« La LPD s'applique à l'IA — déjà aujourd'hui »

À l'occasion de la journée internationale de la protection des données du 28 janvier 2026, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a invité à une conférence à l'Université de Lausanne — consacrée à l'utilisation de l'IA générative et aux défis qu'elle pose à la protection des données : PFPDT : Journée de la protection des données 2026.

La position qui y a été rappelée est remarquablement dépassionnée — et constitue, pour les entreprises suisses, la nouvelle la plus importante du mois.

La position en deux phrases

L'intelligence artificielle en tant que telle ne relève ni de la loi sur la protection des données ni de la compétence du PFPDT. Mais dès que des données personnelles sont traitées, la LPD révisée est directement applicable — elle est formulée de manière neutre sur le plan technologique et ne demande pas si ce sont un être humain ou une machine qui traitent les données.

Il ne faut pas une loi sur l'IA pour qu'une loi s'applique à l'IA.

La transparence est particulièrement soulignée : la personne concernée doit pouvoir reconnaître ce qu'il advient de ses données.

Une mise en perspective souvent mal faite

Dans de nombreux résumés, on lit que le PFPDT aurait « déclaré » en janvier 2026 que la LPD s'applique à l'IA. Ce n'est pas tout à fait exact. Il l'a rappelé. La clarification elle-même est nettement plus ancienne : elle date du 8 mai 2025, et cela avait déjà été dit une première fois le 9 novembre 2023 : PFPDT : La loi actuelle sur la protection des données est directement applicable à l'IA (8.5.2025).

La différence n'est pas un détail chicanier. Qui croit que la règle est nouvelle se pense dans les temps. En réalité, elle s'applique depuis plus de deux ans.

Ce que cela signifie en pratique

• Aucun délai transitoire : contrairement au règlement de l'UE, il n'y a pas de date à partir de laquelle les choses deviennent sérieuses. Elles le sont déjà.
• La transparence d'abord : qui applique l'IA à des données personnelles doit pouvoir le divulguer — envers les personnes concernées et envers l'autorité de surveillance.
• La responsabilité reste chez l'entreprise : elle ne peut pas être reportée sur le fournisseur du modèle.

Pour les entreprises qui livrent aussi dans l'UE, le règlement sur l'IA (AI Act) vient s'y ajouter — avec ses propres échéances et sa propre systématique. Le droit suisse ne le remplace pas et n'est pas remplacé par lui. Les deux s'appliquent en parallèle.