L'IA au travail : quelles données ne pas saisir dans les outils d'IA, les indications de l'OFCS et du PFPDT

Rédiger un e-mail, traduire un texte, résumer un tableau : pour beaucoup de personnes en Suisse, les outils d'intelligence artificielle font désormais partie du travail quotidien, y compris dans les PME tessinoises. Le 16 octobre 2026, l'Office fédéral de la cybersécurité (OFCS), en collaboration avec le Préposé fédéral à la protection des données et à la transparence (PFPDT), a publié une page de questions-réponses sur l'IA dans le quotidien professionnel, avec des recommandations concrètes.

Le message principal ne porte pas sur la technologie mais sur les habitudes : ce que l'on colle dans un prompt et ce que deviennent ces données.

Ce qu'est le surpartage

L'OFCS appelle « oversharing », ou surpartage, la divulgation imprudente d'informations, souvent de bonne foi et pour gagner du temps, sans mesurer les conséquences pour la protection des données. Il suffit de copier le texte complet d'un e-mail dans un prompt pour que les données personnelles qu'il contient se retrouvent dans l'outil d'IA.

Dans le cadre professionnel, il ne s'agit pas seulement de ses propres données. Des données de clients, de patients ou d'employés et des secrets d'affaires qui ne devraient jamais quitter l'entreprise sont souvent concernés. Les données sur la santé, les dossiers du personnel ou des lignes de code contenant les accès à une base de données personnelles sont en règle générale des données personnelles sensibles au sens de la loi sur la protection des données (LPD), soumises à des exigences plus strictes.

Le risque le moins visible : l'entraînement

Selon l'OFCS, le risque le plus important, et le moins perçu, est que de nombreux outils d'IA peuvent utiliser les données saisies pour entraîner de futurs modèles, sauf exclusion prévue par contrat. Une fois saisies, les informations ne peuvent plus être reprises et, dans le pire des cas, elles se retrouvent dans les réponses données à d'autres utilisateurs.

Il existe aussi un risque dans l'autre sens. Les textes, photos, enregistrements audio et vidéos publiés sur le site et les réseaux sociaux d'une entreprise peuvent être collectés et exploités par des fraudeurs, par exemple pour des e-mails très personnalisés, des voix imitées et des deepfakes utilisés dans la fraude au président.

La loi s'applique déjà

Dès 2023, le PFPDT a rappelé que la loi actuelle sur la protection des données est directement applicable à l'IA : elle est neutre sur le plan technologique et s'applique tant à l'entraînement des modèles qu'à la saisie d'un prompt. Pour une entreprise, le risque concret est de violer les principes de l'article 6 LPD, à savoir la finalité, la proportionnalité et la transparence. Les conséquences peuvent être une annonce au PFPDT, une atteinte à la réputation et, en cas de violation intentionnelle de certaines obligations, des sanctions pénales.

Le PFPDT souligne aussi le droit, prévu par la LPD, de faire revoir par une personne une décision individuelle automatisée, par exemple lors de la présélection de candidatures. Sur le plan législatif, le Conseil fédéral a chargé le Département fédéral de justice et police de préparer un projet pour réglementer l'IA et mettre en œuvre la Convention du Conseil de l'Europe sur l'intelligence artificielle ; la consultation est attendue pour janvier 2027, avec une approche sectorielle et fondée sur les risques. D'autres informations figurent sur la page du PFPDT IA et protection des données.

Les quatre recommandations de l'OFCS

• Évaluer d'un œil critique les contenus générés par l'IA.
• Avant chaque saisie, vérifier la présence de données personnelles ou sensibles, comme des données d'identité, des données de clients ou des secrets d'affaires, et le cas échéant les anonymiser.
• Si possible, utiliser la version Business ou Enterprise des outils mis à disposition par l'entreprise plutôt que des comptes privés.
• Savoir quand les données servent à l'entraînement et quand ce n'est pas le cas, et activer les options de refus (opt-out) lorsqu'elles existent.

Ce qu'une PME devrait mettre en place

Pour l'OFCS, les entreprises doivent fixer des directives internes claires et former leur personnel. Concrètement, pour une PME :

• Une liste des outils autorisés, avec les comptes d'entreprise à utiliser, et pas de comptes privés pour les données professionnelles.
• Une liste des données à ne jamais saisir : données de santé, dossiers du personnel, données de clients identifiables, contrats confidentiels, mots de passe, clés API et accès.
• Des contrats vérifiés : privilégier les solutions enterprise où l'exclusion des données de l'entraînement est garantie par contrat, et vérifier où les données sont traitées.
• Des mesures techniques si nécessaire, comme les outils de prévention des pertes de données (data loss prevention) cités par l'OFCS.
• Une vérification humaine des résultats avant utilisation, surtout pour les textes destinés aux clients et les décisions concernant des personnes.
• De la prudence sur ce qui est publié sur le site et les réseaux sociaux : voix, visages et organigrammes facilitent les fraudes ciblées.

Ces règles s'inscrivent dans le cadre plus large de la sécurité organisationnelle, le point faible relevé par l'étude « PME Cybersécurité 2026 », et vont de pair avec des accès sécurisés pour les comptes d'entreprise des outils d'IA. Côté compétences, la demande de profils IA dans les PME suisses progresse fortement, comme le montrent les près de 5000 annonces IA en Suisse ; sur les tendances techniques, voir aussi l'IA dans les deux prochaines années.

Au Tessin : une soirée sur la gouvernance de l'IA

Pour approfondir le sujet au niveau local, la Fondazione AGIRE et la formation continue SUPSI-DTI proposent un cycle de trois soirées sur l'usage réfléchi de l'IA en entreprise (en italien), destiné aux PME tessinoises. La dernière rencontre, le 17 novembre 2026, porte sur les données, les responsabilités, les règles et la gouvernance de l'IA. Selon les organisateurs, l'inscription est gratuite sur enregistrement préalable, avec au maximum 30 participants par soirée.

Comment ElaraTeq Sagl peut aider

ElaraTeq Sagl aide les PME à choisir les outils, à rédiger des règles internes simples sur l'usage de l'IA et à intégrer l'IA dans les sites, CRM et ERP sans exposer des données qui doivent rester dans l'entreprise, avec un hébergement en Suisse si nécessaire. Plus de détails sur le conseil ou via la page contact.

Sources

• OFCS, « L'IA dans le quotidien professionnel : Exploiter les possibilités, protéger les données », 16 octobre 2026 : bacs.admin.ch
• PFPDT, « La loi actuelle sur la protection des données est directement applicable à l'IA », 9 novembre 2023 : edoeb.admin.ch
• PFPDT, « IA et protection des données » : edoeb.admin.ch
• Fondazione AGIRE, « Tre serate sull'utilizzo consapevole dell'AI in azienda, in collaborazione con SUPSI DTI », 18 septembre 2026 (en italien) : agire.ch