Assistant IA self-service paie : ce que la nLPD impose aux PME suisses

Un chatbot RH pratique — jusqu'à ce qu'il réponde à la mauvaise personne

Les assistants IA intégrés aux portails RH permettent à un employé de consulter sa fiche de paie, vérifier son solde de vacances ou simuler l'impact d'un taux d'activité réduit — sans solliciter la fiduciaire ni le responsable RH. Le gain de temps est réel. Le risque l'est tout autant : dès que l'IA accède à des données salariales nominatives, elle traite des données personnelles au sens de la loi fédérale sur la protection des données (nLPD), en vigueur depuis le 01.09.2023. Toute défaillance — mauvais contrôle d'accès, log mal sécurisé, réponse affichée sur l'écran d'un collègue — constitue une violation de données déclarable au PFPDT sous 72 heures.

Ce que la nLPD change concrètement pour un assistant IA paie

Données de salaire : sensibles par nature

La nLPD distingue les données personnelles ordinaires des données sensibles (art. 5 let. c nLPD). Le salaire brut, les déductions sociales, les avances sur salaire, les saisies sur salaire ou les indemnités APG ne figurent pas dans la liste exhaustive des données sensibles stricto sensu — mais leur combinaison avec l'identité, le taux d'activité, l'état civil ou les absences maladie crée un profil de personnalité au sens de l'art. 5 let. d nLPD. Ce profil exige un niveau de protection renforcé : base légale ou consentement explicite, mesures techniques et organisationnelles (MTO) documentées, et registre des activités de traitement tenu à jour.

Le responsable du traitement, c'est l'employeur — pas le fournisseur SaaS

L'employeur (la PME) reste responsable du traitement même si l'assistant IA est opéré par un prestataire externe. Le fournisseur devient sous-traitant au sens de l'art. 9 nLPD. Le contrat de traitement des données doit obligatoirement préciser : finalités autorisées, localisation des serveurs (Suisse ou UE avec garanties équivalentes), durée de conservation des logs de conversation, procédure de notification en cas de violation. Un contrat SaaS standard sans clause DPA spécifique ne suffit pas.

Droit d'accès et droit de rectification dans le contexte IA

Chaque employé dispose d'un droit d'accès (art. 25 nLPD) à l'ensemble des données le concernant — y compris les logs des questions posées à l'assistant IA et les réponses générées. Si l'outil conserve l'historique des conversations pour améliorer le modèle, ces logs doivent être communicables sur demande dans un délai de 30 jours. La PME doit également être en mesure d'effacer ou de rectifier les données inexactes que l'IA aurait enregistrées ou communiquées.

Authentification, cloisonnement et journalisation : les MTO incontournables

Authentification forte obligatoire

Un simple mot de passe ne suffit pas pour un accès aux données salariales via une interface IA. Le SECO et le PFPDT s'alignent sur les standards ISO 27001 : l'authentification à deux facteurs (2FA) est la norme minimale attendue pour tout portail donnant accès à des données personnelles financières. En pratique : application d'authentification (TOTP), SMS ou clé matérielle selon le niveau de risque.

Cloisonnement strict des données inter-employés

L'architecture de l'assistant IA doit garantir qu'une requête de l'employée Nathalie Reymond ne peut jamais retourner les données de son collègue Marc Favre, même par erreur de paramétrage ou d'injection de prompt. Ce cloisonnement passe par : des tokens de session liés à l'identité authentifiée, des requêtes SQL paramétrées filtrées par identifiant employé, et des tests de cloisonnement documentés (penetration testing ou revue de code). Pour une PME qui n'a pas les ressources internes, cette responsabilité incombe au fournisseur SaaS — mais l'employeur doit exiger la preuve écrite que ces tests ont été effectués.

Journalisation des accès et conservation limitée

Chaque consultation via l'assistant IA doit générer un log horodaté (qui, quoi, quand). Ces logs servent à détecter les accès anormaux et à prouver la conformité en cas de contrôle. Durée de conservation recommandée : 12 mois glissants, puis suppression automatique. Conserver les logs indéfiniment revient à créer un traitement de données supplémentaire sans base légale — ce qui expose à une sanction pénale jusqu'à CHF 250 000.- en cas de violation intentionnelle (art. 60 ss nLPD).

Transparence envers les employés : mentions obligatoires

L'art. 19 nLPD impose une déclaration de protection des données accessible avant ou au moment de la collecte. Pour un assistant IA paie, cela signifie concrètement :

• Une notice de confidentialité visible dans l'interface, avant la première interaction, indiquant : qui traite les données, dans quel but, avec quels sous-traitants (y compris le fournisseur du modèle LLM), et où les données sont hébergées.
• L'indication explicite que les conversations peuvent être journalisées et conservées X mois.
• Un point de contact pour exercer les droits nLPD (accès, rectification, suppression) : adresse e-mail ou formulaire dédié.

Si l'assistant utilise un modèle de langage dont les données d'entraînement passent par des serveurs hors Suisse et hors UE (ex. : fournisseur US sans clause de protection adéquate), l'employeur doit vérifier l'existence de garanties appropriées au sens de l'art. 16 nLPD — clauses contractuelles types ou décision d'adéquation. L'absence de telles garanties peut bloquer légalement le transfert.

Obligations spécifiques liées à la paie suisse

Données AVS et LPP : traitement strictement encadré

Le numéro AVS (numéro d'assuré à 13 chiffres) est une donnée à usage limité sous l'art. 50e LAVS : il ne peut être utilisé qu'à des fins de coordination des assurances sociales. Un assistant IA qui affiche le numéro AVS complet dans ses réponses ou qui le stocke dans ses logs va au-delà de cette finalité. La règle : masquer le numéro AVS dans toute interface IA (afficher au maximum les 4 derniers chiffres) et ne jamais l'inclure dans les réponses générées.

