Conformité nLPD & IA pour PME suisses
Vous avez branché un agent IA sur votre boîte e-mail, un assistant de rédaction sur vos documents clients ou un outil d'analyse sur votre base de données. Reste à savoir sous quel régime juridique tout cela tombe, ce que vous devez déclarer, et ce que vous devez pouvoir prouver en cas de contrôle. On met votre usage de l'IA au clair.
Votre IA est-elle conforme ?
Si votre entreprise est établie en Suisse et traite des données personnelles, c'est la nLPD qui s'applique — quel que soit l'outil d'IA employé. Si vous servez aussi des clients dans l'Union européenne, le RGPD et, depuis le 2 août 2026, une partie du règlement européen sur l'IA peuvent s'ajouter. Les trois textes ne se substituent pas l'un à l'autre : ils se superposent.
Dans la pratique, la conformité tient à trois choses que peu de PME ont sous la main : savoir quelles données passent par quel système d'IA, sur quelle base légale, et pouvoir le démontrer par écrit. Le reste découle de là.
Ce qui a changé le 2 août 2026
Depuis cette date, les obligations de transparence de l'article 50 du règlement européen sur l'IA sont pleinement applicables. Deux d'entre elles touchent directement les PME qui utilisent des outils d'IA au contact du public.
Un système conversationnel doit se déclarer
Un agent IA, un chatbot ou un assistant vocal doit signaler sa nature artificielle au moment de l'interaction, sans que la personne ait à poser la question. Une mention discrète en bas de page ne suffit pas.
Les contenus générés doivent être marqués
Les images, vidéos et enregistrements audio générés ou modifiés par IA doivent porter un marquage lisible par machine, qui permette leur détection automatique.
Le règlement (UE) 2026/1744, dit « omnibus numérique », publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet, a repoussé au 2 décembre 2027 les obligations pesant sur les systèmes à haut risque de l'annexe III. Il n'a pas touché à l'article 50 : la transparence, elle, s'applique déjà.
Le manquement aux obligations de transparence est sanctionné jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Une PME suisse est-elle concernée ?
Une entreprise active uniquement en Suisse ne tombe pas sous le coup du règlement européen du seul fait d'utiliser de l'IA. Elle reste soumise au droit suisse : nLPD, protection de la personnalité, droit sectoriel. En revanche, dès que vous proposez vos services ou vos produits à des clients situés dans l'Union européenne, le règlement peut s'appliquer selon votre activité réelle sur le marché européen. À Genève, cette frontière est vite franchie.
nLPD, RGPD, règlement européen sur l'IA : quelle loi s'applique à votre PME ?
Les trois textes répondent à des questions différentes. La nLPD et le RGPD encadrent les données que vous traitez. Le règlement sur l'IA encadre le système lui-même.
| nLPD (Suisse) | RGPD (UE) | Règlement européen sur l'IA | |
|---|---|---|---|
| Qui est concerné | Toute entreprise qui traite des données personnelles en Suisse. | Toute entreprise qui traite des données de personnes situées dans l'UE. | Fournisseurs et déployeurs de systèmes d'IA actifs sur le marché de l'UE. |
| Ce que le texte encadre | La collecte, l'usage, la communication et la conservation des données personnelles. | Les mêmes traitements, avec des droits renforcés pour les personnes concernées. | Le système d'IA lui-même, selon son niveau de risque. |
| Ce qu'il faut pouvoir montrer | Registre des activités de traitement, information des personnes, mesures de sécurité. | Registre, base légale, analyses d'impact, contrats de sous-traitance. | Transparence envers l'utilisateur, marquage des contenus générés, documentation technique. |
| Sanctions | Amendes jusqu'à CHF 250 000, prononcées contre la personne physique responsable. | Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. | Jusqu'à 15 millions d'euros ou 3 % pour la transparence ; 35 millions ou 7 % pour les pratiques interdites. |
| Applicable depuis | 1er septembre 2023. | 25 mai 2018. | Transparence : 2 août 2026. Haut risque : reporté au 2 décembre 2027. |
La Suisse ne dispose pas encore de loi fédérale spécifique à l'IA. Le Conseil fédéral a arrêté sa position le 12 février 2025, et le Département fédéral de justice et police doit présenter d'ici fin 2026 un projet de réglementation mis en consultation, portant notamment sur la transparence, la protection des données, la non-discrimination et la surveillance. En attendant, c'est la nLPD qui encadre l'essentiel de ce que votre IA fait avec des données personnelles.
