Au sens de la nLPD, l'entreprise qui met des données personnelles dans ChatGPT reste responsable de ce traitement, y compris de la communication de ces données à l'étranger. Le risque dépend de ce qui est envoyé : un texte anonyme ne pose pas de problème, un dossier client avec des noms en pose un.
Au sens de la nouvelle loi fédérale sur la protection des données, l'entreprise qui met des données personnelles dans ChatGPT reste responsable de ce traitement, y compris de leur communication à l'étranger. Le risque dépend de ce qui est envoyé : une question générale ne pose pas de problème, un dossier client avec des noms, des montants et des adresses en pose un.
Cet article n'est pas un avis juridique. Il résume ce que dit la loi, à partir de ses articles et des publications du Préposé fédéral, et il décrit ce que j'observe dans les entreprises romandes. Les points marqués à vérifier doivent l'être avec votre conseil.
Ce que la nLPD demande, en quatre points
La loi fédérale sur la protection des données révisée est entrée en vigueur le 1er septembre 2023. Elle s'applique aux traitements de données personnelles, c'est-à-dire à toute information qui se rapporte à une personne identifiée ou identifiable : un nom, un e-mail, un numéro de téléphone, mais aussi une facture nominative ou un rapport qui cite quelqu'un. [À VÉRIFIER PAR TANGUY]
- Les principes : licéité, bonne foi, proportionnalité, finalité. Vous ne traitez que ce qui est nécessaire, pour un but reconnaissable (art. 6 LPD). [À VÉRIFIER PAR TANGUY]
- L'information : la personne doit savoir que ses données sont collectées et, le cas échéant, communiquées à l'étranger (art. 19 LPD). [À VÉRIFIER PAR TANGUY]
- La sécurité : des mesures techniques et organisationnelles adaptées au risque (art. 8 LPD). [À VÉRIFIER PAR TANGUY]
- La communication à l'étranger : possible si le pays offre une protection adéquate ou si des garanties existent, sinon soumise à conditions (art. 16 et 17 LPD). [À VÉRIFIER PAR TANGUY]
Pourquoi ChatGPT est concerné
Quand un collaborateur colle un mail de client dans ChatGPT pour en tirer une réponse, trois choses se passent : des données personnelles sont traitées, elles sont communiquées à un tiers, et ce tiers est établi hors de Suisse. Chacune de ces trois choses tombe sous la loi.
Les versions payantes et les offres pour entreprises apportent des engagements contractuels qui changent l'analyse sur la sécurité et l'usage des données pour l'entraînement. Elles ne changent pas le fait que le document a quitté votre entreprise. [À VÉRIFIER PAR TANGUY : conditions contractuelles en vigueur des principaux éditeurs]
Ce qui est risqué, et ce qui ne l'est pas
Pas de données personnelles, pas de problème
Demander à ChatGPT de reformuler une politique interne, de résumer un article public ou d'écrire un modèle de mail sans nom ni référence ne traite aucune donnée personnelle. C'est l'usage le plus courant, et il est sans risque de ce point de vue.
Des données personnelles ordinaires : une question de base et d'information
Un mail de client avec son nom et sa demande, une liste de contacts, un contrat nominatif : ce sont des données personnelles ordinaires. Les envoyer suppose que ce traitement soit proportionné, que les personnes en soient informées, et que la communication à l'étranger soit couverte. En pratique, peu d'entreprises ont fait ce travail. [À VÉRIFIER PAR TANGUY]
Des données sensibles : la zone rouge
La loi protège davantage certaines données : santé, opinions religieuses ou politiques, origine, poursuites et sanctions, données génétiques et biométriques (art. 5 LPD). Un dossier médical, un dossier de police, une situation de poursuite ne devraient pas passer par un outil cloud grand public. Les fiduciaires et les avocats y ajoutent le secret professionnel. [À VÉRIFIER PAR TANGUY]
Ce que l'entreprise risque concrètement
La nLPD prévoit des amendes pénales qui visent les personnes physiques responsables, jusqu'à 250 000 francs dans les cas prévus par la loi, notamment pour violation intentionnelle des obligations d'information ou de communication à l'étranger (art. 60 et suivants LPD). Le Préposé fédéral peut aussi ouvrir une enquête et ordonner des mesures. [À VÉRIFIER PAR TANGUY]
Le risque le plus fréquent n'est pourtant pas l'amende. C'est la question d'un client, d'un donneur d'ordre ou d'un auditeur : « Où sont passées nos données ? » Une réponse floue coûte plus cher qu'une procédure.
Comment utiliser l'IA sans s'exposer
- Écrire une règle simple pour les équipes : aucune donnée personnelle dans un outil cloud sans validation, et jamais de données sensibles.
- Anonymiser avant d'envoyer, quand c'est possible : retirer noms, adresses, numéros, références.
- Traiter sur place ce qui ne peut pas sortir : une IA locale installée dans l'entreprise lit les documents sans les communiquer à qui que ce soit.
- Tenir un registre des traitements et documenter le choix fait pour chaque usage, pour pouvoir répondre le jour où on vous le demande.
Le plus simple pour respecter la loi sur la communication de données à l'étranger, c'est de ne rien communiquer.
C'est le principe de ce que j'installe chez mes clients : une tâche précise, traitée sur une machine chez eux, sans qu'un document ne sorte. La page sécurité décrit les mesures en détail, et le formulaire de diagnostic est le bon point de départ si vous avez un usage en tête.