Protection des données, IA et règles applicables

Une entreprise suisse qui utilise l’IA est soumise à sa propre loi sur la protection des données dès le premier prompt qui contient un nom. Si elle sert des personnes dans l’UE, le RGPD et le règlement européen sur l’IA (AI Act) entrent aussi en jeu. Cette année, plusieurs de ces règles ont bougé.

Le plus grand risque tient souvent à l’habitude, pas au droit. L’étude 2025 d’IBM sur les violations de données a montré qu’une organisation sur cinq avait subi une violation liée à l’IA fantôme, ces outils que les collaborateurs utilisent sans autorisation, et qu’un niveau élevé d’IA fantôme ajoutait en moyenne 670'000 dollars au coût d’une violation. Parmi les organisations touchées par une violation d’un modèle ou d’une application d’IA, 97 pour cent ne disposaient pas de contrôles d’accès adéquats pour l’IA.

Voici où en sont les règles en octobre 2026, et ce que fait une entreprise prudente. Il s’agit d’une vue d’ensemble, pas d’un conseil juridique.

Suisse : la loi s’applique déjà

La Suisse n’a pas encore de loi sur l’IA, mais l’IA n’échappe pas pour autant à toute règle. La loi fédérale sur la protection des données (LPD) révisée s’applique depuis le 1er septembre 2023, et le Préposé fédéral à la protection des données et à la transparence, le PFPDT, affirme depuis novembre 2023, et l’a répété en mai 2025, qu’elle s’applique directement aux traitements de données personnelles assistés par l’IA.

Le PFPDT attend de la transparence sur la finalité, le fonctionnement et les sources de données des traitements par IA. Les personnes ont le droit de savoir si elles ont affaire à une machine, et si ce qu’elles saisissent sert à améliorer le système. Les traitements à risque élevé exigent une analyse d’impact relative à la protection des données, et le visage, l’image ou la voix manipulés d’une personne identifiable doivent toujours être clairement signalés. Le préposé cite la reconnaissance faciale généralisée en temps réel et la notation sociale comme pratiques interdites.

Il applique aussi ces principes aux grandes plateformes. En mars 2025, il a clos une enquête préliminaire sur l’utilisation des publications sur X pour entraîner Grok, en rappelant que les utilisateurs peuvent s’y opposer.

Un cadre spécifique est en préparation. Le Département fédéral de justice et police élabore un projet de loi, à mettre en consultation d’ici fin 2026, afin de transposer la convention du Conseil de l’Europe sur l’IA, en mettant l’accent sur la transparence, la protection des données, la non-discrimination et la surveillance.

L’AI Act après l’omnibus

Le règlement européen sur l’IA (AI Act) est entré en vigueur le 1er août 2024 et s’applique par étapes. Les pratiques interdites et l’obligation de maîtrise de l’IA s’appliquent depuis le 2 février 2025, les obligations relatives aux modèles à usage général depuis le 2 août 2025. L’essentiel du règlement s’applique à partir du 2 août 2026, y compris les règles de transparence : les personnes doivent être informées lorsqu’elles parlent à un chatbot, et les deepfakes doivent être signalés.

L’omnibus numérique sur l’IA, le règlement (UE) 2026/1744, est entré en vigueur le 27 juillet 2026. Il décale les règles applicables aux systèmes à haut risque : ceux utilisés dans des domaines comme la biométrie, l’éducation et l’emploi sont soumis à leurs obligations à partir du 2 décembre 2027, et ceux intégrés à des produits réglementés, comme les ascenseurs ou les jouets, à partir du 2 août 2028. Il interdit aussi, dès décembre 2026, l’IA qui génère des images sexuelles de personnes sans leur consentement ou du matériel pédopornographique, et étend une documentation simplifiée aux petites entreprises à moyenne capitalisation.

Pour la plupart des entreprises qui utilisent l’IA plutôt qu’elles ne la développent, ce report change peu de choses. Les obligations de transparence et de maîtrise de l’IA s’appliquent dès maintenant. Le délai supplémentaire concerne les systèmes qui décident à propos de personnes, par exemple de qui est embauché.

Le RGPD, et une réforme qui n’a pas force de loi

Le RGPD lui-même n’a pas changé. En décembre 2024, le Comité européen de la protection des données a exposé la manière dont il l’interprète pour les modèles d’IA. Un modèle entraîné sur des données personnelles n’est considéré comme anonyme que s’il est très peu probable d’en identifier des personnes, directement ou par des questions posées au modèle, ce qui s’apprécie au cas par cas. L’intérêt légitime ne vaut comme base juridique que si le traitement est strictement nécessaire et que la mise en balance des droits est respectée. Et un modèle construit sur des données traitées de manière illicite peut entacher la licéité de son utilisation ultérieure, sauf s’il a été correctement anonymisé.

