IA et protection des données en Suisse : ce que la nLPD change pour votre entreprise

La catégorie IA et RGPD documente les cadres réglementaires des principaux territoires francophones. La Suisse y occupe une position singulière : un cadre national renforcé, une autorité active, mais une relation complexe avec l'espace réglementaire européen.

La nLPD (Loi fédérale sur la protection des données, LPD révisée) est entrée en vigueur le 1er septembre 2023. Elle s'applique à toute organisation qui traite des données personnelles de personnes physiques résidant en Suisse, quel que soit le lieu d'établissement de l'organisation (portée extraterritoriale comparable au RGPD).

Le PFPDT (Préposé fédéral à la protection des données et à la transparence) est l'autorité de contrôle. Il peut émettre des recommandations contraignantes, ouvrir des procédures administratives et transmettre des cas au Tribunal administratif fédéral.

Une particularité suisse : le droit pénal intervient dans les sanctions de la nLPD. Les violations délibérées des obligations de protection des données peuvent entraîner des amendes pénales pouvant atteindre 250 000 CHF pour les personnes physiques responsables (et non des amendes administratives d'entreprise comme dans l'UE). Ce mécanisme modifie les incitations à la conformité : la responsabilité individuelle des dirigeants est plus directement engagée qu'en Europe.

L'article pilier IA et RGPD dans la francophonie compare les cinq territoires. En Suisse, les différences avec le RGPD ont des implications pratiques directes pour les déployeurs d'IA.

La principale différence pratique pour l'IA concerne le traitement des données sensibles. La nLPD définit les données sensibles de façon comparable au RGPD (données de santé, opinions politiques, données biométriques) et exige un consentement explicite ou une base légale renforcée pour les traiter. Les modèles d'IA entraînés sur des données historiques incluant ce type de données sont directement concernés.

La nLPD introduit également l'obligation de signalement des violations de données au PFPDT dans un délai raisonnable — une obligation qui n'existait pas dans l'ancienne loi de 1992.

La Suisse n'est pas soumise à l'AI Act par défaut. Mais deux situations activent les obligations du règlement européen pour une entreprise suisse.

• Première situation : l'IA produit des effets sur des résidents de l'UE. Une entreprise suisse dont le système IA prend des décisions qui affectent des personnes situées dans l'UE — scoring de crédit pour des clients français, recommandations pour des utilisateurs allemands, recrutement de candidats belges — est soumise à l'AI Act, quel que soit le lieu de son établissement.
• Deuxième situation : le modèle est déployé sur le marché européen. Si une entreprise suisse commercialise ou déploie un système d'IA dans l'UE, elle entre dans le champ de l'AI Act en tant que « fournisseur » ou « importateur » au sens du règlement.

Dans les deux cas, les obligations applicables sont les mêmes que pour une entreprise établie dans l'UE : classification du système par niveau de risque, FRIA pour les systèmes à haut risque, documentation technique, surveillance humaine.

Pour les entreprises suisses qui n'ont aucun lien avec le marché européen — ce qui est rare dans une économie aussi tournée vers l'export —, seule la nLPD s'applique. La tendance réglementaire internationale va dans le sens d'une convergence, et le PFPDT suit de près les travaux européens.

Pour comparer avec le cas québécois (autre territoire non-UE avec son propre cadre), voir l'article IA et Loi 25 au Québec. Pour les obligations UE complètes, voir IA et RGPD dans l'Union européenne.

La Suisse dispose depuis septembre 2023 d'un cadre de protection des données modernisé, exigeant et internationalement reconnu. La nLPD n'est pas le RGPD, mais les entreprises qui ont mis leur conformité RGPD à niveau — pour des clients ou partenaires européens — ont posé les bases de leur conformité nLPD.

L'enjeu spécifique à la Suisse est celui de l'exposition à l'AI Act par extraterritorialité. Les entreprises suisses qui opèrent sur les marchés européens, qui recrutent en Europe ou qui commercialisent des solutions IA à des clients UE ne peuvent pas ignorer l'AI Act.

La stratégie SEO et de contenu joue un rôle direct dans cette conformité : tout contenu généré par IA qui affecte des personnes (profils, descriptions, recommandations) doit être produit dans un cadre conforme. Voir comment structurer une stratégie SEO IA & GEO IA conforme pour les marchés francophones.