Vos collaborateurs utilisent probablement déjà ChatGPT, souvent avec un compte personnel et sans règles communes. La question n’est donc plus de savoir si l’IA entre dans votre PME, mais à quelles conditions. La loi suisse sur la protection des données (nLPD, en vigueur depuis le 1er septembre 2023) n’interdit pas ChatGPT. Elle encadre ce que vous y mettez, le contrat avec le fournisseur et les pays vers lesquels les données partent.
Ce guide fait le point à la date du 30 octobre 2026 : ce que promettent les offres d’OpenAI, ce que disent la loi et le Préposé fédéral à la protection des données et à la transparence (PFPDT), les alternatives que les PME citent le plus, puis une check-list. Nous distinguons chaque fois la loi, la position des autorités et nos conseils.
Information générale, pas un conseil juridique. Les conditions des fournisseurs changent souvent : vérifiez-les avant de signer.
Les offres ChatGPT et ce qu’elles font de vos données
Offres individuelles (Free, Go, Plus, Pro) : entraînement activé par défaut
Avec les offres pour particuliers, OpenAI peut utiliser vos conversations pour entraîner ses modèles. Vous pouvez refuser de deux façons :
- dans ChatGPT, sous Paramètres > Contrôles des données, désactivez l’option « Améliorer le modèle pour tous » ;
- ou choisissez « Ne pas utiliser mon contenu pour la formation » dans le portail de confidentialité d’OpenAI.
Les chats temporaires ne servent pas à l’entraînement. Attention : si vous évaluez une réponse (pouce levé ou baissé), OpenAI indique que toute la conversation peut être utilisée, même après un refus.
Ces offres ne prévoient pas de contrat de traitement des données. Notre conseil : aucune donnée de client ni de collaborateur sur un compte personnel.
ChatGPT Business (anciennement Team)
ChatGPT Team s’appelle ChatGPT Business depuis le 29 août 2025. Selon OpenAI :
- les données de l’espace de travail ne servent pas à l’entraînement par défaut, et évaluer une réponse ne l’autorise pas ;
- un contrat de traitement des données (DPA) peut être conclu via un formulaire en ligne ;
- les administrateurs contrôlent la durée de conservation ; une conversation supprimée est effacée dans les 30 jours, sauf obligation légale ou nécessité de protéger les services d’OpenAI ou des tiers ;
- l’offre a passé un audit SOC 2 Type 2 et propose l’authentification unique (SAML SSO) et multifacteur.
Business ne figure pas parmi les offres éligibles à la résidence des données dans l’article d’aide d’OpenAI.
ChatGPT Enterprise
Mêmes engagements, avec des règles de conservation personnalisées et la résidence des données, incluse sans supplément. Les nouveaux espaces Enterprise peuvent stocker leurs contenus dans la région « Europe (EEE + Suisse) » et, en option, y faire exécuter les modèles (l’inférence).
L’API d’OpenAI
C’est l’accès utilisé par les développeurs et les intégrateurs. Les données envoyées à l’API depuis le 1er mars 2023 ne servent pas à l’entraînement par défaut. Elles peuvent être conservées jusqu’à 30 jours pour détecter les abus ; une conservation nulle (« zero data retention ») peut être demandée pour certains usages. Un DPA est disponible, ainsi qu’une région Europe.
Où vont vos données ?
Pour un client établi en Suisse, le cocontractant d’OpenAI est OpenAI Ireland Ltd, selon le contrat de services. Même avec la résidence des données, OpenAI précise que certaines opérations peuvent avoir lieu hors de la région choisie : authentification, routage, métadonnées, recherche web ou applications connectées. Il n’existe pas d’option « Suisse uniquement ».
Prix de ChatGPT en Suisse, à la date du 30 octobre 2026
Prix affichés sur la page tarifs d’OpenAI, consultée depuis la Suisse :
| Offre | Prix par utilisateur et par mois | Entraînement par défaut |
|---|---|---|
| Free | CHF 0 | Oui, refus possible |
| Go | CHF 7 | Oui, refus possible |
| Plus | CHF 20 | Oui, refus possible |
| Pro | Dès CHF 83 | Oui, refus possible |
| Business, poste Standard | CHF 15 (annuel) ou CHF 19 (mensuel) | Non |
| Business, poste Premium | CHF 81.10 (annuel) ou CHF 102.70 (mensuel) | Non |
| Enterprise | Sur demande auprès d’OpenAI | Non |
Business demande au moins deux postes et vise les équipes de 2 à 200 personnes. Le centre d’aide d’OpenAI rappelle que les prix varient selon le pays et la devise : vérifiez le montant final et la TVA au moment de commander.
