ChatGPT et protection des données en Suisse : ce qu’une PME peut faire
ChatGPT et la protection des données en Suisse se résument à une question : des données personnelles entrent-elles dans le chat ou non ? Sans données personnelles, la loi sur la protection des données ne s’applique pas. Avec des données personnelles, la nouvelle loi sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023, s’applique pleinement, avec la sous-traitance (article 9) et la communication à l’étranger (articles 16 et 17). Cette page situe les variantes de ChatGPT, Microsoft Copilot et les alternatives suisses. Vectoryon en fait partie : un espace de travail IA dès CHF 49 par personne et par mois, dont l’IA tourne exclusivement en Suisse.
Cette page informe et ne constitue pas un conseil juridique. Pour un cas concret, il faut un ou une spécialiste. Les indications sur OpenAI et Microsoft proviennent de leur documentation, état au 5 octobre 2026, citée dans les sources. Le cadre juridique général de l’intelligence artificielle figure sous Intelligence artificielle en Suisse.
Une PME peut-elle utiliser ChatGPT avec des données clients ?
La réponse courte : avec un compte privé gratuit ou Plus, non ; avec un contrat d’entreprise, oui, sous conditions. Tout dépend de la présence de données personnelles dans la saisie. Un nom de client, une adresse e-mail ou un procès-verbal nominatif sont des données personnelles. Un texte publicitaire ou une formule Excel n’en sont pas.
Sans données personnelles, ChatGPT ne relève pas de la loi sur la protection des données. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) rappelle que la loi est formulée de manière neutre sur le plan technologique et qu’elle s’applique directement aux traitements de données fondés sur l’IA. Avec des données personnelles, ChatGPT est soumis aux mêmes obligations que tout logiciel qui transmet des données à un prestataire.
Avec des données personnelles, une PME a besoin de trois éléments : un contrat de sous-traitance, une base pour la communication à l’étranger et une déclaration de protection des données qui expose les deux. Selon sa page Enterprise Privacy, OpenAI propose un Data Processing Addendum (DPA) pour ChatGPT Business, ChatGPT Enterprise et l’API. Les comptes privés comme ChatGPT Free et Plus ne figurent pas dans cette liste.
Ce qu’exige la nLPD pour l’utilisation de ChatGPT
L’article 9 nLPD règle le traitement par un sous-traitant. Une entreprise peut le confier par contrat à un fournisseur comme OpenAI si celui-ci ne traite les données que comme l’entreprise elle-même serait en droit de le faire et si aucune obligation de garder le secret ne s’y oppose. L’entreprise s’assure que la sécurité des données est garantie. D’autres sous-traitants exigent une autorisation préalable.
L’article 16 règle la communication à l’étranger. Des données peuvent être communiquées vers un État dont le Conseil fédéral a reconnu la législation comme adéquate ; la liste figure à l’annexe 1 de l’ordonnance sur la protection des données. Les États-Unis y figurent depuis le 15 septembre 2024, mais seulement pour les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework. La liste de ces entreprises est publique. Sinon, il faut des garanties comme des clauses types ou une exception selon l’article 17, par exemple le consentement exprès.
L’article 19 impose un devoir d’informer. Les personnes concernées apprennent la finalité et les destinataires, et selon l’alinéa 4, en cas de communication à l’étranger, l’État de destination avec la garantie ou l’exception. Qui traite des e-mails de clients avec ChatGPT le mentionne dans sa déclaration de protection des données.
Le PFPDT précise : les personnes concernées ont le droit de savoir si elles échangent avec une machine et si leurs saisies sont réutilisées. Les amendes allant jusqu’à CHF 250’000 visent selon la nLPD la personne responsable, pas l’entreprise.
ChatGPT Free et Plus face à Business, Enterprise et API
Dans sa documentation, OpenAI distingue deux mondes. Pour les services destinés aux particuliers, dont ChatGPT Free et Plus, OpenAI écrit : « When you use our services for individuals such as ChatGPT, Sora, or Operator, we may use your content to train our models. » Cela se désactive dans les paramètres de données, et selon la même page, les conversations en mode « Temporary Chat » ne servent pas à l’entraînement.