Saisies sur salaire et situations financières délicates

Si l'assistant peut répondre à des questions sur des saisies sur salaire ou des cessions de salaire (actes soumis à l'art. 93 LP pour le minimum vital), ces données relèvent d'une sensibilité particulière. Leur consultation doit être tracée avec une vigilance accrue. Recommandation : exclure ces catégories du périmètre self-service IA et les réserver à un accès RH ou fiduciaire direct.

Certificats de salaire et fiches de paie

La mise à disposition électronique des fiches de paie et certificats de salaire via l'assistant IA est légalement valide en Suisse, à condition que l'employé y ait accès à tout moment et que les documents soient exportables en format pérenne (PDF). L'employeur reste tenu de fournir le certificat de salaire annuel sous format papier sur demande — l'IA ne peut pas substituer cette obligation.

Cas pratique : Fiduciaire Morel SA, 18 employés, canton de Vaud

La Fiduciaire Morel SA (Lausanne, 18 collaborateurs) déploie en janvier 2025 un assistant IA self-service connecté à son logiciel de paie. L'objectif : permettre aux employés de consulter leurs fiches de paie des 12 derniers mois, leur solde de vacances et leur taux LPP sans solliciter Isabelle Favre, responsable administrative.

Configuration initiale problématique : le fournisseur SaaS stocke les logs de conversation sur des serveurs AWS us-east-1, sans DPA signé ni clause de transfert vers les États-Unis. Le numéro AVS apparaît en clair dans les réponses de l'IA. Aucune mention de confidentialité n'est affichée avant la première utilisation.

Violations nLPD identifiées :

• Transfert de données vers les États-Unis sans garanties adéquates (art. 16 nLPD) → risque de sanction pénale jusqu'à CHF 250 000.-
• Affichage du numéro AVS complet → violation art. 50e LAVS
• Absence de déclaration de protection des données → violation art. 19 nLPD
• Pas de DPA avec le sous-traitant → violation art. 9 nLPD

Mesures correctives et coût estimé :

1. Négociation d'un avenant DPA avec le fournisseur SaaS + migration des logs sur serveur EU (Frankfurt) : délai 3 semaines, coût SaaS additionnel estimé CHF 80.-/mois.
2. Masquage du numéro AVS dans les réponses IA (configuration côté fournisseur) : délai 5 jours ouvrables.
3. Rédaction et intégration d'une notice de confidentialité dans l'interface : délai 2 jours, coût interne ~4h juriste ou fiduciaire.
4. Activation du 2FA pour tous les accès au portail : délai 1 semaine, inclus dans l'abonnement SaaS existant.
5. Mise à jour du registre des activités de traitement (RAT) pour inclure l'assistant IA comme nouveau traitement.

Résultat : après 6 semaines de mise en conformité, l'assistant répond à environ 40 questions par mois (solde vacances, fiches de paie, simulation de réduction de taux), libérant Isabelle Favre d'environ 3h de travail administratif mensuel — sans exposer la fiduciaire à un risque nLPD identifiable.

Récapitulatif opérationnel

• Signer un DPA avec chaque fournisseur SaaS impliqué dans la chaîne de traitement de l'assistant IA, avant toute mise en production.
• Vérifier la localisation des serveurs de logs : Suisse ou UE avec décision d'adéquation. Tout transfert hors UE/CH exige des garanties contractuelles documentées (art. 16 nLPD).
• Masquer le numéro AVS dans toutes les réponses et interfaces IA : afficher au maximum les 4 derniers chiffres.
• Activer le 2FA sur le portail employé avant tout déploiement d'accès aux données salariales.
• Publier une notice de confidentialité dans l'interface IA, avant la première interaction, avec finalité, sous-traitants, durée de conservation et contact nLPD.
• Définir une durée de conservation des logs de conversation (12 mois recommandé) et automatiser leur suppression.
• Exclure du périmètre self-service IA les données de saisies sur salaire, avances exceptionnelles et situations de surendettement — réserver à un accès RH direct.
• Mettre à jour le registre des activités de traitement pour y inscrire l'assistant IA comme traitement distinct, avec sa base légale, ses finalités et ses MTO.
• Documenter les tests de cloisonnement inter-employés effectués par le fournisseur (rapport de pentest ou revue de code) et les conserver dans le dossier de conformité.
• Former les employés sur l'exercice de leurs droits nLPD (accès aux logs de conversation, demande de suppression) via une FAQ accessible dans le portail.

SynHR intègre nativement un registre des activités de traitement et un module de gestion des droits nLPD, utilisables directement depuis l'interface RH.

Sources

• Loi fédérale sur la protection des données (nLPD) — fedlex.admin.ch — texte consolidé de la nLPD en vigueur depuis le 01.09.2023, avec articles sur les obligations du responsable du traitement et les sanctions.
• Loi fédérale sur la poursuite pour dettes et la faillite (LP) — fedlex.admin.ch — texte de référence pour l'art. 93 LP sur le minimum vital et les saisies sur salaire.
• Office fédéral des assurances sociales (OFAS) — bsv.admin.ch — informations sur l'utilisation du numéro AVS (art. 50e LAVS) et les règles de traitement des données des assurances sociales.
• Secrétariat d'État à l'économie (SECO) — seco.admin.ch — ressources sur le droit du travail suisse, conditions d'emploi et obligations des employeurs en matière de données RH.
• Protection des données — ch.ch — guide pratique sur les droits des personnes concernées (accès, rectification, suppression) et les obligations des responsables de traitement en Suisse.