En Suisse, le droit de la protection des données s'applique directement à l'intelligence artificielle (IA). Le Préposé fédéral à la protection des données et à la transparence (PFPDT) l'a rappelé le 24 septembre 2025, dans une note intitulée « IA et protection des données ». Un outil d'IA qui traite des données personnelles relève donc de la loi fédérale sur la protection des données, souvent appelée nLPD, et de la surveillance du Préposé.

Cette page traite de la seule protection des données. La vue d'ensemble du cadre, avec les prises de position politiques et les engagements volontaires, figure dans notre page sur la régulation de l'IA en Suisse. Selon les sources consultées, aucune loi générale sur l'IA n'y est en vigueur.

Chiffres clés

  • 24 septembre 2025 : note du PFPDT « IA et protection des données ».
  • 455 annonces de violation de la sécurité des données reçues par le PFPDT en 2026, jusqu'au 25 octobre, contre 343 sur toute l'année 2025.
  • Moins d'une entreprise sur cinq fait valider par une personne tous ses contenus d'IA générative, selon le swissVR Monitor.
  • 76 % des personnes interrogées par le DigitalBarometer 2026 font passer la protection des données avant le confort.
  • 5 septembre 2024 : ouverture à la signature de la convention-cadre du Conseil de l'Europe sur l'IA, que la Suisse a signée.
  • Début 2027 : échéance d'un avant-projet de réglementation de l'IA, selon le portail PME du Secrétariat d'État à l'économie (SECO).

La protection des données s'applique-t-elle à l'IA en Suisse ?

Oui, sans attendre un texte propre à l'IA. Dans sa note du 24 septembre 2025, le PFPDT constate que l'IA investit de plus en plus le quotidien de la population. Il en conclut que le droit suisse de la protection des données est directement applicable aux traitements de données recourant à l'IA.

Le critère n'est donc pas la technologie, mais la donnée traitée. Notre analyse : dès qu'un assistant conversationnel ou un agent d'IA manipule des données de clients ou d'employés, la nLPD s'applique comme à tout autre logiciel. Le texte de la loi se consulte sur Fedlex, la plateforme de publication du droit fédéral, qui la classe parmi ses textes choisis.

La règle vaut aussi pour les organes fédéraux. Le PFPDT siège, avec l'Office fédéral de la cybersécurité (OFCS) et le Secrétariat d'État à la politique de sécurité (SEPOS), dans le pôle sécurité du réseau de compétences en IA de la Chancellerie fédérale. Ce dispositif est décrit dans notre page sur l'IA dans l'administration fédérale.

Pour les banques et les assureurs, les questions de données personnelles relèvent aussi du PFPDT, comme l'explique notre page FINMA et intelligence artificielle.

Que peut faire le PFPDT face à un usage de l'IA ?

Le PFPDT est une autorité indépendante. Selon son site, il veille à ce que les organes fédéraux et les entreprises privées ne procèdent pas à des traitements illicites de données personnelles. Il remet chaque année un rapport d'activités à l'Assemblée fédérale ; la dernière édition y est signalée au 29 juin 2026.

Son outil le plus fort est l'enquête formelle. Il l'ouvre contre une entreprise lorsqu'il existe des indices d'une possible violation des règles de protection des données. Les sources consultées ne mentionnent aucune enquête visant un outil d'IA.

Exemple daté : le 23 octobre 2026, le Préposé a ouvert une enquête formelle contre PK Softech, fournisseur de logiciels de plusieurs caisses de pension suisses, après une cyberattaque. Selon son communiqué du 24 octobre 2026, relayé par Keystone-ATS, il veut établir les données confiées au prestataire, le cadre juridique de ces transferts et son application en pratique.

Notre analyse : ce dossier ne touche pas l'IA, mais il montre la méthode. Le Préposé remonte toute la chaîne de traitement, du client jusqu'à son fournisseur. Une entreprise qui confie des données à un service d'IA s'expose aux mêmes questions.

Adrian Lobsiger, le Préposé fédéral, suit aussi les annonces de violation de données, selon un entretien relayé par Keystone-ATS le 25 octobre 2026. Il qualifie de « réelle » la menace liée à l'IA, sans la placer au premier rang. Dans la grande majorité des cas annoncés, le point faible est une erreur humaine. Son office relève encore que l'interconnexion des données et la suppression des silos augmentent le risque de violation.

À noter : la « transparence » du titre du Préposé renvoie à l'accès aux documents officiels, selon la loi sur la transparence (LTrans), pas aux algorithmes.

Quelles exigences de transparence pour une IA ?

Le résumé public de la note du PFPDT ne détaille pas les devoirs d'information propres à l'IA. Les repères les plus précis viennent d'un traité, la convention IA du Conseil de l'Europe, ouverte à la signature le 5 septembre 2024 et signée par la Suisse.

