Chatbot IA sur le site de votre PME : ce que la nLPD exige en Suisse

La nLPD s'applique-t-elle à un chatbot IA ?

Oui, dès qu'il traite des données personnelles. Le PFPDT l'a écrit le 9 novembre 2023 et l'a confirmé le 8 mai 2025 : la loi est directement applicable aux traitements de données basés sur l'IA. En janvier 2026, il a précisé que l'IA générative en tant que telle n'est pas soumise à la LPD. Elle le devient dès qu'elle traite des données personnelles.

Sur un site, c'est presque toujours le cas : selon le PFPDT, les informations données à un chatbot de service client contiennent en général des données personnelles. Un nom et une adresse e-mail suffisent, puisque toute information concernant une personne identifiable compte (art. 5 let. a LPD).

Votre entreprise est le responsable du traitement. La plateforme du chatbot, l'outil d'automatisation, le fournisseur du modèle et l'hébergeur traitent les messages pour votre compte, en principe comme sous-traitants (art. 9 LPD). Les obligations décrites plus bas reposent donc sur vous.

Faut-il dire au visiteur qu'il parle à une IA ?

La loi ne parle pas de chatbots, mais le PFPDT déduit du principe de transparence que l'utilisateur d'un modèle de langage a le droit de savoir s'il parle ou écrit à une machine, et si ses saisies sont réutilisées pour améliorer le système ou à d'autres fins. Ceux qui fournissent ou utilisent un système d'IA doivent aussi rendre transparents la finalité et le fonctionnement du traitement, sources de données comprises.

À cela s'ajoute le devoir d'informer lors de la collecte (art. 19 LPD), sous une forme concise, transparente, compréhensible et facilement accessible (art. 13 OPDo). Pour un chatbot, cela donne concrètement :

• Une mention visible dans la fenêtre de discussion, avant le premier message, qui annonce un assistant automatique (IA) et nomme le fournisseur qui traite les messages, avec son pays.
• Un lien vers la déclaration de confidentialité, directement dans cette fenêtre.
• Pas de prénom ni de photo qui feraient croire à un conseiller humain.
• Un moyen simple de joindre une personne, par e-mail ou par téléphone.

Que doit dire la déclaration de confidentialité sur le chatbot ?

L'art. 19 LPD fixe un minimum, que le PFPDT complète pour l'IA. Pour un chatbot ou un formulaire traité par IA, votre déclaration de confidentialité devrait mentionner :

• Le nom et les coordonnées de votre entreprise, responsable du traitement (art. 19 al. 2 let. a LPD).
• La finalité, par exemple répondre aux questions des visiteurs ou préparer des réponses aux demandes reçues (let. b).
• Les destinataires : plateforme du chatbot, outil d'automatisation, fournisseur du modèle, hébergeur (let. c).
• L'État de chaque destinataire établi à l'étranger, avec la garantie utilisée ou l'exception de l'art. 17 invoquée (art. 19 al. 4).
• Le fait que le visiteur dialogue avec une IA, et si ses messages servent à entraîner ou à améliorer un modèle (position du PFPDT).
• La durée de conservation des conversations : vous devrez la donner en cas de demande d'accès (art. 25 al. 2 let. d LPD), autant l'écrire d'emblée.

Une IA lit les messages de votre formulaire de contact : ce qui change

Le visiteur ne voit aucune IA, mais les règles sont les mêmes. Si les messages du formulaire passent par un workflow (n8n ou Make, par exemple) puis par l'API d'un modèle de langage qui les classe ou prépare une réponse, ce fournisseur est un destinataire à nommer dans votre déclaration, avec son pays.

La proportionnalité (art. 6 al. 2 LPD) et la protection des données par défaut (art. 7 al. 3) demandent de n'envoyer au modèle que ce dont il a besoin. Pour classer une demande, le corps du message suffit souvent : les coordonnées peuvent rester dans votre CRM. Le PFPDT donne le même conseil aux particuliers : supprimer les données personnelles avant de saisir une demande dans un programme d'IA, lorsque c'est possible.

