La loi fédérale sur la protection des données (LPD), en vigueur depuis le 1er septembre 2023, encadre la décision individuelle automatisée à son article 21. Une entreprise ou un service fédéral qui laisse un algorithme décider seul d'un dossier doit en informer la personne visée. Celle-ci peut alors donner son point de vue et exiger qu'un être humain revoie la décision.
Cette page traite cette seule question : les droits d'une personne face à une décision prise par un système automatisé. Le cadre général, IA comprise, figure dans notre page sur la régulation de l'IA en Suisse.
Chiffres clés
- 1er septembre 2023 : entrée en vigueur de la LPD révisée, selon la plateforme de publication du droit fédéral Fedlex.
- 30 jours : délai dans lequel, en règle générale, une entreprise répond à une demande d'accès (art. 25 LPD).
- 10 ans : âge maximal des données qu'une entreprise peut utiliser pour évaluer la solvabilité d'un client (art. 31 LPD).
- Moins d'une entreprise sur cinq fait valider par une personne tous ses contenus d'IA générative, selon le swissVR Monitor.
- Début 2027 : échéance d'un avant-projet de réglementation de l'IA, selon le portail PME du Secrétariat d'État à l'économie (SECO).
Qu'est-ce qu'une décision individuelle automatisée selon la LPD ?
La loi retient trois conditions cumulatives. Il faut d'abord une décision qui touche une personne. Cette décision doit ensuite être prise « exclusivement sur la base d'un traitement de données personnelles automatisé ». Elle doit enfin avoir « des effets juridiques » pour la personne, ou l'affecter « de manière significative ».
Le mot « exclusivement » fixe la frontière. Notre analyse : une décision prise par une personne à l'aide d'un score calculé par un logiciel ne remplit pas cette condition à la lettre.
La décision automatisée se distingue du profilage, que la LPD définit comme un traitement automatisé évaluant une personne : rendement au travail, situation économique, santé, fiabilité. Le profilage évalue ; la décision automatisée tranche. Un profilage à risque élevé mené par une entreprise privée exige en outre un consentement exprès (art. 6).
Qui doit respecter ces règles ?
La LPD vise les données de personnes physiques, traitées par des personnes privées ou des organes fédéraux. L'obligation pèse sur le responsable du traitement, celui qui fixe les finalités et les moyens du traitement.
Le lieu du traitement compte peu. Selon son article 3, la LPD s'applique aux situations qui produisent des effets en Suisse, même nées à l'étranger. Notre analyse : un algorithme exploité hors de Suisse peut donc relever de l'article 21.
Quand l'entreprise doit-elle informer la personne concernée ?
L'information est due pour toute décision individuelle automatisée, sans attendre une demande de la personne. Elle s'ajoute au devoir général d'informer lors de la collecte des données (art. 19).
Le droit d'accès complète ce devoir. Selon l'article 25, une personne peut demander si des données la concernant sont traitées. La réponse doit indiquer, le cas échéant, l'existence d'une décision individuelle automatisée « ainsi que la logique sur laquelle se base la décision ».
La réponse est gratuite, sauf exceptions prévues par le Conseil fédéral, et arrive en règle générale sous 30 jours. Nul ne peut renoncer par avance à ce droit.
Comment faire valoir son point de vue et obtenir un réexamen humain ?
La personne concernée doit en faire la demande. L'article 21 prévoit alors deux droits distincts. Le responsable du traitement lui donne d'abord la possibilité de faire valoir son point de vue. Elle peut ensuite exiger que la décision soit revue par une personne physique.
Notre analyse : la loi n'interdit pas l'algorithme, elle ouvre une voie de recours humaine à qui la réclame. L'article 21 ne fixe ni délai ni forme pour cette demande.
Dans quels cas ces droits ne s'appliquent-ils pas ?
L'article 21 prévoit deux exceptions, qui écartent à la fois le devoir d'informer et les droits de recours :
- La décision est en relation directe avec la conclusion ou l'exécution d'un contrat entre l'entreprise et la personne, et la demande de cette dernière est satisfaite.
- La personne a expressément consenti à ce que la décision soit prise de manière automatisée.
Notre analyse : à la lettre, la première exception couvre le client qui obtient ce qu'il a demandé, par exemple une commande acceptée. Un refus prononcé par le système ne remplit pas la condition d'une demande « satisfaite ».
Que change la loi quand la décision vient d'un organe fédéral ?
Un organe fédéral doit qualifier sa décision de décision individuelle automatisée. Le droit de donner son point de vue et d'obtenir un réexamen connaît une limite : il ne s'applique pas quand la personne ne doit pas être entendue avant la décision.
Cette limite renvoie à l'article 30, alinéa 2, de la loi fédérale sur la procédure administrative (PA), ou à une autre loi fédérale. L'organisation de l'IA dans les services de la Confédération est décrite dans notre page sur l'IA dans l'administration fédérale.
