IA et sécurité des données : ce que tout dirigeant de PME doit vérifier avant de se lancer

« Si mes collaborateurs collent un contrat ou une liste de clients dans ChatGPT, où vont ces données ? » C'est la question que posent le plus souvent les dirigeants de PME romandes. La réponse courte : oui, vos données peuvent être en sécurité avec l'IA, mais seulement si vous choisissez des offres professionnelles et si vous fixez des règles claires. Avec un compte gratuit utilisé sans cadre, le risque est réel.

La bonne nouvelle : il n'est pas nécessaire d'être un expert pour y arriver. Quelques décisions simples suffisent. Et si l'IA pouvait vous aider autant qu'elle protège vos données, plutôt que de vous exposer à des risques inutiles ?

La question

Ce que les dirigeants se demandent vraiment :

• Mes données servent-elles à entraîner le modèle d'un fournisseur américain ?
• Suis-je en règle avec la nouvelle loi suisse sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023, sans période de transition ?
• Que risque-t-on si un collaborateur utilise un outil non validé ?
• Où sont hébergées les données : en Suisse, en Europe, aux États-Unis ?
• Faut-il un juriste ou un informaticien pour s'en occuper dans une équipe de 10 à 50 personnes ?

Les conséquences concrètes

La nLPD prévoit des amendes pouvant atteindre 250 000 CHF. Point important : elles visent les personnes physiques responsables (dirigeants, décisionnaires ou la personne qui a enfreint une obligation), pas seulement l'entreprise. Ce sont les autorités pénales cantonales qui poursuivent, sur dénonciation notamment du Préposé fédéral (PFPDT).

Au-delà de l'amende, les risques sont surtout commerciaux : un client qui découvre que ses données ont été saisies dans un outil grand public perd confiance. Exemple typique : une fiduciaire de 8 personnes dont un employé résume des dossiers clients dans la version gratuite d'un chatbot. Aucune malveillance, mais une fuite potentielle de données confidentielles, voire soumises au secret professionnel.

Ce que l'IA peut faire — et ce qu'il faut encadrer

La nLPD s'applique à l'IA comme à tout le reste

Il n'existe pas de régime spécial : dès que des données personnelles (clients, employés, candidats) passent par un outil d'IA, la nLPD s'applique. Vous devez informer les personnes concernées (par exemple dans votre politique de confidentialité), répondre aux demandes d'accès dans un délai de 30 jours et sans frais, et sécuriser les données. Les entreprises de moins de 250 collaborateurs sont en principe dispensées de tenir un registre des traitements, sauf si elles traitent des données sensibles à grande échelle.

Offre grand public contre offre professionnelle

Les fournisseurs distinguent les offres professionnelles des comptes gratuits. OpenAI indique par exemple ne pas entraîner ses modèles sur les données des clients professionnels par défaut, et Microsoft affirme ne pas utiliser les données clients de Microsoft 365 pour entraîner son IA. À titre d'ordre de grandeur, Microsoft 365 Copilot est affiché à environ 30 USD par utilisateur et par mois (facturation annuelle, licence Microsoft 365 requise). Ces conditions évoluent : vérifiez-les toujours dans la documentation officielle et dans le contrat avant de signer.

Transferts à l'étranger

La nLPD autorise l'envoi de données vers les pays reconnus comme offrant une protection adéquate, ou avec des garanties contractuelles (clauses types). Demandez à votre fournisseur où sont traitées les données et obtenez un contrat de sous-traitance clair.

Mise en place en 4 étapes

1. Classer vos données

Séparez ce qui peut aller dans un outil d'IA (textes marketing, documents publics) de ce qui ne le peut pas (données de santé, dossiers du personnel, secrets d'affaires). Une demi-journée suffit.

2. Choisir des outils professionnels

Privilégiez des licences d'entreprise avec engagement contractuel de non-entraînement, plutôt que des comptes personnels gratuits. Budget indicatif : quelques dizaines de francs par utilisateur et par mois. C'est une estimation, à confirmer auprès du fournisseur.

3. Rédiger une charte d'une page

Quels outils sont autorisés, quelles données sont interdites, qui valide un nouvel outil. Faites-la signer par les collaborateurs.

4. Mettre à jour vos documents et former

Complétez votre déclaration de confidentialité, vérifiez vos contrats avec les fournisseurs, et formez les équipes en une session de deux heures. En cas de doute sur un cas sensible, consultez un juriste : cet article ne constitue pas un conseil juridique.

Résultats concrets

• Un risque de fuite fortement réduit, car plus personne n'utilise de comptes gratuits en cachette.
• Une conformité à la nLPD documentée, rassurante face aux clients et aux partenaires.
• Des collaborateurs qui savent quoi faire et quoi éviter, sans blocage de l'innovation.
• Un coût d'encadrement modeste comparé à un incident de données.

Conclusion

L'IA n'est ni plus ni moins dangereuse qu'un autre outil numérique : tout dépend du cadre. Avec des outils professionnels, une charte simple et un minimum de rigueur contractuelle, une PME romande de 5 à 50 personnes peut utiliser l'IA en toute sérénité et en conformité avec la nLPD.

La question : et si une IA, correctement encadrée, travaillait pour vous sans jamais exposer les données de vos clients ?

🎯 Problème PME = Solution IA