Pour les produits destinés aux entreprises, la règle par défaut est inverse : « By default, we do not train on any inputs or outputs from our products for business users, including ChatGPT Team, ChatGPT Enterprise, and the API. » ChatGPT Team s’appelle ChatGPT Business sur les pages plus récentes d’OpenAI. Selon la page Enterprise Privacy, OpenAI supprime les conversations effacées dans ChatGPT Business dans un délai de 30 jours, sauf si une conservation plus longue est nécessaire.
Quant au lieu de stockage : selon une annonce d’OpenAI, les nouveaux clients de ChatGPT Enterprise et ChatGPT Edu peuvent choisir de stocker les contenus au repos en Europe. Les clients de l’API choisissent un traitement en Europe pour les points de terminaison éligibles dans de nouveaux projets. Depuis janvier 2026, le calcul du modèle de langage en Europe s’y ajoute pour les clients Enterprise éligibles. Cette annonce ne mentionne pas ChatGPT Free, Plus et Business. Le contrat de l’entreprise fait foi.
Copilot et protection des données : ce que Microsoft garantit
Microsoft 365 Copilot travaille dans le tenant Microsoft 365 de l’entreprise et accède aux e-mails, documents et calendriers via Microsoft Graph. Microsoft écrit : « Prompts, responses, and data accessed through Microsoft Graph aren’t used to train foundation LLMs, including those used by Microsoft Copilot. » Copilot n’affiche que les contenus pour lesquels une personne dispose d’un droit de lecture. Il trouve donc aussi ce qui a été partagé trop largement par erreur dans SharePoint. Fonctions, prix en CHF et comparaison avec une IA propre figurent dans le guide sur Microsoft 365 Copilot.
Quant au lieu de stockage : pour les clients de l’UE, Copilot est un service de l’EU Data Boundary. Microsoft y inclut les États de l’UE et de l’AELE, expressément la Suisse, avec des centres de données entre autres en Suisse. Pour les autres clients, Microsoft précise : « Customers outside the EU may have their queries processed in the US, EU, or other regions. » La manière dont un tenant suisse est classé se clarifie avec Microsoft.
Selon la même documentation, les requêtes peuvent être dirigées vers d’autres régions en cas de forte charge, et les modèles d’Anthropic utilisés comme sous-traitant sont actuellement exclus de l’EU Data Boundary.
5 questions à poser à tout fournisseur d’IA
Ces cinq questions montrent si un service d’IA convient aux données personnelles, chez tout fournisseur. Les réponses doivent figurer dans le contrat.
1. Existe-t-il un contrat de sous-traitance selon l’article 9 nLPD ? Sans ce contrat, aucune donnée personnelle n’a sa place dans le service.
2. Les saisies et les réponses servent-elles à l’entraînement ? La réponse attendue est non par défaut, pas un réglage que chaque personne doit activer elle-même.
3. Où les données sont-elles stockées et où sont-elles calculées ? Le lieu de stockage et le lieu de calcul du modèle de langage sont deux questions distinctes. La déclaration de protection des données selon l’article 19 a besoin des deux réponses.
4. Quels sous-traitants interviennent, dans quels pays ? La liste devrait être publique. Pour chaque pays hors de Suisse, il faut une base selon l’article 16 ou 17.
5. Combien de temps les données restent-elles stockées, et les accès peuvent-ils être journalisés et supprimés ? Sans journal, impossible de montrer plus tard quelles données ont servi à une réponse.
Alternatives suisses à ChatGPT
Qui cherche un ChatGPT suisse pense en général à un chat IA dont le modèle de langage tourne en Suisse. Plusieurs entreprises suisses proposent ce type d’offre, et depuis septembre 2025 il existe Apertus, un modèle de langage ouvert de l’ETH Zurich, de l’EPFL et du CSCS. L’alternative à ChatGPT qui convient en Suisse se décide avec les cinq questions à poser à tout fournisseur d’IA, pas avec le drapeau.
