RGPD, nLPD et règlement sur l'IA : obligations des entreprises suisses

Publié 2026-08-10· 6 min de lectureRGPD et IA

Votre entreprise a probablement déjà un programme nLPD en ordre : registre des traitements tenu à jour, mesures de sécurité documentées, peut-être une analyse d'impact archivée depuis la révision de la loi fédérale sur la protection des données entrée en vigueur le 1er septembre 2023. Puis un client européen a demandé si vous étiez conforme au RGPD, ou votre équipe a commencé à intégrer un outil d'IA dont les résultats sont utilisés par des personnes en France ou en Allemagne — et la question a changé de nature : le RGPD et le règlement européen sur l'IA s'appliquent-ils aussi, en plus de la nLPD ? La réponse courte est que cela dépend de ce que vous faites avec les données de personnes situées dans l'UE, pas de l'endroit où votre entreprise est enregistrée.

La nLPD, votre socle domestique depuis le 1er septembre 2023

Pour vos traitements concernant des personnes en Suisse — employés, clients suisses, prospects locaux — c'est la loi fédérale sur la protection des données révisée (nLPD) qui s'applique, sous la surveillance du Préposé fédéral à la protection des données et à la transparence (PFPDT). Le texte reprend, dans ses grandes lignes, des principes proches du RGPD : minimisation des données, analyse d'impact relative à la protection des données pour les traitements à risque élevé, obligation de notifier les violations de données, droits d'accès et de rectification pour les personnes concernées. La nLPD n'est cependant pas une transposition du RGPD, et l'un des écarts les plus concrets se situe justement dans son régime de sanctions, sur lequel il vaut mieux ne pas se tromper.

Le RGPD s'applique quand même, pour ce que vous faites vers l'UE

La Suisse n'est ni membre de l'UE ni de l'EEE, donc le RGPD ne s'applique pas directement à un traitement purement domestique confié par une entreprise suisse à des personnes en Suisse. Mais l'article 3, paragraphe 2, du RGPD prévoit un champ d'application extraterritorial : dès qu'une entreprise établie hors UE offre des biens ou des services à des personnes situées dans l'UE, ou suit leur comportement, le RGPD s'applique à ce traitement précis, même si l'entreprise elle-même est basée à Genève, Zurich ou Lugano. Une fintech romande qui vend son produit à des clients en France, un éditeur SaaS qui a des utilisateurs actifs en Allemagne, ou un acteur pharma ou medtech qui traite des données de patients ou d'essais cliniques européens, se trouvent tous, pour cette activité précise, sous le RGPD — en plus de la nLPD pour leurs traitements suisses. Ce n'est en général pas l'un ou l'autre : c'est souvent les deux, chacun appliqué à son propre périmètre.

Cette double couche coexiste avec la reconnaissance, de longue date, par l'Union européenne du niveau de protection offert par la Suisse comme adéquat pour les transferts de données depuis l'UE — une reconnaissance antérieure au RGPD, régulièrement réexaminée depuis. Nous ne donnons pas ici de date précise pour le prochain réexamen : mieux vaut vérifier ce point à la source que reprendre un chiffre incertain. Cette adéquation facilite les flux de données de l'UE vers la Suisse, mais elle ne dispense en rien votre entreprise du RGPD lorsque son activité entre dans le champ de l'article 3 paragraphe 2.

Le règlement sur l'IA ajoute une troisième couche, pour vos systèmes d'IA

Si votre entreprise développe ou utilise un système d'IA, une troisième strate peut s'appliquer : le règlement européen sur l'intelligence artificielle, le règlement (UE) 2024/1689. Son article 2 pose lui aussi un champ d'application extraterritorial, distinct de celui du RGPD : le texte s'applique lorsqu'un fournisseur suisse met un système d'IA sur le marché de l'UE ou le met en service dans l'UE, ou lorsque les résultats produits par ce système sont utilisés par des personnes dans l'UE — même si ni le fournisseur ni le système ne sont établis sur le territoire européen. Notre article sur le règlement sur l'IA pour les PME suisses détaille les niveaux de risque et les obligations qui en découlent ; retenez ici que ce test s'ajoute, indépendamment, à celui du RGPD et à celui de la nLPD, avec son propre périmètre d'application.

Le PFPDT ne suit pas ce qui relève du RGPD ou du règlement sur l'IA

Le PFPDT est l'autorité compétente pour la nLPD, et seulement pour la nLPD. Il n'a aucun mandat officiel sur l'application du RGPD ou du règlement sur l'IA aux activités de votre entreprise tournées vers l'UE : pour ces activités précises, c'est en principe une autorité de protection des données ou une autorité de surveillance du marché compétente dans l'UE qui pourrait intervenir, selon le pays où se trouvent les personnes concernées ou où le système d'IA est mis sur le marché. Notre article sur qui contrôle le règlement sur l'IA en Suisse revient en détail sur cette répartition des rôles. Le point à retenir ici est simple : ne vous appuyez ni sur votre conformité nLPD, ni sur un éventuel échange avec le PFPDT, pour couvrir ce qui relève du RGPD ou du règlement sur l'IA.

Ce qu'il faut vérifier, activité par activité

Votre entreprise offre-t-elle des biens ou services à des personnes situées dans l'UE, ou suit-elle leur comportement en ligne (cookies, profilage, mesure d'audience) ? Si oui, l'article 3 paragraphe 2 du RGPD s'applique probablement à ce traitement.
Un système d'IA que vous développez ou utilisez est-il mis sur le marché de l'UE, mis en service dans l'UE, ou ses résultats sont-ils utilisés par des personnes dans l'UE ? Si oui, le règlement sur l'IA s'applique, en plus de la nLPD.
Votre registre des traitements nLPD distingue-t-il clairement les traitements purement suisses de ceux qui touchent des personnes dans l'UE, avec une base légale RGPD documentée pour ces derniers ?
Si une partie de votre activité relève du RGPD, avez-vous désigné un représentant dans l'UE lorsque l'article 27 du RGPD l'exige ?
Vos contrats avec des sous-traitants ou fournisseurs d'IA, établis dans l'UE ou ailleurs, couvrent-ils séparément les exigences nLPD et RGPD, plutôt qu'un seul jeu de clauses supposé couvrir les deux à la fois ?

Information générale, pas un conseil juridique

Ce qui précède est une information générale destinée à vous orienter, pas un conseil juridique sur votre situation. L'articulation entre nLPD, RGPD et règlement sur l'IA dépend de la nature exacte de vos activités tournées vers l'UE, de votre secteur et de vos fournisseurs, et certains points, comme la date exacte du prochain réexamen de l'adéquation Suisse-UE, méritent d'être vérifiés au cas par cas plutôt que pris pour acquis. Quand Komplya publie ce type de contenu, nous distinguons ce qui a été revu juridiquement de ce qui reste un document de travail, afin que vous sachiez sur quoi vous appuyer.

Le moyen le plus rapide de savoir lesquels de ces trois textes s'appliquent réellement à votre activité est de passer en revue, cas par cas, vos traitements de données et vos systèmes d'IA tournés vers l'UE. Répondez à un court questionnaire sur votre activité et obtenez une lecture en langage simple de vos obligations nLPD, RGPD et règlement sur l'IA.