Données RH dans le cloud IA : adéquation nLPD et RGPD pour les PME suisses

Quand l'IA RH traite vos données hors de Suisse

Un outil de recrutement assisté par IA analyse les CV de vos candidats sur des serveurs AWS en Irlande. Votre SIRH propose un module de prédiction de turnover entraîné sur les données de paie de vos collaborateurs, hébergé en région Azure Europe-Ouest (Amsterdam). Ces configurations sont aujourd'hui la norme pour les SaaS RH du marché — y compris pour des PME de dix salariés. Ce qui a changé depuis le 01.09.2023, c'est que la nouvelle loi fédérale sur la protection des données (nLPD) impose désormais des obligations substantielles aux responsables du traitement établis en Suisse, quelle que soit la localisation physique des serveurs.

Cadre légal : nLPD, RGPD et la logique d'adéquation

La nLPD et son extraterritorialité

La nLPD s'applique à tout traitement de données personnelles qui déploie ses effets en Suisse, même si le traitement se déroule à l'étranger (art. 3 nLPD). Pour une PME vaudoise dont le fournisseur SaaS héberge les données en dehors de la Confédération, c'est l'employeur — en tant que responsable du traitement — qui reste juridiquement imputable. La sous-traitance à un prestataire cloud ne transfère pas la responsabilité ; elle la partage dans le cadre d'un contrat de sous-traitance conforme (art. 9 nLPD).

Les données RH — salaires, évaluations de performance, absences maladie, données bancaires pour le versement — constituent quasi systématiquement des données personnelles sensibles dès qu'elles incluent des informations sur la santé (art. 5 let. c nLPD). Leur traitement automatisé par un algorithme IA, en particulier quand il débouche sur des décisions individuelles (refus d'embauche, scoring de performance), déclenche l'obligation de réaliser une analyse d'impact relative à la protection des données (AIPD) au sens de l'art. 22 nLPD.

La décision d'adéquation Suisse–UE et ses limites pratiques

La Commission européenne a reconnu la Suisse comme pays offrant un niveau de protection adéquat. Cette décision d'adéquation, mise à jour après l'entrée en vigueur de la nLPD, signifie que les flux de données personnelles depuis l'UE vers la Suisse sont libres. L'inverse n'est pas symétrique : pour les transferts de données depuis la Suisse vers des pays hors de la liste établie par le Préposé fédéral à la protection des données et à la transparence (PFPDT), l'employeur doit garantir un niveau de protection équivalent, soit par clauses contractuelles types (CCT), soit par d'autres garanties appropriées (art. 16 et 17 nLPD).

Concrètement : si votre SIRH est hébergé en Irlande (UE), les CCT standard publiées par la Commission européenne — et reconnues par le PFPDT — suffisent en principe. Si les serveurs IA sont aux États-Unis, le cadre EU–US Data Privacy Framework s'applique côté européen, mais la Suisse a conclu un accord séparé dit Swiss–US Data Privacy Framework, en vigueur depuis le 17.07.2023. Votre fournisseur doit être certifié explicitement sous le volet suisse de ce framework — vérification à faire au niveau du contrat et sur le registre officiel américain.

Interaction avec le RGPD pour les filiales et clients UE

Une PME genevoise qui emploie des frontaliers français ou qui a des clients en France peut se retrouver doublement soumise : à la nLPD pour ses traitements internes et au RGPD pour les traitements qui ciblent des personnes physiques dans l'UE. Dans ce cas, les deux référentiels coexistent, et le niveau d'exigence le plus élevé s'impose en pratique. Le RGPD prévoit notamment l'obligation de nommer un délégué à la protection des données (DPO) pour les traitements à grande échelle ou portant sur des catégories particulières de données — seuil que plusieurs modules IA RH franchissent.

Ce que l'IA fait concrètement en RH — et les risques associés

Usages courants dans les PME romandes

Les fonctions IA les plus répandues dans les SIRH du segment PME (5–50 salariés) se regroupent en quatre catégories :

• Tri et scoring de CV : algorithmes de matching qui classent les candidats selon des critères pondérés. Risque de discrimination indirecte si le modèle a été entraîné sur des données historiquement biaisées.
• Prédiction de turnover : modèles entraînés sur ancienneté, absences, historique salarial, résultats d'entretiens. Produit un score individuel — ce qui constitue un traitement de décision automatisée au sens de l'art. 21 nLPD.
• Assistance à la rédaction : génération de fiches de poste, de lettres d'avertissement ou de rapports d'entretien via LLM (GPT-4, Gemini, Claude). Les données saisies dans les prompts peuvent transiter vers les serveurs de l'éditeur si la configuration enterprise n'est pas activée.
• Paie analytique : détection d'anomalies de paie, projection de masse salariale. Les données traitées incluent salaires nets, déductions sociales, coordonnées bancaires.

