IA et protection des données : ce que la loi suisse change pour une entreprise

Aucune entreprise ne nous a jamais dit qu’elle refusait l’intelligence artificielle. Beaucoup nous ont dit qu’elles ne voyaient pas comment l’utiliser sans se mettre en faute. Ce n’est pas la même chose, et la deuxième se règle.

Ce que la loi demande, en une phrase

La loi fédérale sur la protection des données demande que le traitement de données personnelles soit licite, proportionné, transparent, et que les données ne partent pas vers un pays qui n’offre pas une protection adéquate sans garanties particulières. Elle ne parle pas d’intelligence artificielle, parce qu’elle n’a pas besoin d’en parler : un traitement est un traitement, qu’il soit fait par un tableur ou par un modèle.

Pourquoi le lieu du traitement décide de tout

Quand vous collez le dossier d’un client dans un service en ligne hébergé aux États-Unis, vous effectuez un transfert de données personnelles à l’étranger. Ce transfert n’est pas interdit, mais il demande une base : décision d’adéquation, clauses contractuelles reconnues, analyse d’impact selon les cas. Autrement dit du travail juridique, à refaire à chaque changement de fournisseur ou de conditions.

Quand le modèle tourne sur vos machines, il n’y a pas de transfert du tout. La question ne se pose plus, parce qu’il n’y a pas de destinataire. C’est la raison pour laquelle nous travaillons ainsi, et non par idéologie.

• Pas de transfert à l’étranger, donc pas de base légale à documenter pour ce transfert.
• Pas de sous-traitant supplémentaire à inscrire au registre des activités de traitement.
• Pas de risque que vos données servent à entraîner le modèle de quelqu’un d’autre.
• Pas de dépendance à des conditions de service qu’un fournisseur peut modifier unilatéralement.

Les secteurs où cela ne se discute même pas

Certaines activités n’ont tout simplement pas le choix. Le secret professionnel de l’avocat, le secret médical, le secret bancaire, le secret de fonction, les données de recherche sous contrat : dans tous ces cas, montrer la donnée à un tiers n’est pas une question de conformité, c’est une infraction. Ces maisons ont longtemps été exclues de l’IA utile pour cette raison, et ce sont elles qui gagnent le plus à un système installé sur place.

Ce qu’il reste à faire, même en local

Installer le modèle chez vous ne vous dispense pas du reste. Il faut toujours savoir quelles données le système peut lire, qui peut l’interroger, ce qui est journalisé, et combien de temps les traces sont conservées. Ce sont des règles d’accès classiques, que votre informatique connaît déjà, et qui se paramètrent au moment de l’installation.

Notre politique de traitement pour ce site est décrite dans la politique de confidentialité. Pour votre entreprise, c’est un point de l’audit : voyez notre approche ou demandez directement l’audit.