IA et protection des données en entreprise: ta sécurité juridique en toutes circonstances

IA et protection des données en entreprise: un sujet brûlant pour les PME suisses

La transition numérique bat son plein dans les bureaux suisses. Selon une étude d’AXA sur le marché de l’emploi, de plus en plus de petites et moyennes entreprises (PME) s’appuient sur des outils basés sur l’IA pour simplifier leurs tâches administratives, gagner du temps et optimiser les processus. Du peintre en bâtiment à l’agence de communication en passant par l’artisan, l’automatisation des tâches de routine gagne du terrain.

Mais le développement rapide de l’IA n’est pas sans risques: si l’utilisation d’outils tels que ChatGPT, Claude ou DeepL au quotidien part souvent d’un besoin pragmatique, la sécurité juridique de nombreuses entreprises passe souvent au second plan.

Qu’est-ce qui rend la protection des données avec l’IA si cruciale pour les PME suisses? La réponse se trouve notamment dans le cadre légal, les sanctions encourues par les responsables et les risques de fuites de données accidentelles.

Brève parenthèse technologique: modèle, système et outil

Afin de bien comprendre tous les risques juridiques, une explication des termes souvent utilisés à tort comme synonymes s’impose:

• Modèle d’IA (LLM par exemple): un grand modèle de langage (LLM pour Large Language Model) est la technologie proprement dite: le «cerveau». Il a été entraîné au préalable avec de grandes quantités de textes pour reconnaître des tendances et comprendre le langage.

• Système d’IA: il s’agit de l’ensemble de l’infrastructure et de l’architecture technique construites autour du modèle, notamment les interfaces (API) et les serveurs.

• Outil (ou application) d’IA: c’est l’interface que tu utilises, par exemple l’écran de chat dans ton navigateur.

Le principal risque au quotidien? Quand tu utilises un outil d’IA public, les textes que tu saisis sont souvent transmis au fournisseur afin d’entraîner son modèle d’IA. Tes données peuvent ainsi contribuer à enrichir les futures versions du modèle.

La base juridique en Suisse: données personnelles et secrets d’affaires

Quand on parle d’intelligence artificielle et de protection des données, il est important de distinguer trois aspects juridiques:

1. Nouvelle loi sur la protection des données (nLPD): la Loi fédérale révisée sur la protection des données (en vigueur depuis septembre 2023) s’applique uniquement à l’utilisation des données personnelles (noms, adresses, données salariales de clients ou de collaborateurs, par exemple). Dès l’instant où tu saisis des données personnelles dans un outil d’IA externe, il s’agit selon la loi d’un «traitement», soumis à des règles strictes.

2. Secrets d’affaires (CO et LCD): marges internes, recettes, brevets ou plans commerciaux ne sont pas concernés par la loi sur la protection des données s’ils n’ont aucun lien avec des données personnelles. Un téléchargement non contrôlé de ces données n’est donc pas une «infraction à la protection des données» au sens juridique, mais peut avoir des conséquences graves pour l’entreprise, et violer le devoir de loyauté du droit du travail (code des obligations, CO) ou la loi contre la concurrence déloyale (LCD).

3. Ordonnance concernant la tenue et la conservation des livres de comptes (Olico): elle régit la gestion et la conservation conformes des pièces comptables (notamment le délai de conservation de 10 ans conformément à l’article 958f CO).

Incrimination personnelle en cas de violation de la protection des données

Fait important de la nLPD que de nombreux gérants sous-estiment: la loi prévoit, dans certains cas d’infractions intentionnelles à des obligations particulières (notamment l’obligation d’information) une peine pour la personne physique responsable, avec des amendes allant jusqu’à CHF 250’000 (art. 60 LPD).

Ces peines sont à distinguer de la responsabilité: les actions en droit civil, telles que les demandes de dommages et intérêts à la suite d’une fuite de données, peuvent toujours être intentées contre l’entreprise dans son ensemble.

Chargement de documents internes: interdits, zones grises et règles à respecter

Un scénario classique dans la vie professionnelle: Mme Durand, du marketing, doit établir une offre pour un gros projet client. Pour gagner du temps, elle copie un contrat existant, contenant le nom du client, les heures travaillées et des notes internes, dans le champ de saisie d’un outil IA sur Internet.

Le résultat s’affiche en quelques secondes, mais elle a entre-temps divulgué des données confidentielles.

Pour respecter la protection des données avec l’IA en entreprise, tous les collaborateurs doivent savoir exactement quels documents ils peuvent traiter avec ces outils et quelles sont les limites à respecter.

