Une information saisie dans une invite est un traitement de données : voici les principes qui structurent la réflexion.
Utiliser un outil d'intelligence artificielle sur une information relative à une personne identifiable constitue un traitement de données, quelle que soit la forme conversationnelle de l'échange. La loi fédérale révisée sur la protection des données s'applique à toutes les entreprises suisses depuis le 1er septembre 2023. All-in Solution réunit ici les principes applicables, sans conseil juridique particulier.
La protection des données s'est longtemps pensée en termes de fichiers : où sont-ils rangés, qui y accède, à qui sont-ils communiqués. Les outils génératifs introduisent une opération bien plus discrète, quelques mots tapés dans un champ de texte, sans dossier ouvert ni document transmis.
Elle n'en est pas moins un traitement. Faire figurer dans une invite le nom d'un client, le montant d'une créance ou l'état d'un litige revient à soumettre une donnée personnelle à un système qui la calcule, la conserve souvent, la transmet parfois. Le geste ne ressemble pas à une communication de données ; il en produit les effets juridiques.
L'inventaire des traitements ne se lit donc plus dans la seule liste des logiciels métier : la pratique individuelle en crée d'autres, que personne ne recense. Le droit suisse ne prévoit ici aucun régime allégé pour les petites structures. Le texte fédéral révisé s'applique depuis le 1er septembre 2023, sans délai d'adaptation, à toutes les entreprises du pays ; il connaît la notion de profilage et impose d'annoncer rapidement au Préposé fédéral à la protection des données et à la transparence toute violation de la sécurité des données.
Une donnée est traitée pour un but déterminé et reconnaissable, sans réemploi ultérieur. La question : pour quelle tâche exacte cette information entre-t-elle dans l'outil ?
Le traitement se limite à ce qu'exige ce but. La question : la pièce entière est-elle nécessaire, ou un extrait sans éléments identifiants suffirait-il ?
Les personnes concernées doivent pouvoir connaître le traitement, son but et ses destinataires. La question : votre documentation en fait-elle état ?
Des mesures techniques et organisationnelles appropriées au risque sont attendues. La question : qui peut lire les échanges, les historiques et les journaux ?
Une donnée n'est pas gardée au-delà de ce que sa finalité justifie. La question : combien de temps l'outil retient-il les échanges, et l'effacement est-il possible ?
Les deux notions voyagent ensemble sous l'étiquette commode de la confidentialité. Elles reposent sur des fondements distincts et n'appellent pas les mêmes réflexes.
Le droit protégé appartient à la personne visée, non à celui qui détient l'information. L'entreprise en répond sans en être maîtresse.
Il protège votre propre patrimoine : méthodes, tarifs, clauses négociées. Sa sauvegarde relève du contrat et de l'organisation interne, et sa divulgation ne lèse que vous.
L'écart apparaît au moment d'agir. Pour un secret, tout se joue sur les conditions du fournisseur et sur l'engagement obtenu quant à la réutilisation de ce qui lui est soumis. Pour une donnée personnelle, ce contrat ne règle presque rien : il ne dispense ni de justifier le but, ni d'informer les intéressés, ni de fixer une durée. Certaines professions ajoutent un secret qui leur est propre, traité sur la page IA et droit.
Un raccourci s'est répandu : dès lors que le calcul s'exécute sur une machine que l'on possède, le sujet serait clos. Le raisonnement confond une mesure de sécurité avec la licéité d'un traitement. Héberger soi-même écarte une communication vers un tiers, et laisse entier tout le reste.
Un but ne devient pas légitime parce qu'il est poursuivi en interne. L'information due aux personnes ne porte pas sur l'emplacement du serveur mais sur l'existence du traitement : elles ont à savoir que leurs données passent par un tel outil. La durée de conservation, elle, se révèle souvent plus généreuse en interne qu'ailleurs, parce que rien n'oblige à l'écrire.
Il y a plus. Une installation dans les murs engendre des traitements qui n'existaient pas : historiques d'échanges, index constitué à partir des documents de la maison, journaux techniques, copies gardées pour améliorer l'outil. Chacun d'eux mérite d'être décrit avant d'être constitué.
La responsabilité ne se déplace pas davantage. Confier l'exécution à un prestataire ne la transfère pas à celui qui décide du but et des moyens ; tout rapatrier chez soi ne supprime aucune obligation, cela les concentre. Les aspects techniques figurent sur la page IA locale et sécurité.
L'information désigne-t-elle une personne identifiable, directement ou par recoupement ?
Le but tient-il en une phrase ? Un but que l'on n'énonce pas est rarement déterminé.
Que reste-t-il une fois retirés les noms, dates et montants dont la tâche n'a pas besoin ?
Quel fournisseur, sous quelles conditions, avec quelle position écrite sur la réutilisation ?
L'échange est-il conservé, consultable, effaçable, et par qui dans la maison ?
Si la personne posait la question demain, une réponse écrite existe-t-elle déjà ?
Y répondre ne rend conforme à rien : cela indique où regarder.
Dès lors qu'elle porte sur une personne identifiable, oui. La forme conversationnelle ne modifie pas la nature de l'opération : l'information est communiquée à un système, calculée par lui, fréquemment conservée ensuite.
Pas toujours. Si un recoupement raisonnablement praticable permet de remonter à la personne, l'information demeure personnelle. Un cas décrit en détail dans une petite commune reste identifiant sans aucun patronyme.
La transparence porte sur les finalités poursuivies et sur les catégories de destinataires. Lorsqu'un outil d'intelligence artificielle intervient dans un traitement, le silence est une position difficile à tenir.
Non. Traiter sur place écarte la transmission à un tiers. Les autres exigences subsistent, et l'installation crée le plus souvent de nouveaux fichiers qu'il faut à leur tour encadrer.
Margot Allin est juriste, titulaire d'un Master en droit, et ces pages sont rédigées à ce titre. Elles rassemblent des principes généraux : elles ne constituent pas un conseil juridique et ne remplacent pas l'examen d'une situation particulière. Une même question reçoit des réponses différentes selon les données en cause, le secteur et les engagements déjà souscrits.
Aucun numéro d'article, aucun montant de sanction, aucune décision d'autorité ne sont cités ici, délibérément : ces éléments se lisent mal hors contexte. Les termes techniques employés figurent dans le glossaire.
Page rédigée par Margot Allin, fondatrice d'All-in Solution. Ces repères ne constituent pas un conseil juridique et ne remplacent pas l'examen d'une situation particulière.