IA et protection des données en Suisse : ce qu’une PME doit savoir

Confier ses informations à une IA soulève une question légitime : où vont mes données, et qui peut y accéder ? En Suisse, le sujet est encadré par la nouvelle loi sur la protection des données (nLPD) et reste un frein réel à l’adoption. La bonne nouvelle : ces exigences se traitent dès la conception, sans paralyser vos projets. C’est un principe central de nos solutions d’IA.

Cet article donne des repères pratiques pour une PME ; il ne remplace pas un conseil juridique adapté à votre situation.

Le cadre suisse : la nLPD

Depuis septembre 2023, la nouvelle loi fédérale sur la protection des données (nLPD) impose aux entreprises suisses des principes clairs : transparence sur l’usage des données, finalité déterminée, sécurité adéquate et respect des droits des personnes concernées. Pour une PME, l’IA ne change pas ces principes — elle les rend simplement plus concrets, puisqu’on lui confie potentiellement des données clients ou internes. Le réflexe à avoir : savoir quelles données entrent dans le système, et pourquoi.

Où sont stockées et traitées vos données ?

La question clé est celle de la localisation et du traitement. Utiliser une IA publique « grand public » pour saisir des données sensibles n’offre pas les mêmes garanties qu’une architecture maîtrisée, où l’on choisit où les informations sont stockées et comment elles sont interrogées. Pour une PME, l’enjeu est de cartographier le trajet de la donnée : ce qui reste chez vous, ce qui transite par un prestataire, et sous quelles conditions contractuelles.

Le bon réflexe : la minimisation

Le principe le plus protecteur est aussi le plus simple : ne donner à l’IA que ce dont elle a besoin. Quelques bonnes pratiques :

• Limiter les données transmises au strict nécessaire pour la tâche visée.
• Anonymiser ou pseudonymiser lorsque l’identité de la personne n’est pas indispensable.
• Maîtriser les accès — qui, dans l’outil, peut consulter quoi.
• Documenter les finalités et les traitements, comme l’exige la nLPD.

Garder vos documents sous contrôle

C’est tout l’intérêt d’une architecture où l’IA s’appuie sur vos propres documents dans un périmètre maîtrisé, plutôt que d’« envoyer l’entreprise » dans un modèle public. Une base de connaissances IA (RAG) bien conçue permet précisément de fournir à l’IA les bonnes informations tout en gardant le contrôle de leur stockage et de leur accès. La confidentialité n’est pas une option ajoutée à la fin : elle se décide au moment de l’architecture.

Transparence et confiance

La protection des données n’est pas qu’une contrainte légale : c’est un argument de confiance vis-à-vis de vos clients. Indiquer clairement comment vous utilisez l’IA et leurs informations renforce votre crédibilité — y compris auprès des moteurs et des IA qui vous citent, un enjeu détaillé dans notre guide du GEO. Bien menée, la conformité devient un atout, pas un obstacle.

En pratique, mieux vaut traiter ces questions au début du projet qu’à la fin. Choisir où les données sont stockées, qui peut y accéder et combien de temps elles sont conservées coûte peu si on le décide dès la conception ; cela devient une reprise lourde si on l’ajoute après coup. C’est pourquoi nous abordons la confidentialité comme un critère de design, au même titre que la fiabilité des réponses ou la facilité d’usage — et non comme une formalité à régler en dernier.