Décisions automatisées et droit à l'information

L'art. 21 nLPD impose au responsable du traitement d'informer les personnes concernées dès qu'une décision individuelle est prise sur la seule base d'un traitement automatisé et qu'elle a des effets juridiques ou significatifs sur elles. Un refus d'embauche fondé uniquement sur un score IA, sans intervention humaine, est illégal sans notification préalable et sans mécanisme de contestation. La personne a le droit de demander le réexamen de la décision par un humain. Pour les PME, cela se traduit par une clause dans la politique de confidentialité RH et une procédure interne documentée — pas uniquement une mention contractuelle avec le fournisseur SaaS.

Limites concrètes de l'IA RH

L'IA RH ne remplace pas le jugement managérial sur les situations complexes : un licenciement, une promotion, une gestion de conflit. Les erreurs de prédiction — faux positifs sur le turnover, biais dans le scoring — ont des conséquences humaines directes. La loi sur le travail (LTr) et le Code des obligations encadrent les droits des travailleurs indépendamment de tout outil technologique : un outil IA ne peut pas valider un licenciement abusif ni contourner un délai de congé légal.

Obligations concrètes pour l'employeur suisse

Le registre des activités de traitement

Toute organisation traitant des données personnelles à grande échelle ou des données sensibles doit tenir un registre des activités de traitement (art. 12 nLPD). Pour une PME de 20 salariés avec un SIRH cloud IA, cela signifie documenter au minimum : la finalité du traitement, les catégories de données, les destinataires (incluant les sous-traitants cloud), les pays de destination, les mesures de sécurité et les délais de conservation. La tenue de ce registre n'est pas optionnelle dès lors que des données de santé (absences maladie, déclarations maternité) sont traitées — quelle que soit la taille de l'entreprise.

Le contrat de sous-traitance (DPA)

Chaque fournisseur SaaS RH doit signer un Data Processing Agreement (DPA) conforme à l'art. 9 nLPD. Ce document doit préciser : les instructions de traitement, les mesures de sécurité techniques et organisationnelles, les conditions de sous-traitance ultérieure (le fournisseur qui sous-traite à AWS doit aussi vous le notifier), et les procédures en cas de violation de données. Un DPA générique téléchargeable en un clic suffit rarement — vérifiez notamment la clause sur les transferts vers des pays tiers et la liste des sous-processeurs IA.

Délais de notification en cas de violation

Depuis le 01.09.2023, toute violation de données susceptible d'entraîner un risque élevé pour les personnes concernées doit être notifiée au PFPDT dans les meilleurs délais (art. 24 nLPD). Contrairement au RGPD qui fixe 72 heures, la nLPD ne chiffre pas explicitement le délai mais la doctrine et les recommandations du PFPDT convergent vers une notification dans les 72 heures également. Si la violation concerne des données de paie hébergées chez un fournisseur américain, la notification reste à la charge de l'employeur suisse, même si c'est techniquement le fournisseur qui a subi l'incident.

Sanctions et risques réels pour une PME

La nLPD prévoit des sanctions pénales (et non administratives comme sous le RGPD) : jusqu'à CHF 250'000.- d'amende pour les personnes physiques responsables d'une violation intentionnelle (art. 60–66 nLPD). Les infractions visées incluent le défaut d'information sur les décisions automatisées, la violation du devoir de confidentialité, et le non-respect des obligations de sécurité. Il n'y a pas, à ce jour, de sanction directe contre les personnes morales sous la nLPD — la responsabilité pèse sur les individus (dirigeant, responsable RH).

Côté RGPD, le régime est inversé : amendes administratives jusqu'à 4 % du chiffre d'affaires mondial annuel ou EUR 20 millions (le montant le plus élevé) pour les violations graves. Une PME genevoise dont les frontaliers déposent une plainte auprès de la CNIL française peut ainsi se retrouver exposée à des procédures européennes, même si son siège est en Suisse.

Cas pratique : Fiduciaire Rochat SA, Morges, 18 collaborateurs

Adrienne Rochat, directrice associée de la fiduciaire Rochat SA à Morges, décide en mars 2024 d'implémenter un SIRH SaaS avec module IA intégré pour gérer la paie et le recrutement de ses 18 collaborateurs. Le fournisseur retenu est établi aux Pays-Bas, héberge ses données en région Azure West Europe (Amsterdam) et utilise un sous-processeur IA américain pour le scoring de CV.

