nLPD et chatbots : la checklist de conformité 2026

Sur cette page

1. Ce que la nLPD implique pour un chatbot
2. Les données personnelles dans les conversations
3. Dites aux visiteurs qu'ils parlent à une IA
4. Où les données sont stockées et où elles circulent
5. Contrat de sous-traitance (DPA) et sous-traitants ultérieurs
6. Conservation, suppression et droits des personnes
7. Droits d'accès et traçabilité
8. La checklist pratique
9. Comment intoCHAT vous aide avec la checklist
10. Questions fréquentes

Si votre entreprise opère en Suisse et utilise un chatbot IA, vous traitez des données personnelles au sens de la loi fédérale révisée sur la protection des données (nLPD). Applicable depuis le 1er septembre 2023, elle rapproche le droit suisse du RGPD européen, avec quelques spécificités suisses. Cet article est une checklist pratique pour un chatbot de site web, celle qu'une équipe juridique ou achats suisse passe en revue avant le lancement. Il ne constitue pas un conseil juridique.

Ce que la nLPD implique pour un chatbot

Les points qui comptent le plus pour un chatbot :

• Devoir d'informer (art. 19). Quand vous collectez des données personnelles, vous indiquez qui vous êtes, pourquoi vous les traitez, qui les reçoit et, en cas de communication à l'étranger, vers quels États. Le chatbot doit figurer dans votre déclaration de confidentialité.
• Protection des données dès la conception et par défaut (art. 7). Ne collectez que ce dont le chatbot a besoin, et choisissez des réglages par défaut qui protègent les visiteurs.
• Sous-traitance (art. 9). Le fournisseur du chatbot traite les données pour votre compte. Vous restez responsable, il vous faut un contrat, et le fournisseur ne peut recourir à des sous-traitants qu'avec votre autorisation préalable.
• Registre des activités de traitement (art. 12). Les entreprises de moins de 250 collaborateurs en sont dispensées, sauf si elles traitent à grande échelle des données sensibles ou pratiquent un profilage à risque élevé. Beaucoup de PME en tiennent un malgré tout, car il facilite les autres obligations.
• Violations de la sécurité des données (art. 24). Une violation entraînant vraisemblablement un risque élevé doit être annoncée au PFPDT dans les meilleurs délais.
• Amendes. Jusqu'à CHF 250 000 pour les violations intentionnelles de certaines obligations, visant les personnes responsables plutôt que l'entreprise.

Les données personnelles dans les conversations

Une conversation avec un chatbot contient presque toujours des données personnelles, même sans demander de nom ni d'e-mail. Les visiteurs tapent des noms, des numéros de commande, des adresses, et parfois des informations sur leur santé, leurs finances ou leur situation juridique. Une partie relève des données sensibles au sens de la nLPD et demande plus de précautions.

Chaque chatbot a donc besoin d'une finalité définie, d'une règle de conservation, d'une procédure qui fonctionne pour les demandes d'accès et d'effacement, et d'une mention dans votre déclaration de confidentialité indiquant ce que le chatbot collecte et qui reçoit les données.

Dites aux visiteurs qu'ils parlent à une IA

Le PFPDT a rappelé que la nLPD s'applique directement aux traitements basés sur l'IA, et que les personnes doivent savoir quand elles parlent à une machine. Présentez l'agent comme un assistant IA dans son message d'accueil et liez votre déclaration de confidentialité depuis la fenêtre de chat. Si vous servez aussi des visiteurs dans l'UE, l'AI Act européen exige la même chose : ses obligations de transparence de l'article 50 s'appliquent à partir d'août 2026.

Où les données sont stockées et où elles circulent

La nLPD n'exige pas que les données restent en Suisse. La communication est permise vers les États que le Conseil fédéral reconnaît comme adéquats, dont les États de l'UE et de l'EEE. Depuis le 15 septembre 2024, la liste couvre aussi les entreprises américaines certifiées selon le Swiss-US Data Privacy Framework. Pour les autres destinataires, il faut des garanties, en général des clauses contractuelles types.

Pour un chatbot, posez la question pour deux endroits :

• Où les conversations sont stockées : la base de données et le stockage de fichiers du fournisseur.
• Où les messages sont traités : chez le fournisseur du modèle d'IA qui rédige les réponses. La plupart des grands fournisseurs (OpenAI, Anthropic, Google) traitent aux États-Unis. Demandez lequel votre chatbot utilise, s'il entraîne ses modèles sur vos données et combien de temps il les conserve.

