nLPD et EU AI Act : checklist conformité IA

IA en entreprise : checklist nLPD et EU AI Act

Cette checklist vous aide à évaluer de manière structurée l'usage de l'IA dans votre entreprise suisse au regard de la nLPD et de l'EU AI Act. Passez en revue chaque cas d'usage de l'IA et documentez vos décisions. C'est un outil pédagogique qui ne remplace pas un conseil juridique : consultez des professionnels en cas de doute.

Progression: 0 / 30 faits

1. Base légale et transparence

Documenter par écrit la finalité de chaque cas d'usage de l'IA

Clarifier la base légale du traitement (p. ex. contrat, consentement, intérêt prépondérant)

Compléter la déclaration de protection des données sur l'usage de l'IA (claire et à jour)

Informer les personnes concernées de la finalité et de l'étendue du traitement (art. 19 nLPD)

Appliquer la minimisation des données : ne fournir aux outils d'IA que les données réellement nécessaires

Ajouter les cas d'usage de l'IA au registre des activités de traitement

2. Données personnelles et sensibles

Identifier les données sensibles (p. ex. santé, religion, biométrie)

Vérifier si les prompts ou fichiers importés contiennent des données de tiers

Conclure un contrat de sous-traitance avec les fournisseurs d'IA

Clarifier la localisation des données et tout transfert à l'étranger (niveau de protection adéquat)

Définir des durées de conservation et de suppression pour les entrées et sorties de l'IA

Ne pas saisir de données sensibles sans base légale appropriée

3. Transparence et information sur l'IA (EU AI Act art. 50)

Signaler lorsque les utilisateurs interagissent directement avec une IA (p. ex. chatbot)

Marquer les contenus générés ou modifiés par l'IA (lisibles par machine si possible)

Divulguer clairement les médias synthétiques et les deepfakes

Vérifier si l'EU AI Act s'applique à votre offre (utilisateurs UE, accès au marché)

Situer approximativement la catégorie de risque du cas d'usage

Exclure les pratiques interdites (p. ex. comportements manipulateurs)

4. Sécurité et processus de notification

Restreindre l'accès aux outils d'IA selon les rôles

Documenter des mesures techniques et organisationnelles appropriées

Définir un processus de notification des violations (annonce au PFPDT dans les meilleurs délais)

Désigner une personne responsable et un canal de signalement interne

Former le personnel à un usage sûr de l'IA

Encadrer la gestion des erreurs et hallucinations et la supervision humaine

5. Documentation et responsabilités

Définir les responsabilités de la gouvernance de l'IA

Vérifier si une analyse d'impact (AIPD) est nécessaire (art. 22 nLPD)

Centraliser contrats, décisions et évaluations

Planifier des revues et mises à jour régulières

Obtenir et archiver la documentation du fournisseur (sécurité, données d'entraînement)

Prévoir une revue juridique par un professionnel avant la mise en production

Questions fréquentes

Le RGPD concerne-t-il mon entreprise suisse ?

Les traitements en Suisse relèvent de la nLPD. Le RGPD de l'UE peut s'appliquer en plus si vous proposez des biens ou services à des personnes dans l'UE ou surveillez leur comportement. Clarifiez le champ d'application avec un professionnel.

L'EU AI Act s'applique-t-il aussi aux entreprises suisses ?

Il peut s'appliquer si vos systèmes d'IA sont utilisés dans l'UE ou si leurs résultats y sont exploités. Examinez l'accès au marché et vos utilisateurs ; en cas de doute, clarifiez le champ d'application sur le plan juridique.

Cette checklist garantit-elle la conformité ?

Non. C'est un outil pédagogique et d'orientation qui ne remplace pas un conseil juridique. Votre situation précise nécessite une évaluation individuelle par des professionnels qualifiés.

Dois-je toujours signaler les contenus générés par l'IA ?

L'EU AI Act (art. 50) exige de la transparence, par exemple pour les chatbots et les médias synthétiques. Même sans lien avec l'UE, le signalement renforce la confiance. Vérifiez les obligations qui vous concernent réellement.