LPD suisse et RGPD : les implications pour les prestataires d’IA

La LPD peut s’appliquer aux traitements qui produisent des effets en Suisse, y compris lorsqu’ils sont réalisés à l’étranger. Le RGPD peut s’appliquer en raison d’un établissement dans l’UE. Il peut également concerner un prestataire hors de l’UE qui offre des biens ou des services à des personnes dans l’UE, ou y suit leur comportement. La nationalité d’une personne ne suffit pas à déterminer la réponse. ^{2 3}

Examinez chaque organisation et chaque traitement. Avoir une entreprise cliente dans l’UE ne suffit pas, à lui seul, à déterminer si un sous-traitant suisse est directement soumis au RGPD. Vérifiez les obligations du client, l’activité du sous-traitant, son lien avec une offre ou un suivi de comportement dans l’UE, ainsi que les exigences contractuelles.

Ces exemples hypothétiques illustrent les questions à poser :

Une différence majeure concerne la justification des traitements privés. Le RGPD exige une base légale au titre de l’article 6 pour chaque finalité. Le consentement est une possibilité. D’autres bases comprennent la nécessité contractuelle et l’intérêt légitime, sous réserve de leurs conditions. Les catégories particulières de données, comme les données de santé, exigent en plus une condition au titre de l’article 9. ⁴

La LPD suisse repose sur une autre structure pour les entreprises privées. Le traitement doit respecter ses principes et ne pas porter illicitement atteinte à la personnalité, y compris à la vie privée. Lorsqu’une justification est nécessaire, le consentement, un intérêt privé ou public prépondérant, ou la loi peuvent entrer en ligne de compte. Examinez l’usage concret plutôt que de reprendre simplement le nom d’une base légale du RGPD. ⁵

Les différences concernant l’information, les conseillers ou délégués, les incidents et les sanctions sont détaillées ci-dessous. Le tableau présente une sélection de points, et non l’ensemble des obligations.

Les données sensibles au sens suisse comprennent aussi les informations sur les mesures d’aide sociale ainsi que les procédures ou sanctions administratives. Vérifiez ces catégories lorsque vous classez les données d’un service utilisé en Suisse. ²

Pour la mise en œuvre, les mêmes questions sont utiles dans les deux cadres : quelles données sont nécessaires, qui peut y accéder, combien de temps sont-elles conservées et comment une personne peut-elle exercer ses droits ? Les réponses doivent orienter le service avant son lancement.

Les responsabilités doivent être clairement réparties entre le client, le studio de développement, l’hébergeur et le fournisseur du modèle. Un responsable du traitement détermine les finalités et les moyens du traitement. Un sous-traitant traite les données pour son compte. Un même prestataire peut avoir des rôles différents selon l’activité.

Un studio peut, par exemple, traiter les documents d’un client pour fournir un assistant. S’il réutilise ces documents afin de développer son propre produit, cette finalité supplémentaire exige sa propre analyse du rôle et de la licéité. Le qualifier de sous-traitant dans le contrat ne détermine pas ce qu’il fait réellement. ⁶

Selon la LPD, l’externalisation laisse au responsable du traitement la responsabilité de sélectionner, d’instruire et de surveiller les sous-traitants de manière appropriée. La sous-traitance ultérieure exige son autorisation préalable. Une autorisation générale peut s’accompagner d’une information sur les changements et d’une possibilité de s’y opposer. ⁷

Pour l’équipe de mise en œuvre, le contrat doit donc traiter des instructions, de la sécurité, des sous-traitants ultérieurs, de la remontée des incidents, de l’assistance pour les droits et de la suppression ou restitution à la fin de la relation. Examinez le contrat avec le système : une promesse de suppression nécessite un processus qui fonctionne.

Que doit expliquer une notice de confidentialité pour un service d’IA ?

Les personnes doivent pouvoir comprendre qui est responsable, pourquoi leurs données sont traitées et qui les reçoit. Pour les communications à l’étranger, les notices suisses doivent aussi indiquer les États destinataires ainsi que les garanties ou exceptions pertinentes. ⁸

Expliquez l’usage de l’IA dans un langage courant. La personne interagit-elle avec une machine ? Ses messages servent-ils à répondre à une demande, à améliorer un modèle ou à une autre fin ? Le PFPDT aborde explicitement ces questions de transparence. ¹

Utiliser des données personnelles pour répondre à une demande ne justifie pas automatiquement leur réutilisation pour entraîner un modèle. Les opérations peuvent avoir des finalités, destinataires et durées de conservation différents. Sous le RGPD, examinez séparément la base légale de l’entraînement. Un consentement recueilli pour une finalité n’en couvre pas automatiquement une autre. ⁹

Cartographiez les opérations séparément :

• Inférence : un modèle traite une entrée pour produire une réponse.
• Recherche documentaire, ou RAG : le service retrouve des documents et fournit des passages pertinents comme contexte. Cette recherche seule ne modifie pas les poids du modèle.
• Journalisation : le service ou son fournisseur conserve une copie pour l’exploitation, la sécurité ou une autre finalité déclarée.
• Affinage ou entraînement : les données influencent les paramètres du modèle, ce qui soulève d’autres questions sur la réutilisation et les droits des personnes.