Un omnibus distinct allégerait certaines parties du RGPD et du règlement sur les données (Data Act). Le 7 octobre 2026, les ambassadeurs des États membres ont reporté leur vote sur la position du Conseil, après que l’Allemagne et la France ont demandé plus de temps, et lors de leur réunion du 11 octobre, le texte n’a été ni discuté ni mis aux voix. Berlin souhaite une catégorie de responsables du traitement à faible risque, qui libérerait les petites entreprises et les organisations à but non lucratif de nombreuses obligations. Rien de tout cela ne s’applique encore, et nous travaillons avec le RGPD tel qu’il est rédigé aujourd’hui.

Contrats et transferts

Au travail, l’IA passe le plus souvent par un prestataire qui traite des données personnelles pour le compte de l’entreprise, et c’est dans le contrat que se trouvent les règles de l’entreprise. Il doit préciser ce que le prestataire peut faire des prompts et des fichiers, combien de temps il conserve ces données et ses journaux, à quels sous-traitants il recourt et où, et ce qu’il advient des données à la fin. Si un prestataire affirme ne pas entraîner ses modèles sur vos données, retrouvez cette phrase dans le contrat que vous avez signé.

Les données qui quittent la Suisse pour les États-Unis ont besoin d’une base légale. Depuis le 15 septembre 2024, le Swiss-US Data Privacy Framework permet des transferts vers des entreprises américaines certifiées sans garanties supplémentaires ; vérifiez donc la certification de chaque prestataire et de chaque sous-traitant. L’équivalent européen a survécu à sa première contestation devant le Tribunal de l’Union européenne le 3 septembre 2025. Le pourvoi, formé le 31 octobre 2025, n’a à notre connaissance pas encore été tranché. Sachez lesquels de vos outils dépendent d’un transfert vers les États-Unis, et ce que vous feriez à la place.

Ce que fait aujourd’hui une entreprise prudente

Rien de tout cela n’exige un vaste programme. Il faut une liste, quelques décisions et quelqu’un qui en a la responsabilité.

Dressez la liste : chaque outil d’IA utilisé, les données qui y entrent, le prestataire, le pays et le contrat. Demandez aux équipes ce qu’elles utilisent réellement, pas ce qui a été approuvé.

Classez les données en publiques, internes et confidentielles, et indiquez sur une page quelle catégorie peut aller dans quel outil.

Proposez un bon outil. L’IA fantôme prospère là où l’outil approuvé est moins bon que l’outil gratuit. Un assistant approuvé qui fonctionne supprime l’essentiel des raisons de coller des données clients dans un compte privé.

Contrôlez les accès. Les outils d’IA reçoivent les mêmes rôles, la même connexion et la même procédure de départ que tous les autres systèmes. Un assistant qui peut tout lire finira un jour par le montrer à la mauvaise personne.

Informez et évaluez les cas à risque. Indiquez sur le site web quand un client parle à une machine, et réalisez l’analyse d’impact avant que l’IA ne touche à des données sensibles ou ne décide à propos de personnes.

Désignez un responsable. Dans l’étude 2026 de Cisco, trois organisations sur quatre disposaient d’un organe de gouvernance de l’IA, et seules 12 pour cent jugeaient le leur mature. Et gardez une personne au bouton d’envoi : ce qui peut être fait des données de quelqu’un relève du jugement, et le jugement reste humain.

Comment nous construisons en conséquence

Nos produits suivent les mêmes règles. Kontor rédige les offres et les factures dans bexio et ne stocke rien lui-même : les données restent dans bexio, et l’envoi, les paiements et les relances restent entre les mains d’une personne.

Twin ne donne à chaque rôle que la partie du cerveau de l’entreprise dont il a besoin, et chaque écriture se fait sous l’identité de l’utilisateur. Il fonctionne en Suisse ou dans l’UE, ou sur le propre matériel du client, et les données n’entraînent jamais un modèle public.

Lorsque les données ne doivent pas quitter l’entreprise du tout, Eigna, développé par notre partenaire Eigna Labs, fonctionne comme un modèle privé dans le cloud de l’entreprise ou sur ses propres serveurs, conçu pour le RGPD et l’AI Act européen.

Les règles continueront de bouger. Une entreprise qui sait où vont ses données peut les suivre.