La finalité compte aussi (art. 6 al. 3) : tout traitement ultérieur doit rester compatible avec ce que vous avez annoncé, et une personne qui demande un devis ne s'attend pas à ce que son message entraîne le modèle d'un tiers. Vérifiez dans les conditions de l'offre API si vos données servent à l'entraînement et où elles sont traitées. Enfin, un résumé généré par l'IA et enregistré dans votre CRM doit être exact (art. 6 al. 5) : une relecture humaine reste la meilleure garantie.

Certaines entreprises publient ce schéma. Neuronia, un studio lausannois qui relie les logiciels des PME romandes à des workflows n8n et à des modèles de langage, avec une validation humaine aux étapes sensibles (j'ai réalisé son site avec Safwan Abdirahman), y consacre une page « IA et nLPD ». Elle rattache quatre règles de travail à des articles de la loi, dont la proportionnalité (art. 6 al. 2) et la protection dès la conception (art. 7), et montre, selon l'option choisie, où le texte d'un e-mail est lu, par exemple chez le fournisseur de l'API, souvent hors de Suisse, ou sur un serveur dont l'emplacement est convenu.

Fournisseur d'IA aux États-Unis ou dans l'UE : que dit l'art. 16 ?

Envoyer le texte d'un message à un modèle hébergé à l'étranger est une communication de données à l'étranger. Elle est libre vers les États dont le Conseil fédéral a reconnu le niveau de protection adéquat, listés à l'annexe 1 de l'ordonnance sur la protection des données (OPDo) : tous les États de l'UE et de l'EEE, le Royaume-Uni, Israël ou la Nouvelle-Zélande, entre autres.

Pour les États-Unis, seules les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework sont couvertes, depuis le 15 septembre 2024. Avant de brancher un modèle américain, vérifiez sur dataprivacyframework.gov que l'entité avec laquelle vous signez y figure avec la certification « Swiss-U.S. DPF ». Sinon, il faut une autre garantie de l'art. 16 al. 2 LPD, en pratique les clauses contractuelles types de l'UE reconnues par le PFPDT, dont l'utilisation n'est pas soumise à notification.

Restent les exceptions de l'art. 17 LPD, comme le consentement exprès de chaque visiteur ou un lien direct avec un contrat. Je ne bâtirais pas un chatbot sur elles. Pour garder les messages en Suisse, un modèle ouvert sur un serveur suisse, ou installé chez vous, évite toute communication à l'étranger pour cette étape.

Contrat de sous-traitance et sécurité : ce qu'il faut vérifier

Confier les messages à un prestataire suppose un contrat (art. 9 LPD), souvent l'avenant sur le traitement des données (DPA) du fournisseur. Le prestataire ne peut faire que ce que vous seriez en droit de faire vous-même et ne peut confier le traitement à un tiers qu'avec votre autorisation préalable (al. 3). À vous de vérifier qu'il peut garantir la sécurité des données (al. 2).

Attention au secret professionnel : la sous-traitance est exclue si une obligation légale ou contractuelle de garder le secret l'interdit (art. 9 al. 1 let. b). Un cabinet médical ou une étude d'avocats devrait trancher ce point avec son conseil.

Côté sécurité, l'art. 8 LPD exige des mesures adaptées au risque, et l'art. 3 OPDo veut notamment que chaque personne autorisée n'accède qu'aux données dont elle a besoin. Pour un chatbot : des clés d'API absentes du code public du site, un accès restreint aux conversations et aux journaux du workflow, des mises à jour régulières et une durée de conservation au-delà de laquelle tout est effacé (art. 6 al. 4 LPD).

Les amendes, jusqu'à CHF 250 000, visent en principe la personne responsable et seulement en cas d'intention, par exemple pour un défaut d'information (art. 60 LPD) ou un transfert à l'étranger sans garantie (art. 61).

Décisions automatisées : quand garder un humain dans la boucle ?