Outils publics et environnements fermés

Voici une analogie simple pour sensibiliser ton équipe.

Utiliser un outil d’IA public (sans contrat de données spécifique), c’est comme placarder une affiche sur le panneau d’information au centre du village: ton texte est traité par des serveurs étrangers et peut potentiellement être repris par des prestataires pour entraîner leur modèle d’IA. À l'inverse, un système d’IA isolé (par exemple un accès d’entreprise ou une solution propriétaire) s’apparente à une pièce verrouillée. Le prestataire garantit contractuellement que tes données n’alimentent pas son IA. Mais là aussi, tu dois vérifier où se trouvent physiquement les serveurs.

Les zones grises et la bonne solution: anonymiser les données pour réduire les risques

Y a-t-il des zones grises en matière de protection des données avec l’IA? Oui, notamment avec l’anonymisation de textes. Bien souvent, les collaborateurs essaient de remplacer les noms par des initiales ou par des variables (autrement dit, des pseudonymes). Mais si le document permet toujours, en raison du contexte linguistique, de ses caractéristiques ou de facteurs indirects, d’identifier clairement une personne ou une entreprise, on considère juridiquement qu’il contient encore des données personnelles.

Exemple pratique: avant/après dans le quotidien professionnel

Qu’est-ce qui distingue une utilisation risquée de l’IA d’une utilisation conforme au droit? Prenons l’exemple d’une menuiserie.

• Comportement risqué (avant): le chef de projet copie l’ensemble de la correspondance avec le client, y compris le devis, les plans de construction et la date de remise des clés, dans un outil d’IA, pour créer un résumé pour les ouvriers.
  Risque: les données personnelles et les secrets d’affaires échappent à tout contrôle.

• Comportement sécurisé (après): le chef de projet applique une directive interne. Avant de copier le texte dans le champ de saisie, il supprime tous les noms, adresses, prix et données de construction spécifiques pouvant permettre d’identifier l’entreprise. La menuiserie peut aussi utiliser un logiciel d’entreprise protégé par contrat, qui garantit que les données restent dans un environnement juridique sécurisé.

Intelligence artificielle et recrutement: peut-on contrôler les documents de candidature par IA?

Autre thème pertinent, cette fois pour les ressources humaines: un responsable RH peut-il faire vérifier et évaluer automatiquement les candidatures par une IA?

Dans cette situation, la protection des données d’intelligence artificielle, le droit du travail suisse (art. 328b CO) et la nLPD sont étroitement liés.

Devoir de transparence en cas de décisions individuelles automatisées

Conformément à l’art. 21 LPD, les entreprises doivent impérativement informer les personnes concernées de toute décision prise exclusivement sur la base d’un traitement de données personnelles automatisé et qui a des effets juridiques pour elles ou les affecte de manière significative.

• Décision individuelle automatisée: décision prise exclusivement par un algorithme informatique, sans intervention humaine (par exemple, refus envoyé automatiquement par IA).

Si tu utilises l’IA en recrutement, observe impérativement ces règles:

• Principe de l’humain dans la boucle: il est possible d’utiliser des outils d’IA pour élaborer des profils d’exigences, mais uniquement dans le respect de garde-fous clairs. La décision finale d’acceptation ou de refus doit toujours être prise et communiquée par une personne.

• Attention avec l’emplacement des serveurs: même si le système d’IA est fermé et «non public», il ne traite pas nécessairement les données en Suisse ou dans l’UE. Tu dois donc vérifier où sont stockés les CV.

• Réduction des discriminations (biais algorithmique): le modèle d’IA peut refléter les biais de ses données d’entraînement et notamment défavoriser certaines catégories de population. Or les employeurs sont tenus de garantir un traitement équitable des candidats.

Les 4 étapes pour prévenir les infractions à la protection des données dues à l’IA dans les entreprises suisses

Pour instaurer une utilisation de l’IA respectueuse de la protection des données dans l’entreprise, les instructions orales à la machine à café ne suffisent pas: une structure claire s’impose.

1. Établis des directives claires en matière d’IA

Crée un document bref qui clarifie les points suivants:

• logiciels d’IA autorisés dans l’entreprise,

• catégories de données pouvant être transmises et données strictement confidentielles,

• devoir de vérification des contenus: le modèle d’IA peut générer des hallucinations (faits inventés ou relations de cause à effet inexactes). Les contenus générés par IA doivent toujours être vérifiés avant utilisation.

