Puis-je saisir des données d'entreprise dans ChatGPT ou Claude ? Le guide juridique pour les PME suisses (avril 2026)

La réponse courte d'abord : une PME suisse peut en principe saisir des données d'entreprise dans ChatGPT et Claude, mais uniquement dans les offres commerciales, avec un contrat de sous-traitance (DPA) signé, une résidence des données UE/Suisse activée et une évaluation des risques documentée. Les versions gratuites et payantes personnelles (ChatGPT Free/Plus/Pro/Go, Claude Free/Pro/Max) sont en pratique interdites pour les données personnelles professionnelles depuis le changement Anthropic du 28 août 2025.

Ce guide résume le cadre juridique, nLPD suisse, RGPD européen et règlement européen sur l'IA, au 20 avril 2026, et vous livre une matrice de décision claire.

Droit suisse : la nLPD s'applique de manière neutre technologiquement à chaque saisie d'IA

La nouvelle loi suisse sur la protection des données (nLPD, en vigueur depuis le 1er septembre 2023) est formulée de manière neutre sur le plan technologique et s'applique directement à tout traitement de données assisté par IA. Le PFPDT l'a confirmé le 8 mai 2025 et précisé lors de la Journée de la protection des données 2026 : dès que des données personnelles sont traitées dans une IA générative, la LPD s'applique pleinement (PFPDT, mise à jour du 24.09.2025).

Trois dispositions sont décisives en pratique pour votre PME :

• Art. 5 nLPD, Responsabilité du traitement. Lorsqu'un employé saisit des données personnelles dans ChatGPT ou Claude, votre entreprise est responsable de ce traitement.
• Art. 9 nLPD, Sous-traitance. Sans DPA écrit, le fournisseur d'IA agit comme responsable indépendant et peut réutiliser vos données selon ses propres règles.
• Art. 16–18 nLPD, Transferts à l'étranger. Depuis le 15 septembre 2024, les États-Unis sont considérés comme adéquats via le Swiss-U.S. Data Privacy Framework (DPF). OpenAI et Anthropic sont tous deux certifiés DPF.

Pour les détenteurs de secret professionnel (art. 321 CP) et les banques (art. 47 LB), le seuil est plus élevé : la divulgation à un prestataire externe n'est autorisée que si elle est strictement nécessaire et raisonnablement prévisible pour le client. Les secrets d'affaires sont en outre protégés par l'art. 162 CP et l'art. 6 LCD, coller une grille tarifaire dans un chatbot grand public peut engager une responsabilité pénale et concurrentielle.

Le tournant Anthropic du 28 août 2025 : Claude Free/Pro/Max est désormais à proscrire

Le changement le plus important de la période : Anthropic a annoncé le 28 août 2025 que les conversations et sessions de code de Claude Free, Pro et Max sont utilisées par défaut pour l'entraînement à partir du 8 octobre 2025, sauf désactivation manuelle de l'option « Help improve Claude ». La durée de conservation passe de 30 jours à 5 ans (Anthropic, 28.08.2025).

Le placement pré-activé du toggle qualifie, selon les lignes directrices de l'EDPB sur les « deceptive design patterns », de dark pattern, la validité de ce consentement au regard du RGPD est donc douteuse (The Decoder, 08/2025).

Les produits commerciaux sont explicitement exclus : Claude for Work (Team/Enterprise), l'API, AWS Bedrock, Google Vertex AI, Claude Gov et Claude for Education ne sont jamais utilisés pour l'entraînement. Les entreprises sur le plan Team (à partir de 20 sièges) sont protégées.

La matrice par offre : quel produit peut voir quelles données ?

Cette matrice de décision relie l'offre et la catégorie de données (au 20 avril 2026) :

• ChatGPT Free / Plus / Pro / Go, PAS ADAPTÉS aux données d'entreprise. Entraînement actif par défaut, pas de DPA, pas de résidence. Uniquement pour recherche publique et brainstorming sans données personnelles.
• Claude Free / Pro / Max, PAS ADAPTÉS aux données d'entreprise. Entraînement actif par défaut depuis le 8 octobre 2025, rétention 5 ans. Mêmes restrictions que ChatGPT grand public.
• ChatGPT Business (ex-Team, 25 USD/utilisateur). Pas d'entraînement, DPA disponible, mais pas de résidence UE/CH au 20 avril 2026. Convient aux données internes de sensibilité faible à moyenne.
• ChatGPT Enterprise, premier choix pour les données personnelles. Pas d'entraînement, DPA, Europe Data + Inference Residency activable (EEE y c. Suisse), BAA via sales. Disponible depuis février 2025.
• Claude Team / Enterprise (dès 25 USD/utilisateur). Pas d'entraînement, DPA. Mais pas de résidence UE/CH native. Pour un traitement conforme RGPD/nLPD depuis la Suisse, la voie obligatoire est Claude via AWS Bedrock eu-central-1 (Francfort) / eu-central-2 (Zurich) ou Google Vertex AI europe-west3.
• Azure OpenAI in Switzerland North, souveraineté suisse optimale. DPA Microsoft, données au repos en Suisse, MAM/ZDR et BAA disponibles. Recommandé pour les données personnelles sensibles et les secrets d'affaires.
• API OpenAI avec ZDR (Zero Data Retention). Rétention zéro, DPA, résidence UE. Pour la plus haute sensibilité, modèles tarifaires, documents stratégiques, données sous secret professionnel.

