27.10.2026 — Résumé. La loi sur la protection des données (LPD) s’applique déjà à l’IA. Interrogé sur les problèmes juridiques que pose l’IA générative, l’Office fédéral de la cybersécurité (OFCS) cite le partage excessif de données et recommande aux entreprises d’anonymiser les données, de préférer les versions Business ou Enterprise, d’exclure l’entraînement par contrat, d’écrire des directives et de former le personnel.
Mis à jour le 27.10.2026
Le 16 octobre 2026, le Préposé fédéral à la protection des données et à la transparence (PFPDT) et l’OFCS ont lancé une campagne conjointe sur l’IA générative au travail, dans le cadre du Cyber Security Month. L’OFCS y consacre onze questions-réponses qui valent la peine d’être lues.
La LPD s’applique-t-elle déjà à l’IA ?
Oui. Pour le PFPDT, le droit suisse de la protection des données est « directement applicable » aux traitements de données recourant à l’IA. La LPD vise toutes les technologies. L’OFCS le confirme : la LPD en vigueur est « directement applicable à l’IA ». Dans un article du 24 septembre 2025, le PFPDT en précise les conséquences : transparence sur la finalité, le fonctionnement et les sources ; information des personnes lorsqu’elles échangent avec une machine ; droit d’exiger un examen humain d’une décision automatisée ; analyse d’impact (AIPD) en cas de risque élevé ; signalement systématique des deepfakes de personnes identifiables.
La LPD vaut pour toute technologie, comme le montre un arrêt récent. Le 13 octobre 2026, le Tribunal administratif fédéral a jugé que PostFinance doit obtenir le consentement exprès de ses clients avant de créer leur empreinte vocale, une donnée biométrique utilisée depuis 2018 pour les identifier au téléphone. Continuer à parler après l’annonce de l’enregistrement ne vaut pas consentement. Sans consentement d’ici mi-février 2027, les empreintes existantes devront être effacées. Un recours au Tribunal fédéral reste possible (communiqué du TAF).
Quel risque l’OFCS met-il en avant ?
Le partage excessif de données. L’OFCS le cite en premier parmi les problèmes juridiques : des données sensibles de clients, de patients ou de collaborateurs, ou des secrets d’affaires, saisis dans un outil d’IA. Exemple de l’OFCS : copier tout un e-mail dans le champ de saisie. Un procès-verbal de séance pose le même problème.
S’y ajoute ce que l’OFCS appelle le « principal risque insoupçonné » : les données saisies peuvent servir à entraîner des modèles, sauf si un contrat l’exclut. Et « une fois introduites, les informations ne peuvent de fait plus être récupérées ».
Comme le racontait notre premier article : sur un compte ChatGPT gratuit ou Plus, les conversations peuvent par défaut servir à entraîner les modèles d’OpenAI, et désactiver la mémoire n’y change rien. Pour l’empêcher, il faut désactiver le réglage « Améliorer le modèle pour tout le monde » ou utiliser les conversations temporaires (source : OpenAI).
Que recommande l’OFCS ?
Parmi ses recommandations, sept mesures à la portée d’une PME :
- anonymiser les données avant de les saisir ;
- préférer les versions Business ou Enterprise aux comptes privés ;
- choisir des solutions qui garantissent par contrat l’absence d’entraînement ;
- utiliser l’option de refus de l’entraînement lorsqu’elle existe ;
- adopter des directives internes ;
- former le personnel ;
- recourir à des outils de prévention des pertes de données (DLP).
Où en sont les PME suisses ?
L’étude PME Cybersécurité 2026 a été menée par la Mobilière avec plusieurs partenaires, dont la HES-SO Valais-Wallis et digitalswitzerland, et publiée par l’OFCS le 22 octobre 2026. Quatre PME sur cinq s’attendent à davantage de cybermenaces liées à l’IA. Près de la moitié n’y recourent pas encore pour leurs propres projets. Environ un tiers seulement forment régulièrement leur personnel aux cyberrisques, et une sur quatre seulement vérifie qu’elle peut restaurer ses données. Environ 35’000 PME ont subi une cyberattaque en trois ans.
Ce que ça change pour une entreprise suisse
Inutile d’attendre une réglementation spécifique à l’IA. Selon l’OFCS, la consultation correspondante est « attendue pour janvier 2027 », date qui reste indicative.
Pour l’employeur, l’enjeu est le cadre que l’entreprise pose :
- quels outils sont autorisés, et avec quels comptes ;
- quelles données peuvent y entrer, et sous quelle forme ;
- ce que disent les contrats sur l’entraînement des modèles ;
- qui forme les équipes, et sur quels cas.
Ces décisions s’écrivent dans des directives internes. C’est le travail que nous menons en gouvernance IA et en formation en entreprise. Pour une PME active dans l’UE, voir aussi notre article AI Act après l’Omnibus.
Cet article n’est pas un avis juridique.
Par Sofia Mestre