Oui, une PME romande peut faire travailler ses équipes avec ChatGPT, et la pratique prudente tient en trois gestes. Ne pas saisir de donnée personnelle identifiable dans la version grand public. Réserver les dossiers clients, les documents RH et les contrats nominatifs à un outil doté d’un contrat de traitement ou hébergé en Suisse. Poser une charte écrite et former les équipes à l’appliquer. Ce que la nLPD impose exactement dans votre situation se tranche avec votre conseil ; ce qui suit décrit comment les entreprises que nous accompagnons s’y prennent.
Cet article décrit ce que font les entreprises que nous accompagnons. Il ne tient pas lieu d’avis de droit, et les qualifications juridiques de votre situation se tranchent avec votre conseil.
Vos collaborateurs utilisent déjà ChatGPT. Pour rédiger un courrier client, résumer un contrat, préparer une offre ou répondre à un e-mail délicat. La plupart du temps, personne ne leur a dit ce qu’ils avaient le droit d’y saisir, ni ce qui était interdit. Le risque est précisément là.
La nouvelle Loi fédérale sur la protection des données (nLPD) encadre le traitement des données personnelles en Suisse. Saisir des données de clients, de collaborateurs ou de fournisseurs dans un outil d’IA grand public n’a rien d’anodin : selon les cas, cela peut constituer une violation de la loi. Le régime de sanctions prévu par la nLPD, et la question de savoir qui en répond, sont documentés par le PFPDT : c’est là qu’il faut aller les lire plutôt que de s’en remettre à un article de blog, le nôtre compris.
Ce guide explique concrètement ce qu’une PME de Suisse romande peut faire avec ChatGPT, ce qui l’expose à un risque, et comment poser un cadre simple pour utiliser l’IA sans renoncer à ses bénéfices.
Pourquoi interdire ChatGPT n’est pas la solution
Face au risque, le premier réflexe de nombreux dirigeants est l’interdiction pure et simple. C’est une stratégie perdante, pour deux raisons.
D’abord, l’interdiction ne fonctionne pas. Les outils d’IA sont accessibles depuis n’importe quel navigateur ou téléphone personnel. Interdire sans proposer d’alternative pousse simplement les collaborateurs à les utiliser en cachette, hors de tout contrôle, ce qui aggrave le risque au lieu de le réduire.
Ensuite, l’interdiction prive l’entreprise d’un gain de productivité réel. Selon une étude AXA de 2025 sur le marché de l’emploi des PME, deux PME suisses sur trois expérimentent ou utilisent déjà l’IA, mais seule une sur trois a établi des règles claires sur son usage. Autrement dit : l’usage est déjà là, c’est le cadre qui manque.
La bonne approche n’est ni l’interdiction ni le laisser-faire, mais l’encadrement : définir ce qui est autorisé, avec quels outils, et pour quelles données.
Les quatre questions à trancher avant le premier fichier
La nLPD ne mentionne pas ChatGPT, et ce sont pourtant ses principes qui décident de ce qu’on dépose dans un outil d’IA. Quatre questions en découlent, et elles se tranchent avant le premier fichier plutôt qu’après.
À quoi ces données servaient-elles au départ ? C’est la question de la finalité. Verser un fichier client dans ChatGPT pour un usage qui n’était pas prévu quand il a été constitué demande, au minimum, de s’assurer que ce nouvel usage est couvert.
Faut-il vraiment tout coller ? C’est la question de la minimisation. Un extrait anonymisé suffit souvent là où le réflexe est de verser le document entier, et la version courte est aussi la plus prudente.
Où vivent les serveurs ? La plupart des outils d’IA grand public hébergent les leurs hors de Suisse, principalement aux États-Unis. Le Swiss-U.S. Data Privacy Framework est invoqué pour certains transferts vers des prestataires américains certifiés, sans valoir pour autant ni pour tous les outils ni pour tous les usages. Ce qu’il couvre dans votre cas se vérifie avec votre conseil.
Qui sait que ces données passent par là ? C’est la question de la transparence, et elle va avec celle de la sécurité : savoir réagir vite quand quelque chose fuit suppose d’avoir décidé à l’avance qui prévient qui, et dans quel délai.
Le PFPDT a d’ailleurs rappelé dès 2023 que le droit suisse de la protection des données s’applique pleinement aux traitements recourant à l’IA, et invite les entreprises à un usage conscient de ces outils.
La ligne entre usage sûr et usage à risque
Pour une PME, l’essentiel tient en une distinction simple, que chaque collaborateur peut comprendre et appliquer au quotidien.
Usages sûrs, sans aucune donnée personnelle :
- rédiger ou reformuler un texte générique : communiqué, description de produit, article, publication ;
- résumer un document public ou interne ne contenant pas de données personnelles ;
- traduire un contenu marketing ;
- brainstormer, structurer une présentation, corriger un texte ;
- obtenir de l’aide sur du code, des formules Excel ou des modèles de document.
Usages à risque, avec données personnelles ou confidentielles :
- coller un dossier client complet (nom, adresse, situation, finances) pour le résumer ;
- soumettre un CV, un dossier RH ou une évaluation de collaborateur ;
- analyser un contrat nominatif ou un échange confidentiel avec un client ;
- traiter des données sensibles : santé, opinions, données biométriques.