Tableau de bord de conformité nLPD, RGPD et loi sur l'IA
La plupart des PME savent vaguement quels outils d'IA circulent dans l'entreprise, sans vue d'ensemble. Un tableau de bord centralisé règle ce problème : une seule page où figure, pour chaque système d'IA en service, ce qu'il traite et sous quel régime.
L'inventaire des systèmes d'IA
Chaque outil en service, son fournisseur, sa finalité, et la personne responsable en interne. Y compris les outils adoptés spontanément par les équipes, qui échappent presque toujours au premier recensement.
La base légale de chaque traitement
Consentement, exécution d'un contrat, intérêt légitime ou obligation légale. Le consentement n'est ni la seule base possible, ni la plus solide selon les cas.
Où vont les données
Le pays d'hébergement de chaque fournisseur et les transferts hors de Suisse ou de l'UE. C'est le point qui pose le plus souvent problème avec les outils d'IA grand public.
Le statut de chaque fournisseur
Responsable du traitement ou sous-traitant : la distinction change vos obligations contractuelles. Avec l'état des contrats de sous-traitance signés, ou manquants.
Les points de revue humaine
Quelles décisions le système prend seul, et lesquelles passent devant un humain avant d'avoir un effet sur une personne. À documenter avant qu'on vous le demande.
Les durées de conservation
Combien de temps chaque système garde les données, et par quel mécanisme elles sont effacées. Une purge automatique vaut mieux qu'une intention.
Huit points à vérifier avant de déployer une IA dans votre PME
Si vous répondez « je ne sais pas » à trois d'entre eux ou plus, vous avez un sujet de conformité à traiter avant d'étendre l'usage.
Savez-vous quelles données entrent dans le système ?
Un assistant branché sur une boîte e-mail traite tout ce qui s'y trouve, y compris ce que vous n'aviez pas prévu de lui confier.
Où sont-elles hébergées ?
Suisse, Union européenne, États-Unis. La réponse figure dans les conditions du fournisseur, rarement sur sa page d'accueil.
Vos données servent-elles à entraîner le modèle ?
C'est le réglage par défaut de plusieurs outils grand public. Les offres professionnelles le désactivent, à condition de choisir la bonne formule.
Avez-vous un contrat de sous-traitance avec le fournisseur ?
Accepter des conditions générales en ligne n'équivaut pas à un contrat de sous-traitance en bonne et due forme.
Vos clients sont-ils informés ?
Si leurs données passent par un système d'IA, ils doivent pouvoir le savoir. C'est le sens de votre politique de confidentialité.
Vos agents conversationnels se déclarent-ils comme IA ?
Obligatoire depuis le 2 août 2026 pour qui sert des clients dans l'Union européenne. Simple à corriger, coûteux à ignorer.
Une décision automatique peut-elle affecter une personne ?
Tri de candidatures, scoring de clients, refus automatisé. Ces usages appellent une revue humaine documentée.
Quand les données sont-elles supprimées ?
Une durée de conservation définie et une purge qui tourne réellement. Pas une case cochée dans un document.
Ce qu'on livre
On travaille sur votre usage réel de l'IA, pas sur un modèle générique. Le livrable est fait pour être présenté tel quel à un client, un assureur ou un auditeur.
Recensement des usages d'IA en service
Entretiens avec vos équipes et inventaire des outils réellement utilisés, y compris ceux que personne n'a déclarés.
Cartographie des flux de données
Pour chaque système : ce qui entre, où ça part, qui y a accès et combien de temps c'est conservé.
Registre des traitements IA
Le document exigé par la nLPD, rempli pour vos traitements assistés par IA, prêt à être maintenu par vos soins.
Revue des contrats fournisseurs
Statut de chaque prestataire, contrats de sous-traitance existants ou à obtenir, transferts hors de Suisse et de l'UE.
Tableau de bord de conformité
La vue unique décrite plus haut, tenue à jour par vos équipes une fois le projet livré.
Plan de mise en conformité priorisé
Ce qu'il faut corriger, dans quel ordre, avec ce qui relève de nous, de vous, ou d'un conseil juridique.
