Les entreprises suisses peuvent déployer des agents IA. Mais un agent ne se situe pas hors du droit existant. Lorsqu’il traite des données personnelles, la loi fédérale sur la protection des données s’applique. Il faut comprendre les flux de données, rendre le traitement transparent, maîtriser les prestataires et les autorisations, et conserver un contrôle humain lorsqu’une décision automatisée affecte sensiblement une personne.
Cet article fournit des repères opérationnels, pas un avis juridique. Faites examiner le cas d’usage concret par votre conseil ou votre fonction de protection des données avant le lancement.
La Suisse a-t-elle une loi sur l’IA ?
Au 19 septembre 2026, la Suisse ne dispose pas d’une loi générale propre à l’IA. Le Conseil fédéral suit une approche sectorielle et entend intégrer la Convention sur l’IA du Conseil de l’Europe dans le droit suisse (OFCOM). Les obligations actuelles peuvent déjà découler de la LPD, du droit du travail, des contrats et de règles sectorielles. En cas de lien avec l’UE, le RGPD ou le règlement européen sur l’IA peuvent également s’appliquer.
Que signifie la LPD pour un agent IA ?
La LPD est technologiquement neutre et s’applique aux traitements soutenus par l’IA. Le PFPDT souligne la transparence sur le but, le fonctionnement et les sources de données, ainsi que le droit de demander une intervention humaine pour certaines décisions individuelles automatisées (PFPDT). L’unité de conformité est donc le workflow complet, pas seulement le modèle de langage.
Checklist de déploiement en 12 points
1. Définir un objectif métier précis
Décrivez en une phrase une tâche compréhensible par une personne non technique. « Améliorer les opérations avec l’IA » ne suffit pas.
2. Cartographier chaque mouvement de données
Documentez source, champs, sous-traitant, destination, stockage et durée de conservation, y compris prompts, documents récupérés, sorties, journaux et accès de support.
3. Classer les données personnelles
Identifiez données ordinaires, sensibles, données RH ou éléments permettant un profil de personnalité. Retirer un nom ne rend pas nécessairement un dossier anonyme.
4. Établir la base légale et contractuelle
Vérifiez pourquoi chaque catégorie peut être traitée et si les informations, contrats et politiques existants couvrent ce nouveau but.
5. Rendre le traitement reconnaissable
Les personnes doivent comprendre quand elles interagissent avec une IA et comment leurs données sont utilisées.
6. Évaluer les décisions individuelles automatisées
Sans intervention humaine réelle, une décision ayant des effets juridiques ou importants peut exiger information et examen humain au titre de l’art. 21 LPD.
7. Déterminer si une AIPD est nécessaire
Une analyse d’impact est requise lorsque le traitement prévu risque fortement d’atteindre la personnalité ou les droits fondamentaux, notamment avec une technologie nouvelle, des données sensibles à grande échelle ou une surveillance systématique (PFPDT).
8. Examiner chaque sous-traitant
Un fournisseur cloud ou IA ne transfère pas la responsabilité de l’entreprise. Vérifiez instructions, sous-traitants ultérieurs, sécurité, suppression, audits et mécanismes de sortie (PFPDT).
9. Contrôler la communication transfrontière
Documentez les pays où les données sont traitées ou accessibles. Si le niveau de protection est insuffisant, mettez en place un mécanisme juridique approprié et des mesures supplémentaires si nécessaire.
10. Appliquer le moindre privilège
Séparez les droits de lecture, de préparation et d’exécution. L’agent ne doit recevoir que les outils et données nécessaires à sa tâche.
11. Préserver un contrôle humain réel
Une approbation doit donner accès aux preuves, à l’incertitude et à la possibilité de corriger ou refuser l’action proposée.
12. Journaliser, surveiller et retirer
Journalisez versions, preuves, actions, approbations et incidents en proportion du risque. Définissez les responsabilités de pause et de suppression.
Un modèle simple d’autorisations
| Niveau | Capacité de l’agent | Usage approprié |
|---|---|---|
| Lire | Récupérer des informations approuvées | Recherche de connaissances et préparation de dossier |
| Préparer | Rédiger un texte ou une modification proposée | Réponses clients, rapports, notes CRM |
| Recommander | Classer des options avec des preuves | Triage et gestion d’exceptions |
| Exécuter de façon réversible | Mettre à jour un état interne contrôlé | Routage à faible risque avec journalisation complète |
| Exécuter avec conséquence | Affecter argent, droits ou engagements externes | Approbation humaine et contrôles renforcés |
L’autonomie ne doit augmenter qu’après avoir démontré la fiabilité du niveau précédent.
Que mettre dans un registre IA ?
- nom et objectif du cas d’usage ;
- responsable métier ;
- fournisseur, modèle, catégories de données et systèmes ;
- personnes concernées, niveau de décision et d’approbation ;
- référence de risque ou d’AIPD, seuil qualité et date d’évaluation ;
- conservation, suppression, statut et dernière revue.
Erreurs fréquentes
Examiner uniquement le modèle. Les principaux risques se trouvent dans la récupération, les autorisations, les intégrations et les actions en aval.
Prendre la page conformité d’un fournisseur pour votre propre analyse. Les certifications sont des éléments d’entrée, pas un substitut à la compréhension de votre traitement.
Conserver chaque prompt indéfiniment. Les journaux ont eux aussi besoin d’un but, de contrôles d’accès et d’une durée.
Dire qu’une décision est revue par un humain sans véritable examen. Le relecteur doit disposer de temps, de preuves et du pouvoir de modifier le résultat.
Questions fréquentes
Une entreprise suisse peut-elle utiliser un fournisseur d’IA américain ?
Potentiellement. Elle doit évaluer le sous-traitant, les transferts, les garanties contractuelles, la sécurité et la sensibilité des données pour sa configuration exacte.
Chaque projet IA exige-t-il une AIPD ?
Non. Elle est nécessaire en cas de risque élevé probable. Documentez aussi une décision motivée de ne pas en faire.
Un simple avis de chatbot suffit-il ?
Non. Il faut encore traiter le but, l’usage des données, les prestataires, la conservation, la sécurité, les autorisations et les droits des personnes.
Un agent IA peut-il décider automatiquement ?
Certaines automatisations peuvent être licites. Les décisions affectant fortement des personnes peuvent toutefois déclencher des exigences de transparence et de revue humaine.
Construire les preuves avant l’autonomie
Un déploiement sûr repose sur un objectif limité, une carte de données explicite, des autorisations réduites, un comportement évalué et un vrai chemin d’exception. Swiss Product Studio construit des agents IA et automatisations de workflow avec des permissions définies, des points de contrôle humains et une visibilité opérationnelle. Réservez un Operations Review pour cadrer un cas d’usage avant de choisir son architecture.