisse en conséquence ; il a annoncé un projet de consultation d'ici fin 2026. Cette page résume ce qui s'applique aujourd'hui.
À qui la LPD s'applique
La LPD s'applique à toutes les entreprises privées qui traitent des données personnelles, c'est-à-dire des informations qui se rapportent à une personne physique identifiée ou identifiable (art. 5 let. a LPD). Le PFPDT mentionne expressément les fabricants, fournisseurs et utilisateurs d'applications d'IA. Quiconque traite des données personnelles au moyen de l'IA, que ce soit en interne ou via un service cloud, doit respecter les exigences de la LPD.
Transparence et information
Quiconque collecte des données personnelles doit informer de manière adéquate les personnes concernées, en règle générale au moyen d'une déclaration de protection des données (art. 19 LPD). Selon le PFPDT, lors de l'utilisation de l'IA, cela inclut également le but, le mode de fonctionnement et les sources de données du traitement. Lorsque des modèles de langage communiquent directement avec les utilisatrices et utilisateurs, ceux-ci devraient, selon le PFPDT, savoir :
- s'ils communiquent avec une machine et dans quelle mesure ;
- si leurs saisies sont utilisées pour améliorer le système ou à d'autres fins.
Lorsque des visages, images ou voix de personnes reconnaissables sont modifiés au moyen de l'IA (ce qu'on appelle les deepfakes), cela doit être clairement reconnaissable, pour autant que cela ne soit pas de toute façon punissable.
Décisions individuelles automatisées et opposition
Lorsqu'un système prend une décision de manière exclusivement automatisée, et que celle-ci a un effet juridique pour la personne concernée ou l'affecte de manière significative (p. ex. le rejet automatique d'une candidature), l'art. 21 LPD s'applique :
- L'entreprise doit informer la personne concernée de la décision automatisée.
- La personne peut, sur demande, faire valoir son point de vue et exiger que la décision soit réexaminée par une personne physique.
- Ces obligations ne s'appliquent pas lorsque la décision est directement liée à la conclusion ou à l'exécution d'un contrat avec la personne concernée et que sa demande est satisfaite, ou lorsque la personne y a expressément consenti.
Le droit d'accès permet en outre aux personnes concernées de savoir si une décision individuelle automatisée a été prise et sur quelle logique elle repose (art. 25 al. 2 let. f LPD).
Indépendamment de cela, les personnes concernées peuvent s'opposer au traitement de leurs données. Si une entreprise continue de traiter les données malgré une opposition expresse, elle a besoin d'un motif justificatif, par exemple un intérêt prépondérant (art. 30 al. 2 let. b et art. 31 LPD).
Risques élevés et analyse d'impact relative à la protection des données personnelles
Lorsqu'un traitement est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées, l'entreprise doit au préalable établir une analyse d'impact relative à la protection des données personnelles (art. 22 LPD). Un risque élevé est notamment probable en cas d'utilisation de nouvelles technologies, de traitement à grande échelle de données personnelles sensibles et de surveillance systématique de zones publiques étendues. Si l'analyse d'impact révèle un risque résiduel élevé malgré les mesures de protection, le PFPDT doit être consulté au préalable (art. 23 LPD).
Les applications d'IA à risque élevé sont en principe admissibles lorsque des mesures de protection appropriées sont prises. Sont en revanche inadmissibles, selon le PFPDT, les applications visant à porter atteinte à la sphère privée et à l'autodétermination informationnelle, telles que la reconnaissance faciale généralisée en temps réel ou le « social scoring ».
Qui est responsable au sein de l'entreprise
Sur le plan de la protection des données, c'est l'entreprise elle-même (le « responsable du traitement » au sens de la LPD) qui est responsable, et non l'outil d'IA. Le fournisseur traite en règle générale les données en tant que sous-traitant pour votre compte (art. 9 LPD). S'il les utilise également à ses propres fins, par exemple pour entraîner ses modèles, il en est lui-même responsable. Pour votre entreprise, il s'agit d'une communication à des tiers, dont vous devez informer dans votre déclaration de protection des données. Il est donc utile d'exclure contractuellement l'entraînement avec vos données.
La LPD n'exige pas de désigner une personne chargée de l'IA. Les entreprises privées peuvent nommer une conseillère ou un conseiller à la protection des données (art. 10 LPD), mais n'y sont pas obligées.
En pratique, il faut néanmoins une personne clairement responsable, sans quoi les questions et décisions restent en suspens. Il est recommandé de désigner nommément une personne qui :
- tient à jour le registre des outils d'IA utilisés ;
- décide de l'utilisation de nouveaux outils ou prépare cette décision ;
- est le point de contact pour les questions et incidents ;
- organise les formations et tient à jour la directive interne sur l'IA.
Dans les petites entreprises, il s'agit généralement du propriétaire, de la propriétaire ou de la direction. L'important est que la tâche soit expressément attribuée et qu'un temps suffisant y soit consacré. Pour les établissements soumis à la surveillance de la FINMA, des attentes plus poussées s'appliquent en matière de gouvernance et de responsabilités (voir Attentes de la FINMA en matière de gouvernance de l'IA).
Amendes en cas d'infraction
La LPD prévoit des amendes pouvant aller jusqu'à CHF 250'000, notamment en cas de violation des obligations d'information et de renseignement, de communication illicite à l'étranger, de recours à un sous-traitant sans que les conditions légales soient remplies, et de non-respect des exigences minimales en matière de sécurité des données (art. 60 et 61 LPD). Contrairement à l'UE, les amendes visent en principe les personnes physiques responsables, par exemple les membres de la direction, et non l'entreprise. Seul l'acte intentionnel est punissable, et la poursuite a lieu sur plainte. L'entreprise elle-même peut être condamnée à une amende pouvant aller jusqu'à CHF 50'000 lorsque l'identification de la personne responsable exigerait des mesures d'instruction disproportionnées (art. 64 LPD).
Ce que les PME peuvent faire dès maintenant
- Créer une vue d'ensemble : recensez les outils d'IA qui traitent des données personnelles. Un registre des activités de traitement (art. 12 LPD) ne doit être tenu par les entreprises de moins de 250 collaborateurs que si elles traitent à grande échelle des données personnelles sensibles ou effectuent un profilage à risque élevé (art. 24 OPDo).
- Adapter la déclaration de protection des données et les règles internes. Le modèle de directive sur l'IA (Word) peut servir de point de départ.
- Effectuer une analyse d'impact en cas de risque élevé, avant le lancement de l'application.
- Clarifier les points suivants avec les fournisseurs : contrat de sous-traitance, entraînement avec vos données, lieu de stockage et communication à l'étranger (voir LLM hébergés aux États-Unis sous le nLPD).
- Garantir un contrôle humain lorsque l'IA prend ou prépare des décisions ayant un effet significatif sur des personnes.
- Désigner une personne responsable (voir Qui est responsable au sein de l'entreprise).