Contrat de sous-traitance (DPA) et sous-traitants ultérieurs

Le fournisseur d'un chatbot traite presque toujours des données personnelles pour votre compte : il vous faut donc un contrat de sous-traitance (souvent appelé DPA). Il couvre les catégories de données, les finalités, les sous-traitants ultérieurs et la façon dont vous êtes informé des nouveaux, les mesures de sécurité, la notification des violations et l'aide pour les demandes des personnes concernées. Un fournisseur qui ne peut pas en fournir un sur demande représente un risque.

Conservation, suppression et droits des personnes

Décidez combien de temps vous gardez les historiques et les leads, et mettez-le par écrit. Un schéma courant : quelques mois pour les historiques, la durée de la relation client pour les leads, et des statistiques anonymisées au-delà. Vérifiez que votre chatbot vous permet de l'appliquer : supprimer une conversation, supprimer un lead et exporter ce que vous détenez sur une personne quand elle le demande. Selon la nLPD, vous répondez à une demande d'accès dans les 30 jours.

Droits d'accès et traçabilité

Qui peut lire les historiques et modifier l'agent ? Donnez à chaque membre de l'équipe seulement l'accès dont il a besoin, exigez la connexion à deux facteurs et gardez une trace de qui a modifié quoi. Pour les banques, les assurances et les autres entreprises réglementées, l'authentification unique et une traçabilité plus longue figurent en général dans le questionnaire fournisseur.

La checklist pratique

• Contrat de sous-traitance signé, liste des sous-traitants ultérieurs archivée.
• Lieu de stockage et fournisseur d'IA documentés, y compris les communications à l'étranger et leur base légale.
• Déclaration de confidentialité mise à jour : le chatbot, ce qu'il collecte, qui reçoit les données, dans quels pays.
• L'agent se présente comme une IA, et la fenêtre de chat renvoie à votre déclaration de confidentialité.
• Règle de conservation par catégorie de données, avec une routine qui supprime les anciennes conversations et les anciens leads.
• Demandes d'accès, d'effacement et de rectification testées de bout en bout.
• Accès de l'équipe limité par rôle, connexion à deux facteurs active, modifications journalisées.
• Agent limité à vos propres contenus et à vos propres domaines.
• Procédure en cas de violation convenue avec le fournisseur.

Comment intoCHAT vous aide avec la checklist

Aucun logiciel ne rend un chatbot conforme à lui seul, et intoCHAT ne détient aucune certification comme SOC 2 ou ISO 27001. Il vous donne les réglages et la documentation pour la plupart des points ci-dessus.

• Contrat et fournisseurs. Vous pouvez demander un contrat de traitement des données à privacy@intochat.ai. La politique de confidentialité liste les fournisseurs : Vercel (hébergement et stockage de fichiers), Supabase (base de données), Redis Cloud dans l'UE (limites de débit), OpenAI, Anthropic et Google (réponses de l'IA), Firecrawl (lecture de votre site), Resend (e-mails) et Stripe (paiements).
• Hébergement. La base de données qui contient ce qu'intoCHAT stocke est hébergée en Suisse. Il n'y a pas de choix de région, et certains fournisseurs traitent des données aux États-Unis et dans d'autres pays, sous clauses contractuelles types lorsque la loi l'exige.
• Choix du modèle et du fournisseur. Chaque agent rédige ses réponses avec GPT-6 Luna d'OpenAI par défaut. Dès Starter, vous pouvez choisir à la place un modèle Claude d'Anthropic ou un modèle Gemini de Google. OpenAI reste utilisé pour indexer vos connaissances et pour des fonctions d'arrière-plan comme les résumés : mentionnez-le dans votre déclaration de confidentialité, quel que soit le modèle choisi. intoCHAT n'entraîne aucun modèle d'IA sur vos données ni sur celles de vos visiteurs.
• Des réponses tirées de vos contenus. Vous décidez des pages, fichiers et questions-réponses dont l'agent apprend. Des règles intégrées lui font dire ce qu'il ne peut pas confirmer au lieu d'inventer une réponse, et il ne demande jamais de mot de passe ni de données de carte dans le chat.
• Suppression et export. Supprimez une conversation avec ses messages et ses fichiers, supprimez des leads et des contacts, et exportez conversations, leads et contacts en CSV pour répondre à une demande d'accès. Avec Let visitors delete their chat, les visiteurs suppriment eux-mêmes leur conversation depuis le widget. Il n'y a pas de suppression automatique programmée : prévoyez un nettoyage régulier conforme à votre règle de conservation.
• Mention de l'IA. Vous choisissez le nom et le message d'accueil de l'agent, et le texte de pied du widget peut renvoyer à votre déclaration de confidentialité.
• Vérification d'identité. Dans toutes les offres, votre serveur signe l'identifiant de chaque utilisateur connecté : l'agent sait à qui il parle, et personne ne peut se faire passer pour un autre client. Vous pouvez réserver le chat aux visiteurs vérifiés.
• Contrôle de l'équipe. Rôles (Admin, Editor, Viewer) et accès à des agents choisis dès Starter, connexion à deux facteurs pour tous, et un journal d'audit des modifications du compte avec Pro (90 jours) et Enterprise (365 jours). Il indique qui a modifié des agents, des sources, des intégrations, des clés API et des membres de l'équipe, et qui a téléchargé des exports, jamais le contenu des messages. L'authentification unique SAML et les rôles personnalisés sont inclus dans Enterprise.
• Où l'agent répond. Limitez-le à vos propres domaines et bloquez les pays que vous ne servez pas.

