Oui, une PME peut utiliser l’IA générative pour gagner du temps, rédiger, analyser ou automatiser des tâches répétitives, à condition de savoir où vont les données qu’elle lui confie. Les outils grand public se réservent aux contenus que vous accepteriez de publier sur une affiche.
Parcours des données saisies dans ChatGPT
Quand vous utilisez un outil IA grand public avec un compte gratuit, votre saisie part sur des serveurs situés hors de Suisse, souvent aux États-Unis. Elle peut y être conservée pour améliorer le modèle et analysée par des équipes humaines dans le cadre du contrôle qualité. Le CLOUD Act (2018) permet aux autorités américaines d’exiger d’un fournisseur soumis au droit américain les données qu’il contrôle, y compris celles stockées en Suisse. Une procédure légale reste nécessaire : mandat d’un juge pour le contenu récent, simple citation pour les données d’abonné. Le fournisseur peut être tenu de ne pas en informer son client.
Pour une PME suisse, cela concerne les contrats en cours, les données RH, les échanges avec des clients, les chiffres financiers, le code source d’un produit ou une stratégie commerciale. Ces données concernent aussi vos clients, vos employés et vos partenaires : vous restez responsable de leur traitement.
Données à ne pas saisir dans un outil IA grand public
La prudence dépend de la catégorie de données, quelle que soit la réputation de l’outil.
- Données personnelles de clients (nom, adresse, numéro de client, historique d’achat)
- Données de santé ou données sensibles au sens de la nLPD
- Identifiants, mots de passe, clés API, jetons d’accès
- Contrats, devis, négociations commerciales en cours
- Données RH (salaires, évaluations, dossiers disciplinaires)
- Code source propriétaire ou logique métier confidentielle
- Stratégies d’acquisition, plans de lancement, études non publiées
Si ce texte pouvait apparaître demain dans un moteur de recherche et poser un problème, ne l’envoyez pas à un outil IA grand public.
Comptes gratuits et comptes entreprise : garanties comparées
Les grands éditeurs proposent des offres professionnelles dont les garanties contractuelles diffèrent de celles des comptes gratuits.
| Contexte d’usage | Risque pour vos données | Ce qu’il faut faire |
|---|---|---|
| ChatGPT grand public (Free, Plus et Pro) | Élevé : entraînement par défaut, désactivable dans les réglages. Aucune résidence des données en Suisse. | Désactiver l’historique, n’utiliser que pour des contenus non sensibles |
| Gemini grand public | Élevé : entraînement par défaut avec revue humaine possible (désactivable). Aucune résidence des données en Suisse. | Désactiver l’historique, n’utiliser que pour des contenus non sensibles |
| Copilot grand public | Élevé : entraînement désactivable (Microsoft ne publie pas le réglage par défaut). Aucune résidence des données en Suisse. | Désactiver l’historique, n’utiliser que pour des contenus non sensibles |
| ChatGPT Business (ex-Team) et Enterprise | Modéré : pas d’entraînement sur vos données selon les contrats. Région « Europe (EEE + Suisse) » sans stockage en Suisse. | Vérifier l’accord de traitement des données, identifier les sous-traitants |
| Microsoft 365 Copilot avec accord DPA | Modéré : pas d’entraînement sur vos données selon les contrats. Interactions conservées au repos dans la géographie suisse (engagement contractuel Advanced Data Residency). Traitement possible hors de Suisse. | Vérifier l’accord de traitement des données, identifier les sous-traitants |
| Déploiement via API avec modèle open-source hébergé en Suisse | Faible : vos données restent sur votre infrastructure | Recommandé pour les usages sensibles |
| IA hébergée en Suisse (ex. Infomaniak AI Services) | Réduit : pas d’entraînement (conditions générales). Traitement en Suisse. Stockage temporaire le temps du traitement. | Adapté aux usages professionnels réguliers |
Un traitement en Suisse réduit les risques liés aux transferts et à la juridiction étrangère. Il ne dispense pas d’évaluer la sécurité, les accès, les sous-traitants et la sensibilité des données. Conditions vérifiées le 14 octobre 2026 : elles changent souvent. Vérifiez celles de votre contrat.
