nLPD et IA générative en Suisse : souveraineté, transferts et secrets

En Suisse, la discrétion fait partie de l'identité économique. Banques privées à Genève, sièges de groupes pharmaceutiques à Bâle, gestionnaires de fortune à Zurich et Lugano : la confiance des clients repose sur la certitude que leurs informations restent là où elles doivent rester. L'IA générative bouscule cette certitude.

Quand un analyste colle un relevé client dans ChatGPT ou qu'une chercheuse résume un protocole avec un assistant en ligne, les données partent souvent hors de Suisse. La question n'est plus seulement technique. Elle touche à la souveraineté des données, au droit suisse et aux secrets professionnels qui protègent des secteurs entiers.

La nLPD s'applique déjà à l'IA

La nouvelle loi fédérale sur la protection des données (nLPD) est entrée en vigueur le 1er septembre 2023. Elle a été rédigée de façon neutre sur le plan technologique. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) l'a rappelé dès novembre 2023, puis dans une mise à jour publiée en mai 2025 : la loi s'applique directement aux traitements de données assistés par l'IA.

Concrètement, le PFPDT attend des fabricants, des fournisseurs et des utilisateurs de systèmes d'IA :

• de la transparence sur la finalité, le fonctionnement et les sources de données du traitement ;

• que les personnes sachent quand elles échangent avec une machine, et si leurs saisies servent à entraîner le système ;

• le respect du droit de s'opposer à un traitement automatisé et de demander qu'une décision individuelle automatisée soit revue par un humain ;

• une analyse d'impact relative à la protection des données lorsque le risque est élevé.

Le PFPDT cite aussi des usages contraires à la loi, comme la reconnaissance faciale généralisée en temps réel ou la notation sociale.

Transferts à l'étranger : le vrai sujet de souveraineté

La plupart des assistants IA grand public traitent les données hors de Suisse. Or la nLPD encadre strictement la communication de données personnelles à l'étranger. Le principe : un transfert est possible vers un pays qui figure sur la liste du Conseil fédéral, à l'annexe 1 de l'ordonnance sur la protection des données. Sinon, il faut des garanties, comme les clauses contractuelles types reconnues par le PFPDT, ou une exception prévue par la loi.

Depuis le 15 septembre 2024, les États-Unis figurent sur cette liste, mais uniquement pour les entreprises certifiées dans le cadre du Swiss-US Data Privacy Framework. Un outil IA dont le fournisseur n'est pas certifié, ou dont on ignore où il héberge les données, pose donc un problème. La loi exige aussi d'informer les personnes lorsque leurs données partent à l'étranger. Nous détaillons ces enjeux dans notre article sur l'IA souveraine pour les RSSI européens.

Secret bancaire et secret professionnel

Pour certains secteurs, la nLPD n'est que la première couche. Le secret bancaire est protégé par l'article 47 de la loi sur les banques, et sa violation est pénalement punissable. Le secret professionnel de l'article 321 du Code pénal couvre notamment les médecins, les pharmaciens et les avocats. Le Code pénal protège aussi le secret de fabrication et le secret d'affaires.

Ces secrets ne disparaissent pas parce qu'un outil est pratique. Envoyer le nom d'un client bancaire, un dossier médical ou une formulation encore confidentielle à un service IA externe peut exposer l'entreprise, et parfois la personne qui l'a fait.

Banques et pharma : ce que les superviseurs regardent

La FINMA a publié en décembre 2024 sa communication sur la surveillance 08/2024 consacrée à la gouvernance de l'IA. Elle attend des établissements qu'ils tiennent un inventaire des applications d'IA, qu'ils gèrent les risques liés aux données et aux fournisseurs, et elle rappelle que la responsabilité des décisions reste à l'établissement, pas à l'outil ni au prestataire.

Dans la pharma, les enjeux sont un peu différents mais tout aussi sensibles : données d'essais cliniques, dossiers d'autorisation, données de santé de patients, résultats de recherche non publiés. Une fuite peut toucher à la fois la protection des données, le secret professionnel et la valeur de la propriété intellectuelle.

Quelles sanctions en cas de manquement ?

La nLPD prévoit des amendes pénales pouvant atteindre 250 000 francs. Particularité suisse : elles visent en principe les personnes physiques responsables, et non l'entreprise. Une violation de la sécurité des données qui entraîne vraisemblablement un risque élevé doit être annoncée au PFPDT dans les meilleurs délais. Les dirigeants ont donc un intérêt très personnel à ce que les règles sur l'IA soient appliquées.

Garder la maîtrise sans interdire l'IA

Interdire ChatGPT ne règle rien : les équipes passent par leur téléphone ou des comptes personnels, et le problème devient invisible. Une approche plus solide combine quatre éléments :

1. Un inventaire des outils IA réellement utilisés et des pays où ils traitent les données.

2. Une politique claire qui distingue les données publiques, internes, personnelles et couvertes par un secret.

3. Un contrôle à la source qui détecte les données sensibles avant qu'elles quittent le poste de travail.

4. Une trace exploitable pour le PFPDT, la FINMA ou un auditeur.

Une solution de DLP pour l'IA remplit les deux derniers points. Elle anonymise les noms, numéros de compte ou identifiants avant l'envoi grâce à l'anonymisation qui préserve le format, avertit ou bloque, et journalise chaque incident. Pour un déploiement progressif, notre playbook de déploiement en 90 jours propose une méthode concrète.

À retenir

En Suisse, l'IA générative est d'abord une question de souveraineté. La nLPD s'applique pleinement à l'IA, les transferts vers l'étranger sont encadrés, et les secrets bancaire et professionnel ajoutent une couche pénale. Les entreprises qui gardent la main sur ce qui sort de leurs postes de travail peuvent profiter de l'IA sans renoncer à la discrétion qui fait leur réputation.

Vous voulez voir comment ZeusLock garde vos données sensibles en Suisse tout en laissant vos équipes utiliser l'IA ? Demandez une démo.