nLPD et IA : Guide de conformité pour PME suisses en 2026

Vous utilisez ChatGPT pour rédiger des emails clients. Votre comptable fait tourner des PDFs dans Claude. Votre équipe marketing teste Midjourney avec les photos de vos produits. Et quelque part, une question flotte : est-ce que tout ça est vraiment légal en Suisse ?

La réponse courte : pas toujours. La nouvelle loi sur la protection des données (nLPD), entrée en vigueur le 1er septembre 2023, a modernisé le cadre suisse pour rattraper le RGPD européen. Et elle s’applique pleinement aux projets d’intelligence artificielle — même si vous pensiez y échapper parce que vous êtes “une petite boîte”.

Ce guide est écrit pour les dirigeants, responsables IT et DPO de PME suisses qui veulent comprendre concrètement ce qu’ils peuvent ou ne peuvent pas faire avec l’IA, sans jargon inutile.

Rappel du contexte : qu’est-ce que la nLPD ?

La nLPD remplace l’ancienne LPD de 1992. Elle est supervisée par le Préposé Fédéral à la Protection des Données et à la Transparence (PFPDT).

Les grandes nouveautés par rapport à l’ancienne version :

Principe de privacy by design et by default : la protection doit être pensée dès la conception.
Registre des activités de traitement obligatoire pour toute entreprise employant 250+ personnes, mais fortement recommandé pour les plus petites dès qu’il y a des traitements à risque.
Notification des violations de données au PFPDT “dans les meilleurs délais”.
Analyse d’impact (AIPD) obligatoire pour les traitements présentant un risque élevé.
Sanctions pénales jusqu’à CHF 250’000 pour la personne responsable (pas l’entreprise, attention).
Droit à la portabilité et renforcement des droits des personnes concernées.

Contrairement au RGPD, les amendes de la nLPD visent les personnes physiques responsables (directeur, DPO, responsable IT) et non l’entreprise. Ce qui change radicalement la perception du risque pour les dirigeants.

Ce qui change concrètement pour vos projets IA

L’IA n’est pas mentionnée explicitement dans la nLPD. Mais trois articles la concernent directement :

1. Les décisions individuelles automatisées (art. 21 nLPD)

Si une décision prise par un système automatisé a des “effets juridiques” ou “l’affecte de manière significative” pour une personne, vous devez :

L’en informer
Lui permettre de demander une révision humaine
Documenter la logique de décision

Concrètement : un scoring IA qui refuse un crédit, un filtre CV qui élimine des candidats, un système qui ajuste un prix selon le profil client — tout cela tombe dans le périmètre.

2. Le profilage à risque élevé (art. 5 nLPD)

Le profilage consiste à évaluer automatiquement des aspects personnels (comportement, santé, situation économique). Dès que ce profilage devient “à risque élevé”, vous entrez dans le régime le plus strict : consentement explicite requis, documentation renforcée.

3. La transparence (art. 19 nLPD)

Toute personne doit pouvoir savoir :

Quelles données vous collectez sur elle
Pourquoi
Qui y a accès (y compris les sous-traitants IA)
Si les données sortent de Suisse

Ce dernier point est souvent oublié et c’est là que la plupart des PME sont en infraction sans le savoir.

Les 5 pièges les plus fréquents

Voici ce qu’on voit régulièrement chez les PME qui démarrent avec l’IA sans cadrage.

Piège n°1 : Utiliser ChatGPT public avec des données clients

ChatGPT grand public (plan gratuit ou Plus) stocke vos conversations et peut les utiliser pour entraîner ses modèles. Si votre comptable copie-colle un tableau Excel avec des noms, adresses et chiffres d’affaires clients, vous êtes en infraction.

La règle : ne jamais envoyer de données personnelles identifiables à un LLM grand public. Utilisez les versions Enterprise (OpenAI Enterprise, Anthropic Claude for Work) qui offrent un DPA (Data Processing Agreement) et ne réutilisent pas les données.

Piège n°2 : Données qui sortent de Suisse sans encadrement

Les serveurs d’OpenAI sont principalement aux États-Unis. Ceux d’Anthropic, pareil. Or, la nLPD impose que les transferts vers des pays sans protection équivalente soient encadrés (clauses contractuelles types, consentement explicite, ou décision d’adéquation).

La Suisse reconnaît l’adéquation des États-Unis via le Swiss-US Data Privacy Framework pour les entreprises certifiées. Vérifiez que votre fournisseur IA l’est.

Piège n°3 : LLM SaaS sans DPA signé

Beaucoup de PME signent un compte Make ou n8n Cloud sans lire les conditions. Si ces outils traitent des données personnelles pour votre compte, vous êtes responsable du traitement et eux sont sous-traitants. La nLPD impose un contrat de sous-traitance (art. 9).

Piège n°4 : Logs jamais purgés

Les conversations avec un chatbot, les prompts envoyés, les résultats générés — tout cela se loggue. Au bout de 3 ans, vous avez un historique complet des demandes de vos clients ou employés. Sans politique de purge, vous violez le principe de limitation de conservation (art. 6 nLPD).

Piège n°5 : Pas de registre des traitements IA

Même si votre entreprise a moins de 250 employés, dès que vous faites du profilage ou que vous traitez des données sensibles par IA, le registre devient fortement recommandé. C’est aussi votre première ligne de défense en cas de contrôle du PFPDT.

