ChatGPT peut résumer un contrat, reformuler un courriel délicat ou dégager les points clés d’un dossier en quelques secondes. La tentation est donc grande de lui transmettre le document complet. C’est précisément là que l’utilité de l’outil rencontre la protection des données, la confidentialité et parfois le secret professionnel.
Pour une PME suisse, la réponse n’est ni « tout est interdit » ni « tout est permis dès que l’entraînement du modèle est désactivé ». L’utilisation d’une IA générative est un traitement de données et, lorsqu’un service externe intervient, généralement une forme de sous-traitance informatique. L’entreprise reste responsable du choix de l’outil, des données envoyées et des réglages retenus.
La règle pratique tient en une phrase : transmettre uniquement les informations nécessaires, dans un environnement contractuel approuvé, après avoir retiré tout ce dont l’IA n’a pas besoin.
En bref
- Un prompt, un fichier joint ou une image contenant des informations sur une personne constitue un traitement de données personnelles.
- Désactiver l’entraînement réduit un risque, mais ne supprime ni le traitement, ni la conservation éventuelle, ni les autres obligations de la PME.
- Un compte personnel ne devrait pas servir à traiter des dossiers clients, RH, fiscaux, médicaux ou juridiques identifiables.
- ChatGPT Business, Enterprise ou l’API offrent un cadre professionnel plus solide, mais ne rendent pas licite n’importe quel envoi.
- L’anonymisation réelle, la minimisation et une directive interne sont les protections les plus immédiatement utiles.
Le premier réflexe : considérer le prompt comme une communication de données
La loi fédérale sur la protection des données (LPD) s’applique de manière technologiquement neutre. Le PFPDT l’a rappelé pour les systèmes d’intelligence artificielle : dès qu’une IA traite des données personnelles, la LPD s’applique. Le 28 janvier 2026, il a encore souligné l’importance de la transparence, notamment sur l’usage qui peut être fait des données introduites dans les prompts.
Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. Un nom n’est donc pas indispensable. Une combinaison comme « notre directeur financier de 58 ans à Vevey, absent depuis six mois » peut suffire à reconnaître quelqu’un. Une donnée publiée sur LinkedIn ou au registre du commerce reste, elle aussi, une donnée personnelle ; son caractère public ne fait pas disparaître automatiquement la finalité, la proportionnalité ou une obligation de confidentialité.
« Pas utilisé pour entraîner le modèle » ne signifie pas « aucune donnée n’est traitée »
Il faut distinguer l’entraînement des modèles, la conservation des conversations, les contrôles de sécurité, l’accès administratif au sein d’un espace de travail et les éventuels services tiers connectés. Ce sont des questions différentes. Un paramètre désactivant l’entraînement ne transforme donc pas un compte personnel en coffre-fort numérique.
| Environnement | Entraînement | Lecture pratique pour une PME |
|---|---|---|
| Compte personnel ChatGPT | Les contenus peuvent contribuer à l’amélioration des modèles, sauf désactivation du réglage prévu à cet effet. | À réserver aux contenus publics, fictifs ou réellement anonymisés. Ce n’est pas l’environnement approprié pour un dossier métier identifiable. |
| Conversation temporaire | Non utilisée pour l’entraînement et absente de l’historique ; une copie peut néanmoins être conservée jusqu’à 30 jours pour la sécurité. | Utile pour réduire la persistance, mais insuffisante à elle seule pour autoriser des données sensibles ou couvertes par un secret. |
| ChatGPT Business | Les données professionnelles ne sont pas utilisées pour entraîner les modèles par défaut. | Cadre plus adapté à une PME, à condition de valider le contrat, le DPA, les sous-traitants, les accès et les usages internes. |
| ChatGPT Enterprise ou API | Pas d’entraînement sur les entrées et sorties par défaut ; contrôles supplémentaires selon l’offre et la configuration. | À privilégier pour les intégrations structurées ou les besoins renforcés, après analyse des flux, de la rétention et de la résidence des données. |
OpenAI indique par ailleurs que les données professionnelles sont chiffrées au repos et en transit. Son addendum relatif au traitement des données, applicable dès le 1er janvier 2026, prévoit notamment des obligations de confidentialité, de sécurité, de gestion des sous-traitants et d’assistance. Ces garanties sont importantes, mais elles ne remplacent pas l’analyse que la PME doit effectuer pour son propre usage.
