Avant de confier des données à un outil d’intelligence artificielle, posez trois questions à son fournisseur et exigez la réponse par écrit. Que faites-vous de nos données, et où est-ce écrit ? Où sont-elles stockées, et depuis quels pays peut-on y accéder ? Qui d’autre que vous les traite ? Ces trois questions découlent directement des règles de la loi fédérale sur la protection des données (nLPD) sur la sous-traitance et la communication à l’étranger, et une réponse vague à l’une d’elles suffit à écarter l’outil pour vos dossiers sensibles.
Ce qui suit est une grille pratique, pas un avis de droit. Elle ne remplace pas votre conseil, et une commune la lira avec sa propre loi cantonale en tête (nous y revenons plus bas).
Pourquoi trois questions suffisent pour commencer
Quand vous déposez un document dans un outil d’IA, le fournisseur traite des données pour votre compte. La nLPD a un nom pour cela : il est votre sous-traitant, et vous restez le responsable du traitement, celui qui en détermine les finalités et les moyens.
L’article 9 fixe les conditions de cette sous-traitance. Elle doit être prévue par un contrat ou par la loi, le fournisseur ne peut faire que ce que vous auriez le droit de faire vous-même, et aucune obligation de garder le secret ne doit s’y opposer. Vous devez en outre vous assurer qu’il est en mesure de garantir la sécurité des données. Enfin, il ne peut lui-même confier le traitement à un tiers qu’avec votre autorisation préalable.
Ajoutez les articles 16 et 17, qui encadrent la communication de données à l’étranger, et vous avez les trois sujets sur lesquels un fournisseur doit pouvoir répondre : le contrat, le lieu, la chaîne. Le reste (performance, ergonomie, prix) se discute ensuite.
Le Préposé fédéral à la protection des données et à la transparence (PFPDT) le rappelle sur sa page consacrée à l’IA et la protection des données : le droit suisse s’applique directement aux traitements qui recourent à l’IA. Il n’existe pas de régime à part qu’il faudrait attendre.
Première question : que faites-vous de nos données, et où est-ce écrit ?
C’est la question du contrat de traitement, souvent appelé DPA (pour data processing agreement). Elle a une réponse simple à vérifier : un document, que vous pouvez lire avant de signer.
Ce document doit régler au moins quatre points.
- la finalité : le fournisseur traite vos données pour vous rendre le service, et pour rien d’autre ;
- l’entraînement : vos documents servent-ils à améliorer ses modèles, oui ou non, et si oui, comment s’y opposer ;
- les incidents : la loi oblige le sous-traitant à vous annoncer dans les meilleurs délais toute violation de la sécurité des données, et le contrat doit dire par quel canal ;
- la fin du contrat : ce qui vous est restitué, dans quel format, et ce qui est détruit.
Sur l’entraînement, le PFPDT demande, sur la même page, que les utilisateurs soient informés si leurs saisies servent à améliorer les systèmes. Un fournisseur qui répond « cela dépend des réglages » vous donne une information utile, à condition que vous sachiez qui pose ces réglages chez vous et qu’ils soient effectivement posés.
Réponse qui rassure : un contrat ou une annexe nommés, que l’on vous transmet, avec une clause explicite sur l’entraînement. Réponse qui doit vous arrêter : « nous sommes conformes », sans document.
Deuxième question : où sont stockées les données, et d’où peut-on y accéder ?
Des données personnelles peuvent être communiquées à l’étranger sans garanties supplémentaires lorsque le Conseil fédéral a constaté que le pays offre un niveau de protection adéquat. La liste figure à l’annexe 1 de l’ordonnance sur la protection des données (OPDo). On y trouve notamment les vingt-sept États membres de l’Union européenne, le Royaume-Uni et le Canada.
Les États-Unis y figurent avec une réserve qui compte beaucoup pour les outils d’IA : le niveau adéquat n’est reconnu que pour les organisations certifiées selon le cadre de protection des données entre la Suisse et les États-Unis. Le Conseil fédéral l’a annoncé le 14 août 2024, pour une entrée en vigueur au 15 septembre 2024. Un fournisseur américain non certifié doit donc s’appuyer sur une autre garantie, par exemple des clauses contractuelles, que l’article 16 énumère.
Stocker n’est pas accéder. Des serveurs en Suisse n’empêchent pas une équipe de maintenance de consulter les données depuis un autre pays. La check-list de l’Autorité vaudoise de protection des données distingue les deux situations. Si le traitement a lieu à l’étranger, elle demande la liste de tous les pays dans lesquels les données pourront être consultées, par exemple à des fins de maintenance, ou hébergées, par le fournisseur comme par ses propres sous-traitants. S’il a lieu en Suisse, elle demande que le contrat le garantisse, et que les sous-traitants du fournisseur traitent eux aussi les données uniquement en Suisse.
La réponse vous engage, vous. Lorsque des données partent à l’étranger, l’article 19 vous oblige à indiquer aux personnes concernées le nom du pays et les garanties retenues. Et le registre des activités de traitement, lorsque vous en tenez un, doit mentionner ce pays. Une réponse floue du fournisseur devient ainsi une ligne que vous ne savez pas remplir dans votre propre déclaration de protection des données.
Réponse qui rassure : une liste de pays, pour le stockage et pour l’accès. Réponse qui doit vous arrêter : « nos serveurs sont en Europe », sans rien sur l’accès.
Troisième question : qui d’autre que vous traite nos données ?