Ce que dit la loi suisse
La nLPD s’applique directement à l’IA
C’est la position du PFPDT, publiée le 9 novembre 2023 et mise à jour le 8 mai 2025 : la loi est neutre sur le plan technologique, donc elle s’applique déjà aux traitements de données basés sur l’IA, sans attendre une loi spécifique. Le Préposé en déduit notamment :
- la finalité, le fonctionnement et les sources de données d’un traitement par IA doivent être transparents ;
- une personne a le droit de savoir si elle échange avec une machine et si ses données servent à améliorer le système ;
- une analyse d’impact est nécessaire en cas de risque élevé.
Ce que recommandent l’OFCS et le PFPDT
Le 16 octobre 2026, l’Office fédéral de la cybersécurité (OFCS) et le PFPDT ont publié des recommandations pour l’IA au travail :
- privilégier les versions Business ou Enterprise fournies par l’entreprise plutôt que des comptes personnels ;
- avant chaque saisie, repérer les données personnelles, les données de clients et les secrets d’affaires, et les anonymiser ;
- savoir quand les données servent à l’entraînement et utiliser les options de refus ;
- côté entreprise : des règles internes claires, une formation du personnel, des contrats qui excluent l’entraînement et, au besoin, des outils de prévention des fuites de données.
Les articles à connaître
| Article | Ce que prévoit la loi | En pratique avec ChatGPT |
|---|---|---|
| Art. 6 LPD | Licéité, bonne foi, proportionnalité, finalité reconnaissable, exactitude | Ne transmettez que le nécessaire et vérifiez les réponses |
| Art. 7 LPD | Protection des données dès la conception et par défaut | Réglages restrictifs par défaut : entraînement désactivé, connecteurs limités |
| Art. 8 LPD | Sécurité des données adaptée au risque | Authentification forte, accès limités |
| Art. 9 LPD | Sous-traitance par contrat, si aucun devoir de secret ne s’y oppose et si la sécurité est assurée | Signez le DPA du fournisseur |
| Art. 16–17 LPD | Communication à l’étranger : État reconnu adéquat, garanties (clauses types…) ou exceptions | Vérifiez où les données sont traitées, sous-traitants compris |
| Art. 19 LPD | Devoir d’informer, y compris sur les destinataires et les pays étrangers | Mettez à jour votre déclaration de confidentialité |
| Art. 21 LPD | Décision individuelle automatisée : informer et permettre une revue humaine | Ne laissez pas l’IA trancher seule un dossier |
| Art. 22 LPD | Analyse d’impact si le risque est élevé | Données sensibles à grande échelle, profilage |
| Art. 61–62 LPD | Amendes jusqu’à CHF 250 000, en cas d’intention et sur plainte | Visent en principe les personnes physiques responsables |
À noter : les PME de moins de 250 collaborateurs sont en principe dispensées du registre des activités de traitement (art. 24 OPDo), sauf traitement de données sensibles à grande échelle ou profilage à risque élevé.
Transferts vers les États-Unis
Depuis le 15 septembre 2024, le Conseil fédéral reconnaît un niveau de protection adéquat aux entreprises américaines certifiées selon le Swiss-U.S. Data Privacy Framework (annexe 1 de l’OPDo, où figurent aussi les États de l’UE et de l’EEE). Sans certification, il faut d’autres garanties, par exemple des clauses types reconnues par le PFPDT (art. 16 al. 2 LPD). Vérifiez donc chaque sous-traitant listé dans le DPA, pas seulement le cocontractant.
Secret professionnel : prudence renforcée
L’art. 321 du Code pénal punit, sur plainte, d’une peine privative de liberté de trois ans au plus ou d’une peine pécuniaire la révélation d’un secret confié notamment aux avocats, notaires, médecins, dentistes, pharmaciens, psychologues, aux réviseurs soumis au secret selon le Code des obligations, ainsi qu’à leurs auxiliaires. La révélation n’est pas punissable si l’intéressé y consent.