L’API OpenAI constitue un exemple concret. Sa documentation indique que les données de l’API ne servent pas à l’entraînement sauf activation de cette option par le client. Elle décrit aussi des journaux de surveillance des abus conservés par défaut jusqu’à 30 jours, sous réserve d’exceptions, ainsi qu’un stockage supplémentaire selon la fonction utilisée. Zero Data Retention exige une approbation et comporte des limites. Vérifiez ces réglages pour le service envisagé. ¹⁰

Un réglage « sans entraînement » laisse encore des questions de stockage et d’accès à résoudre. Vérifiez le produit, le point de terminaison, les paramètres du compte et le contrat. Les outils grand public et les API professionnelles peuvent suivre des règles différentes.

Oui, sous réserve des exigences applicables. La LPD n’impose pas de conserver toutes les données personnelles en Suisse. Une communication à l’étranger nécessite un mécanisme approprié : protection adéquate, garanties adaptées ou exception légale applicable. Les règles sectorielles, le secret professionnel et les contrats clients peuvent ajouter des contraintes. ¹¹

Vérifiez où chaque opération se déroule : stockage des documents, inférence, journaux, sauvegardes et accès du support. Une base de données suisse peut envoyer un prompt à un modèle à l’étranger. L’accès à distance par un destinataire distinct situé à l’étranger peut aussi soulever des questions de transfert. ¹²

Si des instruments contractuels comme les clauses contractuelles types sont utilisés, examinez leur pertinence, les adaptations suisses et les mesures supplémentaires nécessaires. Le RGPD a ses propres exigences de transfert. La reconnaissance de l’adéquation de la Suisse par l’UE facilite les transferts couverts vers la Suisse. Elle ne certifie pas un prestataire et ne règle pas ses transferts ultérieurs. ^{11 13}

Une analyse d’impact relative à la protection des données (AIPD) évalue le traitement prévu, les risques pour les personnes et les mesures de protection. Selon la LPD, un risque élevé vraisemblable est le critère déterminant. La nature, l’étendue, les circonstances et la finalité comptent ; le traitement à grande échelle de données sensibles en est un exemple. Le RGPD a ses propres critères et les autorités publient leurs listes. La seule étiquette « IA » ne rend pas une AIPD obligatoire. ^{14 15}

Des risques élevés subsistant malgré les garanties prévues peuvent nécessiter une consultation de l’autorité de contrôle. La LPD prévoit une exception particulière pour les responsables privés ayant consulté un conseiller à la protection des données répondant aux conditions requises. Sa désignation ne supprime pas l’AIPD elle-même. ¹⁴

À titre d’illustration, un assistant qui résume des demandes ordinaires de support et un service qui évalue des candidatures en vue d’un rejet méritent des analyses différentes. L’emploi, la santé et la finance apportent aussi des règles au-delà de ce panorama général.

Les décisions automatisées demandent une attention particulière :

• L’article 21 LPD couvre les décisions exclusivement automatisées ayant des conséquences juridiques ou affectant la personne de manière significative. Sous réserve d’exceptions, le responsable doit informer la personne et lui permettre, sur demande, d’exprimer son point de vue et d’obtenir un réexamen humain. ¹⁶
• L’article 22 RGPD protège généralement les personnes contre les décisions exclusivement automatisées ayant des effets juridiques ou les affectant de manière significative, avec des exceptions et garanties précises. ¹⁷

Intégrez le réexamen humain au processus lorsqu’il est requis. Le réviseur a besoin d’informations, de temps et du pouvoir de reconsidérer le résultat. Pour une personne contestant le rejet de sa candidature, cela doit représenter une véritable possibilité de réexamen.

Les procédures d’exercice des droits doivent atteindre toutes les copies pertinentes des données personnelles. Pour un assistant IA, cela peut inclure les documents sources, passages retrouvés, index, historiques de conversation, journaux et données détenues par les fournisseurs.

Une approche technique consiste à retracer ces copies à partir du dossier original et à définir comment les demandes parviennent à chaque système. Supprimer un document source ne retire pas nécessairement ses passages en cache ou son historique de conversation. Définissez aussi le traitement des sauvegardes, des exceptions de conservation et des copies chez les fournisseurs.

