nLPD : la loi suisse s’applique déjà à votre IA

Beaucoup de dirigeantes suisses nous disent : « on n’est pas dans l’UE, le RGPD c’est pour les autres. » Faux sur deux points.

Un — dès que vous ciblez des clients dans l’Union, le RGPD peut s’appliquer en plus.
Deux — pour tout le reste, la loi fédérale sur la protection des données (LPD révisée, dite nLPD), en vigueur depuis le 1er septembre 2023, est déjà là. Et elle est technologiquement neutre.

Le Préposé fédéral (PFPDT) l’a répété : cette loi s’applique directement aux traitements qui passent par de l’IA. Pas besoin d’attendre une « loi IA suisse ». Le Conseil fédéral a signé la convention du Conseil de l’Europe ; la consultation des textes d’accompagnement, elle, n’est pas pour demain matin. En attendant, c’est la LPD qui commande.

(Le 28 janvier 2026, Journée de la protection des données, le PFPDT est même revenu sur les usages d’IA générative — le sujet n’est plus théorique.)

Ce n’est pas un « petit RGPD »

Les deux textes se ressemblent (finalité, proportionnalité, sécurité, droits d’accès). Les différences qui comptent pour une PME de 12 personnes :

	nLPD (Suisse)	RGPD (UE)
Autorité	PFPDT	CNIL (France) et homologues
Fuite à notifier	Risque élevé, « dans les meilleurs délais » (art. 24) — pas un chrono 72 h automatique	72 h en principe (art. 33), sauf exception
Sanctions	Amendes pénales visant surtout des personnes (dirigeants), jusqu’à 250 000 CHF, sur plainte, en cas de violation intentionnelle de certains devoirs (art. 60)	Amendes administratives contre l’organisme (plafonds % CA)
Registre des traitements	Obligatoire, avec exception possible si moins de 250 employés et risque négligeable (art. 12 + ordonnance)	Logique proche, exception 250 aussi — à documenter

Traduction office manager : en Suisse, « on verra si le PFPDT écrit » n’est pas le bon plan. Sur certains manquements (information, droit d’accès, collaboration à une enquête), c’est le dirigeant qui peut être visé. Pas pour une coquille. Pour un refus volontaire d’informer ou de collaborer.

Et le registre : moins de 250 personnes ne dispense pas si vous traitez des données sensibles à grande échelle, ou du profilage à risque élevé. Un assistant IA branché sur toute la boîte mail, ce n’est pas « négligeable » par magie. En cas de doute, tenez le registre. Ça tient dans un tableur.

L’IA du quotidien, vue par le PFPDT

Sur les exemples pratiques, le Préposé insiste sur l’art. 6 LPD : licéité, bonne foi, proportionnalité, finalité.

Le piège classique : vous avez collecté des mails pour répondre aux clients. Les coller dans un chatbot US pour « améliorer le modèle du fournisseur », c’est souvent un changement de finalité. Il faut le justifier — consentement, ou un motif prévu par la loi. « C’est pratique » n’en est pas un.

Même idée que côté RGPD / CNIL : l’outil grand public n’est pas un coffre-fort. Les transferts vers les USA restent un sujet (cadre Swiss–US, clauses, sous-traitants). Un datacenter « quelque part en Europe » n’efface pas une maison-mère américaine.

Ce qu’on vous demande de faire cette semaine

Pas un projet « conformité 2028 ».

• Une phrase écrite : aucune donnée client / collaborateur dans ChatGPT, Copilot grand public, Gemini, Claude — tant que vous n’avez pas cadré le sous-traitant.
• Savoir où tourne l’outil que vous garderez (Suisse, UE, US) et qui peut être forcé de le livrer.
• Pouvoir effacer un index si quelqu’un exerce ses droits.

AroBox est conçu pour ça : données et index chez vous ; inférence sur infra privée Arobass en Suisse sur arobass.ch (en France sur arobass.fr). Essai 30 jours, sur devis. DPA et contrat à part.

Ceci n’est pas un avis d’avocat. Pour un cas précis : votre conseil, ou le PFPDT.

Demander un essai — on installe en Suisse comme en France, et la nLPD n’est plus un slide qu’on promet « plus tard ».