Checklist conformité IA en 10 points

Voici la checklist qu’on utilise avec nos clients pour auditer un projet IA avant déploiement :

Cartographie des données : quelles données personnelles alimentent le système IA ?
Base légale : consentement, contrat, intérêt légitime ? Documentée.
Sous-traitants identifiés : tous les fournisseurs IA (LLM, hébergement, vectorisation) listés.
DPA signés avec chaque sous-traitant qui traite des données personnelles.
Localisation des données : où sont stockées, traitées, transitent-elles ?
Mesures de sécurité : chiffrement en transit et au repos, contrôle d’accès, logs.
Durée de conservation définie et mécanisme de purge automatique.
Information des personnes concernées mise à jour dans la politique de confidentialité.
Mécanisme d’exercice des droits : comment un utilisateur peut-il demander l’effacement ?
AIPD réalisée si traitement à risque élevé.

Hébergement suisse : où et comment ?

Pour réduire drastiquement les risques de transfert international, l’hébergement en Suisse reste la meilleure option. Quelques fournisseurs solides :

Infomaniak (Genève) : cloud, VPS, stockage objet, tout en Suisse.
Exoscale (Suisse + UE) : cloud IaaS équivalent AWS.
Swisscom Cloud : pour les contraintes régulatoires fortes.
Self-hosting sur serveur dédié en datacenter suisse (Interxion, Green IT).

Pour l’IA elle-même, plusieurs options permettent de garder les données en Suisse :

LLM open-source (Llama 4, Mistral, Qwen 3.5, GLM-5) hébergés sur votre infra.
Ollama + vLLM pour servir des modèles en local.
Mistral AI (France, UE) : adéquation RGPD, proche culturellement.

Côté automatisation no-code : n8n self-hosted sur un VPS suisse bat largement Zapier ou Make Cloud sur le critère conformité.

# Exemple docker-compose pour n8n self-hosted (Infomaniak VPS)
services:
  n8n:
    image: n8nio/n8n:latest
    environment:
      - N8N_HOST=automation.votre-pme.ch
      - N8N_PROTOCOL=https
      - GENERIC_TIMEZONE=Europe/Zurich
      - DB_TYPE=postgresdb
    volumes:
      - ./n8n_data:/home/node/.n8n

DPIA / AIPD : quand est-ce obligatoire ?

L’Analyse d’Impact sur la Protection des Données (AIPD) est obligatoire quand le traitement présente un risque élevé. Concrètement pour l’IA :

Profilage systématique des personnes (scoring, évaluation automatique)
Traitement de données sensibles à grande échelle (santé, opinions politiques, données de mineurs)
Surveillance systématique (analyse comportementale)
Nouvelle technologie avec impact fort (génération biométrique, reconnaissance faciale)

Le PFPDT publie un modèle d’AIPD utilisable directement. Comptez 2-3 jours de travail pour une première AIPD solide.

Sanctions : ce que vous risquez vraiment

CHF 250’000 maximum, sur la personne physique responsable.
Publication de la décision possible (reputation risk).
Action civile en dommages-intérêts des personnes concernées.
Injonction de cessation du traitement (arrêt forcé du projet IA).

Le PFPDT privilégie la pédagogie sur la répression, mais depuis 2024 les enquêtes se multiplient. Trois décisions publiques ont déjà sanctionné des usages IA non conformes en 2025.

Notre approche chez skifo/

Concrètement, voici ce qu’on applique systématiquement :

Hébergement par défaut en Suisse (Infomaniak principalement).
LLM via Mistral ou modèles self-hosted quand les données sensibles ne doivent pas sortir d’UE/CH.
DPA fournis pour tout projet incluant un sous-traitant tiers.
Registre de traitements IA fourni avec chaque livraison.
Purge automatique des logs configurée dès le POC.
AIPD incluse quand le cas d’usage le justifie.

Nous n’envoyons jamais de données clients vers des services LLM US sans DPA signé et sans anonymisation préalable si c’est techniquement possible.

FAQ : 5 questions qu’on nous pose le plus

Mes employés utilisent ChatGPT sur leur compte perso. Je risque quoi ?

Si des données de l’entreprise (clients, contrats, documents internes) y transitent, vous êtes responsable en tant qu’employeur. La solution : politique interne claire, plus éventuellement un déploiement d’une alternative encadrée (Claude for Work, Mistral Le Chat Enterprise, ou une instance interne).

On est une PME de 15 personnes, on est vraiment concernés ?

Oui. La nLPD ne fait pas de distinction de taille sur les obligations principales. Seul le registre des activités peut être allégé sous 250 employés, et encore, pas toujours.

Les embeddings stockés dans une base vectorielle sont-ils des “données personnelles” ?

Si on peut reconstruire ou ré-identifier une personne à partir de ces vecteurs (ce qui est techniquement possible), oui. Traitez-les comme telles.

Anonymiser suffit pour sortir du champ de la nLPD ?

L’anonymisation réelle (non réversible) fait sortir les données du champ. Mais attention, la pseudonymisation (remplacer un nom par un ID) ne suffit pas — c’est toujours une donnée personnelle.

On peut utiliser Copilot Microsoft 365 ?

Oui, avec le plan Entreprise qui inclut le DPA et la localisation EU Data Boundary. Vérifiez que votre tenant est configuré en “Switzerland North” ou “Switzerland West” pour maximiser la conformité.

La nLPD n’est pas là pour bloquer vos projets IA. Elle est là pour les encadrer. Une PME bien préparée peut déployer des solutions IA puissantes, tout en restant conforme — c’est même un avantage commercial dans les secteurs régulés (santé, finance, juridique, public).

Vous voulez un état des lieux rapide ? Nous proposons un audit conformité IA gratuit de 30 minutes, qui identifie les 3 risques majeurs de votre situation actuelle.