Utiliser l’IA en entreprise en garantissant la protection des données conseil d’expert pour les PME suisses

Rédigé par Sara Amati 20.10.2025

Les PME suisses se tournent de plus en plus vers l’intelligence artificielle (IA). Deux sur trois font des essais avec cette technologie ou l’utilisent déjà de manière productive. Mais la plupart d’entre elles n’ont pas encore établi de règles du jeu claires. C’est ce que révèle l’étude sur le marché de l’emploi des PME 2025 d’AXA (en allemand). Marco S. Meier, avocat et expert en droit de l’informatique et de la protection des données, explique comment utiliser l’IA en toute sécurité et réduire le risque de violation de la protection des données.

Protection juridique d’entreprise

Pourquoi la protection des données est-elle essentielle quand on se sert de l’IA?

Comme la majorité des PME voient dans cette technologie des possibilités en termes d’efficience et de croissance, leurs craintes diminuent. Ce changement d’état d’esprit ne doit pas faire oublier l’enjeu crucial qu’est la garantie de la protection des données lors de la saisie et du traitement des données personnelles dans les outils d’IA.

La loi sur la protection des données (LPD) révisée en 2023 impose la sécurité des données et l’utilisation transparente de ces dernières. Et si l’IA n’est pas mentionnée explicitement dans la loi, les mêmes exigences s’appliquent pour elle, selon le Préposé fédéral à la protection des données et à la transparence (PFPDT). Toute infraction expose à de lourdes amendes et à des dommages de réputation.

Problème: comme le montre l’étude 2025 sur le marché de l’emploi des PME, seul un tiers des PME suisses ont établi des règles claires dans ce domaine. Dans la plupart des entreprises, les collaboratrices et les collaborateurs décident eux-mêmes des outils qu’ils utilisent et des données qu’ils y saisissent, sans avoir toujours conscience des conséquences possibles.

Conseil d’expert en IA et droit de la protection des données

Dans un entretien, Marco S. Meier, avocat, MLaw, CIPP/E et informaticien CFC, nous explique quels sont les écueils du droit dans ce domaine, quelles sont les conséquences d’une violation de la protection des données et en quoi elle consiste et ce que les PME peuvent faire pour réduire les risques.

Quels sont les écueils du droit de la protection des données lorsque le personnel a recours à des services d’IA?

Dans la pratique, il y a plusieurs problématiques. Ainsi, le principal risque est que les collaborateurs et collaboratrices ne savent pas quelles données ils ont le droit de saisir dans quel outil d’IA. Pour prévenir les violations de la protection des données, il est essentiel que l’entreprise procède à un examen approfondi des outils d’IA avant de donner son feu vert. Elle peut alors élaborer des instructions claires pour une utilisation respectueuse de la protection des données et former leurs équipes en conséquence.

Il est important que les collaborateurs et collaboratrices sachent clairement quelles applications peuvent être utilisées, dans quelles conditions et surtout, quelles données peuvent y être saisies. La question suivante se pose par exemple: des données personnelles ou soumises au secret peuvent-elles être saisies dans l’IA?

Autre piège: l'utilisation au travail d'outils d’IA que les collaborateurs et les collaborateurs et collaboratrices emploient à titre privé. Ce sont souvent des versions gratuites que l’entreprise n’a ni vérifiées ni validées. La saisie de données personnelles peut rapidement entraîner des violations de la protection des données.

Pour éviter ces écueils, l’entreprise doit impérativement évaluer et analyser soigneusement les risques des outils d’IA, définir des directives claires quant à leur utilisation en interne et organiser des formations adéquates.

Qui est responsable lorsqu’un membre de l’entreprise enfreint le droit de la protection des données en utilisant l’IA?

Lorsqu’une entreprise recourt aux services d’IA d’un prestataire tiers, du point de vue du droit sur la protection des données, c’est elle qui est responsable du traitement. À ce titre, l’entreprise est tenue de garantir le respect de la loi sur la protection des données.