Feu vert, orange ou rouge : une grille simple
| Niveau | Exemples | Conduite recommandée |
|---|---|---|
| Vert | Texte déjà public, scénario fictif, procédure générique, données statistiques agrégées, modèle sans nom réel. | Utilisation généralement possible, avec contrôle humain du résultat et respect des droits d’auteur. |
| Orange | Contrat interne, courriel client expurgé, chiffres commerciaux non publics, document pseudonymisé, extrait comptable limité. | Uniquement dans un environnement professionnel approuvé, après minimisation, vérification contractuelle et contrôle des accès. |
| Rouge | Déclaration fiscale nominative, certificat de salaire, dossier médical, pièce d’identité, coordonnées bancaires, mot de passe, dossier disciplinaire, stratégie judiciaire, secret d’affaires critique. | Ne pas transmettre dans un service standard. Une utilisation exige une validation spécifique du cas, du contrat, de la sécurité et, selon le risque, une analyse d’impact. |
Anonymiser ne signifie pas remplacer le nom par « Client A »
L’anonymisation doit rendre la réidentification raisonnablement impossible. Si l’entreprise conserve une table permettant de relier « Client A » à Mme Dupont, ou si les faits décrits suffisent à la reconnaître, les données sont seulement pseudonymisées. Elles restent soumises à la LPD.
La bonne méthode consiste à retirer les identifiants directs, mais aussi les identifiants indirects inutiles : dates exactes, fonction unique, commune, montants singuliers, numéros de dossier, métadonnées et signatures. On peut souvent demander une analyse de structure sans envoyer le dossier : fournir les clauses utiles d’un contrat vaut mieux que téléverser ses 47 pages et toutes ses annexes « au cas où ».
Les six contrôles juridiques avant de transmettre des données
1. Finalité et proportionnalité
La PME doit avoir une finalité déterminée et ne transmettre que ce qui est nécessaire pour l’atteindre. Faire corriger le style d’un courrier ne justifie pas d’envoyer le nom, l’adresse, l’AVS, l’historique médical et l’intégralité du dossier du destinataire.
2. Transparence et maîtrise des données
La déclaration de protection des données de l’entreprise doit décrire de manière suffisamment claire les finalités, les catégories de destinataires et, le cas échéant, les communications à l’étranger. L’emploi d’un outil d’IA ne doit pas créer un traitement caché que le client ou le collaborateur ne pouvait raisonnablement prévoir.
3. Sous-traitance conforme
Selon l’art. 9 LPD, le traitement peut être confié à un sous-traitant si un contrat ou la loi le prévoit, si le traitement ne dépasse pas ce que l’entreprise serait elle-même autorisée à faire et si aucune obligation légale ou contractuelle de garder le secret ne l’interdit. La PME doit aussi s’assurer que le prestataire garantit la sécurité des données et encadre ses propres sous-traitants.
4. Communication à l’étranger
Il faut identifier les entités impliquées et les lieux de traitement, puis vérifier le mécanisme applicable au transfert. Depuis le 15 septembre 2024, les entreprises américaines certifiées dans le cadre Suisse–États-Unis bénéficient d’une reconnaissance d’adéquation. À défaut, des garanties appropriées peuvent être nécessaires. L’existence d’un DPA ne dispense pas de vérifier son champ d’application, les sous-traitants et la configuration réellement achetée.
5. Sécurité et analyse d’impact
Les accès doivent être limités, les comptes individuels, l’authentification renforcée et les réglages administrés. Lorsque le traitement envisagé peut entraîner un risque élevé pour la personnalité ou les droits fondamentaux — notamment avec des données sensibles à grande échelle — une analyse d’impact relative à la protection des données peut être obligatoire.
6. Secrets, droits de tiers et règles sectorielles
La LPD n’est qu’une couche du problème. Un dossier peut contenir un secret d’affaires, être soumis à une clause de confidentialité ou relever d’un secret professionnel ou sectoriel. La fiduciaire « ordinaire » ne bénéficie pas automatiquement de tous les secrets professionnels prévus par le droit pénal, mais elle reste tenue par ses contrats, son devoir de diligence et les secrets d’affaires de ses clients. Dans les activités d’avocat, de médecin, de réviseur, de banque ou d’assurance, des règles supplémentaires peuvent interdire ou fortement limiter l’externalisation.
Une procédure interne en huit étapes
- Recenser les usages : rédaction, traduction, analyse contractuelle, RH, support client, code, marketing.
- Classer les données : publiques, internes, confidentielles, personnelles, sensibles ou couvertes par un secret.
- Définir les cas autorisés : l’outil, le compte, le type de données et le niveau d’approbation.
- Valider le fournisseur : contrat, DPA, finalités, rétention, sous-traitants, lieux de traitement, sécurité et modalités d’effacement.
- Minimiser avant l’envoi : supprimer les pages, champs et métadonnées inutiles ; anonymiser lorsque c’est possible.
- Sécuriser les accès : comptes nominatifs, authentification multifacteur, retrait rapide des accès et limitation des connecteurs.
- Imposer une revue humaine : l’IA peut inventer une règle, modifier un chiffre ou produire un raisonnement séduisant et faux.
- Prévoir l’incident : canal d’alerte, conservation des éléments utiles, évaluation du risque et éventuelle annonce au PFPDT.
