nLPD et intelligence artificielle : la loi s'applique déjà, une loi IA se prépare pour 2027

Le 28 octobre 2026, le Conseil fédéral a fait le point sur la réglementation de l'intelligence artificielle : le projet de règles contraignantes est en préparation, et la consultation doit s'ouvrir au printemps 2027. Faut-il attendre cette loi pour utiliser l'IA dans votre entreprise ? Non. Pour les données personnelles, la nouvelle loi sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023, s'applique déjà à l'intelligence artificielle, et elle suffit à dire ce qu'une PME doit faire aujourd'hui.

L'essentiel

• La Suisse n'a pas encore de loi propre à l'IA. Le Conseil fédéral a décidé le 12 février 2025 de ratifier la convention du Conseil de l'Europe sur l'IA ; la consultation sur les règles contraignantes est prévue au printemps 2027.
• En attendant, le Préposé fédéral à la protection des données (PFPDT) le rappelle : la LPD est « directement applicable » aux traitements de données faits avec l'IA.
• Concrètement, cinq obligations comptent : le registre des traitements, l'analyse d'impact quand le risque est élevé, l'information des personnes, le contrat avec le fournisseur et le lieu où partent les données.
• Le choix technique fait partie de la conformité : un modèle qui tourne sur un serveur que vous contrôlez, en Suisse, n'envoie vos données ni à un fournisseur d'IA ni à l'étranger.
• Cet article n'est pas un avis juridique : pour les données sensibles ou couvertes par un secret, faites valider votre choix par un juriste.

Ce qui se passe : la nLPD et l'intelligence artificielle, et une loi qui se prépare

Les règles nouvelles : pas avant la consultation de 2027

Le 12 février 2025, le Conseil fédéral a décidé de ratifier la convention du Conseil de l'Europe sur l'intelligence artificielle. Il a chargé le Département fédéral de justice et police de préparer un projet mis en consultation, en notant que « la Suisse ne dispose pour l'heure d'aucune législation propre en la matière ». L'Office fédéral de la justice y travaille : le projet doit traiter de la transparence, de la protection des données, de la non-discrimination et de la surveillance.

Le 28 octobre 2026, le Conseil fédéral a pris connaissance de l'avancement. Deux voies se dessinent. D'un côté, des mesures contraignantes, élaborées par l'Office fédéral de la justice, qui couvrent aussi l'évaluation des risques ; selon le communiqué, « l'ouverture de la consultation est prévue pour le printemps 2027 ». De l'autre, des mesures non contraignantes coordonnées par l'Office fédéral de la communication : lignes directrices, standards sectoriels, engagements volontaires, avec un guide pour aider les branches à rédiger leurs propres codes.

Le contenu exact des futures règles n'est pas publié. Tout ce qui s'écrit aujourd'hui sur leurs détails relève de la supposition, et je n'en ferai pas.

La règle actuelle : la LPD s'applique déjà

Le PFPDT est clair. La LPD est neutre sur le plan technologique ; « elle est donc directement applicable aux cas où l'IA est utilisée pour traiter des données ». Il en tire des exigences précises : ceux qui fabriquent, fournissent ou utilisent une IA doivent indiquer de manière transparente sa finalité, son fonctionnement et ses sources de données ; les personnes ont le droit de savoir si elles communiquent avec une machine ; et pour les traitements à risque élevé, la loi impose une analyse d'impact. Il l'a redit le 28 janvier 2026, lors de la Journée de la protection des données : l'IA générative n'est pas soumise à la LPD en tant que telle, mais elle le devient dès qu'elle traite des données personnelles.

Ce que ça change pour vous

Pour une PME, l'IA n'ajoute pas de régime à part : elle fait entrer un nouvel outil dans les obligations qui existent déjà. Voici celles qui comptent le plus, article par article.

• Le registre des traitements (art. 12 LPD). Il décrit, pour chaque traitement, la finalité, les catégories de données et de personnes, les destinataires et, en cas de communication à l'étranger, le pays et les garanties. Les entreprises de moins de 250 collaborateurs en sont dispensées, sauf si elles traitent des données sensibles à grande échelle ou font du profilage à risque élevé (art. 24 OPDo). Même dispensé, le tenir pour vos usages de l'IA reste le moyen le plus simple de savoir où vont vos données.
• L'analyse d'impact (art. 22 LPD). Obligatoire avant un traitement susceptible d'entraîner un risque élevé, « en particulier lors du recours à de nouvelles technologies ». Elle décrit le traitement, évalue les risques et liste les mesures prévues. Un assistant qui trie les candidatures ou qui analyse des dossiers de santé est un candidat évident.
• Le devoir d'informer (art. 19 et 21 LPD). Vos clients et employés doivent savoir à quoi servent leurs données et à qui elles sont transmises, y compris dans quel pays. Si une décision qui les affecte de manière significative est prise exclusivement par un système automatisé, vous devez le leur dire, et ils peuvent demander qu'une personne la revoie.
• Le fournisseur et le lieu de traitement (art. 9 et 16 LPD). Un service d'IA en ligne est en général un sous-traitant : il faut un contrat, et ses serveurs à l'étranger exigent un pays reconnu adéquat ou des garanties. J'ai détaillé ce point, et le secret professionnel, dans l'article sur le shadow AI.
• La protection dès la conception (art. 7 LPD). Le traitement doit être limité, par défaut, au minimum nécessaire. Envoyer un dossier complet à une IA pour en extraire une date ne l'est pas.