Pour le RGPD et la nLPD côte à côte, lisez notre guide RGPD et nLPD des chatbots. Pour une vue d'ensemble, voyez la page chatbot IA pour la Suisse.

Cet article est informatif et ne constitue pas un conseil juridique. Pour une interprétation contraignante de la nLPD pour votre entreprise, consultez un avocat suisse spécialisé en protection des données.

Questions fréquentes

La nLPD s'applique-t-elle aux chatbots de site web ?

Oui. Une entreprise qui utilise un chatbot en Suisse traite des données personnelles au sens de la loi fédérale révisée sur la protection des données (nLPD), applicable depuis le 1er septembre 2023. Les historiques de chat, les coordonnées et les messages libres peuvent contenir des données personnelles : le chatbot doit donc figurer dans votre déclaration de confidentialité et, si vous en tenez un, dans votre registre des activités de traitement.

La nLPD impose-t-elle de stocker les données du chatbot en Suisse ?

Non. La nLPD n'impose pas de stockage en Suisse. Les communications à l'étranger sont permises vers les États que le Conseil fédéral reconnaît comme adéquats, comme les États de l'UE et de l'EEE, et vers les entreprises américaines certifiées selon le Swiss-US Data Privacy Framework ; les autres exigent des garanties comme les clauses contractuelles types. La base de données d'intoCHAT est hébergée en Suisse, sans choix de région, et ses fournisseurs d'IA traitent les messages aux États-Unis et dans d'autres pays.

Ai-je besoin d'un contrat de sous-traitance avec mon fournisseur de chatbot ?

Dans presque tous les cas, oui, car le fournisseur traite des données personnelles pour votre compte. Le contrat doit couvrir les catégories de données, les finalités, les sous-traitants, les mesures de sécurité, la notification des violations et l'aide pour les demandes des personnes concernées. intoCHAT fournit un contrat de traitement des données sur demande à privacy@intochat.ai.

Quelles sanctions prévoit la nLPD ?

La nLPD prévoit des amendes jusqu'à CHF 250 000 en cas de violation intentionnelle de certaines obligations, comme le devoir d'informer, les règles sur la communication à l'étranger et le devoir de diligence lors du choix d'un sous-traitant. Les amendes visent les personnes responsables, par exemple les dirigeants, plutôt que l'entreprise. Documenter le traitement et signer un contrat de sous-traitance réduisent ce risque.

intoCHAT rend-il un chatbot conforme à la nLPD ?

Aucun logiciel ne rend un chatbot conforme à lui seul, et intoCHAT ne détient aucune certification comme SOC 2 ou ISO 27001. Il vous donne en revanche les outils pour une grande partie de la checklist : un contrat de traitement des données sur demande, une base de données hébergée en Suisse, le choix du fournisseur d'IA par agent (OpenAI, Anthropic ou Google), la suppression et l'export CSV des conversations et des leads, un bouton de suppression pour les visiteurs, la vérification d'identité, des rôles d'équipe, la connexion à deux facteurs et un journal d'audit avec Pro. OpenAI indexe vos connaissances quel que soit le modèle choisi : mentionnez-le dans votre déclaration de confidentialité.