C’est la question la plus facile à oublier, parce que la chaîne ne se voit pas depuis l’écran de l’outil. Le nom sur la facture n’est pas toujours celui de l’entreprise qui exploite les serveurs, ni celui de l’éditeur du modèle de langage qui lit vos documents. Chaque maillon est un sous-traitant de votre sous-traitant.
La loi tranche le principe : votre fournisseur ne peut sous-traiter votre traitement à un tiers qu’avec votre autorisation préalable (article 9, alinéa 3). En pratique, cela se traduit par trois demandes :
- la liste nominative des sous-traitants qui touchent vos données, avec leur pays ;
- la manière dont vous serez prévenu avant qu’un nouveau maillon soit ajouté ;
- ce que vous pouvez faire si vous refusez ce changement.
La check-list vaudoise recommande de vérifier cette chaîne avant de conclure le contrat, et de prévoir que le fournisseur reste responsable de ses propres sous-traitants. Elle va plus loin pour l’administration : la sous-traitance en cascade est, dans la mesure du possible, à interdire.
Réponse qui rassure : une liste, tenue à jour, avec une procédure de notification. Réponse qui doit vous arrêter : « nous travaillons avec des partenaires de confiance ».
Pour une commune, la grille passe par la loi cantonale
La nLPD s’applique aux personnes privées et aux organes fédéraux. Une commune relève, elle, de la loi cantonale sur la protection des données. Les trois questions restent les mêmes, mais la base légale change, et certaines exigences se durcissent.
Dans le canton de Vaud, l’article 18 de la loi sur la protection des données personnelles (LPrD) encadre la sous-traitance, et l’Autorité de protection des données et de droit à l’information a publié une check-list à parcourir avant de signer un contrat de sous-traitance informatique (version du 6 août 2025). Trois points y retiennent l’attention d’une administration communale.
- le secret de fonction : si les données y sont soumises, il faut vérifier que la sous-traitance est admissible, et prévoir que le fournisseur et ses employés s’engagent à respecter ce secret ;
- le droit américain d’accès aux données : pour des données sensibles confiées à un partenaire soumis au CLOUD Act, la check-list demande en principe un chiffrement réalisé en Suisse, la clé restant en Suisse, entre les mains de l’entité publique ou d’un tiers autre que le fournisseur, et elle rappelle que la certification au cadre suisse-américain n’écarte pas tout risque d’accès ;
- la transparence : un contrat signé par une autorité communale vaudoise est un document officiel, accessible en principe au public selon la loi sur l’information.
Le dernier point a une conséquence pratique. Les réponses que vous obtenez du fournisseur peuvent un jour être lues par un citoyen ou par un conseiller communal. Mieux vaut qu’elles soient claires.
Une étude de notaires ou d’avocats se trouve dans une situation voisine avec le secret professionnel, qui pose une question distincte de la protection des données. Nous l’avons traitée dans l’article sur ce qu’une étude peut confier à un outil d’IA.
La grille, à poser telle quelle
Voici les trois questions dans la forme où elles se posent en séance ou par courriel, avant toute démonstration :
- Que faites-vous de nos données ? Merci de nous transmettre votre contrat de traitement, en indiquant la clause qui règle l’usage de nos documents pour l’entraînement de vos modèles, celle qui règle l’annonce des incidents, et ce qui se passe à la fin du contrat.
- Où sont-elles ? Merci de nous indiquer les pays où nos données sont stockées, et ceux depuis lesquels elles peuvent être consultées, y compris pour la maintenance et le support.
- Qui d’autre les traite ? Merci de nous transmettre la liste de vos sous-traitants qui y ont accès, avec leur pays, et la procédure par laquelle vous nous prévenez d’un changement.
Un fournisseur qui a déjà fait ce travail peut répondre en renvoyant à des documents existants. Une réponse qui ne cite aucun document est déjà une information.
Ces questions ne servent pas à choisir un prestataire d’accompagnement, ce qui obéit à d’autres critères, détaillés dans notre article sur le choix d’une agence d’automatisation. Elles servent à décider si un outil précis peut recevoir un type de document précis.
Ce qu’une bonne réponse ne règle pas
Un fournisseur irréprochable ne dit rien de ce que vos collaborateurs déposent dans son outil. Le contrat fixe ce que lui a le droit de faire ; il ne fixe pas ce que vos équipes ont le droit d’y saisir. Ce second volet est interne, et il tient en une règle écrite qui dit ce qui ne se colle jamais, puis en une formation pour qu’elle soit appliquée. Nous l’avons décrit pour les PME dans l’article sur ChatGPT et la nLPD.
Les réponses du fournisseur ne choisissent pas non plus à votre place le niveau d’hébergement de chaque document. Un courrier type peut aller dans un outil du marché, des demandes d’administrés dans un environnement hébergé en Suisse, alors qu’un dossier du personnel relève d’une installation chez vous. La page où vont vos données compare ces trois niveaux ligne à ligne, de quoi justifier un choix devant une direction ou un exécutif.
Par où commencer
Faites la liste des outils d’IA déjà utilisés dans votre organisation, y compris ceux que personne n’a officiellement choisis. Prenez celui qui voit passer le plus de données personnelles, et envoyez-lui les trois questions cette semaine. Les réponses vous diront s’il faut le garder, l’encadrer ou le remplacer pour certains documents.
C’est le genre de vérification qui ouvre nos missions d’audit et d’accompagnement : regarder ce que vos équipes utilisent réellement, et trancher, document par document, où chaque traitement doit se faire, avant d’automatiser quoi que ce soit.