L’entreprise doit se conformer aux obligations suivantes:

la garantie de la transparence par la mise à disposition d’informations (devoir d’information);
la conclusion d’un contrat de sous-traitance en cas de recours à des fournisseurs tiers
la garantie d’un niveau de protection adéquat lors de la transmission de données à l’étranger
le cas échéant, la réalisation d’une analyse d’impact relative à la protection des données
la garantie de la sécurité des données

Ces obligations, à l’exception de l’analyse d’impact relative à la protection des données, sont assortie de sanctions pénales en cas de non-respect. Cependant, contrairement au droit européen, la sanction ne vise pas l’entreprise, mais le responsable au sein de l’entreprise.

Quelles sont les conséquences d’une violation du droit de la protection des données?

Toute personne responsable de la violation de la loi sur la protection des données dans l’entreprise est passible d’une amende pouvant aller jusqu’à 250 000 francs. Exceptionnellement, l’entreprise peut se voir infliger l’amende, notamment lorsque le travail dû à l’identification des personnes responsables serait disproportionné. Dans ce cas, l’entreprise encourt une amende pouvant aller jusqu’à 50 000 francs.

Jusqu’à présent, je n’ai connaissance d’aucune amende dont le montant a atteint le plafond prévu. Sans compter que les violations de la protection des données donnant lieu à des sanctions sont rares à l’heure actuelle.

En plus des amendes prévues, les compétences du Préposé fédéral à la protection des données et à la transparence (PFPDT) ont été élargies depuis la révision de la loi. Il est autorisé à ouvrir des enquêtes et à ordonner l’adaptation, l’interruption ou la suppression de certains processus de traitement des données, p. ex. le recours à des services d’IA. En règle générale, avant toute procédure d’enquête formelle, le PFPDT intervient de façon informelle en attirant l’attention des responsables du traitement sur une violation de la protection des données et en recommandant des adaptations. Ces mesures visent à sensibiliser l’entreprise et les personnes responsables et à réduire les risques éventuels.

Comment prévenir les violations du droit de la protection des données?

Garantir une utilisation des outils d’IA conforme à la protection des données dans les PME commence par la sensibilisation. Pour se prémunir contre les violations de la protection des données, les PME doivent former leur personnel et l’informer des risques en lien avec les données personnelles et l’IA. Le travail de sensibilisation vise d’une part à garantir que le thème de la protection des données soit intégré suffisamment tôt dans les nouveaux projets, par exemple l’introduction d’un service d’IA. D’autre part, il doit contribuer à ce que chacune et chacun ait à l’esprit les risques qu’implique le traitement de données personnelles au moyen de l’IA.

Par ailleurs, , il est utile de mettre en place une directive spécifique sur l’IA permettant d’encadrer son utilisation. Cette directive sur l’IA définira par exemple quels services d’IA peuvent être utilisés, quelles données (p. ex. données personnelles, données sensibles, données protégées par le secret) peuvent y être saisie et comment il faut gérer les résultats générés l’IA. Elle doit également fixer les principes éthiques de l’entreprise (p. ex. sur la transparence, l’équité, la non-discrimination ou le contrôle humain).

Quels conseils donneriez-vous pour garantir une utilisation des outils d’IA dans le respect de la protection des données?

Afin de garantir une utilisation conforme à la protection des données, il convient de procéder à des clarifications centralisées en amont.

Une analyse complète des risques prenant également en compte les aspects de Compliance, par exemple sur la base d’une analyse d’impact approfondie.
Un examen minutieux du prestataire d’IA et une élaboration rigoureuse du contrat, même si la négociation des clauses paraît difficile.
Une pesée des risques contractuels et, le cas échéant, des mesures de prévention à l’aide de directives internes ou de moyens et de restrictions techniques.

