Agent IA et nLPD : où vont vos données, et qui en répond ?

Ce que dit la loi, sans jargon

La nouvelle loi fédérale sur la protection des données, en vigueur depuis septembre 2023, s’applique à toute entreprise suisse qui traite des données de personnes physiques — clients, prospects, candidats, employés, fournisseurs individuels. Elle repose sur quelques principes simples : traiter de bonne foi, seulement pour une finalité annoncée, avec le minimum de données nécessaires, pendant la durée nécessaire, et en sécurité.

Un agent IA ne change pas ces principes. Il déplace simplement l’endroit où le traitement s’exécute, et fait entrer un tiers dans la chaîne.

Responsable et sous-traitant : qui répond de quoi

C’est la distinction la plus utile à comprendre. L’entreprise qui décide de la finalité — « je veux trier mes candidatures » — est le responsable du traitement. Le prestataire qui exécute techniquement ce traitement pour son compte est le sous-traitant. La responsabilité vis-à-vis des personnes concernées reste chez le responsable.

Cela a une conséquence pratique que beaucoup de PME découvrent tard : si un agent traite des données d’une manière que vous n’avez pas prévue, c’est vous qui devez répondre à la personne qui pose la question. D’où l’importance de savoir exactement ce que fait l’agent — et de pouvoir le prouver.

Les cinq points à écrire avant la mise en service

1. Quelles données. Nominatives ou non, sensibles ou non. Un e-mail contient presque toujours des données personnelles ; une facture fournisseur en contient parfois ; un CV en contient massivement.
2. Pour quelle finalité. Formulée en une phrase compréhensible par la personne concernée, pas en termes techniques.
3. Où elles sont hébergées. Le pays compte. Un transfert hors de Suisse vers un pays sans niveau de protection adéquat exige des garanties supplémentaires.
4. Combien de temps. Une durée, pas « aussi longtemps que nécessaire ». Pour des candidatures non retenues, trois à six mois après clôture du poste est un usage courant.
5. Qui y accède. Chez vous, chez le prestataire, et chez les fournisseurs techniques éventuels.

Le registre des traitements

Les entreprises de moins de 250 employés en sont largement dispensées, sauf lorsqu’elles traitent des données sensibles à grande échelle ou effectuent un profilage à risque élevé. En pratique, tenir un registre reste une bonne idée même quand il n’est pas obligatoire : c’est le document qui permet de répondre en dix minutes plutôt qu’en trois jours quand quelqu’un exerce son droit d’accès.

Un agent bien livré vous en fournit d’emblée la matière : la fiche de cadrage contient déjà les cinq points ci-dessus.

Le cas particulier des modèles de langage

C’est le point qui inquiète le plus, et à juste titre. Quand un agent envoie un texte à un modèle de langage pour le classer ou le résumer, ce texte quitte l’infrastructure. Trois règles de conception permettent de traiter le problème :

• Minimiser ce qui sort. Un agent qui classe un e-mail n’a pas besoin de la pièce jointe ; un agent qui trie un CV n’a pas besoin de la photo ni de la date de naissance.
• Choisir où le traitement s’exécute. Selon la sensibilité, un traitement peut être orienté vers une infrastructure européenne ou suisse, avec les garanties correspondantes, plutôt que vers le service le moins cher.
• Écarter ce qui ne doit pas être traité. Certaines catégories — santé, données judiciaires, dossiers sous secret professionnel — justifient qu’un agent soit restreint aux métadonnées, ou ne soit pas installé du tout.

Ce que SiloWeb livre sur ce point

Chaque agent est accompagné d’un cadrage écrit qui documente les cinq points, d’un hébergement en Suisse chez Infomaniak pour l’agent et ses données de travail, d’un principe d’accès minimal — l’agent ne reçoit que les droits nécessaires à sa tâche, révocables en un clic depuis vos propres comptes —, et d’un journal de chaque exécution. Ce n’est pas un argument commercial : c’est le minimum qui rend un agent défendable devant une question.

Ce guide décrit une pratique et ne constitue pas un avis juridique. Pour une situation particulière — données de santé, secret professionnel, transferts internationaux réguliers —, l’avis d’un juriste spécialisé reste nécessaire.