Pour une fiduciaire qui tient la comptabilité de ses clients ou pour une régie, l’art. 62 LPD peut s’appliquer : il punit d’une amende jusqu’à CHF 250 000 la révélation intentionnelle de données personnelles secrètes apprises dans l’exercice d’une profession. Et l’art. 9 LPD exclut la sous-traitance si un devoir légal ou contractuel de garder le secret s’y oppose.
Notre conseil : pour ces données, anonymisez avant toute saisie, obtenez le consentement du client ou utilisez un modèle hébergé en Suisse sous contrat.
Les alternatives et leur position sur les données
Microsoft 365 Copilot et Copilot Chat
Avec un compte professionnel, les requêtes et les réponses sont couvertes par le DPA et les conditions de Microsoft, qui agit comme sous-traitant, et ne servent pas à entraîner les modèles de fondation. Pour un client inscrit en Suisse, elles relèvent de l’EU Data Boundary, qui couvre l’UE et l’AELE, donc la Suisse. Microsoft avait annoncé en novembre 2025 un traitement « dans le pays » pour la Suisse en 2026 ; le 3 avril 2026, il a précisé que pour l’UE et l’AELE, il serait assuré au niveau régional, dans l’EU Data Boundary. Exceptions documentées : les recherches web envoyées à Bing et les modèles d’Anthropic proposés dans Copilot.
Gemini dans Google Workspace
Google indique que Workspace n’utilise pas les données des clients pour entraîner des modèles sans autorisation, que les requêtes sont des données client au sens de son Cloud Data Processing Addendum et qu’elles ne sont pas relues par des humains. Depuis juin 2025, les clients Enterprise Plus, ou avec l’option Assured Controls, peuvent imposer un traitement de Gemini dans l’UE ou aux États-Unis. Pas de région suisse. Le Gemini grand public suit d’autres règles.
Mistral Vibe (anciennement Le Chat)
L’entreprise française Mistral a renommé Le Chat en Vibe en 2026. Les données sont hébergées dans l’UE par défaut, avec des transferts temporaires possibles vers des sous-traitants listés. Selon son centre d’aide (septembre 2026), les clients Enterprise sont exclus de l’entraînement par défaut, pas les utilisateurs individuels, qui doivent désactiver l’option eux-mêmes. Sur l’offre Team, l’administrateur peut la désactiver pour toute l’organisation : vérifiez ce réglage.
Claude (Anthropic), offres Team et Enterprise
Les offres commerciales d’Anthropic (Team, Enterprise et API) ne servent pas à l’entraînement par défaut, et son DPA est intégré à ses conditions commerciales. Les offres individuelles (Free, Pro, Max) ont un réglage d’entraînement depuis 2025 ; s’il est activé, la conservation passe à cinq ans. Pour un traitement en Europe, Anthropic renvoie vers AWS Bedrock et Google Cloud Vertex AI. Vérifiez les conditions actuelles pour Team et Enterprise.
Apertus, le modèle de langage suisse ouvert
Apertus est développé par l’EPFL, l’ETH Zurich et le Centre suisse de calcul scientifique (CSCS). La version actuelle, Apertus 1.5, est sortie le 24 juillet 2026. Elle comprend aussi l’image et l’audio et elle est publiée sous licence Apache 2.0, avec ses poids, son code et la documentation de ses données d’entraînement. Où l’utiliser :
- chez Infomaniak, dans l’assistant Euria : le modèle tourne sur son infrastructure en Suisse et les contenus ne servent pas à l’entraînement ;
- chez Swisscom, qui l’a ouvert à ses clients entreprises sur sa plateforme d’IA souveraine dès le lancement d’Apertus en septembre 2025 ;
- sur votre propre infrastructure, en téléchargeant les poids sur Hugging Face (versions de 8 et 70 milliards de paramètres ; la seconde demande nettement plus de puissance de calcul).
Open source ne veut pas dire conforme : ce sont l’hébergement et le contrat qui comptent.