L’entraînement ajoute une difficulté. La CNIL distingue les données personnelles dans les bases externes de recherche documentaire de celles pouvant subsister dans les paramètres d’un modèle. Les mesures nécessaires dépendent du système et des droits applicables. ¹⁸

Ne présumez pas qu’un embedding, ou représentation vectorielle, ou un modèle entraîné est anonyme parce que des informations ont été converties en nombres. Le CEPD indique que l’anonymat d’un modèle doit être examiné au cas par cas, notamment selon la probabilité d’identifier les personnes ou d’extraire leurs données personnelles. ¹⁹

Selon la LPD, le responsable doit notifier le PFPDT dans les meilleurs délais si une violation de la sécurité des données entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux. L’information des personnes concernées suit un critère distinct : elle doit être nécessaire à leur protection ou exigée par le PFPDT, sous réserve des exceptions légales. ²⁰

Selon le RGPD, le responsable doit notifier l’autorité compétente sauf si la violation est peu susceptible d’engendrer un risque pour les personnes. La notification doit intervenir sans retard injustifié et, si possible, dans les 72 heures après en avoir pris connaissance. Un risque élevé vraisemblable déclenche l’information des personnes, sous réserve d’exceptions. ²¹

Dans les deux cadres, les sous-traitants doivent signaler rapidement les violations aux responsables. Définissez les contacts et procédures d’escalade avant un incident. Si les deux textes s’appliquent, examinez les deux obligations de notification. Le seuil suisse ne remplace pas le test du RGPD.

Les sanctions diffèrent aussi. Certaines infractions intentionnelles à la LPD visent principalement les personnes physiques et peuvent entraîner une amende pénale jusqu’à CHF 250 000. Ce montant ne plafonne ni la responsabilité civile ni toutes les conséquences d’une violation. ²²

Pour certaines infractions, les amendes administratives du RGPD peuvent atteindre EUR 20 millions ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les autorités peuvent aussi restreindre ou interdire des traitements. ^{23 24}

Le règlement européen sur l’IA ajoute une analyse distincte du système, de son usage et du rôle de l’organisation. Satisfaire aux obligations de protection des données ne règle pas toutes les obligations du règlement sur l’IA. Un prestataire suisse doit examiner son champ d’application lorsqu’il entre sur le marché européen. ²⁵

À la date de mise à jour de cet article, le calendrier de la Commission indique que les exigences de transparence pour certains systèmes, notamment les chatbots, s’appliquent depuis le 2 août 2026. Les règles pour les systèmes à haut risque de l’annexe III s’appliquent à partir du 2 décembre 2027. Celles des systèmes à haut risque intégrés dans des produits réglementés s’appliquent à partir du 2 août 2028. Vérifiez la disposition et les règles transitoires pertinentes pour le service. ²⁶

La réglementation suisse de l’IA en préparation est un développement distinct. Les obligations actuelles de protection des données s’appliquent déjà pendant ces travaux. ²⁷

Utilisez cette liste pour préparer l’examen technique et juridique d’un service. Elle aide à la mise en œuvre et ne constitue pas une certification de conformité.

1. Définir l’usage et les marchés. Précisez ce que fait le service, les personnes dont il traite les données et les règles pouvant s’appliquer.
2. Cartographier le flux de données. Incluez prompts, recherche documentaire, résultats, journaux, entraînement, sauvegardes et accès du support.
3. Attribuer les rôles par activité. Identifiez responsables, sous-traitants et fournisseurs utilisant des données pour leurs propres finalités.
4. Documenter la justification. Examinez séparément les bases du RGPD et les exigences suisses, les données sensibles et les réutilisations optionnelles.
5. Vérifier contrats et lieux. Contrôlez instructions, sous-traitants ultérieurs, mécanismes de transfert et réglages réels de conservation.
6. Évaluer les risques avant le lancement. Déterminez les exigences d’AIPD et de décisions automatisées, puis attribuez les responsabilités de réexamen nécessaires.
7. Tester les contrôles et les droits. Vérifiez que la recherche documentaire respecte les autorisations et sépare les dossiers des clients. Testez aussi suppression et remontée des incidents.
8. Maintenir la documentation à jour. Réévaluez lors d’un changement de fournisseur, fonction, marché ou finalité.

Commencez par un seul processus : une demande client, les dossiers qu’elle consulte, les fournisseurs qu’elle atteint et les copies qu’elle laisse. Votre équipe et vos conseils juridiques disposeront d’un objet concret à examiner avant d’étendre le service.

La conformité au RGPD satisfait-elle aussi la LPD suisse révisée ?

Elle offre une base utile, mais un examen suisse reste nécessaire. Vérifiez les États destinataires dans les notices, les mécanismes de transfert, les obligations locales de notification et une éventuelle représentation. Les textes se recoupent sans imposer des obligations identiques. ^{8 28}

Quelles sont les implications de la protection des données suisse pour les entreprises d’IA soumises au RGPD ?