Ce texte demande notamment aux États :

  • d'informer les personnes qu'elles interagissent avec une IA, et non avec un humain ;
  • de documenter les systèmes d'IA et leur usage, et de rendre ces informations accessibles aux personnes concernées ;
  • de donner assez d'informations pour contester une décision prise au moyen d'une IA ;

Ces obligations visent les États, pas directement les entreprises. Selon le portail PME du SECO, la Suisse s'est engagée à adapter son droit en conséquence, avec un avant-projet attendu d'ici début 2027. Le plan d'action Suisse numérique confie le projet législatif de mise en œuvre à l'Office fédéral de la justice (OFJ). Tant que ce texte n'est pas connu, ces exigences restent des points de repère, pas des règles applicables aux entreprises.

Peut-on confier des données à une IA hébergée hors de Suisse ?

Les sources consultées ne détaillent pas les conditions légales d'un transfert de données personnelles vers l'étranger. Elles montrent en revanche pourquoi la question se pose avec l'IA. Selon Cyril Louis, directeur général de Mavericx, société de conseil informatique de Genève et de Zurich, les agents d'IA peuvent dépendre de plusieurs modèles de langage et services externes. Tous ne sont pas exploités en Suisse, a-t-il expliqué au magazine PME.

Alexandre Buga, cité par le même magazine, rappelle qu'une PME doit respecter la législation suisse sur la protection des données, y compris dans le choix de l'outil. Avant de transmettre des données de clients, de fournisseurs ou d'employés, elle doit savoir :

  • où ces données sont traitées ;
  • à quelles fins elles peuvent être réutilisées ;
  • qui peut y accéder.

Le risque est concret. Le 16 octobre 2026, l'OFCS rappelait qu'introduire sans précaution des informations confidentielles dans une IA peut exposer ces données. Le site spécialisé TechRadar Pro décrivait, le 28 octobre 2026, le mécanisme : sans contrat d'entreprise, les données saisies dans un assistant d'IA peuvent être transmises au fournisseur et conservées. Selon les conditions applicables, elles peuvent même servir à entraîner les modèles.

Des prestataires suisses répondent à cette inquiétude. Elca, groupe informatique suisse, propose une plateforme d'IA souveraine où données et modèles restent sous le contrôle du client.

Qu'est-ce que ça change pour une PME en Suisse ?

Pour une petite ou moyenne entreprise (PME), la nLPD est la première règle à respecter avec l'IA. Les recommandations du Préposé et des experts cités se traduisent en gestes simples :

  • ne transmettre à un outil d'IA que les données strictement nécessaires, comme le demande le PFPDT ;
  • travailler de préférence avec des données de test anonymisées, autre recommandation du Préposé ;
  • choisir un outil professionnel et fixer des règles internes sur les données autorisées, selon Alexandre Buga ;
  • vérifier le lieu de traitement, les réutilisations possibles et les accès avant tout envoi ;
  • faire valider par une personne les contenus produits par l'IA, une pratique encore rare selon le swissVR Monitor.

Pour une question, la hotline du PFPDT répond du lundi au vendredi, de 10 h à 11 h 30, au 058 462 43 95. D'autres textes sur le cadre légal de l'IA sont réunis dans notre rubrique.

Ce qu'on ne sait pas encore

  • Le contenu détaillé de la note du PFPDT du 24 septembre 2025, au-delà de son résumé public.
  • Les conditions légales d'un transfert de données vers un fournisseur d'IA établi à l'étranger : les sources consultées ne les détaillent pas.
  • Les devoirs d'information que la nLPD impose précisément à une décision prise par une IA.
  • Les critères et le délai exacts d'annonce d'une violation de données selon la nLPD.
  • Le contenu de l'avant-projet attendu d'ici début 2027, et la modalité retenue par la Suisse pour appliquer la convention au secteur privé.

Sources

  • Préposé fédéral à la protection des données et à la transparence, page d'accueil du PFPDT, dont le résumé de la note « IA et protection des données » du 24 septembre 2025
  • Fedlex, recueil du droit fédéral, loi fédérale sur la protection des données
  • SWI swissinfo.ch (Keystone-ATS), 24 et 25 octobre 2026, sur l'enquête PK Softech et les annonces de violation de données, repris par 2clics.com
  • Magazine PME, « Entreprise autonome: jusqu'où laisser l'IA décider? », et swissVR Monitor, repris par 2clics.com le 28 octobre 2026
  • Conseil de l'Europe, Convention-cadre sur l'intelligence artificielle ; portail PME du SECO ; plan d'action Suisse numérique ; Chancellerie fédérale, repris par 2clics.com
  • FINMA, communication sur la surveillance 08/2024, reprise par 2clics.com
  • TechRadar Pro (France), 28 octobre 2026, d'après Cybernews ; OFCS, avertissement du 16 octobre 2026 ; DigitalBarometer 2026, repris par 2clics.com