Dès qu'une PME y saisit des données personnelles, utiliser ChatGPT en entreprise relève en Suisse de la loi sur la protection des données (nLPD). Le Préposé fédéral à la protection des données et à la transparence (PFPDT) l'a rappelé le 24 septembre 2025 : ce droit s'applique directement aux traitements de données recourant à l'intelligence artificielle (IA). Pour une PME, le risque tient donc moins à l'outil d'OpenAI qu'aux informations que les employés y collent et aux décisions qu'on lui laisse.
Cette page traite d'un seul outil et des règles de son usage. La vue d'ensemble des usages, des coûts et des premiers projets se trouve dans notre guide IA pour PME, au sein du dossier IA en entreprise.
Chiffres clés
- 24 septembre 2025 : le PFPDT rappelle que le droit suisse de la protection des données s'applique directement à l'IA.
- 16 octobre 2026 : l'Office fédéral de la cybersécurité (OFCS) met en garde contre la saisie sans précaution d'informations confidentielles dans une IA.
- Moins d'une entreprise sur cinq fait valider tous les contenus d'IA générative par une personne, selon le swissVR Monitor.
- 455 annonces de violation de la sécurité des données reçues par le PFPDT en 2026, jusqu'au 25 octobre, contre 343 sur toute l'année 2025.
- Plus de huit fois plus d'utilisateurs hebdomadaires de Codex et de ChatGPT Work dans les PME européennes en moins de six mois, selon OpenAI.
- 76 % des personnes interrogées par le DigitalBarometer 2026 font passer la protection des données avant le confort.
À quoi sert ChatGPT dans une PME ?
ChatGPT sert d'abord d'assistant. On lui demande d'écrire un texte, de résumer des informations ou de préparer une analyse, note le site spécialisé Inside IT le 26 octobre 2026. Dans une PME, cela couvre par exemple une proposition commerciale ou un rapport à rédiger.
L'outil change toutefois de nature. OpenAI, la société qui édite ChatGPT, a intégré ChatGPT Work, un outil agentique, à sa « superapp ». Un agent ne se contente plus de répondre : il analyse une situation, cherche les informations utiles, puis exécute une série d'actions.
Selon un rapport d'OpenAI cité par TechRadar Pro, les utilisateurs actifs hebdomadaires de Codex et de ChatGPT Work dans les PME européennes auraient été multipliés par plus de huit en moins de six mois. Ce chiffre vient du fournisseur et porte sur ses seuls produits. Il ne dit rien de la Suisse, comme nous le relevions à propos du rapport d'OpenAI sur les PME européennes.
Notre analyse : la distinction compte pour les règles internes. Un assistant produit un texte que l'employé relit. Un agent agit, et son erreur peut alors engager l'entreprise.
Quelle version de ChatGPT choisir, et que deviennent les données ?
Les sources consultées pour cette page ne détaillent pas les conditions de chaque offre de ChatGPT. Le rapport d'OpenAI mentionne des clients « Enterprise » et « Business », sans décrire le sort de leurs données. Nous ne comparons donc pas ici les versions gratuites et payantes.
La méthode pour choisir, elle, est connue. Selon Alexandre Buga, dans le magazine PME du 23 octobre 2026, une PME doit respecter la législation suisse sur la protection des données jusque dans le choix de l'outil. Avant de transmettre des données de clients, de fournisseurs ou d'employés, elle doit savoir :
- où ces données sont traitées ;
- à quelles fins elles peuvent être réutilisées ;
- qui peut y accéder.
Il recommande des outils professionnels adaptés, accompagnés de règles simples sur les données autorisées.
Le lieu de traitement devient plus flou avec les agents. Selon Cyril Louis, directeur général de Mavericx, société de conseil informatique installée à Genève et à Zurich, ces systèmes peuvent dépendre de plusieurs modèles de langage et services externes. Tous ne sont pas exploités en Suisse. Des prestataires suisses répondent à cette demande : Elca propose une plateforme d'IA souveraine, où données et modèles restent sous le contrôle du client.
Que dit la nLPD quand on utilise ChatGPT au travail ?
Les sources consultées ne mentionnent aucune règle suisse propre à ChatGPT. Le cadre applicable est la loi sur la protection des données. Le PFPDT, autorité indépendante, veille à ce que les organes fédéraux et les entreprises privées ne traitent pas de données personnelles de manière illicite, selon la présentation de son site.
Sa note « IA et protection des données », datée du 24 septembre 2025, part d'un constat : l'IA investit de plus en plus le quotidien de la population. Le Préposé en conclut que le droit suisse de la protection des données est directement applicable aux traitements qui y recourent.
Une réglementation propre à l'IA reste en préparation. Selon le portail PME du Secrétariat d'État à l'économie (SECO), la Suisse a signé la Convention-cadre du Conseil de l'Europe sur l'IA et doit adapter son droit. Un avant-projet doit être élaboré d'ici début 2027. Ses effets pour les PME ne sont pas encore connus.
Pour une question précise, le PFPDT tient une hotline du lundi au vendredi, de 10 h à 11 h 30, au 058 462 43 95.
Quelles données ne faut-il pas mettre dans ChatGPT ?
