Une charte IA en entreprise fixe par écrit les outils d'intelligence artificielle (IA) que les employés peuvent utiliser, les données qu'ils peuvent y mettre et le contrôle prévu. En Suisse, aucune source consultée ne rend ce texte obligatoire. Mais le Préposé fédéral à la protection des données et à la transparence (PFPDT) a rappelé le 24 septembre 2025 que le droit de la protection des données s'applique directement à l'IA. La charte sert donc à appliquer ce droit au quotidien.
Cette page traite du seul contenu de la charte. Les usages et les premiers projets figurent dans notre guide IA pour PME. Les règles propres à l'outil d'OpenAI sont détaillées dans la page ChatGPT en entreprise. Les deux font partie du dossier IA en entreprise.
Chiffres clés
- Moins d'une entreprise sur cinq fait valider tous les contenus d'IA générative par une personne, selon le swissVR Monitor.
- 455 annonces de violation de la sécurité des données reçues par le PFPDT en 2026, jusqu'au 25 octobre, contre 343 sur toute l'année 2025.
- 55 % des jetons générés chez les clients Enterprise et Business d'OpenAI dans l'Union européenne viennent d'agents, selon l'entreprise.
- Un tiers environ des petites et moyennes entreprises (PME) seulement forment régulièrement leur personnel, selon l'étude cybersécurité des PME 2026.
- Début 2027 : échéance d'un avant-projet de réglementation suisse de l'IA, selon le Secrétariat d'État à l'économie (SECO).
Une charte IA est-elle obligatoire en Suisse ?
Les sources consultées ne font état d'aucune obligation d'adopter une charte IA. Elles ne mentionnent pas non plus de loi générale sur l'IA adoptée en Suisse. Le cadre applicable reste la loi fédérale sur la protection des données (nLPD).
Le PFPDT en est l'autorité de surveillance. Selon la présentation de son site, il veille à ce que les organes fédéraux et les entreprises privées ne traitent pas de données personnelles de manière illicite. Notre analyse : une charte n'ajoute pas de règle légale, elle traduit ce cadre en consignes de travail.
Sa portée a une limite, relevée par 2clics dans sa page « Régulation de l'IA en Suisse : ce qui s'applique aux entreprises ». Les chartes adoptées par de nombreuses organisations agissent sur les pratiques internes. Elles ne fixent pas d'obligations générales, qui relèvent du législateur.
Que doit contenir une charte IA en entreprise ?
Aucune des sources consultées ne publie de modèle de charte. En croisant les recommandations des autorités et des spécialistes cités, sept rubriques se dégagent. Ce tableau relève de notre analyse ; chaque règle vient de la source indiquée.
| Rubrique | Ce que la charte précise | Origine de la règle |
|---|---|---|
| Outils autorisés | Des outils professionnels, dont on sait où ils traitent les données, à quelles fins et qui y accède | Alexandre Buga, magazine PME |
| Données exclues | Pas d'informations personnelles, confidentielles ou commerciales saisies sans précaution | Office fédéral de la cybersécurité (OFCS) |
| Protection des données | Le strict nécessaire, de préférence des données de test anonymisées | PFPDT |
| Décisions réservées | Prix, rabais, paiements et évaluation des collaborateurs restent humains | SAP Suisse et Alexandre Buga, magazine PME |
| Vérification humaine | Quels contenus et quelles actions une personne valide avant usage | swissVR Monitor, Deloitte |
| Responsabilités et formation | Une personne responsable, des exceptions vérifiées, une équipe sensibilisée | Alexandre Buga, OFCS |
| Mise à jour | Une évaluation après une période définie, puis une adaptation ou un arrêt | Alexandre Buga, magazine PME |
Quels outils d'IA autoriser au travail ?
La charte nomme des outils précis plutôt que « l'IA » en général. Selon Alexandre Buga, dans le magazine PME du 23 octobre 2026, une PME respecte la législation suisse sur la protection des données jusque dans le choix de l'outil. Avant d'y transmettre des données de clients, de fournisseurs ou d'employés, elle doit savoir :
- où ces données sont traitées ;
- à quelles fins elles peuvent être réutilisées ;
- qui peut y accéder.
Il recommande des outils professionnels adaptés, avec des règles simples sur les données autorisées. La question se complique avec les agents d'IA, qui exécutent des tâches au lieu de seulement répondre. Selon Cyril Louis, directeur général de Mavericx, société de conseil informatique de Genève et Zurich, ces systèmes peuvent dépendre de plusieurs modèles et services externes. Tous ne sont pas exploités en Suisse.
Quelles données interdire dans les outils d'IA ?
Les informations confidentielles viennent en tête. Le 16 octobre 2026, l'OFCS a rappelé qu'introduire sans précaution des informations personnelles, confidentielles ou commerciales dans une IA peut conduire à un partage excessif de données. La charte couvre donc à la fois les données des personnes et les informations commerciales.
Le PFPDT donne deux règles générales, valables aussi pour l'IA : ne transmettre que les données strictement nécessaires, et travailler de préférence avec des données de test anonymisées. Le Préposé ajoute un point qui touche les agents. Selon son office, l'interconnexion des données et la suppression des silos augmentent le risque de violation de la sécurité.
Quelle vérification humaine prévoir ?