Quatre exemples concrets
| Besoin | Mauvais réflexe | Approche plus sûre |
|---|---|---|
| Répondre à une réclamation client | Coller toute la chaîne de courriels avec noms, adresses et pièces jointes. | Résumer les faits, remplacer les personnes et montants non nécessaires, puis demander une structure de réponse. |
| Contrôler un certificat de salaire | Téléverser le certificat nominatif complet dans un compte personnel. | Utiliser une checklist sans données ou un exemple fictif ; traiter le cas réel dans un environnement approuvé et minimisé. |
| Analyser un CV | Envoyer le dossier complet et demander « faut-il l’engager ? ». | Définir des critères professionnels objectifs, retirer photo et données privées inutiles, puis conserver la décision humaine. |
| Résumer un contrat | Envoyer le contrat signé avec annexes, coordonnées bancaires et secrets techniques. | Extraire les clauses pertinentes, masquer les parties et demander une analyse limitée ; faire valider les enjeux juridiques. |
Le point de vue contraire : « le client a consenti »
Le consentement n’est ni toujours nécessaire ni une dispense générale. En droit suisse, un traitement privé respectant les principes de la LPD ne repose pas automatiquement sur un consentement. Inversement, lorsqu’un consentement est invoqué, il doit être libre et éclairé ; il ne corrige pas une sécurité insuffisante, un envoi disproportionné ou la violation d’un secret. Dans la relation de travail, son caractère réellement libre peut en outre être discuté en raison du lien de subordination.
L’argument adverse serait donc simple : la personne a accepté un usage présenté de manière vague, mais n’a pas été informée qu’un dossier complet serait transmis à un service d’IA, éventuellement traité par plusieurs sous-traitants. La PME doit pouvoir démontrer une gouvernance plus solide qu’une case cochée.
Comment Delta Conseil SA peut vous accompagner
Delta Conseil SA peut aider une PME à inventorier ses usages d’IA, classer les données, formaliser une directive interne, revoir les processus et intégrer des contrôles proportionnés. Lorsque le dossier exige une analyse juridique spécialisée, une sécurité technique approfondie ou l’examen d’un secret professionnel, nous coordonnons l’intervention du spécialiste approprié.
Prudence
La conformité dépend du service exact, de l’abonnement, des réglages, des connecteurs, du contrat et de la nature des données. Les fonctionnalités et conditions des fournisseurs évoluent. Avant un usage sensible, il faut vérifier la configuration réellement disponible dans l’espace de travail, et pas seulement une page commerciale.
Questions fréquentes
Puis-je coller un courriel d’un client dans ChatGPT ?
Oui, parfois, mais pas automatiquement. Retirez les identifiants et informations inutiles, vérifiez la confidentialité du contenu et utilisez un environnement professionnel approuvé. Pour une simple reformulation, un scénario anonymisé suffit souvent.
ChatGPT Business suffit-il pour les données personnelles ?
Il offre un cadre plus adapté parce que les données professionnelles ne servent pas à l’entraînement par défaut et qu’un DPA est disponible. La PME doit néanmoins vérifier la finalité, la proportionnalité, les transferts, la sécurité, les accès et les obligations de secret.
Une conversation temporaire permet-elle d’envoyer un dossier fiscal ?
Non, pas à elle seule. L’absence d’historique et d’entraînement ne supprime pas le traitement ni la conservation temporaire. Un dossier fiscal nominatif cumule souvent données personnelles, données financières et confidentialité contractuelle.
Les initiales suffisent-elles pour anonymiser ?
Rarement. Si la personne peut être reconnue grâce aux initiales, au contexte ou à une table de correspondance, les données restent personnelles. Il s’agit au mieux d’une pseudonymisation.
Qui répond d’une erreur produite par l’IA ?
L’entreprise qui utilise le résultat reste responsable de ses décisions et prestations. Les conditions professionnelles d’OpenAI rappellent d’ailleurs au client qu’il doit évaluer l’exactitude et l’adéquation des sorties. Une revue humaine documentée est donc indispensable pour les sujets juridiques, fiscaux, RH ou financiers.
Sources officielles
- Loi fédérale sur la protection des données (LPD)
- PFPDT — Usages des IA génératives et enjeux de protection des données, 28 janvier 2026
- PFPDT — Traitement de données dans un nuage informatique
- PFPDT — Cadre de protection des données Suisse–États-Unis
- OpenAI — Enterprise privacy, mise à jour du 8 janvier 2026
- OpenAI — Data Processing Addendum, applicable dès le 1er janvier 2026
- OpenAI — Services Agreement, applicable dès le 1er janvier 2026
- OpenAI — Contrôles des données et conservation des conversations sans historique
Dernière vérification juridique : 30 janvier 2026.
Avertissement
Cette publication est fournie à titre informatif et ne constitue pas un conseil juridique, fiscal, comptable ou financier individualisé. La situation doit être appréciée au regard des circonstances concrètes et du droit applicable au moment de la décision.
Pour plus d’informations, consultez nos Mentions légales et avertissement.