Protection des données et IA dans les cabinets suisses : Conformité nLPD en pratique
La loi révisée sur la protection des données (nLPD) pose de nouveaux défis aux cabinets pour l'utilisation d'outils IA. Quelles exigences s'appliquent ? Un guide pratique.
Orlando Kahanek · · Mis à jour:
Depuis le 1er septembre 2023, la loi révisée sur la protection des données (nLPD, RS 235.1) est en vigueur. Pour les cabinets d'avocats souhaitant utiliser des outils IA, la question centrale est : Comment concilier l'utilisation de Legal AI avec la protection des données et le secret professionnel ?
Cette question n'est pas académique – elle a des conséquences concrètes en droit professionnel. L'art. 13 LLCA oblige les avocats à préserver le secret professionnel.
Les principales exigences nLPD pour l'utilisation de l'IA
1. Protection des données dès la conception
L'art. 7 nLPD exige la « Privacy by Design ». Pour les outils IA :
- Les données ne doivent être conservées que le temps nécessaire
- Des mesures techniques doivent limiter l'accès au strict nécessaire
- Les paramètres par défaut doivent être favorables à la protection des données
L'art. 22 nLPD exige une analyse d'impact relative à la protection des données (AIPD) lorsqu'un traitement peut entraîner un risque élevé.
2. Communication à l'étranger
Les art. 16-17 nLPD réglementent le transfert de données à l'étranger. Les données ne peuvent être transmises que dans des États garantissant un niveau de protection adéquat.
En pratique : Utiliser un outil IA qui traite les données sur des serveurs américains (ChatGPT, Claude, Gemini) constitue une communication à l'étranger. Les États-Unis figurent sur la liste d'adéquation depuis le Swiss-U.S. Data Privacy Framework (DPF), mais uniquement pour les entreprises certifiées DPF. Vérifiez si votre fournisseur d'IA est certifié DPF. Dans le cas contraire, des garanties supplémentaires sont requises.
3. Le secret professionnel et l'IA
Le secret de l'avocat (art. 321 CP) protège toutes les informations confiées à l'avocat dans sa qualité professionnelle. La transmission à des tiers est en principe punissable – y compris à un fournisseur cloud.
Schéma de vérification pour les cabinets
- Où les données sont-elles traitées ? (localisation des serveurs)
- Les données sont-elles utilisées pour l'entraînement du modèle ? (critère d'exclusion si oui)
- Quel chiffrement est utilisé ? (minimum : AES-256, TLS 1.3)
- Existe-t-il un contrat de sous-traitance ? (art. 9 nLPD)
- Une AIPD est-elle requise ? (art. 22 nLPD)
Liste de contrôle : utilisation de l'IA conforme à la nLPD dans le cabinet
- [ ] AIPD effectuée pour chaque utilisation de l'IA impliquant des données personnelles
- [ ] Contrat de sous-traitance conclu avec le fournisseur d'IA
- [ ] Serveurs situés en Suisse (ou niveau de protection des données adéquat)
- [ ] Chiffrement : AES-256 au repos, TLS 1.3 en transit
- [ ] Absence d'entraînement de modèles avec les données du cabinet confirmée
- [ ] Devoir d'informer les clients rempli (art. 19 nLPD)
- [ ] Registre des activités de traitement mis à jour (art. 12 nLPD)
- [ ] Concept de suppression défini et mis en œuvre
- [ ] Personnel formé à l'IA et à la protection des données
Conclusion : l'IA, oui – mais avec les bons garde-fous
L'utilisation de l'IA dans les cabinets suisses est compatible avec la nLPD et le secret professionnel – à condition de prendre les bonnes mesures techniques et organisationnelles. Les facteurs clés :
- La localisation des données en Suisse est la voie la plus sûre
- Aucun entraînement de modèles avec les données des clients : un point non négociable
- Une AIPD est obligatoire pour toute utilisation de l'IA impliquant des données personnelles
- Le contrat de sous-traitance doit couvrir les risques propres à l'IA
Les cabinets qui respectent ces garde-fous peuvent utiliser des outils d'IA en toute sécurité juridique et gagner en efficacité – sans compromettre la confiance de leurs clients.
RechtsKI traite toutes les données exclusivement en Suisse : le stockage s'effectue chez Safe Swiss Cloud, le traitement IA par défaut via Microsoft Azure (Switzerland North) ou, pour chaque requête, entièrement via Safe Swiss Cloud. Aucun entraînement de modèle n'est effectué avec les données des clients. La plateforme est conforme à la nLPD et utilise un chiffrement AES-256.