L'IA générative au travail : ce qu'exige la LPD lorsque le personnel utilise ChatGPT ou Claude

Par Thomas Contin, Managing Partner

En octobre 2026, le PFPDT et l'Office fédéral de la cybersécurité (OFCS) ont mené une campagne commune sur les risques de l'IA générative au travail. Le message est simple : saisir des données personnelles dans un outil comme ChatGPT, Claude ou Copilot constitue un traitement de données personnelles, auquel la loi fédérale sur la protection des données (LPD) s'applique pleinement.

Le PFPDT avait déjà indiqué que la LPD s'applique directement aux traitements effectués au moyen de l'IA. La Suisse a choisi de ne pas adopter pour l'instant de loi spécifique sur l'IA : les règles existantes de protection des données constituent donc le cadre déterminant.

Où se situe le risque

Le problème vient rarement de l'outil lui-même. Il vient de l'employé qui colle un contrat de client, une lettre concernant un patient ou un dossier RH dans une fenêtre de discussion pour en obtenir un résumé. Selon l'abonnement et les paramètres, le fournisseur peut conserver le contenu, le traiter à l'étranger ou l'utiliser pour améliorer ses modèles. Les données quittent l'entreprise sans que personne l'ait décidé.

Ce qu'exige la LPD

Tout traitement doit avoir une finalité reconnaissable et être proportionné (art. 6 LPD). Le fournisseur de l'outil est un sous-traitant et nécessite un contrat conforme à l'art. 9 LPD. Si les données sont communiquées dans un pays qui n'offre pas une protection adéquate, des garanties comme les clauses contractuelles types sont nécessaires (art. 16 LPD). Les clients et les employés doivent être informés (art. 19 LPD), et un traitement susceptible d'entraîner un risque élevé requiert une analyse d'impact relative à la protection des données (art. 22 LPD).

Le secret professionnel ajoute un niveau supplémentaire : avocats, médecins, fiduciaires et banques y restent soumis, quel que soit l'outil utilisé.

Une directive applicable

Décidez quels outils sont autorisés, avec quel abonnement et quels paramètres : des abonnements professionnels qui excluent l'entraînement sur vos données sont un minimum. Définissez les catégories de données qui ne doivent jamais être saisies, comme les données sur la santé, l'identité des clients ou les secrets protégés par la loi. Privilégiez les saisies anonymisées ou pseudonymisées.

Évaluez chaque fournisseur comme n'importe quel autre : où les données sont traitées, combien de temps elles sont conservées, qui peut y accéder et ce que prévoit le contrat. Formez le personnel avec des exemples concrets et consignez la directive par écrit.

Conclusion

L'IA générative peut faire gagner du temps dans presque tous les bureaux, mais elle exige la même discipline que toute autre externalisation. Advisorn rédige des directives d'utilisation de l'IA, examine les contrats des fournisseurs et leurs conditions de traitement des données, et réalise des analyses d'impact lorsqu'elles sont requises.