L’IA dans les PME : ce qu’exige la loi suisse sur la protection des données

En bref

La nouvelle loi suisse sur la protection des données (nLPD) est en vigueur depuis le 1er septembre 2023. Elle est formulée de manière neutre sur le plan technologique et s’applique donc aussi à l’IA. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) a expressément souligné que la loi en vigueur est directement applicable aux traitements de données assistés par l’IA. Il n’est donc pas nécessaire d’attendre une nouvelle loi sur l’IA pour que des obligations existent.

Pour une PME, cela ne signifie pas renoncer à l’IA, mais clarifier quelques points avant de l’utiliser.

Question 1 : quelles données est-ce que je saisis ?

Le plus simple est qu’aucune donnée personnelle n’entre dans un outil d’IA. Rédiger un texte publicitaire ou un modèle général ne pose aucun problème. Il en va autrement si vous y collez des e-mails de clients, des offres nominatives ou des dossiers du personnel.

Les données personnelles dites sensibles, comme les données de santé ou les informations sur les convictions religieuses, sont particulièrement délicates. Elles n’ont rien à faire dans un outil d’IA librement accessible.

Question 2 : où les données sont-elles traitées ?

De nombreux fournisseurs d’IA traitent les données aux États-Unis ou dans d’autres pays. La nLPD autorise la communication à l’étranger si le pays concerné garantit une protection adéquate des données. Le Conseil fédéral fixe ces pays dans une liste. Pour les États-Unis, cela ne vaut que pour les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework.

Pour les autres fournisseurs, des garanties supplémentaires sont nécessaires, en général des clauses contractuelles types. Vérifiez donc où votre fournisseur est établi et quels contrats il propose.

Question 3 : le fournisseur peut-il entraîner ses modèles avec mes données ?

Dans les versions gratuites, de nombreux fournisseurs se réservent le droit d’utiliser les saisies pour améliorer leurs modèles. Les versions Business et Enterprise l’excluent généralement par contrat et proposent un contrat de sous-traitance.

Un tel contrat est important : lorsqu’un fournisseur externe traite des données personnelles pour votre compte, votre entreprise reste responsable et doit s’assurer qu’il ne traite les données que comme vous seriez vous-même autorisé à le faire.

Question 4 : les personnes concernées sont-elles informées ?

La nLPD exige la transparence. Quiconque collecte des données personnelles doit informer les personnes concernées, en pratique généralement par la déclaration de protection des données. Si vous utilisez désormais des outils d’IA avec des données clients, cela doit y figurer, y compris les pays vers lesquels les données sont transmises.

Si une IA prend de manière autonome des décisions ayant des conséquences notables pour une personne, par exemple un refus automatique, les personnes concernées doivent en être informées et pouvoir faire valoir leur point de vue si elles le souhaitent.

Liste de contrôle pour votre PME

• Recensez les outils d’IA déjà utilisés dans votre entreprise, y compris à titre privé.
• Pour le travail, utilisez des versions professionnelles avec des comptes d’entreprise, et non des comptes privés gratuits.
• Vérifiez l’emplacement des serveurs, le contrat de sous-traitance et la renonciation à l’entraînement.
• Consignez dans une courte directive IA quelles données peuvent aller dans quels outils.
• Complétez votre déclaration de protection des données.
• Faites toujours vérifier les résultats importants par une personne.

Et si on l’ignore ?

La nLPD prévoit des amendes allant jusqu’à CHF 250 000, par exemple en cas de violation intentionnelle du devoir d’informer. Particularité suisse : ce sont en premier lieu les personnes responsables qui sont sanctionnées, et non l’entreprise. La perte de confiance pèse au moins aussi lourd lorsque des données clients se retrouvent là où elles n’ont rien à faire.

Cet article offre un aperçu général et ne remplace pas un conseil juridique. Pour des renseignements contraignants sur votre cas, adressez-vous à un spécialiste du droit de la protection des données.