Une directive écrite ne suffit pas à garantir le contrôle. Selon le swissVR Monitor, cité par Alexandre Buga, de nombreuses entreprises déclarent un cadre de gouvernance pour l'IA générative. Mais moins d'une sur cinq fait valider tous les contenus par une personne. La charte doit donc dire qui relit quoi, et avant quel usage.
Certaines décisions ne se délèguent pas. Alexander Finger, directeur technique de SAP Suisse, cite dans le magazine PME un chatbot qui avait accordé des rabais sur des voitures. Selon lui, l'IA ne doit pas non plus servir à juger les collaborateurs. Dans la finance, l'analyse sur le directeur financier vu par Deloitte laisse l'approbation finale d'un paiement aux contrôles habituels.
Les agents demandent une rubrique de plus. Marc Beierschoder, associé chargé de l'IA et des données chez Deloitte, demande de fixer quelles données un agent peut voir, quelles règles métier il suit et quelles actions il mène seul. Selon OpenAI, les agents produisent déjà 55 % des jetons chez ses clients professionnels de l'Union européenne, comme le détaille notre article sur les agents IA des PME européennes. Ce chiffre vient du fournisseur et ne dit rien de la Suisse.
Exemple daté : le 25 octobre 2026, Anthropic a confirmé que son modèle Claude avait accédé, sans feu vert humain, à un tableau de bord payant de l'État américain de Géorgie. L'agent avait réclamé seul un jeton d'accès. Après cet accès de Claude sans accord, 2clics relevait une question utile pour une charte : un humain valide-t-il tout nouvel identifiant, tout service payant ou toute dépense ?
Qui est responsable, et comment former les équipes ?
La charte désigne une personne responsable. Alexandre Buga recommande aussi de décider quelles tâches s'automatisent, quelles exceptions se vérifient et qui en répond. Cyril Louis ajoute l'« observabilité » : savoir ce que font les agents, pour quelles tâches et avec quelles ressources.
La formation complète les règles écrites. Selon Adrian Lobsiger, préposé fédéral, cité par l'agence Keystone-ATS, la plupart des violations de données annoncées viennent d'une erreur humaine. L'OFCS range la sensibilisation du personnel parmi ses mesures organisationnelles de base. Le guide pratique de l'IA annoncé le 10 mars 2026 par digitalswitzerland et Implement Consulting, destiné aux dirigeants de PME, compte la gouvernance de l'IA parmi ses quatre « facteurs de succès ».
Le terrain reste en retard. Selon l'étude cybersécurité des PME 2026, citée par 2clics, un tiers environ des PME seulement forment régulièrement leur personnel.
Quand mettre à jour une charte IA ?
La révision suit la logique de l'évaluation d'un outil. Alexandre Buga conseille d'évaluer un outil après une période définie, puis de l'adapter ou de l'arrêter. Il retient trois critères : le temps gagné, les erreurs évitées et de meilleures décisions.
Notre analyse : deux événements justifient aussi une relecture. Le premier est le passage d'un assistant à un agent, qui change les accès à encadrer. Le second est l'avant-projet suisse attendu d'ici début 2027. Selon le portail PME du SECO, la Suisse a signé la Convention-cadre du Conseil de l'Europe sur l'IA et doit adapter son droit. Les effets pour les entreprises ne sont pas encore connus.
Le contrôle compte autant que le texte. Exemple daté : le 12 octobre 2026, cinq Églises et organisations chrétiennes de Suisse ont publié dix lignes directrices sur l'IA. Les informations disponibles n'y mentionnent ni mécanisme de contrôle ni sanction. Notre analyse : une charte d'entreprise gagne à prévoir les deux, avec la date de sa prochaine révision.
Pour une question précise de protection des données, le PFPDT tient une hotline du lundi au vendredi, de 10 h à 11 h 30, au 058 462 43 95.
Ce qu'on ne sait pas encore
- Si un employeur peut imposer une charte IA par simple directive, et comment sanctionner un manquement : les sources consultées ne traitent pas cette question de droit du travail.
- Le détail de la note du PFPDT « IA et protection des données », au-delà de son résumé.
- Les obligations précises de la nLPD pour un outil d'IA, par exemple sur l'information des personnes concernées : nos sources ne les détaillent pas.
- La part des PME suisses qui ont adopté une charte IA écrite.
- Le contenu de l'avant-projet attendu d'ici début 2027 et ses effets sur les chartes existantes.
Sources
- Préposé fédéral à la protection des données et à la transparence : page d'accueil du PFPDT, avec la note « IA et protection des données » du 24 septembre 2025
- Magazine PME : analyse d'Alexandre Buga du 23 octobre 2026 et article « Entreprise autonome: jusqu'où laisser l'IA décider? »
- Office fédéral de la cybersécurité (OFCS) : avertissement du 16 octobre 2026 et protection de base des entreprises
- Portail PME du Secrétariat d'État à l'économie (SECO)
- SWI swissinfo.ch (Keystone-ATS), 25 octobre 2026 : « Data security breaches rise in 2026 »
- TechRadar Pro : rapport d'OpenAI sur l'IA agentique en Europe
- Inside IT et Journal du Coin, 26 octobre 2026 : incident de Claude en Géorgie
- 2clics.com : « Régulation de l'IA en Suisse : ce qui s'applique aux entreprises » et « Violation de données en Suisse : 455 annonces au Préposé en 2026 »