Vectoryon est l’une de ces options : un espace de travail IA pour les entreprises suisses, basé à Berne et exploité par k-innovations GmbH. L’IA fonctionne exclusivement dans des centres de données en Suisse, et les données sont stockées à Zurich. Les données des clients ne servent pas à entraîner des modèles d’IA. L’espace de travail coûte dès CHF 49 par personne et par mois et fonctionne avec Outlook, Teams et les documents de l’entreprise.
Pour les cabinets médicaux et les études d’avocats, Vectoryon signe en plus une convention sur le secret professionnel selon l’article 321 CP et un contrat de sous-traitance selon l’article 9. L’IA et les données commerciales restent en Suisse. Dans l’UE, seuls l’hébergement de ce site web, les statistiques de visites du site et la recherche web sont exploités. La liste des prestataires figure dans la déclaration de protection des données, les offres sous Tarifs.
Variantes de ChatGPT et Copilot en un coup d’œil
État au 5 octobre 2026, selon les pages d’OpenAI et de Microsoft citées dans les sources. Le contrat de l’entreprise fait foi.
| Produit | Entraînement avec les saisies | Contrat de sous-traitance | Stockage en Europe au choix |
|---|---|---|---|
| ChatGPT Free et Plus | possible, désactivable | absent de l’offre DPA | non mentionné dans l’annonce |
| ChatGPT Business | non par défaut | DPA disponible | non mentionné dans l’annonce |
| ChatGPT Enterprise | non par défaut | DPA disponible | oui, pour les nouveaux espaces |
| API OpenAI | non par défaut, partage possible | DPA disponible | oui, nouveaux projets et points de terminaison éligibles |
| Microsoft 365 Copilot | pas d’entraînement des modèles de base | Product Terms et Data Protection Addendum | EU Data Boundary pour les clients de l’UE |
Les limites de cette page et de Vectoryon
- Cette page ne constitue pas un conseil juridique.
- Les indications sur OpenAI et Microsoft reprennent leur documentation au 5 octobre 2026. Les fournisseurs modifient produits et noms en permanence, le contrat fait foi.
- Vectoryon ne remplace pas ChatGPT pour tout. Vectoryon ne génère ni images ni vidéos.
- L’IA et les données commerciales de Vectoryon restent en Suisse. Dans l’UE, seuls l’hébergement de ce site web, les statistiques de visites du site et la recherche web sont exploités. La liste des prestataires figure dans la déclaration de protection des données.
- Vectoryon ne rédige pour ses clients ni déclaration de protection des données, ni registre des activités de traitement, ni analyse d’impact.
Détails
Secret professionnel : cabinet médical et étude d’avocats
Les médecins, avocats, notaires et leurs auxiliaires sont soumis au secret professionnel selon l’article 321 du Code pénal. Qui charge un dossier de patient ou de mandant dans un service de chat librement accessible le transmet à un tiers. Un contrat de sous-traitance seul ne fait pas du fournisseur un auxiliaire.
La solution de Vectoryon est décrite sous IA pour cabinets médicaux et hôpitaux et IA pour études d’avocats. Si des règles déontologiques cantonales imposent d’autres exigences, le cabinet ou l’étude le vérifie lui-même. Pour les communes et les services publics, le cadre est décrit sous IA dans l’administration publique.
ChatGPT et RGPD : est-ce valable pour les entreprises suisses ?
Le règlement général européen sur la protection des données (RGPD) s’applique aux entreprises suisses lorsqu’elles offrent des biens ou des services à des personnes dans l’UE ou observent leur comportement. Une fiduciaire avec des clients en Alsace ou une boutique en ligne qui livre en Allemagne entre dans ce cas. Pour ces données, les deux lois s’appliquent.
Pour ChatGPT, le RGPD change peu : il exige lui aussi un contrat selon l’article 28 et une base pour les transferts vers des pays tiers. Il prévoit toutefois des amendes contre les entreprises.