Les informations confidentielles viennent en tête. Le 16 octobre 2026, l'OFCS a rappelé qu'introduire sans précaution des informations personnelles, confidentielles ou commerciales dans une IA peut conduire à un partage excessif de données.
Le PFPDT donne deux règles générales, valables aussi pour un outil d'IA : ne transmettre que les données strictement nécessaires, et travailler de préférence avec des données de test anonymisées.
| Type d'information | Règle tirée des sources | Origine |
|---|---|---|
| Données de clients, de fournisseurs ou d'employés | Savoir où elles sont traitées, à quelles fins et qui y accède avant de les transmettre | Alexandre Buga, magazine PME |
| Informations personnelles, confidentielles ou commerciales | Ne pas les introduire sans précaution dans une IA | OFCS, 16 octobre 2026 |
| Données utiles à une tâche | Se limiter au strict nécessaire, utiliser de préférence des données anonymisées | PFPDT |
Quelles décisions ne pas confier à ChatGPT ?
Les décisions qui engagent l'entreprise ou une personne restent humaines. Alexander Finger, directeur technique de SAP Suisse, cite dans le magazine PME un chatbot qui avait accordé des rabais sur des voitures, vendues ensuite à prix réduit. Selon lui, l'IA ne doit pas non plus servir à juger les collaborateurs.
La finance suit la même logique. Dans l'analyse sur le directeur financier vu par Deloitte, l'approbation finale d'un paiement reste soumise aux contrôles habituels. L'outil prépare, la direction décide.
L'erreur humaine reste la première faille. Adrian Lobsiger, préposé fédéral à la protection des données, a reçu 455 annonces de violation de la sécurité des données en 2026, jusqu'au 25 octobre. Selon lui, le point faible est rarement la technologie : il s'agit, dans la grande majorité des cas, d'une erreur humaine. Il juge « réelle » la menace liée à l'IA, sans la placer au premier rang des causes.
Comment cadrer l'usage de ChatGPT par les employés ?
Une directive écrite est un début, pas une garantie. Selon le swissVR Monitor cité par Alexandre Buga, de nombreuses entreprises déclarent un cadre de gouvernance pour l'IA générative. Mais moins d'une sur cinq fait valider tous les contenus par une personne.
Les chartes internes agissent sur les pratiques, pas sur la loi. De nombreuses organisations en adoptent, mais ces textes ne fixent pas d'obligations générales : celles-ci relèvent du législateur.
Notre analyse : en croisant les recommandations du PFPDT, de l'OFCS et d'Alexandre Buga, une règle d'usage de ChatGPT en entreprise peut couvrir six points.
- L'outil autorisé, choisi parmi des offres professionnelles dont on sait où elles traitent les données.
- Les informations exclues : données personnelles, confidentielles ou commerciales saisies sans précaution.
- Le principe du strict nécessaire et, si possible, des données anonymisées.
- La validation humaine des contenus envoyés ou publiés.
- Les décisions réservées à une personne : prix, rabais, paiements, évaluation des collaborateurs.
- Une personne responsable, et une évaluation de l'outil après une période définie, avant de l'adapter ou de l'arrêter.
La formation complète ces règles. L'OFCS range la sensibilisation du personnel parmi ses mesures organisationnelles de base. Le guide pratique de l'IA annoncé le 10 mars 2026 par digitalswitzerland et Implement Consulting, destiné aux dirigeants de PME, compte aussi la gouvernance de l'IA parmi ses quatre « facteurs de succès ».
Quelles limites garder en tête ?
Le gain financier n'est pas automatique. Selon Alexandre Buga, investir dans l'IA ne rime pas forcément avec économies, et le retour n'est pas immédiat.
La confiance des clients compte enfin. Selon le DigitalBarometer 2026, 76 % des personnes interrogées font passer la protection des données avant le confort.
Ce qu'on ne sait pas encore
- Les conditions de traitement des données propres à chaque offre de ChatGPT : les sources consultées ne les détaillent pas.
- La part des PME suisses qui utilisent ChatGPT, et celle qui a fixé des règles écrites pour son usage.
- Le contenu de l'avant-projet attendu d'ici début 2027 et ses obligations éventuelles pour les entreprises.
- Le détail de la note du PFPDT « IA et protection des données », au-delà de son résumé.
Sources
- Préposé fédéral à la protection des données et à la transparence : page d'accueil du PFPDT, avec la note « IA et protection des données » du 24 septembre 2025
- Magazine PME : analyse d'Alexandre Buga du 23 octobre 2026 et article « Entreprise autonome: jusqu'où laisser l'IA décider? »
- Inside IT, 26 octobre 2026 : « Bei Enterprise-KI entscheidet nicht Modell, sondern Kontext »
- Office fédéral de la cybersécurité (OFCS) : avertissement du 16 octobre 2026 et protection de base des entreprises
- TechRadar Pro : rapport d'OpenAI sur l'IA agentique en Europe
- Portail PME du Secrétariat d'État à l'économie (SECO)
- SWI swissinfo.ch (Keystone-ATS), 25 octobre 2026 : « Data security breaches rise in 2026 »
- digitalswitzerland : DigitalBarometer 2026