Les offres entreprise de Microsoft ou Google incluent généralement un Data Processing Agreement (accord de traitement des données), qui stipule que vos données ne servent pas à entraîner les modèles. Le stockage et le traitement ne se font pas toujours en Suisse, les sous-traitants peuvent changer et le CLOUD Act continue de s’appliquer aux entités américaines.
La nLPD et la responsabilité de la PME
La loi fédérale sur la protection des données (nLPD, en vigueur depuis septembre 2023) ne fait pas d’exception pour l’intelligence artificielle. Si vous traitez des données personnelles via un outil IA, vous êtes le responsable du traitement, au même titre que pour votre site web.
En Suisse, la LPD n’exige pas de base légale pour chaque traitement. Elle impose des principes (art. 6 et 8 LPD) : licéité, bonne foi et proportionnalité. S’y ajoutent finalité, exactitude et sécurité. Une entreprise ne doit pas porter d’atteinte illicite à la personnalité. Si un traitement y porte atteinte, il faut un motif justificatif (art. 30 et 31 LPD). Trois motifs sont admis : le consentement, un intérêt privé ou public prépondérant, ou la loi.
Toute collecte de données personnelles impose d’informer les personnes concernées (art. 19 LPD). Pour une décision individuelle automatisée, une obligation supplémentaire s’applique (art. 21 LPD). C’est une décision prise exclusivement par un traitement automatisé, avec des effets juridiques ou des conséquences importantes pour la personne. La personne doit alors en être informée et peut demander un réexamen humain. Un traitement assisté par l’IA ne déclenche pas cette règle à lui seul.
Vous devez aussi :
- conclure un accord de traitement avec tout prestataire externe qui reçoit ces données ;
- pouvoir répondre à une demande d’accès, de correction ou de suppression.
Le PFPDT publie des orientations sur l’IA et la protection des données. Pour les cas complexes impliquant des données sensibles ou des traitements à grande échelle, un avis juridique spécialisé vaut mieux qu’une lecture rapide des conditions générales d’un éditeur.
Alternatives souveraines aux outils grand public
Trois approches permettent d’utiliser l’IA sans que vos données quittent la Suisse.
Un modèle open-source comme Mistral, Llama ou Qwen s’installe sur votre propre infrastructure, sur un serveur que vous contrôlez. Vos requêtes ne quittent jamais votre environnement. Cette option demande une infrastructure adaptée et des compétences techniques pour la mise en place.
Un fournisseur suisse comme Infomaniak AI Services propose des modèles de langage opérés depuis des datacentres en Suisse, soumis au droit suisse. Vous disposez d’une interface ou d’une API sans gérer l’infrastructure, et vos données restent sous droit suisse tant que toute la chaîne de traitement y est hébergée.
Le RAG (Retrieval-Augmented Generation) alimente un modèle IA avec vos propres documents. La base documentaire reste sous votre contrôle, mais les extraits jugés utiles sont envoyés au modèle comme contexte. Trois composants entrent en jeu : la base vectorielle, le moteur de recherche et le modèle de langage. Pour qu’aucune donnée ne quitte la Suisse, les trois doivent y être hébergés, ce que permet Infomaniak AI Services.
Une PME de dix personnes peut déployer un assistant documentaire souverain. Son coût dépend du volume de documents, du modèle choisi et de la maintenance, et nous le chiffrons sur devis après un atelier de cadrage.
Réflexes pour utiliser l’IA en PME
- Classez la donnée avant de la coller. Si elle est personnelle, confidentielle ou stratégique, choisissez un outil adapté à ce niveau de sensibilité.
- Désactivez l’historique. Sur les outils gratuits, l’option « Ne pas utiliser mes conversations pour améliorer le modèle » existe : activez-la.
- Vérifiez l’accord de traitement. Avec une offre entreprise, lisez le Data Processing Agreement et identifiez où les données sont stockées et qui y a accès.