Le paysage réel des menaces : ce que les PME ont appris en 2025–2026

Le shadow AI est mesurable. Check Point Research rapporte pour octobre 2025 que 1 prompt GenAI sur 44 en contexte d'entreprise contient des données hautement sensibles et que 87 % des organisations utilisant régulièrement la GenAI sont concernées. En novembre 2025, la part atteint 22 % de prompts sensibles sur une moyenne de 11 outils GenAI utilisés en parallèle par entreprise (Check Point Research).

Incidents concrets de la période :

• Indexation des liens partagés ChatGPT (juillet/août 2025) : plus de 100 000 conversations privées sont devenues trouvables via Google jusqu'à la désactivation de la fonctionnalité le 1er août 2025.
• Incident Mixpanel (novembre 2025) : des attaquants ont compromis le sous-traitant OpenAI Mixpanel par smishing ; noms, e-mails, localisation approximative et identifiants d'organisation d'utilisateurs de l'API ont été exposés (OpenAI Incident Report).
• ShadowLeak (septembre 2025) : première vulnérabilité serveur zero-click dans l'agent Deep Research de ChatGPT.
• Extensions Chrome malveillantes (déc. 2025 / janv. 2026) : plus de 900 000 et 8 millions d'installations respectivement interceptant les conversations ChatGPT, Claude, Gemini et Copilot, l'une portait même le badge « Featured » de Google.
• Fuite Claude Code (31 mars 2026) : Anthropic a publié par erreur environ 513 000 lignes de code source non chiffré via une source map npm.

Le propre CISO d'OpenAI, Dane Stuckey, l'admet : « Prompt injection, much like scams and social engineering on the web, is unlikely to ever be fully 'solved' » (OpenAI, 22.12.2025).

Règlement européen sur l'IA : l'article 4 (AI Literacy) s'applique aussi aux PME suisses

Le règlement européen sur l'IA s'étend aux fournisseurs suisses dont l'output est utilisé dans l'UE (art. 2, par. 1, let. c). Depuis le 2 février 2025, l'art. 4 (AI Literacy) impose aux fournisseurs et déployeurs d'assurer une compétence IA suffisante chez le personnel et les sous-traitants, indépendamment de la classe de risque et de la taille de l'entreprise. Une formation annuelle documentée est donc obligatoire aussi pour votre PME.

Les trois règles non négociables pour votre PME

• Pas d'offres grand public pour les données professionnelles. ChatGPT Free/Plus/Pro/Go et Claude Free/Pro/Max ne doivent pas être utilisés pour les données d'entreprise, le plus grand risque shadow AI actuel.
• DPA avant mise en production. Le DPA OpenAI (effectif depuis le 1er janvier 2026) et les Commercial Terms Anthropic avec DPA intégrée (depuis janvier 2026) doivent être signés et archivés.
• Documenter la base légale. Une pesée des intérêts écrite selon l'art. 31 al. 1 nLPD, et un Transfer Impact Assessment si des données UE sont concernées, sont obligatoires.

Conclusion : une IA sûre est une question de bonnes couches

La question « Puis-je saisir des données d'entreprise dans ChatGPT ou Claude ? » a, en avril 2026, une réponse claire et nuancée : oui, mais uniquement dans les bonnes offres avec les bonnes couches de protection. L'investissement dans un plan enterprise (environ 25 à 30 CHF par collaborateur et par mois) n'est pas un luxe, c'est une assurance contre les amendes à deux chiffres prévues à l'art. 60 nLPD et les infractions pénales des art. 162 / 321 CP.

Mais la plus grande brèche reste le shadow AI. Même avec des licences enterprise, les collaborateurs continuent à utiliser en parallèle des abonnements ChatGPT Plus privés, des comptes Claude personnels et des extensions Chrome inconnues. Les directives ne suffisent pas, il faut une couche de gouvernance technique qui voit quelles données quittent réellement l'entreprise.

C'est précisément là qu'intervient hegyon.ai. Notre assistant IA personnel conçu en Suisse se place entre vos collaborateurs, vos données et les fournisseurs de LLM. Deux Guards forment la couche de gouvernance : le Sensitive Data Guard empêche les données personnelles ultra-sensibles, les secrets d'affaires ou les grilles tarifaires d'atteindre un LLM externe. Le Compliance Guard applique vos politiques internes en temps réel, du seuil de signature à l'obligation d'AIPD. Hébergement en Suisse, audit trail complet, prêt pour la nLPD et le règlement européen sur l'IA. Vos collaborateurs travaillent avec une IA moderne et productive, et vous gardez le contrôle sur ce qui sort de votre entreprise.