nLPD et intelligence artificielle : le cadre suisse en pratique

La Suisse n’a pas de loi spécifique sur l’intelligence artificielle, et n’en aura probablement pas sous la forme d’un texte unique. Cela ne signifie pas un vide juridique : depuis le 1er septembre 2023, la loi fédérale sur la protection des données révisée (nLPD) encadre déjà tout traitement de données personnelles par un système d’IA. Pour une PME qui déploie un assistant conversationnel ou un outil d’analyse, c’est ce texte qui fixe aujourd’hui les règles du jeu.

Une loi neutre sur le plan technologique

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) l’a dit clairement dans une communication du 9 novembre 2023 : la nLPD, formulée de manière neutre sur le plan technologique, est directement applicable aux traitements reposant sur l’IA, quelle que soit la réglementation future. Il en découle plusieurs attentes concrètes. Fabricants, fournisseurs et utilisateurs doivent rendre transparents la finalité, le fonctionnement et les sources de données du traitement. Une personne qui échange avec un agent conversationnel a le droit de savoir qu’elle parle à une machine, et si ses saisies servent à améliorer le système. Les contenus truqués représentant des personnes identifiables doivent être signalés comme tels.

Le PFPDT admet les traitements à risque élevé, à condition que des mesures de protection adéquates soient prises. Il cite en revanche comme contraires à la loi la reconnaissance faciale généralisée en temps réel ou la notation sociale des modes de vie.

Les obligations qui comptent pour un projet d’IA

Quatre dispositions de la nLPD reviennent dans presque tous les projets.

Article	Obligation	Ce que cela implique pour l’IA
Art. 19	Devoir d’informer lors de la collecte	Indiquer la finalité, les destinataires et les pays de traitement, y compris le fournisseur du modèle
Art. 21	Décision individuelle automatisée	Informer la personne ; sur demande, lui permettre de s’exprimer et d’obtenir un réexamen par un humain
Art. 22	Analyse d’impact	Obligatoire en cas de risque élevé, notamment avec de nouvelles technologies
Art. 16	Communication à l’étranger	Pays reconnu comme adéquat ou garanties appropriées

L’art. 21 vise les décisions prises exclusivement sur la base d’un traitement automatisé et qui ont un effet juridique ou une conséquence négative importante pour la personne. Il ne s’applique pas lorsque la décision est directement liée à la conclusion ou à l’exécution d’un contrat et que la demande de la personne est satisfaite, ni lorsque celle-ci a expressément consenti à l’automatisation. Un outil qui trie des candidatures ou des dossiers de location sans intervention humaine réelle entre typiquement dans ce champ.

L’analyse d’impact de l’art. 22 doit être réalisée avant le traitement, décrire celui-ci, évaluer les risques et prévoir des mesures. Si un risque élevé subsiste malgré ces mesures, le PFPDT doit être consulté.

Les transferts à l’étranger, angle mort fréquent

La plupart des grands modèles sont hébergés hors de Suisse. Selon l’art. 16, des données personnelles peuvent être communiquées à l’étranger si le Conseil fédéral a constaté que l’État offre un niveau de protection adéquat (c’est le cas des pays de l’UE et de l’EEE), ou à défaut moyennant des garanties appropriées, comme les clauses contractuelles types de la Commission européenne adaptées au droit suisse, que le PFPDT reconnaît. Depuis le 15 septembre 2024, les États-Unis figurent sur la liste, mais seulement pour les entreprises certifiées selon le Swiss-US Data Privacy Framework. Vérifier la certification du fournisseur, ou l’existence de clauses adaptées, fait donc partie du choix de l’outil.

Les sanctions de la nLPD visent en principe les personnes physiques : la violation intentionnelle de certains devoirs, dont le devoir d’informer, est passible d’une amende pouvant atteindre CHF 250’000.

L’approche du Conseil fédéral : pas d’« AI Act » suisse

Le 12 février 2025, le Conseil fédéral a fixé sa ligne. La Suisse entend ratifier la convention-cadre du Conseil de l’Europe sur l’intelligence artificielle, qu’elle a signée à Strasbourg le 27 mars 2025, et l’intégrer à son droit. Les adaptations législatives doivent rester autant que possible sectorielles ; une réglementation générale transversale ne concernerait que des domaines touchant aux droits fondamentaux, comme la protection des données. Des mesures non contraignantes (autodéclarations, solutions de branche) sont aussi prévues. Le Département fédéral de justice et police doit présenter un projet mis en consultation d’ici fin 2026, portant sur la transparence, la protection des données, la non-discrimination et la surveillance. Trois objectifs sont affichés : renforcer l’innovation, protéger les droits fondamentaux et accroître la confiance du public.

Le contraste avec l’AI Act européen

L’Union européenne a choisi l’inverse : un règlement horizontal fondé sur les niveaux de risque. L’AI Act est entré en vigueur le 1er août 2024 ; les interdictions et l’obligation de maîtrise de l’IA (art. 4) s’appliquent depuis le 2 février 2025, les règles sur les modèles d’IA à usage général depuis le 2 août 2025, et l’essentiel du texte était prévu pour le 2 août 2026. En novembre 2025, la Commission a proposé, dans le cadre d’un « omnibus numérique », de repousser les obligations relatives aux systèmes à haut risque, au plus tard à décembre 2027 ou août 2028 selon les cas ; la proposition est en cours d’examen par le Parlement et le Conseil au moment où nous écrivons.

Pour une entreprise suisse, l’AI Act n’est pas une question théorique. Son art. 2 s’applique aux fournisseurs qui mettent un système sur le marché de l’UE, où qu’ils soient établis, ainsi qu’aux fournisseurs et utilisateurs de pays tiers lorsque les résultats produits par le système sont utilisés dans l’Union. Une PME genevoise qui sert des clients français ou allemands avec un outil d’IA peut donc y être soumise.

Conseils pratiques pour une PME

Sans prétendre remplacer un avis juridique, quelques réflexes s’imposent :

• tenir un inventaire des outils d’IA utilisés, des données qui y transitent et du pays d’hébergement ;
• adapter la déclaration de protection des données pour mentionner ces traitements ;
• interdire, ou encadrer strictement, la saisie de données personnelles et confidentielles dans des outils grand public ;
• garder un humain réellement décisionnaire pour toute décision touchant une personne ;
• conduire une analyse d’impact dès qu’un traitement paraît à risque élevé ;
• vérifier, pour toute activité tournée vers l’UE, si l’AI Act s’applique.

À retenir

La nLPD s’applique pleinement à l’IA depuis septembre 2023, et le PFPDT l’a confirmé expressément. Transparence, encadrement des décisions automatisées, analyse d’impact et contrôle des transferts à l’étranger forment le socle des obligations. La Suisse prépare une réglementation ciblée, liée à la convention du Conseil de l’Europe, plutôt qu’un équivalent de l’AI Act. Mais les entreprises qui servent le marché européen doivent déjà tenir compte du règlement de l’UE, dont le calendrier reste en partie mouvant.