Un chatbot qui renseigne sur vos horaires ne décide de rien. L'art. 21 LPD vise une décision prise exclusivement sur la base d'un traitement automatisé, qui a des effets juridiques pour la personne ou l'affecte de manière significative. Une IA qui écarte seule une candidature, ou qui rejette une demande de location sans qu'un employé ne la voie, peut entrer dans cette catégorie.

Vous devez alors en informer la personne. Sur demande, elle peut faire valoir son point de vue et exiger qu'une personne physique revoie la décision. Ces obligations ne tombent que si la décision est directement liée à un contrat et donne satisfaction à la personne, ou si celle-ci a expressément consenti à l'automatisation (al. 3). Le droit d'accès couvre aussi la logique de la décision (art. 25 al. 2 let. f).

Le montage le plus simple pour une PME : l'IA classe et prépare, une personne décide. Un brouillon validé par un employé avant l'envoi n'est plus une décision prise exclusivement par la machine. Gardez cette validation au moins pour les refus et pour ce qui engage l'entreprise, comme un prix ou un délai.

Données de santé et autres données sensibles dans le chat

Un visiteur peut décrire son état de santé dans une fenêtre de discussion. Ce sont des données sensibles (art. 5 let. c LPD), et leur traitement à grande échelle impose une analyse d'impact préalable (art. 22 LPD). Le PFPDT rappelle que les traitements d'IA à risque élevé sont permis sur le principe, mais avec cette analyse et des garanties adaptées.

Pour un cabinet de physiothérapie ou une clinique dentaire, le plus prudent est d'écrire dans la fenêtre du chatbot de ne pas y décrire sa santé et de prévoir un autre canal. Si l'outil doit traiter ce type de contenu, faites valider le montage par un spécialiste avant la mise en ligne.

Une loi suisse sur l'IA est-elle en préparation ?

Elle est en préparation, mais rien n'est en vigueur. Le 12 février 2025, le Conseil fédéral a décidé que la Suisse devait ratifier la Convention du Conseil de l'Europe sur l'IA, qu'elle a signée en mars 2025, et adapter son droit, tout en poursuivant la réglementation par secteur, comme la santé ou les transports. Le Département fédéral de justice et police (DFJP) doit élaborer d'ici fin 2026 un avant-projet destiné à la consultation, qui portera notamment sur la transparence, la protection des données, la non-discrimination et la surveillance.

Selon l'Office fédéral de la justice, la Suisse ne dispose pour l'heure d'aucune législation propre en la matière : c'est donc la nLPD qui s'applique. Si vous visez aussi des clients dans l'UE, le droit européen peut s'ajouter, et mon guide sur la nLPD et les sites web explique quand le RGPD s'applique.

Chatbot IA et nLPD : la liste de contrôle

Avant de mettre un chatbot en ligne ou de brancher une IA sur votre formulaire :

• Lister chaque outil qui voit passer les messages (plateforme du chatbot, workflow, modèle, hébergeur) et son pays.
• Hors de l'annexe 1 OPDo, prévoir une garantie (certification Swiss-U.S. DPF, clauses types reconnues par le PFPDT) ou choisir un modèle hébergé en Suisse.
• Signer le contrat de sous-traitance de chaque prestataire et lire ses conditions sur l'entraînement et la conservation des données.
• Afficher dans la fenêtre du chatbot qu'il s'agit d'une IA, avec un lien vers la déclaration de confidentialité.
• Mettre à jour la déclaration : destinataires, pays, garanties, usage des messages, durée de conservation.
• N'envoyer au modèle que le texte nécessaire et fixer une durée de conservation pour les conversations et les journaux.
• Garder une validation humaine avant tout refus ou tout engagement envoyé à un client.
• Savoir répondre en 30 jours, en règle générale, à une demande d'accès aux conversations enregistrées (art. 25 LPD).

Un chatbot ou une IA à brancher sur votre site ?

Chez Kollowo, je conçois et maintiens des sites pour des PME de Suisse romande. Si vous voulez ajouter un chatbot ou relier votre formulaire à un outil d'IA, écrivez-moi : on regarde ensemble où iront les messages avant que j'écrive la première ligne de code.