IA et protection des données en Suisse : la nLPD (LPD révisée)

En Suisse, l'IA et la protection des données relèvent de la LPD révisée (nLPD). Elle est en vigueur depuis le 1er septembre 2023. Le PFPDT en est l'autorité de surveillance. Quand vous collez un texte dans un outil d'IA, vous traitez souvent des données personnelles. La nLPD s'applique alors — même si le fournisseur d'IA est à l'étranger.

La nLPD s'applique depuis 2023

La nLPD a remplacé l'ancienne loi de 1992. Elle renforce les droits des personnes concernées. Et elle engage aussi les projets d'IA dès que des données personnelles entrent en jeu.

• En vigueur depuis le 1er septembre 2023.
• Le PFPDT est l'autorité de surveillance.
• Elle vise les entreprises privées et les organes fédéraux.
• Elle protège les données des personnes physiques.
• Elle se rapproche du RGPD mais reste une loi distincte.

Vos principales obligations

La loi repose sur des principes clairs. Vous devez traiter les données de façon loyale et proportionnée. Et il vous faut une finalité fixée dès le départ.

• Respecter la bonne foi, la proportionnalité et la finalité.
• Informer les personnes concernées de façon transparente.
• Assurer une sécurité des données adéquate.
• Tenir un registre des activités de traitement.
• Réaliser une analyse d'impact en cas de risque élevé.

nLPD et RGPD ensemble

Beaucoup d'entreprises suisses servent des clients dans l'UE. Le RGPD peut alors s'appliquer aussi. Le règlement européen produit un effet au-delà de la frontière.

• La nLPD vise les traitements liés à la Suisse.
• Le RGPD peut atteindre les entreprises suisses avec des personnes de l'UE.
• Les deux exigent la minimisation et la sécurité.
• Les deux prévoient une analyse d'impact en cas de risque élevé.
• En cas de doute, vérifiez les deux cadres.

Bien situer les sanctions

Ici, les deux lois diffèrent nettement. La nLPD ne prévoit pas de grandes amendes contre l'entreprise comme le RGPD. La sanction vise plutôt les personnes responsables.

• Selon la LPD, les amendes peuvent atteindre 250 000 CHF.
• Elles visent les personnes physiques responsables.
• Le RGPD prévoit des amendes contre les entreprises.
• Elles peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires.
• La protection des données concerne donc aussi la direction.

Réduire le risque IA en pratique

La meilleure protection est simple : partagez moins. Ne donnez à l'IA que ce dont la tâche a vraiment besoin. Votre exposition reste ainsi limitée. Selon OpenAI, l'entreprise n'entraîne pas ses modèles sur les données professionnelles de ses clients API et Enterprise — vérifiez toutefois la documentation à jour.

1. 1Vérifiez si de vraies données personnelles sont nécessaires.
2. 2Retirez ou remplacez les noms, numéros et adresses.
3. 3Utilisez des pseudonymes plutôt que du texte en clair.
4. 4Signez un contrat de sous-traitance avec le fournisseur d'IA.
5. 5Documentez la finalité et la base légale.

Les outils aident à réduire la quantité de données. ONYRI Sanitize détecte les données sensibles dans votre texte et les remplace par des jetons réversibles. La table de correspondance reste dans le navigateur et n'est jamais envoyée au serveur. Après la réponse de l'IA, les vraies valeurs sont restaurées. Soyons honnêtes : c'est de la pseudonymisation, pas de l'anonymisation. Les données pseudonymisées restent des données personnelles (considérant 26 du RGPD). Un outil ne remplace ni un contrat de sous-traitance (DPA) ni une base légale. Il réduit l'exposition, il ne la supprime pas.

À retenir : la nLPD engage les entreprises suisses face à l'IA. Partagez moins de données personnelles et vous réduisez votre risque. La minimisation des données est le premier pas le plus simple.