La règle tient en une phrase : si vous ne mettriez pas l’information sur une carte postale, ne la mettez pas dans un outil d’IA grand public.
Trois exemples concrets dans une PME
Cas favorable : rédiger une offre commerciale type. Un collaborateur demande à ChatGPT de structurer une offre à partir d’éléments génériques, sans nom de client ni montants confidentiels, puis la personnalise manuellement. Le gain de temps est réel, et rien d’identifiable n’a quitté la maison.
Cas à éviter : résumer un échange client litigieux. Un collaborateur colle l’intégralité d’un échange e-mail avec un client mécontent, nom et coordonnées compris, pour en obtenir un résumé. Des données personnelles partent sur un serveur étranger sans base contractuelle. C’est précisément le cas qu’une charte doit nommer pour qu’il ne se produise pas. La solution consiste à anonymiser l’échange, ou à passer par un outil hébergé en Suisse avec contrat de traitement.
Cas favorable : préparer une réponse à un appel d’offres. Un collaborateur fait reformuler des sections techniques génériques de sa réponse. Tant qu’aucune donnée personnelle ni information confidentielle de tiers n’est saisie, rien ne distingue cet usage d’un traitement de texte.
Comment mettre votre PME en conformité, en pratique
Rendre l’usage de l’IA conforme ne demande pas un projet informatique lourd. Quatre étapes suffisent.
1. Faire l’état des lieux des usages réels
Avant de poser des règles, il faut savoir ce qui se passe. Un court questionnaire interne permet d’identifier quels outils sont utilisés, par qui, pour quelles tâches et avec quelles données. Cet audit révèle presque toujours des usages que la direction ignorait.
2. Rédiger une charte d’utilisation de l’IA
Une charte d’une à deux pages, claire et concrète, suffit à protéger l’entreprise. Elle définit les outils autorisés, les types de données interdits et les réflexes à adopter. C’est aussi la trace écrite d’une démarche de diligence, ce qui est utile le jour où quelqu’un demande comment le sujet a été traité.
3. Choisir des outils conformes pour les usages sensibles
Dès qu’il est question de données personnelles, mieux vaut s’appuyer sur des solutions offrant des garanties : versions entreprise avec contrat de traitement (DPA), ou outils hébergés en Suisse. Un chatbot interne hébergé en Suisse, connecté à vos propres documents, permet par exemple d’exploiter l’IA sur vos données sans qu’elles quittent le territoire.
4. Former les collaborateurs
La conformité passe avant tout par la sensibilisation. Une formation courte et concrète, ancrée dans les cas réels de votre métier, installe les bons réflexes bien plus efficacement qu’un règlement que personne ne lit. C’est le levier le plus rentable : il transforme chaque collaborateur en première ligne de défense.
Ce n’est pas théorique. Chez Tinguely Service de Voirie SA, entreprise de voirie et d’assainissement établie à Lausanne, nous avons animé une formation de 4 heures dédiée à l’usage responsable de ChatGPT, avec un volet consacré aux règles d’usage sécurisées : sensibilisation aux enjeux de confidentialité et pratiques concrètes pour protéger les données de l’entreprise. Les participants ont pris l’outil en main sur des cas réels de leur quotidien, et la confidentialité a été posée dès le départ plutôt qu’ajoutée après coup. Voir l’étude de cas Tinguely.
Les solutions conformes pour exploiter l’IA sereinement
Utiliser l’IA en respectant la nLPD est non seulement possible, mais peut devenir un avantage concurrentiel : vos clients et partenaires vous font davantage confiance lorsque vous démontrez une gestion sérieuse de leurs données.
Chez Innovatim, nous accompagnons les PME et collectivités de Suisse romande sur deux prestations :
- les formations ChatGPT et IA sur site rendent vos équipes autonomes sur leurs propres cas, avec le cadre qui va avec ;
- l’audit et l’accompagnement cartographient vos usages, posent le cadre et installent les automatisations avec vos équipes. Ils vont jusqu’à construire l’outil lorsqu’aucun produit du marché ne convient : assistants connectés à vos propres documents, hébergés en Suisse, pour exploiter l’IA sur vos données sensibles sans qu’elles quittent le pays.
Nous avons déjà formé plus de 2 500 professionnels et accompagné plus de 250 organisations en Suisse romande.
En résumé
ChatGPT et les outils d’IA ne sont pas l’ennemi de la conformité. Le vrai risque n’est pas l’IA elle-même, mais son usage non encadré. Une PME qui définit des règles claires, choisit les bons outils pour ses données sensibles et forme ses équipes peut exploiter pleinement l’IA tout en respectant la nLPD. Mieux : la conformité devient alors un argument de confiance vis-à-vis de vos clients et partenaires.
Reste à traduire ces principes en réflexes quotidiens. C’est précisément le rôle d’une formation ChatGPT adaptée aux PME de Suisse romande : partir de vos cas réels, et laisser à vos équipes des repères qu’elles appliqueront d’elles-mêmes.