Exemple : une demande de crédit traitée par un algorithme
L'évaluation de solvabilité illustre l'articulation des règles. Selon l'article 31, une entreprise peut l'invoquer comme intérêt prépondérant à plusieurs conditions : ni données sensibles ni profilage à risque élevé, des données de dix ans au plus, une personne majeure.
Notre analyse : cette règle porte sur les données, pas sur la manière de décider. Si un logiciel tranche seul, l'article 21 s'ajoute. Un crédit accordé peut relever de l'exception contractuelle ; un refus automatique ouvre en principe le droit au réexamen humain, sauf consentement exprès du client.
Les banques et assureurs suivent aussi l'Autorité fédérale de surveillance des marchés financiers (FINMA). Sa communication 08/2024 du 18 décembre 2024 porte sur la gouvernance de l'IA, sans effet juridique visé, comme le détaille notre page FINMA et intelligence artificielle.
Que peut faire le Préposé fédéral face à une décision automatisée ?
Le Préposé fédéral à la protection des données et à la transparence (PFPDT), autorité indépendante, surveille l'application de la LPD. Dans sa note du 24 septembre 2025, il rappelle que ce droit s'applique directement aux traitements recourant à l'IA.
Ses pouvoirs visent aussi l'article 21. Selon l'article 49, le PFPDT ouvre une enquête d'office ou sur dénonciation, s'il existe des indices suffisants de violation. L'article 51 lui permet d'ordonner à une entreprise ou à un organe fédéral d'informer les personnes concernées conformément aux articles 19 et 21.
L'auteur d'une dénonciation est informé des suites et du résultat d'une éventuelle enquête. Pour une question, la hotline du PFPDT répond du lundi au vendredi, de 10 h à 11 h 30, au 058 462 43 95.
Ce que la décision automatisée change pour une PME en Suisse
Une petite ou moyenne entreprise (PME) qui confie des décisions à un logiciel doit d'abord les repérer. Ses obligations tirées de la LPD :
| Situation | Obligation | Base dans la LPD |
|---|---|---|
| Un système décide seul, avec un effet notable sur une personne | Informer la personne de la décision | Art. 21, al. 1 |
| La personne conteste | Recueillir son point de vue et faire revoir la décision par une personne physique | Art. 21, al. 2 |
| La personne demande l'accès à ses données | Indiquer l'existence de la décision et sa logique, en règle générale sous 30 jours | Art. 25 |
| Le traitement présente un risque élevé | Mener au préalable une analyse d'impact | Art. 22 |
| Profilage à risque élevé par une entreprise privée | Obtenir le consentement exprès | Art. 6, al. 7 |
Certaines entreprises tracent elles-mêmes une limite. Selon Alexander Finger, directeur technique de SAP Suisse, cité par le magazine PME, SAP a exclu les systèmes qui prennent des décisions concernant des personnes.
Le contrôle humain reste inégal : moins d'une entreprise sur cinq fait valider tous ses contenus d'IA générative, selon le swissVR Monitor. Notre analyse : pour une décision qui touche un client ou un employé, l'article 21 rend ce contrôle exigible sur demande.
Le cadre peut-il encore évoluer ?
Un chantier est ouvert, sans texte connu. La Suisse a signé la convention IA du Conseil de l'Europe, ouverte à la signature le 5 septembre 2024. Ce traité oblige les États à donner assez d'informations pour contester une décision prise au moyen d'une IA.
Selon le portail PME du SECO, la Suisse s'est engagée à adapter son droit, et un avant-projet doit être élaboré d'ici début 2027. Son contenu et ses effets sur l'article 21 ne sont pas connus. Les autres textes du cadre légal de l'IA sont réunis dans notre rubrique.
Ce qu'on ne sait pas encore
- Le degré d'intervention humaine qui suffit pour qu'une décision ne soit plus prise « exclusivement » par un système : le texte de la loi ne le précise pas.
- La pratique du PFPDT sur l'article 21 : les sources consultées ne citent aucune enquête portant sur une décision automatisée.
- Les sanctions pénales éventuelles : la partie consultée du texte de la LPD s'arrête aux tâches du PFPDT.
- L'effet du futur avant-projet sur l'IA sur les droits prévus par l'article 21.
Sources
- Confédération suisse, Fedlex : Loi fédérale sur la protection des données (LPD), RS 235.1, état le 7 juillet 2025
- Préposé fédéral à la protection des données et à la transparence : page d'accueil du PFPDT, avec la note « IA et protection des données » du 24 septembre 2025
- 2clics.com, « IA pour PME : usages concrets et premiers pas en Suisse », d'après le magazine PME et le portail PME du SECO