Les sanctions visent les personnes, pas seulement l'entreprise : jusqu'à 250 000 francs d'amende, sur plainte, pour qui omet intentionnellement d'informer, communique des données à l'étranger sans garanties ou confie un traitement à un sous-traitant hors des conditions légales (art. 60 et 61 LPD).

Ce que j'en ai appris

Dans mes propres installations, la question qui décide de tout est la même : quelle donnée va où. Et la réponse n'est pas la même pour tout.

Dans mon infrastructure domotique, la reconnaissance et la synthèse vocales tournent en local, sans connexion ; l'assistant cherche dans des documents stockés chez moi, et seul le raisonnement complexe part vers une API externe. Pour mon travail quotidien, mes agents d'IA reposent sur Claude Code, un service d'Anthropic : une partie de mes données sort donc chez un fournisseur, alors que les serveurs qui les hébergent, mon ERP et la mémoire de mes agents sont en Suisse. J'ai décrit cette installation dans claudeVPS.

C'est un choix que je fais pour mes propres données, en connaissant les conditions du fournisseur. Pour des dossiers clients couverts par le secret, ou des données de santé, je ferais l'autre choix : un modèle qui tourne sur un serveur que vous contrôlez, et rien ne sort. C'est la règle que j'applique quand j'installe une IA chez un client : modèles locaux quand la confidentialité l'exige, API externes quand c'est acceptable, et une liste écrite de ce qui part où. Cette liste, c'est déjà la moitié du registre.

Que faire concrètement

1. Faire l'inventaire de vos usages de l'IA

Quels outils, pour quelles tâches, avec quelles données : clients, employés, candidats, patients. Incluez les fonctions d'IA ajoutées discrètement dans vos logiciels existants, messagerie, CRM ou traitement de texte.

2. Noter, pour chaque usage, où partent les données

Le fournisseur, son contrat, le pays de traitement, et si vos données servent à entraîner ses modèles. Si vous êtes dispensé du registre, une page par outil suffit ; sinon, complétez le registre existant.

3. Repérer les usages à risque élevé

Données sensibles (santé, opinions, données biométriques, poursuites pénales), décisions sur des personnes, profilage. Pour ceux-là, rédigez une analyse d'impact avant de commencer, pas après.

4. Choisir le lieu de traitement selon la sensibilité

Une API sous contrat pour ce qui peut sortir ; un modèle local, sur votre serveur, pour ce qui ne le doit pas. Les deux cohabitent très bien, à condition que la règle soit écrite à l'avance.

5. Mettre à jour votre déclaration de protection des données

Mentionnez l'usage de l'IA, les destinataires et les pays. Si un chatbot répond à vos clients, dites-leur qu'ils parlent à une machine.

6. Prévoir un rendez-vous au printemps 2027

À l'ouverture de la consultation, relisez votre inventaire face au projet publié. Si vous avez fait les cinq étapes précédentes, vous aurez surtout des ajustements à faire.

Questions fréquentes

Une petite entreprise doit-elle tenir un registre ?

Moins de 250 collaborateurs : en principe non, sauf données sensibles à grande échelle ou profilage à risque élevé (art. 24 OPDo). Le devoir d'informer, le contrat avec le sous-traitant et les règles sur l'étranger s'appliquent en revanche à toutes les tailles.

Utiliser ChatGPT ou Claude est-il interdit en Suisse ?

Non. C'est permis si vous respectez la LPD : un contrat adapté, des garanties pour l'étranger, l'information des personnes concernées et aucun secret professionnel qui s'y oppose. Pour un cas sensible, demandez l'avis d'un juriste.

Le règlement européen sur l'IA s'applique-t-il à moi ?

Cela dépend de vos activités dans l'Union européenne, et c'est une question à poser à un juriste. Cet article porte sur le droit suisse.

Pour aller plus loin

J'installe des IA qui restent chez vous quand la confidentialité l'exige, et je documente ce qui part ailleurs quand c'est acceptable. Les guides de mon serveur IA personnel détaillent la pile technique. Pour faire le point sur votre cas : un appel de 20 minutes.

Sources

• Le Conseil fédéral prend connaissance de l'avancement de la réglementation en matière d'IA, Conseil fédéral, communiqué du 28 octobre 2026.
• Intelligence artificielle, Office fédéral de la justice, page mise à jour (décision du 12 février 2025), consultée le 10 novembre 2026.
• IA et protection des données, PFPDT, 24 septembre 2025.
• Journée de la protection des données 2026 : usages des IA génératives et enjeux de protection des données, PFPDT, 28 janvier 2026.
• Loi fédérale sur la protection des données (LPD), RS 235.1, art. 7, 9, 12, 16, 19, 21, 22, 60 et 61, Confédération suisse, en vigueur depuis le 1er septembre 2023.
• Ordonnance sur la protection des données (OPDo), RS 235.11, art. 24, Confédération suisse, en vigueur depuis le 1er septembre 2023.

Photo de couverture : Vitaly Gariev / Unsplash, licence Unsplash.

Tags : nLPD, intelligence artificielle, protection des données, Suisse, PFPDT, IA locale