Introduire l’IA en toute sécurité dans une PME : liste de contrôle en 10 étapes

Le cadre juridique en un coup d’œil

• Suisse : il n’existe pas encore de loi spécifique sur l’IA. La loi sur la protection des données (LPD) s’applique cependant directement aux applications d’IA, comme le rappelle le PFPDT. Le 12 février 2025, le Conseil fédéral a décidé de ratifier la convention du Conseil de l’Europe sur l’IA. Un projet destiné à la consultation doit être présenté d’ici fin 2026.
• UE (pour la France, la Belgique, l’Allemagne, l’Autriche et les entreprises suisses ayant un lien avec l’UE) : le RGPD et l’AI Act (règlement européen sur l’IA) s’appliquent. L’art. 4 (maîtrise de l’IA) s’applique depuis le 2 février 2025, la plupart des autres règles depuis le 2 août 2026. Les obligations pour les systèmes à haut risque ont été reportées par l’« omnibus numérique » (Digital Omnibus) au 2 décembre 2027 ou au 2 août 2028.

Les 10 étapes

1. Inventaire : qui utilise quelle IA ?

• Demandez ouvertement à l’équipe quels services d’IA sont utilisés et pour quoi, y compris avec des comptes personnels. Sans chercher de coupable, sinon vous n’entendrez que la moitié de la vérité.
• Notez le service, le type de compte et la finalité dans une liste simple.

Pour en savoir plus : Shadow AI dans les PME.

2. Définir les cas d’usage et les classes de données

• Choisissez deux ou trois cas d’usage concrets avec un bénéfice clair, par exemple rédiger des textes, résumer des procès-verbaux ou expliquer du code.
• Répartissez les données en classes simples, par exemple : publiques, internes, confidentielles, données personnelles, données sensibles et données soumises au secret professionnel.
• Définissez quelle classe peut aller dans quel outil. Le guide IBAN, numéro AVS & Cie montre ce qui n’y a jamais sa place.

3. Choisir les outils et les comptes

• Offre professionnelle plutôt que compte personnel : choisissez une offre avec contrat. Qui confie des données personnelles à un fournisseur doit s’assurer que celui-ci est en mesure de garantir la sécurité des données (art. 9 LPD). Dans l’UE, un contrat de sous-traitance est nécessaire (art. 28 RGPD).
• Clarifier l’emplacement des données et les sous-traitants ultérieurs : si des données partent à l’étranger, les art. 16 et 17 LPD ou les art. 44 ss RGPD s’appliquent.
• Vérifier l’entraînement : clarifiez si le fournisseur utilise les saisies pour l’entraînement et désactivez-le si possible. Mode d’emploi : Désactiver l’entraînement IA. Pour les environnements Microsoft : Copilot et protection des données.

4. Vérifier la nécessité d’une analyse d’impact

• Si un traitement est susceptible d’entraîner un risque élevé pour les personnes concernées, une analyse d’impact relative à la protection des données est nécessaire au préalable (art. 22 LPD, art. 35 RGPD). La LPD cite elle-même un exemple : le traitement à grande échelle de données sensibles, par exemple de données de santé.
• Pour le travail courant sur des textes sans données personnelles, ce n’est généralement pas le cas. Vérifiez-le et documentez-le malgré tout brièvement. Le PFPDT propose une fiche d’information à ce sujet.
• Prudence avec les décisions concernant des personnes, par exemple le tri de candidatures : l’IA pour la sélection du personnel est considérée comme à haut risque dans l’AI Act (annexe III, point 4).

5. Rédiger une charte IA

• Une à deux pages suffisent : outils autorisés, données interdites, traitement des résultats, service de signalement.
• Réglez aussi le traitement des résultats : vérifier les textes, chiffres et sources issus de l’IA avant de les transmettre.
• Faites confirmer la charte par tout le monde. Gratuit et adaptable : Modèle de charte IA.

6. Former les collaborateurs

• Pour les entreprises soumises à l’AI Act, l’art. 4 exige des mesures garantissant la maîtrise de l’IA du personnel. Selon la Commission européenne, aucun certificat n’est nécessaire.
• Une heure avec des exemples tirés du quotidien de l’entreprise est un bon début. Notez qui a été formé et quand.

Contenus et déroulement : Maîtrise de l’IA selon l’art. 4 de l’AI Act.

7. Poser des garde-fous techniques

• Comptes : gérer les comptes professionnels de manière centralisée, exclure les comptes personnels pour les données de l’entreprise.
• Accès : pour les assistants d’IA qui lisent les e-mails et les fichiers, faire d’abord le ménage dans les autorisations.
• Intercepter les erreurs : la plupart des erreurs se produisent lors d’un collage rapide, par exemple d’un mot de passe ou d’une liste de clients. Une solution DLP ou une extension de navigateur vérifie les saisies avant l’envoi. Comparaison : DLP pour les outils d’IA.

8. Être transparent là où c’est nécessaire

• Selon le PFPDT, les personnes qui dialoguent avec un chat d’IA ont le droit de savoir qu’elles communiquent avec une machine. Cela concerne par exemple un chatbot sur votre site web.
• Si des données personnelles de clients sont transmises à un fournisseur d’IA, cela doit figurer dans la déclaration de protection des données (destinataires et étranger, art. 19 LPD, art. 13 et 14 RGPD).
• Dans l’UE, l’art. 50 de l’AI Act exige notamment de signaler les hypertrucages (deepfakes) et les textes générés par l’IA sur des sujets d’intérêt public lorsqu’ils n’ont pas fait l’objet d’un contrôle éditorial.

9. Signaler et traiter les incidents

• Désignez un service de signalement. Qui signale rapidement n’est pas sanctionné.
• En cas d’erreur : remplacer immédiatement les mots de passe et clés concernés, puis supprimer le chat et les liens partagés et consigner l’incident. Supprimer ne suffit pas, le texte est déjà arrivé chez le fournisseur. Voir Mot de passe collé dans ChatGPT : que faire ?.
• Vérifiez si une annonce est nécessaire : en Suisse au PFPDT « dans les meilleurs délais » si un risque élevé pour les personnes concernées est probable (art. 24 LPD) ; dans l’UE, dans les meilleurs délais et si possible dans les 72 heures, sauf si un risque est improbable (art. 33 RGPD).

10. Réexaminer régulièrement

• Une fois par an et à chaque nouvel outil : adapter la liste, la charte et la formation.
• Gardez un œil sur la situation juridique, par exemple la consultation suisse sur la réglementation de l’IA et les échéances de l’AI Act.

Qui fait quoi ?

Questions fréquentes