La réponse en bref
Oui, votre équipe peut utiliser des assistants IA pour le travail. Pour tout ce qui concerne les clients, les collaborateurs ou les secrets d’affaires, vous avez toutefois besoin d’un compte professionnel avec contrat, précisant où les données sont traitées et garantissant que le fournisseur ne les utilise pas pour entraîner ses modèles. Avec des comptes gratuits privés, seules les questions générales sans lien avec des personnes sont autorisées.
La loi sur la protection des données (LPD) s’applique directement à l’IA ; une loi spécifique sur l’IA n’est pas nécessaire. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) l’a expressément confirmé.
À partir de quand s’agit-il de données personnelles ?
Plus vite qu’on ne le pense. Les données personnelles sont toutes les informations se rapportant à une personne déterminée ou déterminable. Un nom suffit, un numéro de client aussi, et souvent le contexte : « Résume la réclamation de notre client de Herisau avec la Tesla rouge » permet d’identifier la personne.
| Saisie | Données personnelles ? | Compte gratuit autorisé ? |
|---|---|---|
| « Formule un rappel de paiement poli, ton : ferme » | Non | Oui |
| « Traduis cette description de produit en français » | Non | Oui, à condition que le produit ne soit pas encore confidentiel |
| Insérer un e-mail d’une cliente avec sa signature pour y répondre | Oui | Non |
| Faire résumer des dossiers de candidature | Oui, en partie données personnelles sensibles | Non |
| Faire vérifier un calcul d’offre ou du code source | Généralement non, mais secret d’affaires | Non |
Compte gratuit ou compte professionnel : la différence décisive
Chez les grands fournisseurs, les versions privées et professionnelles ne se distinguent pas seulement par le prix. Les versions professionnelles (appelées Business, Team ou Enterprise selon le fournisseur, ou Copilot dans le cadre du contrat Microsoft 365) offrent généralement :
- un contrat de sous-traitance, exigé par la LPD dès qu’un fournisseur traite des données personnelles pour vous (art. 9 LPD) ;
- l’exclusion de vos saisies de l’entraînement des modèles ;
- une gestion centralisée : vous voyez qui a accès et pouvez bloquer les comptes en cas de départ ;
- parfois le choix du lieu de stockage des données, par exemple dans l’UE.
Les conditions changent fréquemment. Vérifiez donc le contrat actuel de votre fournisseur et non un article de blog de l’année dernière. Avec les comptes privés, il est souvent possible de désactiver l’entraînement dans les paramètres, mais cela ne remplace pas un contrat avec votre entreprise.
Exemple : Un bureau fiduciaire à Frauenfeld comptant huit collaborateurs passe des comptes privés à une licence professionnelle. Ainsi, il est garanti que les données des mandants ne sont pas utilisées pour l’entraînement, et lors du départ d’une collaboratrice, son accès et son historique disparaissent de manière contrôlée.
Ce que la LPD exige concrètement
- Information : Votre déclaration de protection des données doit mentionner que vous traitez des données personnelles avec des services d’IA et indiquer à quels destinataires elles sont transmises (art. 19 LPD).
- Sous-traitance : Contrat avec le fournisseur, qui l’oblige à suivre vos instructions et à garantir la sécurité des données (art. 9 LPD).
- Étranger : Si des données sont transférées aux États-Unis ou dans d’autres pays hors de l’UE, une base légale selon l’art. 16 LPD est nécessaire, par exemple la certification du fournisseur selon le Swiss-US Data Privacy Framework ou des clauses contractuelles types. Plus d’informations dans le guide Données sensibles et IA.
- Analyse d’impact : En cas de risque élevé prévisible, par exemple si des données de santé ou des candidatures sont traitées par l’IA, une analyse d’impact relative à la protection des données (AIPD) est requise (art. 22 LPD).
- Décisions automatisées : Si l’IA prend une décision sans vérification humaine concernant une personne, par exemple un refus, vous devez le déclarer et permettre une révision par une personne sur demande (art. 21 LPD).
Pour les avocats, médecins, fiduciaires avec mandat de révision et autres détenteurs du secret professionnel, des règles plus strictes s’appliquent (art. 321 CP). Pour eux, un compte professionnel chez un fournisseur étranger n’est souvent pas suffisant.
Paramètres à vérifier dès aujourd’hui
- L’entraînement avec vos données est-il exclu, et ce pour tous les comptes de l’équipe ?
- Combien de temps le fournisseur conserve-t-il les conversations, et peut-on supprimer l’historique ?
- Les liens de partage des conversations sont-ils désactivés ou limités à l’entreprise ?
- Quelles extensions, plugins et connexions à la messagerie, au calendrier ou aux archives sont activés ? Chacun d’eux donne à l’IA accès à d’autres données.
- Pour Copilot dans Microsoft 365 : les autorisations dans SharePoint et Teams sont-elles correctes ? Copilot trouve tout ce qu’un collaborateur peut ouvrir, y compris la liste des salaires mal protégée.
Règles pour l’équipe
Une page suffit. Précisez quels outils sont autorisés avec quel compte, quelles données ne doivent jamais y être saisies et qu’un humain doit vérifier chaque résultat avant envoi aux clients. Un modèle à adapter est disponible dans le plan d’action IA.
Les interdictions seules sont peu efficaces. Celui qui n’a pas accès à un compte professionnel utilisera probablement son compte privé sur son téléphone, et personne ne verra alors ce qui est saisi.
Questions fréquentes
ChatGPT est-il autorisé en Suisse ?
Oui. Il n’y a pas d’interdiction. Pour un usage professionnel impliquant des données personnelles, les règles de la loi sur la protection des données s’appliquent toutefois : contrat avec le fournisseur, information des personnes concernées et base légale pour le transfert à l’étranger.
Les collaborateurs peuvent-ils utiliser leur compte ChatGPT privé pour le travail ?
Oui, pour des tâches générales sans données personnelles ni secrets d’affaires. Dès que des données clients, des données du personnel ou des documents confidentiels sont en jeu, non. Un compte professionnel avec contrat est alors nécessaire.
Microsoft Copilot est-il plus sûr que ChatGPT ?
Pas automatiquement. Copilot dans Microsoft 365 fonctionne dans le cadre de votre contrat Microsoft existant, ce qui simplifie la protection des données. En revanche, Copilot voit tous les fichiers auxquels un collaborateur a accès. Des autorisations mal gérées deviennent ainsi un risque.
Dois-je informer les clients que j’utilise l’IA ?
Si vous traitez leurs données personnelles avec des services d’IA, cela doit figurer dans la déclaration de protection des données. Pour les chatbots, les clients doivent reconnaître qu’ils communiquent avec une machine. Si vous vous adressez à des personnes dans l’UE, vous y êtes obligé depuis le 2 août 2026 en vertu du EU AI Act.
Existe-t-il des alternatives suisses ?
Oui, plusieurs fournisseurs proposent des services d’IA avec hébergement des données en Suisse, et des modèles ouverts comme Apertus peuvent être exploités en interne. Un aperçu est disponible dans le guide Données sensibles et IA.
Sources
Cette page donne une vue d’ensemble et ne remplace pas un conseil personnalisé. Les lois et les délais évoluent; seuls les textes officiels liés font foi.