Une entreprise d’IA soumise aux deux textes doit documenter les deux analyses pour son service. Des contrôles communs peuvent soutenir sécurité, minimisation et droits. L’information, le raisonnement juridique et la gestion des incidents doivent néanmoins être vérifiés selon chaque texte. Les sections ci-dessus montrent les conséquences pour la mise en œuvre.

Le consentement est-il toujours nécessaire pour utiliser des données personnelles dans un service d’IA ?

Non. La réponse dépend de la finalité et des règles applicables. Le RGPD prévoit plusieurs bases légales. Selon la LPD, lorsque le consentement est requis, il doit être exprès pour les données sensibles et le profilage à risque élevé par une personne privée. Une seule case cochée ne vaut pas autorisation pour tous les usages de l’IA. ^{4 29}

Les prestataires d’IA ont-ils besoin d’un délégué à la protection des données ou d’un représentant suisse ?

La désignation d’un conseiller est généralement facultative pour les entreprises privées selon la LPD. Le RGPD peut exiger un délégué, notamment pour certaines activités principales impliquant un suivi à grande échelle ou un traitement de données sensibles. Un responsable privé à l’étranger doit avoir un représentant suisse si les quatre conditions de l’article 14 sont réunies : offre ou suivi en Suisse, traitement à grande échelle, traitement régulier et risque élevé. ^{30 31 28}

Un hébergement suisse rend-il un service d’IA conforme à la LPD ?

Le lieu d’hébergement ne répond qu’à une partie de l’analyse. Examinez l’inférence et le support à l’étranger, les finalités, la sécurité, la conservation et les droits. Une adresse d’hébergement suisse ne démontre pas la conformité de l’ensemble du service. ⁷

À lire également : Agents IA et protection des données suisse.

1. PFPDT. IA et protection des données. ↑1 ↑2
2. PFPDT. Guide des mesures techniques et organisationnelles de protection des données. Définitions : section 1.2 ; champ d’application : section 1.1. ↑1 ↑2
3. Comité européen de la protection des données. Lignes directrices 3/2018 sur le champ territorial du RGPD. ↑1
4. Comité européen de la protection des données. Traiter les données personnelles de manière licite. ↑1 ↑2
5. PFPDT. Guide sur les cookies et technologies similaires. Version 1.1, 6 octobre 2025. Section 3.5 : principes et justification des traitements privés. ↑1
6. Comité européen de la protection des données. Action coordonnée : services cloud. ↑1
7. PFPDT. Sous-traitance de données. ↑1 ↑2
8. PFPDT. Devoir d’informer. ↑1 ↑2
9. CNIL. Licéité et base légale du développement de l’IA. ↑1
10. OpenAI. Contrôles des données de l’API. ↑1
11. PFPDT. Communication de données personnelles à l’étranger. ↑1 ↑2
12. Comité européen de la protection des données. Recommandations sur les mesures supplémentaires pour les transferts. Version 2.0, 18 juin 2021. Paragraphes 8–13 et note 23 : transferts et accès à distance. ↑1
13. PFPDT. Adéquation. ↑1
14. PFPDT. Analyse d’impact relative à la protection des données. ↑1 ↑2
15. Comité européen de la protection des données. Protection des données dès la conception et analyses d’impact. ↑1
16. PFPDT. Connaître et faire valoir ses droits. ↑1
17. Comité européen de la protection des données. Respecter les droits des personnes. ↑1
18. CNIL. Permettre et faciliter l’exercice des droits dans les systèmes d’IA. ↑1
19. Comité européen de la protection des données. Avis sur les modèles d’IA et le RGPD. ↑1
20. PFPDT. Guide sur les violations de la sécurité des données. ↑1
21. Comité européen de la protection des données. Violations de données personnelles. ↑1
22. PFPDT. Droit pénal. ↑1
23. Comité européen de la protection des données. Lignes directrices 04/2022 sur le calcul des amendes administratives. ↑1
24. Commission européenne. Conséquences du non-respect des règles de protection des données. ↑1
25. Commission européenne. Questions et réponses sur le règlement sur l’IA. ↑1
26. Commission européenne. Application et calendrier du règlement sur l’IA. Mise à jour du 6 octobre 2026. Dates d’application des règles de transparence et des systèmes à haut risque. ↑1
27. Office fédéral de la communication. Intelligence artificielle : réglementation suisse. ↑1
28. PFPDT. Représentation selon l’article 14 LPD. ↑1 ↑2
29. Confédération suisse. Loi fédérale sur la protection des données : texte adopté. Article 6 : consentement ; articles 30–31 : personnalité et justification. ↑1
30. PFPDT. Conseiller à la protection des données. ↑1
31. Comité européen de la protection des données. Action coordonnée : délégués à la protection des données. ↑1