2. Vérifie les contrats et les licences (contrat de traitement des données / DPA)

Instaure dans l’entreprise des environnements contrôlés ou des licences d’entreprise. Vérifie notamment les points suivants:

• Assure-toi qu’il existe un contrat de traitement des données (souvent appelé DPA pour Data Processing Agreement) conforme à la nLPD suisse.

• Le fournisseur doit garantir par écrit que les prompts ne seront pas utilisés pour l’entraînement de son modèle d’IA.

• Emplacement des serveurs: vérifie bien où les données sont enregistrées et où le modèle d’IA (par exemple la couche d’orchestration ou l’instance informatique) se trouve physiquement. Un système d’IA n’est pas un monolithe. Ce n’est que lorsque le traitement a lieu dans des pays disposant d’un niveau de protection des données fiable (comme en Suisse ou dans l’Union européenne) que tu peux dormir sur tes deux oreilles.

3. Sensibilise régulièrement tes équipes

Forme tes collaborateurs dans de courtes sessions pratiques. Apprends-leur, à l’aide de cas concrets, à anonymiser correctement les textes (pour éviter toute identification indirecte) et à identifier les risques.

4. Mets en place des concepts de rôles et de droits

Assure-toi que l’accès aux données sensibles de l’entreprise n’est accordé qu’aux personnes qui en ont besoin pour leurs tâches quotidiennes.

Foire aux questions (FAQ) sur l’IA et la protection des données

L’utilisation d’outils de traduction comme DeepL au bureau est-elle conforme à la protection des données?

Lorsque tu utilises la version gratuite de DeepL, les textes saisis sont enregistrés sur les serveurs du fournisseur et peuvent être utilisés pour perfectionner le modèle. Pour les données personnelles ou les secrets d’affaires, la version payante (DeepL Pro) est obligatoire, car le fournisseur affirme que les textes sont supprimés juste après la traduction.

Qui est responsable en cas d’erreurs de l’IA ou de violation du droit d’auteur?

La responsabilité incombe entièrement à l’entreprise et à la personne qui a saisi les données. Le modèle d’IA ne sait pas si un énoncé est exact ou protégé par le droit d’auteur. C’est donc toi qui es tenu de vérifier les contenus générés par l’IA.

Combien de temps peut-on conserver les justificatifs dans le cloud?

Les délais de conservation légaux selon le code des obligations (CO) et l’Ordonnance concernant la tenue et la conservation des livres de comptes (Olico) s’appliquent. Les documents de comptabilité et pièces comptables doivent être conservés pendant 10 ans en toute sécurité et à l’abri de toute modification. Un simple stockage non structuré sur des serveurs tiers non sécurisés ne respecte pas ces exigences.

Choisis la sécurité avec bexio: processus numériques, conformité à la LPD et automatisation intelligente

Tu veux mettre en place des processus modernes et efficaces dans ton quotidien? Pas besoin d’architecture IA complexe. Le logiciel de PME suisse bexio articule processus numériques – de l’offre à la facturation en passant par la comptabilité des salaires – et standards de protection des données les plus stricts.

L’automatisation sûre, avec bexio et les nouvelles technologies

Lorsque tu photographies ou télécharges un justificatif dans l’app de bexio, la technologie de reconnaissance optique des caractères (ou OCR pour Optical Character Recognition) du logiciel identifie automatiquement les montants, données et taux de TVA. Tu évites ainsi des saisies fastidieuses et tu réduis le risque d’erreurs.

La différence décisive par rapport aux outils d’IA publics: ce service utilise-t-il l’IA, et si oui, où? Oui, la reconnaissance des justificatifs s’appuie sur des algorithmes d’intelligence artificielle. Mais ces processus sont réservés à un environnement certifié et strictement contrôlé. Avec tes factures ou données sensibles d’entreprise, bexio n’entraîne aucun modèle de langage public. Tes données restent à 100% dans un espace protégé.

Une sécurité maximale conforme au droit suisse

Leader sur le marché suisse, bexio est synonyme de fiabilité, transparence et de qualité suisse:

• Des serveurs basés en Suisse: les données de ton entreprise et de tes clients sont sauvegardées dans des centres de données certifiés et sécurisés en Suisse.

• Certification ISO 27001: bexio répond aux normes internationales les plus strictes en matière de sécurité de l’information.

• Conformité à la nLPD: toutes les fonctions, comme la comptabilité des salaires ou la gestion des contacts, sont en tout point conformes à la loi suisse sur la protection des données et au contrat de traitement des données applicable.

Rien de plus simple pour la protection des données! Concentre-toi sur ton cœur de métier et fais confiance à un logiciel qui te simplifie la vie.