Tableau comparatif, à la date du 30 octobre 2026
| Outil | Entraînement sur vos données | Contrat (DPA) | Lieu de traitement |
|---|---|---|---|
| ChatGPT Free, Go, Plus, Pro | Oui par défaut, refus possible | Non | Pas de choix |
| ChatGPT Business | Non par défaut | Oui | Pas de résidence des données |
| ChatGPT Enterprise | Non par défaut | Oui | Europe (EEE + Suisse) possible |
| API OpenAI | Non par défaut | Oui | Europe (EEE + Suisse) possible |
| Microsoft 365 Copilot (compte pro) | Non | Oui | EU Data Boundary, Suisse incluse, avec exceptions |
| Gemini dans Workspace | Non sans autorisation | Oui | UE ou États-Unis selon l’édition |
| Mistral Vibe | Oui par défaut, sauf Enterprise ; désactivable | Oui | UE par défaut |
| Claude Team, Enterprise | Non par défaut | Oui, intégré aux conditions | Europe via AWS ou Google Cloud |
| Apertus hébergé en Suisse | Selon l’hébergeur | Avec l’hébergeur | Suisse possible |
Check-list pour votre PME
1. Choisir l’offre
- Excluez les comptes personnels pour le travail et fournissez un compte professionnel.
- Sur Microsoft 365 ou Google Workspace, comparez d’abord avec l’IA déjà incluse.
- Pour des automatisations, passez par une API avec DPA et, si possible, une région européenne.
2. Régler les paramètres
- Activez l’authentification unique et multifacteur.
- N’activez que les applications et connecteurs utiles : chacun ouvre l’accès à d’autres données.
- Fixez une durée de conservation adaptée, là où l’offre le permet.
- Mistral Team : désactivez l’entraînement dans la console d’administration.
- Copilot : décidez si la recherche web et les modèles d’Anthropic doivent rester actifs.
3. Ce qu’il ne faut jamais coller
Notre règle, même avec une offre professionnelle :
- des données couvertes par un secret professionnel, sans anonymisation ni consentement ;
- des données sensibles au sens de l’art. 5 LPD : santé, opinions religieuses ou politiques, origine ethnique, données génétiques ou biométriques, poursuites pénales, aide sociale, etc. ;
- des mots de passe, clés d’accès ou codes ;
- des dossiers du personnel : évaluations, salaires, certificats médicaux ;
- des coordonnées bancaires ou des numéros AVS liés à une personne ;
- des documents qu’un client ou un partenaire vous a confiés comme confidentiels.
4. Quand signer un DPA
Dès que des données personnelles de clients, de candidats ou de collaborateurs passent par l’outil (art. 9 LPD). Vérifiez la liste des sous-traitants, les pays de traitement, les garanties de transfert (art. 16 LPD), l’annonce des violations de sécurité et la suppression des données en fin de contrat.
5. Quand informer vos clients
- Toujours dans votre déclaration de confidentialité : destinataires, comme le fournisseur d’IA, et pays étrangers, avec les garanties (art. 19 LPD).
- Quand un client échange avec un chatbot : dites-lui qu’il parle à une machine.
- Quand une décision qui le concerne est prise automatiquement : informez-le et proposez une revue humaine (art. 21 LPD).
- Pour une donnée couverte par un secret professionnel : obtenez son consentement.
6. Quand préférer un modèle hébergé en Suisse ou open source
- Données couvertes par un secret professionnel.
- Données sensibles ou gros volumes de données personnelles.
- Clients ou contrats qui exigent un traitement en Suisse.
- Besoin de garder la même version de modèle sur la durée.
Dans ces cas, un modèle comme Apertus, hébergé en Suisse ou chez vous, limite les transferts. Il demande plus de mise en place et ses résultats diffèrent de ceux des modèles de pointe : testez-le sur vos cas réels.
Et le droit européen ?
Si les résultats de vos outils d’IA sont utilisés dans l’Union européenne, l’AI Act peut aussi s’appliquer à votre PME, même établie en Suisse. Notre guide sur la loi IA en Suisse fait le point, avec le calendrier à jour.
Passer à l’action
Une règle écrite vaut mieux qu’une interdiction que personne ne respecte. Notre modèle de charte IA vous aide à fixer quels outils sont autorisés et avec quelles données. Pendant notre atelier d’équipe d’une demi-journée, dans vos locaux, nous appliquons ces règles à vos propres exemples et vous repartez avec votre charte.
Pour vos automatisations, nous choisissons le modèle selon la tâche et la sensibilité des données : modèles de pointe (GPT, Claude, Gemini, Mistral…) ou modèles open source comme Apertus, hébergés en Suisse ou sur votre infrastructure pour les données sensibles. Vous décidez où vos données sont traitées. Pour commencer, demandez un audit IA gratuit.