Confier un dossier client à une IA : ce que le contrat doit vraiment préciser

Envoyer un dossier client à un outil d'intelligence artificielle, c'est souvent confier des données personnelles à un prestataire. En Suisse, l'entreprise reste responsable de ce qu'il en advient. Avant le premier envoi, la question décisive n'est donc pas la promesse commerciale, mais ce que le contrat prévoit réellement.

Prenons trois situations imaginaires. Une fiduciaire veut résumer la correspondance d'un client. Une gérance immobilière souhaite trier des dossiers de candidature. Un bureau d'architecte aimerait faire relire un cahier des charges. Dans les trois cas, le réflexe est le même : copier le document dans un assistant d'IA et attendre la réponse.

Ce geste n'a rien d'anodin. Dès qu'un document contient des informations sur des personnes identifiables, comme un nom, une adresse ou un historique de paiements, son envoi à un fournisseur d'IA est un traitement de données personnelles au sens de la loi fédérale sur la protection des données (LPD). Lorsque le prestataire traite ces données pour le compte de l'entreprise, il s'agit en principe d'une sous-traitance.

Externaliser le traitement, pas la responsabilité

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) le résume clairement : celui qui confie un traitement à un sous-traitant, par exemple un fournisseur de services en nuage, demeure responsable de la protection des données. Il doit choisir soigneusement son prestataire, lui donner des instructions appropriées et le surveiller dans la mesure nécessaire.

Le PFPDT rappelle aussi que la LPD s'applique directement aux traitements qui recourent à l'IA. Il n'est donc pas nécessaire d'attendre une future loi spécifique pour que des règles s'appliquent.

L'article 9 de la LPD fixe les conditions de la sous-traitance. Selon le PFPDT, l'entreprise doit s'assurer, et garantir par contrat, que :

• le prestataire n'effectue que les traitements qu'elle pourrait effectuer elle-même, selon ses instructions ;
• aucune obligation de secret ne s'oppose à l'externalisation ;
• le prestataire prend des mesures de sécurité appropriées ;
• il ne confie pas le traitement à un autre sous-traitant sans autorisation préalable ;
• l'entreprise reste en mesure de répondre aux demandes d'accès, de rectification ou d'effacement des personnes concernées.

Le PFPDT ajoute un point souvent oublié : un sous-traitant ne peut pas traiter les données pour ses propres fins. Un tel changement de finalité exige un motif justificatif valable.

Cinq questions à poser avant le premier envoi

Ces principes se traduisent en questions concrètes. Elles ne remplacent pas un avis juridique, mais elles permettent de savoir ce que l'on ignore encore.

1. Quel contrat s'applique vraiment ? Les conditions d'un abonnement individuel, d'une offre professionnelle et d'un accès technique par API ne sont pas forcément les mêmes. Le document de référence est celui que l'entreprise a effectivement accepté, avec ses annexes, pas la page de présentation commerciale.

2. Le fournisseur peut-il réutiliser les données ? Le contrat doit dire si les contenus envoyés servent à améliorer ou à entraîner ses modèles, et si l'entreprise peut s'y opposer. Une formule comme « vos données vous appartiennent » ne répond pas à cette question.

3. Qui d'autre intervient ? Les fournisseurs d'IA s'appuient souvent sur des hébergeurs ou d'autres prestataires. Le contrat doit prévoir comment l'entreprise est informée de l'ajout ou du remplacement de ces sous-traitants ultérieurs, et comment elle peut s'y opposer.

4. Dans quels pays les données circulent-elles ? Une communication de données à l'étranger n'est permise que si le pays destinataire figure sur la liste des États jugés adéquats par le Conseil fédéral, ou si des garanties appropriées sont prévues, par exemple des clauses types reconnues par le PFPDT, ou encore si une exception prévue par l'art. 17 LPD s'applique. Pour les États-Unis, cette liste mentionne depuis le 15 septembre 2024 le cadre de protection des données Suisse–États-Unis, qui concerne les entreprises qui y sont certifiées. Le stockage n'est pas le seul point à vérifier : selon le PFPDT, il faut savoir où les données seront traitées et où se trouve le siège du sous-traitant ou du sous-traitant ultérieur.

5. Que devient le dossier à la fin ? Durée de conservation, restitution, effacement, export : le contrat doit permettre à l'entreprise de tenir ses propres engagements envers ses clients.

Le secret professionnel est une autre question

Un contrat de sous-traitance bien rédigé ne règle pas tout. Le PFPDT le souligne : certaines données sont soumises à une obligation légale ou contractuelle de garder le secret, comme le secret professionnel ou le secret bancaire. Il faut alors vérifier séparément si l'externalisation est compatible avec ce secret.

De même, un dossier peut ne contenir aucune donnée personnelle, par exemple des plans techniques, et rester protégé par un accord de confidentialité. Dans ce cas, la LPD n'est pas la seule référence : c'est l'accord passé avec le client qui dit si le document peut être confié à un tiers.

Un regard extérieur : la profession juridique britannique

La Law Society, qui représente les solicitors d'Angleterre et du pays de Galles, a mis à jour en juin 2026 son guide sur l'IA générative. Elle recommande notamment de définir clairement quelles données peuvent être introduites dans un outil, en tenant compte des contraintes légales et éthiques, et de mettre en place un processus constant de vérification des résultats.

Ce guide ne s'applique pas en Suisse. Il montre toutefois qu'une profession soumise au secret traite ces questions comme une affaire d'organisation, et pas seulement de choix d'outil.

Ce que cela change pour une PME

Pour une petite entreprise, l'enjeu n'est pas de renoncer à l'IA, mais d'éviter qu'elle entre dans les processus par la petite porte. Une démarche simple consiste à désigner une personne responsable, à recenser les outils réellement utilisés, puis, pour chacun, à retrouver le contrat applicable et à répondre aux cinq questions ci-dessus.

Lorsque les réponses manquent, deux options restent ouvertes : ne pas envoyer de données personnelles, ou les retirer du document avant l'envoi. Pour les données sensibles, les professions soumises au secret ou les mandats confiés par une autre entreprise, l'avis d'un juriste reste nécessaire.

Sources principales

• Préposé fédéral à la protection des données et à la transparence (PFPDT), Externalisation (sous-traitance), page sans date indiquée.
• PFPDT, IA et protection des données, 24 septembre 2025.
• PFPDT, Communication de données à l'étranger, page sans date indiquée.
• Confédération suisse, Loi fédérale sur la protection des données (LPD), RS 235.1, notamment articles 9, 16 et 17.
• The Law Society, Generative AI – the essentials, mise à jour du 30 juin 2026.

Article documentaire, sans valeur d'avis juridique. Les situations décrites sont fictives. Aucun contrat ni outil n'a été testé par LEMOVIA.