Outre les risques juridiques, il est recommandé de prendre en compte les aspects techniques afin d’identifier les dangers potentiels et d’éviter toute violation de la protection des données.

Mesures pour une utilisation des outils d’IA conforme à la protection des données

Sensibilisation et formation des collaborateurs et collaboratrices: des formations régulières garantissent que les collaborateurs et collaboratrices connaissent les risques, utilisent les services d’IA de manière responsable et intègrent la protection des données dès le départ dans les projets.
Élaboration d’une directive spécifique pour l’IA: définir des règles claires, avec des instructions pour la gestion des données, des résultats générés par l’IA et des garde-fous éthiques.
Réalisation d’analyses de risques complètes: examen des prestataires d’IA et des contrats ainsi que mise en œuvre de mesures de sécurité techniques avant même l’utilisation des services d’IA, afin d’identifier suffisamment tôt les risques et de les réduire.

Conclusion: utilisation de l’IA en entreprise dans le respect de la protection des données

Retenons que l’utilisation de l’intelligence artificielle dans les PME suisses offre de nombreuses possibilités, mais pose aussi des défis en matière de protection des données. Pour utiliser l’IA dans le respect de la protection des données, des mesures ciblées doivent être prises à l’échelle de l’entreprise. L’établissement de directives claires, la sensibilisation et la formation du personnel ainsi que la réalisation d’analyses de risques complètes sont des étapes décisives pour garantir que l’IA soit utilisée dans le respect de la protection des données. Face à l’importance croissante de l’IA, il est essentiel pour les PME suisses de poser les jalons d’une utilisation responsable et conforme à la loi de cette technologie. Protection des données et IA doivent aller de pair pour garantir la réussite à long terme et l’acceptation au sein de la société. Les entreprises qui prennent les devants dans ce domaine sont en mesure de réduire les risques potentiels et de renforcer la confiance de la clientèle, des partenaires et du personnel. Une déclaration de protection des données à jour et clairement formulée est essentielle pour instaurer la transparence et la confiance. En fin de compte, l’utilisation de l’IA responsable et respectueuse de la protection des données de bout en bout est un facteur clé pour la pérennité des PME suisses.

Questions fréquemment posées sur la protection des données lors de l’utilisation de l’IA

Oui. En plus de la LPD suisse, les prescriptions plus strictes du RGPD de l’UE et de la loi européenne sur l’intelligence artificielle peuvent s’appliquer, en fonction de votre clientèle et de votre secteur d’activité.

Le RGPD régit la protection des données et le traitement des données à caractère personnel dans l’UE. Les entreprises suisses doivent, elles aussi, s’y conformer lorsqu’elles traitent des données de citoyens de l’UE.

La loi européenne sur l’IA porte spécifiquement sur l’utilisation de l’IA et garantit que les systèmes d’IA à haut risque fonctionnent de manière transparente, sûre et conforme à la protection des données. Si des PME suisses utilisent des services d’IA qui concernent des citoyens de l’UE ou sont hébergés dans l’UE, elles doivent également respecter ces prescriptions.

Depuis le 15 septembre 2024, le Swiss-U.S. Data Privacy Framework autorise le transfert de données vers les États-Unis sans mécanisme de protection supplémentaire, à condition toutefois que le prestataire américain soit certifié. Ainsi, les données peuvent être saisies dans les outils de ces prestataires si toutes les autres conditions sont remplies.

Uniquement si vous utilisez une version Business avec contrat de sous-traitance et que vous avez la preuve que le prestataire est certifié et qu’il agit en conformité avec la LPD. En cas de doute, ne saisissez pas de données confidentielles ou sensibles dans les outils d’IA.

De nombreux prestataires utilisent les données saisies pour entraîner leurs modèles. Les outils fiables offrent des options d’opt-out, en particulier dans les versions Pro/Enterprise. Renseignez-vous au préalable sur les conditions applicables et prenez autant que possible pour cette option afin de protéger vos données.