Introduire l’IA dans le respect de la protection des données : quatre étapes
Premièrement, définir quelles données peuvent entrer dans un service d’IA : aucune donnée personnelle, des données personnelles ordinaires ou aussi des données sensibles. Deuxièmement, examiner le service avec les cinq questions à poser à tout fournisseur d’IA et conclure le contrat. Troisièmement, compléter la déclaration de protection des données avec les destinataires et les États de destination. Quatrièmement, interdire par écrit les comptes privés pour les données de l’entreprise.
En cas de risque élevé pour les personnes concernées, l’article 22 nLPD exige une analyse d’impact relative à la protection des données. Elle reste la tâche de l’entreprise.
Questions fréquentes
ChatGPT est-il conforme à la protection des données ?
Cela dépend du produit et des données. Pour des tâches sans données personnelles, la question ne se pose pas. Avec des données personnelles, il faut un contrat de sous-traitance, qu’OpenAI propose pour Business, Enterprise et l’API, et une base pour la communication à l’étranger.
Puis-je saisir des données clients dans ChatGPT Plus ?
Pour une entreprise, mieux vaut s’en abstenir. ChatGPT Plus est un service destiné aux particuliers. Selon OpenAI, les saisies peuvent servir à l’entraînement si on ne le désactive pas, et OpenAI ne cite le contrat de sous-traitance que pour Business, Enterprise et l’API.
Qu’est-ce qu’une alternative suisse à ChatGPT ?
Un chat IA dont le modèle de langage tourne en Suisse et dont le fournisseur est soumis au droit suisse. Plusieurs entreprises suisses en proposent, parmi elles Vectoryon, dont l’IA fonctionne exclusivement dans des centres de données en Suisse, dès CHF 49 par personne et par mois.
Microsoft Copilot est-il conforme à la protection des données ?
Microsoft garantit que les requêtes, les réponses et les données issues de Microsoft Graph ne servent pas à entraîner les modèles de base, et classe Copilot comme service de l’EU Data Boundary pour les clients de l’UE. Pour les clients hors UE, Microsoft cite les États-Unis, l’UE ou d’autres régions.
Les médecins et les avocats peuvent-ils utiliser ChatGPT ?
Oui, pour des tâches sans données de patients ou de mandants. Pour des données couvertes par le secret professionnel selon l’article 321 CP, il faut un contrat qui intègre le fournisseur comme auxiliaire et un lieu des données clarifié. Vectoryon signe une telle convention.
Sources
Les indications sur la loi, OpenAI et Microsoft reposent sur ces sources, état au 5 octobre 2026.
- 1PFPDT : IA et protection des données
- 2Loi sur la protection des données (LPD, RS 235.1), art. 9, 16, 17, 19 (Fedlex)
- 3Ordonnance sur la protection des données (OPDo, RS 235.11), annexe 1 (Fedlex)
- 4Code pénal, art. 321, violation du secret professionnel (Fedlex)
- 5Data Privacy Framework : liste des entreprises certifiées
- 6OpenAI : How your data is used to improve model performance
- 7OpenAI : Enterprise privacy
- 8OpenAI : Introducing data residency in Europe
- 9Microsoft Learn : Data, Privacy, and Security for Microsoft Copilot
- 10Microsoft Learn : What is the EU Data Boundary?
- 11ETH Zurich : Apertus, un modèle de langage ouvert (en anglais)
Pour aller plus loin
- Intelligence artificielle en Suisse Cadre juridique, lieu des données et choix du fournisseur.
- Intelligence artificielle pour PME Quelles tâches sont rentables, ce que coûte la mise en place.
- IA pour cabinets médicaux et hôpitaux Secret professionnel, IA en Suisse, données à Zurich.
- IA pour études d’avocats Secret de l’avocat, délais, courrier des mandants.
- Outils IA Huit outils par tâche, prix et lieu des données.
- Déclaration de protection des données Tous les sous-traitants avec leurs régions.
- Tarifs Les offres actuelles dès CHF 49 par personne et par mois.