Tarif : au forfait, défini après l'audit gratuit selon le nombre de systèmes à couvrir. Devis ferme avant démarrage, sans coût caché — comme pour tous nos projets.
Questions fréquentes sur la conformité nLPD et IA
Une PME suisse est-elle soumise au RGPD ?
Oui, dès qu'elle traite les données de personnes situées dans l'Union européenne — ce qui arrive vite avec une clientèle transfrontalière, un site marchand ou des salariés résidant en France voisine. Une entreprise purement locale relève de la seule nLPD. Dans les faits, beaucoup de PME genevoises sont soumises aux deux textes en même temps.
Peut-on utiliser une IA américaine avec des données de clients suisses ?
Ce n'est pas interdit, mais cela suppose des conditions : informer les personnes concernées, disposer d'une base légale, encadrer le transfert par contrat et vérifier que le fournisseur n'utilise pas vos données pour entraîner ses modèles. Pour des données sensibles — santé, données financières détaillées, dossiers RH — nous recommandons un hébergement en Suisse ou dans l'Union européenne.
Faut-il un consultant pour utiliser ChatGPT dans son entreprise ?
Non, pas pour un usage individuel et sans données personnelles. Cela devient nécessaire lorsque plusieurs personnes y versent des données clients, lorsque l'outil est branché sur vos systèmes internes, ou lorsqu'il produit des décisions qui affectent quelqu'un. Le seuil n'est pas le nombre d'utilisateurs : c'est la nature des données qui entrent.
Qu'est-ce qu'un registre des traitements IA ?
C'est le document qui liste, pour chaque traitement de données assisté par IA, sa finalité, les catégories de données concernées, les destinataires, la durée de conservation et les mesures de sécurité. La nLPD impose un registre des activités de traitement ; les traitements passant par une IA y figurent comme les autres, avec la mention du système utilisé et du pays d'hébergement.
Mon chatbot doit-il annoncer qu'il est une IA ?
Si vous servez des clients dans l'Union européenne, oui, et depuis le 2 août 2026. L'article 50 du règlement européen sur l'IA impose qu'un système conversationnel signale sa nature artificielle au moment de l'interaction, sans que l'utilisateur ait à le demander. En Suisse, aucune règle équivalente ne l'impose encore, mais l'usage s'installe et la transparence figure parmi les axes du futur projet législatif fédéral.
La Suisse a-t-elle sa propre loi sur l'IA ?
Pas encore. Le Conseil fédéral a arrêté sa position le 12 février 2025 et le Département fédéral de justice et police doit présenter d'ici fin 2026 un projet de réglementation mis en consultation, portant notamment sur la transparence, la protection des données, la non-discrimination et la surveillance. D'ici là, ce sont la nLPD, le Code des obligations et le droit sectoriel qui s'appliquent.
Que risque concrètement une PME non conforme ?
Sous la nLPD, les amendes vont jusqu'à CHF 250 000 et visent la personne physique responsable, pas l'entreprise — une particularité suisse qui surprend souvent les dirigeants. Sous le règlement européen sur l'IA, un manquement à la transparence expose à 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Dans les faits, le risque le plus courant pour une PME reste la perte de confiance d'un client qui découvre que ses données transitent par un outil dont personne ne lui avait parlé.
NexaLab est-il un cabinet juridique ?
Non. NexaLab est une agence technique : nous cartographions vos flux de données, documentons vos traitements IA et corrigeons ce qui relève de la mise en œuvre. Pour la qualification juridique de cas limites, nous travaillons avec votre conseil habituel ou vous orientons vers un avocat spécialisé. Cette page fournit une information générale et ne constitue pas un conseil juridique.
Références
Contenu vérifié le 25 août 2026. La réglementation évolue vite — en cas de doute, remontez toujours au texte officiel.
- Loi fédérale sur la protection des données (nLPD) — Fedlex, recueil officiel du droit fédéral suisse.
- Préposé fédéral à la protection des données et à la transparence (PFPDT) — autorité de surveillance.
- Chancellerie fédérale — Intelligence artificielle — état des travaux réglementaires suisses.
- Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle — EUR-Lex.
- Règlement général sur la protection des données (RGPD) — EUR-Lex.
Savez-vous exactement ce que votre IA fait de vos données clients ?
En 30 minutes, on recense les outils d'IA en service chez vous et on repère ceux qui posent un problème de conformité. Sans jargon juridique.