- Formez vos collaborateurs. Les incidents de confidentialité liés à l’IA viennent surtout d’usages non encadrés. Posez une règle claire : « aucune donnée client dans un outil grand public. »
- Préférez des alternatives souveraines pour les usages réguliers. Si l’IA devient un outil de travail quotidien, les services hébergés en Suisse offrent un cadre légal plus lisible et des risques réduits.
Notre approche chez Anorac Studio
Nous travaillons sur une infrastructure suisse : sites hébergés sur Infomaniak, données qui restent en Suisse et, quand nous intégrons de l’IA dans un projet client, modèles opérés depuis la Suisse ou déployés sur une infrastructure maîtrisée. Ce choix découle de la nLPD et des attentes de nos clients dans des secteurs où la confidentialité est une exigence. La même logique est détaillée dans notre article sur un site conforme nLPD dès le départ.
Voir aussi notre approche de la souveraineté numérique, notre article sur l’hébergement cloud souverain pour les PME et notre analyse de l’IA générative et la communication d’entreprise.
À lire aussi : Consentement cookies : Cookiebot, OneTrust ou solution maison, Checklist nLPD en 10 points, La nouvelle loi nLPD, GA4 et nLPD
Questions fréquentes
ChatGPT utilise-t-il mes données pour s’entraîner ?
Avec un compte gratuit, oui par défaut. Vous pouvez désactiver cette option dans les paramètres (« Améliorer le modèle pour tout le monde »). Avec un compte ChatGPT Business (ex-Team) ou Enterprise, OpenAI s’engage contractuellement à ne pas utiliser vos données pour l’entraînement. Mais ces offres proposent une région « Europe (EEE + Suisse) » sans stockage en Suisse. OpenAI reste soumise au droit américain.
Microsoft 365 Copilot est-il conforme à la nLPD ?
Microsoft propose un accord de traitement des données conforme au RGPD européen, que la Suisse reconnaît partiellement. La nLPD impose des exigences propres, notamment sur le transfert de données vers des États tiers. Un avis juridique est recommandé pour les usages impliquant des données personnelles de clients ou d’employés.
Puis-je utiliser l’IA pour rédiger des emails clients avec un risque réduit pour les données personnelles ?
Oui, à condition que l’email ne contienne pas de données personnelles identifiables (nom, numéro de client, situation spécifique). Le secret d’affaires et la confidentialité contractuelle restent à vérifier. Si vous rédigez un modèle générique, le risque est faible. Si vous décrivez la situation d’un client précis, passez par un outil souverain ou anonymisez les données avant de les utiliser.
Qu’est-ce que le CLOUD Act et pourquoi cela concerne-t-il une PME suisse ?
Le Clarifying Lawful Overseas Use of Data Act (2018) permet aux autorités américaines d’exiger d’une entreprise soumise au droit américain les données qu’elle contrôle, où qu’elles soient stockées. Si vous utilisez un service d’un éditeur américain, vos données peuvent théoriquement y être soumises, même si elles sont hébergées en Europe ou en Suisse. Un fournisseur suisse réduit l’exposition aux juridictions étrangères quand l’infrastructure et les sous-traitants sont eux aussi sous contrôle suisse.
Existe-t-il des outils IA utilisables librement, sans restriction ?
Pour les usages non sensibles, oui : rédiger un texte de présentation générique, résumer un article public, générer des idées de contenu sans données confidentielles. La frontière est entre le contenu que vous publieriez librement et celui qui concerne des personnes ou des informations protégées.
Comment savoir si mon fournisseur IA est conforme à la nLPD ?
Vérifiez trois points : le pays où les données sont stockées, l’existence d’un accord de traitement des données signable et les sous-traitants utilisés par le fournisseur. Si ces informations sont introuvables dans la documentation, considérez cela comme un signal d’alerte. Le PFPDT publie des orientations à jour sur son site.
Nous aidons les PME à adopter des outils IA dans un cadre souverain. Discuter de votre projet
