nLPD et chatbots : la checklist de conformité 2026
Si votre entreprise opère en Suisse et exploite un chatbot — sur votre site, sur WhatsApp, sur Messenger — vous traitez des données personnelles sous la Loi fédérale révisée sur la protection des données (nLPD). En vigueur depuis le 1er septembre 2023, elle aligne largement la Suisse sur le RGPD, avec quelques spécificités suisses. Cet article est une checklist pratique — pas un conseil juridique, mais le cadre de due diligence qu'utilisent les équipes achats et juridiques suisses.
Ce qui a changé avec la nLPD
- Définition élargie des données personnelles — y compris transcriptions de chat avec identifiants, adresses IP, modèles de comportement identifiables.
- Privacy by design et by default — paramètres protecteurs livrés par défaut par les fournisseurs.
- Registre obligatoire des traitements — chaque activité, y compris les conversations chatbot, documentée.
- Règles plus strictes pour les transferts transfrontaliers — garanties supplémentaires pour les pays sans niveau "adéquat".
- Sanctions plus élevées — amendes jusqu'à CHF 250 000 pour les personnes physiques.
Données personnelles dans les conversations chatbot
Une conversation chatbot contient presque toujours des données personnelles — même sans nom ni e-mail. Les IP sont des données personnelles. Les empreintes navigateur aussi. Les messages en texte libre révélant des informations médicales, financières ou juridiques relèvent souvent de la catégorie "sensible".
Chaque déploiement chatbot nécessite : une base légale documentée, une politique de rétention avec calendrier de suppression, un moyen pour les utilisateurs d'exercer leurs droits, et une mention du chatbot dans la notice de confidentialité.
Résidence des données — où peuvent vivre les conversations ?
La nLPD n'exige pas de stockage en Suisse. Elle exige que les transferts vers des pays sans protection "adéquate" (selon le Conseil fédéral) incluent des garanties supplémentaires — clauses contractuelles types, mesures complémentaires, ou règles d'entreprise contraignantes.
En pratique, la plupart des entreprises suisses choisissent l'hébergement UE (reconnu adéquat) ou Suisse pour les déploiements Enterprise. L'hébergement US demande plus de paperasse. Demandez aux fournisseurs où les données sont stockées au repos.
Accord de traitement des données (DPA)
Si un fournisseur traite des données personnelles pour vous — et un fournisseur de chatbot le fait presque toujours — vous avez besoin d'un DPA. Il doit spécifier : catégories de données, finalités, durée, sous-traitants, mesures de sécurité, processus de notification de violation, droits des personnes concernées. Un fournisseur sans DPA signé est un risque de conformité.
Journaux d'audit et fenêtres de rétention
Pour les industries réglementées (banque, assurance, santé, juridique, pharma — courantes en Suisse), le journal d'audit de chaque conversation et chaque action système devient une attente standard. Questions à poser : les journaux sont-ils exportables, infalsifiables, et quelle est la rétention ?
Transferts transfrontaliers et fournisseurs de modèles IA
Les chatbots IA utilisent typiquement des grands modèles hébergés par des fournisseurs globaux (OpenAI, Anthropic, Google, Mistral). Question conformité : les données sont-elles envoyées sous forme identifiable, quels contrôles existent (chiffrement, minimisation, opt-out de l'entraînement), et la chaîne contractuelle est-elle documentée ?
Pour les déploiements sensibles — banque privée, santé, juridique — de nombreuses firmes suisses exigent des endpoints de modèle hébergés en UE.
La checklist pratique
- DPA signé en dossier.
- Données de conversation en région UE ou Suisse — documenté contractuellement.
- Politique de rétention par catégorie, avec suppression automatique.
- Notice de confidentialité mise à jour — chatbot, données collectées, base légale.
- Droits des personnes (accès, suppression, rectification) opérationnels.
- Journal d'audit activé, exportable, conservé selon les exigences réglementaires.
- Usage transfrontalier des modèles IA compris et documenté; déploiements sensibles avec endpoints UE.
- Posture sécurité du fournisseur revue — chiffrement au repos et en transit, SSO admin, RBAC.
- Processus de réponse aux incidents et notification de violation accordés.
Ce qu'intoCHAT vous laisse contrôler
Aucun logiciel ne rend un chatbot conforme à lui seul, et intoCHAT ne détient aucune certification en matière de protection des données. Il ne propose pas non plus de journal d'audit, de SSO ni de choix de la région d'hébergement. La conformité dépend de votre base légale, de votre politique de confidentialité et de vos durées de conservation.
Ce que la plateforme vous laisse contrôler : les contenus sur lesquels l'agent est entraîné, les coordonnées collectées (e-mail et/ou téléphone, seulement si le visiteur choisit de les partager) et la suppression, une par une, des conversations et des leads. Les réponses sont générées avec un modèle d'OpenAI, à mentionner dans votre registre et votre politique de confidentialité. Pour le détail, voir notre guide RGPD et nLPD des chatbots, ou la page chatbot IA pour la Suisse.
Cet article est informatif et ne constitue pas un conseil juridique. Pour une interprétation contraignante de la nLPD pour votre entreprise, consultez un avocat suisse en protection des données.
Questions fréquentes
La nLPD s'applique-t-elle aux chatbots de site web ?
Oui. Une entreprise qui exploite un chatbot en Suisse traite des données personnelles au sens de la loi fédérale révisée sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023. Les transcriptions de chat, les adresses IP et les messages libres peuvent contenir des données personnelles : le chatbot doit donc figurer dans votre registre des activités de traitement et dans votre politique de confidentialité.
La nLPD impose-t-elle de stocker les données du chatbot en Suisse ?
Non. La nLPD n'exige pas de stockage en Suisse, mais les transferts vers des pays sans niveau de protection adéquat, selon le Conseil fédéral, nécessitent des garanties supplémentaires comme des clauses contractuelles types. Demandez à chaque fournisseur où les données de conversation sont stockées au repos. intoCHAT ne propose pas de choix de la région d'hébergement.
Faut-il un accord de traitement des données avec le fournisseur du chatbot ?
Dans presque tous les cas, oui, car le fournisseur traite des données personnelles pour votre compte. L'accord doit préciser les catégories de données, les finalités, la durée, les sous-traitants, les mesures de sécurité, la procédure de notification des violations et les droits des personnes concernées. Un fournisseur incapable de fournir un accord signé sur demande représente un risque de conformité.
Quelles sanctions prévoit la nLPD ?
La nLPD prévoit des amendes allant jusqu'à CHF 250 000 en cas de violation intentionnelle de certaines obligations. Elles peuvent viser les personnes responsables, par exemple les dirigeants, et pas seulement les entreprises. Documenter le traitement effectué par le chatbot et signer un accord de traitement des données avec votre fournisseur aident à réduire ce risque.
intoCHAT rend-il un chatbot conforme à la nLPD ?
Aucun logiciel ne rend un chatbot conforme à lui seul, et intoCHAT ne détient aucune certification en matière de protection des données. Il ne propose ni journal d'audit, ni SSO, ni choix de la région d'hébergement, et génère les réponses avec un modèle d'OpenAI, à mentionner dans votre registre et votre politique de confidentialité. Vous gardez en revanche la main sur une partie de la checklist : vous décidez des pages, fichiers et textes dont l'agent apprend, et les visiteurs ne laissent leurs coordonnées que s'ils le choisissent.