Automatisation IA conforme nLPD : le guide pratique pour PME suisses
Par WarMachine33 · Août 2026
Automatiser, c'est faire circuler des données clients — et sous la nLPD révisée, leur destination relève de votre responsabilité, pas de celle de vos fournisseurs. Ce guide couvre les obligations qui mordent vraiment, l'architecture conforme par conception, et une checklist en 8 points applicable cette semaine.
Ce que la nLPD exige réellement d'un processus automatisé
La nLPD est une loi de principes, et quatre principes font l'essentiel du travail. Proportionnalité et finalité : ne collecter et traiter que les données dont le workflow a besoin, pour le but annoncé. Transparence : chacun doit pouvoir savoir ce que vous traitez et pourquoi. Sécurité (art. 8) : des mesures techniques et organisationnelles proportionnées au risque — contrôle d'accès, chiffrement, journaux. Et, pour l'automatisation en particulier, la décision individuelle automatisée (art. 21) : quand une décision à effet juridique ou significatif est prise sans humain, la personne doit en être informée et peut demander une revue humaine. Conséquence pratique : gardez une étape de validation humaine sur tout ce qui a des conséquences — c'est de toute façon ainsi qu'une bonne automatisation se construit.
Le vrai risque est plus discret : la prolifération SaaS
La plupart des PME ne dérapent pas par une grande fuite, mais abonnement par abonnement : un outil de formulaires ici, une signature électronique là, un preneur de notes IA ajouté pendant un essai gratuit. Chacun est un sous-traitant qui manipule les données de vos clients, souvent hors de Suisse, chacun exige un contrat, chacun allonge ce que vous devez pouvoir expliquer au titre du devoir d'information. Plus il y a de plateformes, plus la question d'audit la plus simple devient difficile : où vivent exactement les données clients ?
L'architecture conforme par conception
Il existe une réponse structurelle, et c'est celle sur laquelle nous construisons : faire tourner l'automatisation sur une infrastructure qui vous appartient, hébergée en Suisse. La minimisation devient un choix d'ingénierie que vous contrôlez. Les questions de transfert à l'étranger disparaissent en grande partie parce que la donnée ne part pas. Les accès se journalisent, les règles de conservation s'exécutent dans le workflow lui-même, et la suppression supprime vraiment. Quand un workflow utilise un modèle d'IA, choisissez délibérément où tourne l'inférence : un fournisseur de modèle qui traite des données personnelles est un sous-traitant, avec la paperasse qui va avec — ou bien les étapes sensibles tournent sur des modèles locaux auto-hébergés, et la donnée ne sort jamais.
La validation humaine est une protection juridique, pas une politesse
L'article 21 transforme l'étape de validation humaine de bonne pratique en protection légale. Dans chaque build que nous livrons, les actions à conséquences — une présélection d'embauche, un paiement au-dessus d'un seuil, une décision visible d'un client — s'arrêtent et attendent une personne. L'automatisation prépare ; un humain décide. Cette seule règle de conception élimine l'essentiel de l'exposition liée aux décisions automatisées, tout en rendant le système réellement plus fiable.
La checklist en 8 points
- Cartographiez le flux : pour chaque processus automatisé, notez quelles données personnelles entrent, où elles sont stockées, qui peut les voir.
- Minimisez : retirez les champs inutiles au workflow. Si le robot de facturation n'a pas besoin des dates de naissance, il ne les reçoit pas.
- Hébergez sur votre infrastructure en Suisse — ou documentez précisément pourquoi pas, outil par outil.
- Contractualisez chaque sous-traitant : tout outil ou API de modèle qui touche des données personnelles exige un contrat de sous-traitance.
- Contrôlez et journalisez les accès : comptes nominatifs, moindre privilège, journaux que vous pourriez réellement produire.
- Automatisez la conservation : des règles de suppression dans le workflow, pas dans un PDF de politique que personne n'exécute.
- Gardez l'humain sur les décisions à conséquences (art. 21) — et dites-le dans votre politique de confidentialité.
- Ayez un plan de violation : qui évalue, qui annonce au PFPDT quand c'est requis, dans quel délai.
Notes sectorielles
L'enjeu monte avec la donnée. Les fiduciaires manipulent des données financières, les cabinets médicaux des données sensibles au sens strict, et les études d'avocats y ajoutent le secret professionnel. La même architecture sert les trois — seuls les seuils de validation se durcissent.
Cet article est une information générale, pas un conseil juridique. Pour une évaluation formelle, impliquez votre conseil — nous travaillons volontiers à ses côtés.
Une automatisation conforme par architecture, pas par promesse ? Réservez votre diagnostic à CHF 490 — feuille de route écrite et priorisée sous 72 h, créditée sur tout build.