Lesquelles de vos invites sont des données personnelles en droit suisse ?
La LPD révisée s’applique depuis septembre 2023 et ne mentionne pas l’IA une seule fois. Elle régit pourtant l’essentiel de ce que vos équipes tapent dans un agent conversationnel.
La loi fédérale révisée sur la protection des données s’applique depuis le 1er septembre 2023. Elle ne contient aucune règle sur l’intelligence artificielle, et n’en a pas besoin. Elle régit le traitement de données personnelles — et une invite est un traitement.
Cette seule phrase règle la plupart des questions que les entreprises posent sur l’IA et le droit suisse.
Le test est plus simple qu’on ne croit
Les données personnelles sont toutes les informations se rapportant à une personne physique identifiée ou identifiable. Pas seulement des noms : un numéro de client, une plaque d’immatriculation, une fonction dans une petite entreprise, ou une description assez précise pour désigner un individu.
Donc : coller une réclamation client dans un agent conversationnel, c’est traiter des données personnelles. Faire reformuler une évaluation de collaborateur aussi, et il s’agit en plus de données sensibles. Demander un synonyme, non.
La distinction ne porte pas sur l’intelligence de l’outil, mais sur le fait qu’une personne soit identifiable dans le texte.
Ce qui en découle en pratique
- Il faut un but licite et de la proportionnalité. Envoyer un dossier client entier pour résumer un paragraphe échoue sur la proportionnalité, consentement ou pas.
- La communication à l’étranger exige une base. La plupart des grands modèles tournent hors de Suisse. État adéquat, cadre de protection des données Suisse-États-Unis ou clauses contractuelles types : l’un des trois doit s’appliquer, et votre fournisseur doit dire lequel.
- Cela figure au registre des activités de traitement. Beaucoup de PME en sont dispensées ; si vous en tenez un, les outils d’IA y entrent comme tout autre traitement.
- Les données sensibles élèvent l’exigence. Santé, religion, appartenance syndicale, procédures, biométrie. Dans une PME, c’est surtout du matériel RH. Pour les agents conversationnels généralistes : hors limites, sauf voie expressément validée.
La seule règle à donner à vos équipes
Laissez de côté le vocabulaire juridique et donnez ceci : avant de coller, demandez-vous si le texte permet d’identifier une personne précise. Si oui, retirez les éléments identifiants ou utilisez l’outil approuvé.
Ce n’est pas un résumé complet de la loi. C’est la version dont les gens se souviendront réellement un mardi après-midi, et elle évite la grande majorité des incidents réels.