Une gérante de cabinet dentaire à Carouge a mis en place cet été un agent IA qui répond aux premières questions des patients par WhatsApp — prise de rendez-vous, rappel avant une consultation, relance en cas d'annulation. L'outil fonctionne bien, les patients apprécient la rapidité. Puis un jour, un patient demande par écrit : « où sont stockés mes échanges avec votre assistant, et qui d'autre que vous peut les lire ? ». Elle réalise qu'elle n'en sait rien elle-même — elle a choisi l'outil sur une recommandation, coché les cases d'inscription un soir entre deux rendez-vous, et n'a jamais posé la question au fournisseur. Ce n'est pas de la négligence : c'est que personne, en installant un agent IA pour gagner du temps, ne pense spontanément à se demander où passent les messages, les numéros de téléphone et parfois les informations de santé qu'il traite au passage.
Le risque n'est pas théorique, et il se chiffre. Depuis septembre 2023, la loi fédérale sur la protection des données révisée (nLPD) prévoit des amendes jusqu'à 250 000 CHF en cas de violation intentionnelle des obligations d'information ou de sécurité — une amende qui vise la personne responsable au sein de l'entreprise, pas seulement la société. Même sans jamais atteindre ce plafond, le scénario le plus probable coûte déjà cher en temps : une violation de données (un accès non autorisé, une fuite chez le fournisseur de l'agent IA) oblige à notifier le préposé fédéral et, dans les cas graves, les personnes concernées elles-mêmes, une par une, avec le motif exact de la fuite. Comptez, pour une PME de taille moyenne, entre 15 et 30 heures de travail pour documenter l'incident, prévenir les clients concernés et remettre les processus en ordre — soit 1 000 à 2 000 CHF de temps interne à 70 CHF de l'heure chargée, sans compter l'image écornée auprès d'une clientèle qui retient surtout « ils ont perdu mes données », bien après que le problème technique a été réglé. Ajoutez à cela un facteur souvent oublié : une bonne partie des polices d'assurance responsabilité civile professionnelle des PME suisses excluent explicitement les incidents liés à un sous-traitant informatique non déclaré — vérifier ce point auprès de son assureur avant l'incident coûte un appel téléphonique ; le découvrir après en coûte le montant intégral du sinistre, à la charge de l'entreprise.
Genève et le canton de Vaud n'ont pas de règle cantonale spécifique sur ce point, mais concentrent deux facteurs qui rendent la question plus pressante qu'ailleurs en Suisse : une forte proportion de clientèle frontalière ou résidant dans l'Union européenne, ce qui fait s'appliquer le RGPD européen en plus de la nLPD suisse dès qu'un client concerné habite en France voisine ou ailleurs en UE ; et une densité de PME dans des secteurs sensibles aux données — cabinets médicaux et dentaires, fiduciaires, études d'avocats, agences immobilières — où l'agent IA touche souvent bien plus qu'un simple nom et une adresse e-mail.
La sortie ne demande pas un service juridique interne, mais trois réflexes simples avant de brancher ou de garder un agent IA. Premier réflexe : dresser la liste de ce que l'outil voit réellement — un agent qui répond aux demandes de devis touche moins de données sensibles qu'un agent qui trie des dossiers de comptabilité ou des dossiers patients ; cet inventaire tient sur une feuille et prend une demi-heure, pas un audit externe. Deuxième réflexe : exiger par écrit, avant de signer, où les données sont hébergées (Suisse, Union européenne, ou ailleurs), si un contrat de sous-traitance des données existe, et pour combien de temps les échanges sont conservés par défaut — un e-mail de réponse suffit, ce n'est pas un document juridique complexe à demander, et un fournisseur qui ne peut pas y répondre en quelques jours donne déjà une indication claire. Troisième réflexe : commencer par le processus qui touche le moins de données sensibles — l'accueil téléphonique général plutôt que les dossiers de santé ou les relevés bancaires — observer deux à trois semaines, puis étendre une fois les réponses aux deux premières questions obtenues par écrit et jugées satisfaisantes. Ce même inventaire sert aussi en interne : il suffit souvent pour répondre calmement au patient ou au client qui pose la question, plutôt que de découvrir qu'on n'a pas la réponse au moment où on vous la demande.
Un point rassure souvent les dirigeants qui découvrent ce sujet pour la première fois : la loi n'interdit pas d'utiliser un agent IA sur des données de clients, elle demande seulement de savoir où elles vont et de pouvoir l'expliquer si on vous le demande. Un fournisseur sérieux — Lemany y compris — répond sans détour à ces trois questions et propose, quand c'est nécessaire, un hébergement en Suisse ou en Europe pour un supplément généralement modeste, souvent 20 à 50 CHF par mois, largement inférieur au coût d'une notification de violation gérée dans l'urgence.
Le signal d'alarme à repérer avant de signer n'a rien de technique : si un fournisseur botte en touche sur la localisation des données, renvoie systématiquement vers des conditions générales de 40 pages en anglais sans réponse directe, ou ne peut pas dire ce qui se passe si vous voulez récupérer et supprimer vos données en cas de départ, ce n'est pas un détail administratif — c'est le signe qu'il faut continuer à comparer avant de brancher le moindre message de client à cet outil.
Parlons-en 30 minutes.