IA dans le secteur public suédois : communes, IMY et secret

En Suède, les communes ont souvent été en avance sur le numérique. Beaucoup testent aujourd'hui l'IA générative pour rédiger des courriers, résumer des dossiers ou répondre plus vite aux habitants. Le gain de temps est réel, surtout dans les services sociaux, l'école ou l'urbanisme, où les agents passent une grande partie de leur journée à écrire.

Mais une commune suédoise ne travaille pas comme une entreprise. Elle obéit au principe d'accès public aux documents officiels et à une loi stricte sur le secret. Coller le dossier d'un habitant dans un assistant IA soulève donc des questions qu'une PME n'a pas à se poser.

Un secteur public qui veut utiliser l'IA

La Suède compte 290 communes et 21 régions, qui gèrent l'essentiel des services du quotidien : aide sociale, écoles, soins aux personnes âgées et, pour les régions, la santé. Le gouvernement encourage l'adoption de l'IA. En juillet 2024, il a chargé l'Agence pour l'administration numérique (Digg) et l'autorité de protection de la vie privée (IMY) de préparer des lignes directrices nationales sur l'IA générative dans l'administration.

Ces lignes directrices ont été présentées en janvier 2025. Elles couvrent six domaines : pilotage et responsabilité, cybersécurité, RGPD, éthique, droit du travail et achats publics. Elles seront mises à jour au fil de l'évolution des outils.

IMY, le régulateur à connaître

L'Integritetsskyddsmyndigheten (IMY), qui s'appelait Datainspektionen jusqu'en 2021, contrôle l'application du RGPD et de la loi suédoise complémentaire (lag 2018:218). Son message sur l'IA est clair : l'IA et la protection de la vie privée peuvent aller ensemble, à condition de traiter les questions de données dès le début du projet.

L'autorité a aussi montré qu'elle sanctionne les organismes publics. En 2019, encore sous le nom de Datainspektionen, elle a infligé une amende de 200 000 couronnes à la commission scolaire de Skellefteå pour un test de reconnaissance faciale destiné à suivre la présence des élèves. C'était la première amende RGPD en Suède. En 2021, IMY a sanctionné la police nationale pour son usage de Clearview AI. Ces décisions ne portaient pas sur l'IA générative, mais elles montrent qu'un simple test n'échappe pas aux règles.

Offentlighetsprincipen : ce que vous écrivez peut devenir public

Le principe d'accès aux documents officiels, l'offentlighetsprincipen, est inscrit dans la loi fondamentale sur la liberté de la presse. Tout citoyen peut demander à consulter les documents détenus par une autorité, sauf si une règle de secret s'y oppose.

Pour l'IA générative, cela pose des questions pratiques. Un prompt envoyé par un agent, ou une réponse conservée dans un dossier, peut-il devenir un document officiel ? Faut-il l'enregistrer et l'archiver ? La réponse dépend de la façon dont l'outil est utilisé et de ce qui est conservé. Chaque autorité doit l'analyser, de préférence avant le déploiement.

OSL : le secret ne s'arrête pas à la porte du chatbot

L'autre pilier est la loi sur la publicité et le secret, l'offentlighets- och sekretesslagen (OSL, 2009:400). Elle protège notamment les informations des services sociaux, de la santé et de l'école. Transmettre une information couverte par le secret à un tiers sans base légale peut constituer une divulgation interdite.

Depuis le 1er juillet 2023, une règle nouvelle (chapitre 10, article 2 a) permet de confier des informations protégées à un prestataire qui se contente de les traiter ou de les stocker techniquement pour le compte de l'autorité, sauf si c'est inapproprié au vu des circonstances. Ce cadre vise l'externalisation informatique encadrée par contrat. On voit mal comment l'invoquer pour un agent qui colle un dossier dans un assistant IA grand public ouvert avec son compte personnel.

Les risques concrets dans une commune

Les situations à surveiller sont souvent banales :

• un travailleur social qui demande à un chatbot de reformuler une enquête sur une famille ;

• un agent de l'urbanisme qui fait résumer un recours contenant noms et adresses ;

• une infirmière scolaire qui rédige un courrier à partir d'un dossier de santé ;

• un service RH qui fait analyser des candidatures contenant des numéros d'identité personnels.

Dans chaque cas, le problème n'est pas l'IA elle-même, mais la donnée qui part. Nous décrivons ce mécanisme dans notre anatomie d'une fuite de données par IA.

Utiliser l'IA sans exposer les habitants

Interdire purement et simplement l'IA ne règle rien : les agents qui y gagnent du temps trouveront un autre chemin, souvent moins sûr. Dans une petite commune, il n'y a d'ailleurs pas toujours d'équipe capable d'examiner chaque usage. Mieux vaut fournir un outil approuvé, écrire une règle courte sur les données qui ne doivent jamais sortir, et ajouter un garde-fou technique qui agit au moment de l'envoi, là où l'erreur se produit.

Une DLP pour l'IA comme ZeusLock agit au moment où l'agent envoie son texte. Installée sur le poste ou dans le navigateur, elle repère les données sensibles, comme les identifiants, les noms ou les informations de santé, puis les remplace par des valeurs fictives grâce à l'anonymisation préservant le format, avertit l'agent ou bloque l'envoi. Chaque incident est journalisé, ce qui aide la commune à documenter ses mesures de sécurité.

Ce contrôle complète les choix de fond : privilégier des solutions hébergées dans l'UE, comme nous l'expliquons dans notre article sur l'IA souveraine pour les RSSI européens, et intégrer l'IA dans la gestion des risques cyber attendue par NIS2.

En résumé

Les communes suédoises ont de bonnes raisons d'utiliser l'IA générative, et des lignes directrices nationales pour les y aider. Mais l'offentlighetsprincipen, l'OSL et le RGPD contrôlé par IMY imposent une discipline particulière sur les données des habitants. Filtrer ce qui part dans les prompts permet de garder les bénéfices de l'IA sans trahir la confiance des citoyens.

Vous travaillez dans une commune ou une région suédoise ? Demandez une démo de ZeusLock pour encadrer l'usage de l'IA par vos agents.