Données traitées : salaires bruts (fourchette CHF 75'000.– à CHF 130'000.– annuels), déductions AVS/AI/APG/AC, taux de cotisation LPP, données bancaires (IBAN), données d'absence incluant codes maladie.

Problèmes identifiés lors de l'audit interne :

1. Le DPA avec le fournisseur néerlandais ne mentionne pas le sous-processeur américain. Violation de l'art. 9 al. 3 nLPD (obligation de lister les sous-traitants ultérieurs).
2. Le module de scoring de CV rejette automatiquement les candidats sous un seuil de 65/100 sans intervention humaine. Aucune clause dans les offres d'emploi n'informe les candidats de cette décision automatisée. Violation de l'art. 21 nLPD.
3. Les données de paie (incluant codes maladie = données sensibles) sont accessibles au sous-processeur IA pour l'entraînement du modèle de prédiction de turnover. Absence d'AIPD alors que le traitement porte sur des données sensibles avec profilage individuel. Violation de l'art. 22 nLPD.

Mesures correctives mises en place en 6 semaines :

1. Renégociation du DPA avec le fournisseur : ajout d'une liste exhaustive des sous-processeurs, notification obligatoire de tout changement 30 jours à l'avance, clause de résiliation en cas de sous-traitance non autorisée.
2. Vérification de la certification Swiss–US DPF du sous-processeur américain sur le registre officiel américain. Certification confirmée — usage maintenu sous réserve de clauses contractuelles spécifiques.
3. Désactivation du rejet automatique : le score IA est désormais indicatif, la décision finale appartient à Adrienne ou à son associé. Mention ajoutée dans toutes les offres d'emploi publiées.
4. Réalisation d'une AIPD documentée (4 pages, rédigée en interne avec modèle PFPDT) couvrant le module de prédiction de turnover. Conclusion : risque résiduel acceptable sous réserve d'une revue annuelle et d'une anonymisation des données maladie avant traitement IA.
5. Mise à jour du registre des activités de traitement : 3 nouvelles entrées (recrutement IA, paie analytique, prédiction turnover) avec pays de destination, base légale et délais de conservation.

Coût estimé de la mise en conformité : environ CHF 3'500.– en heures internes (12 heures responsable + 8 heures direction) et CHF 1'200.– de conseil juridique ponctuel pour la revue du DPA. Soit CHF 4'700.– au total — nettement en dessous du risque d'amende pénale ou de résiliation contractuelle forcée.

Récapitulatif opérationnel

• Cartographier tous vos flux de données RH vers des prestataires cloud : identifier chaque fournisseur, la localisation des serveurs, et les sous-processeurs IA. Un tableur suffit comme point de départ.
• Vérifier le DPA de chaque fournisseur SaaS RH : il doit lister les sous-processeurs, les pays de destination, les mesures de sécurité et la procédure de notification de violation sous 72 heures.
• Pour les transferts vers les États-Unis : vérifier la certification Swiss–US Data Privacy Framework du fournisseur sur le registre officiel américain (dataprivacyframework.gov).
• Désactiver ou documenter tout mécanisme de décision automatisée (scoring de CV, rejet automatique, scoring de performance) : soit intervention humaine obligatoire, soit notification aux personnes concernées avec mécanisme de contestation.
• Réaliser une AIPD pour tout module IA traitant des données sensibles (santé, données financières) ou produisant des profils individuels. Utiliser le modèle du Préposé fédéral à la protection des données et à la transparence comme référence.
• Mettre à jour votre politique de confidentialité RH : mentionner explicitement les traitements IA, les pays de destination des données, les droits des employés (accès, rectification, opposition aux décisions automatisées).
• Tenir le registre des activités de traitement à jour : obligatoire dès que des données sensibles ou un traitement à grande échelle est en jeu — indépendamment de la taille de l'entreprise.
• Planifier une revue annuelle des fournisseurs IA : les certifications DPF, les sous-processeurs et les localisations de serveurs changent. Un audit contractuel annuel évite les mauvaises surprises.
• Former au moins un responsable interne (RH, direction ou fiduciaire) sur les obligations nLPD de base : le risque pénal pèse sur les personnes physiques, pas sur la société.

Un outil comme SynHR, hébergé en Suisse, simplifie une partie de cette cartographie — mais la conformité reste une responsabilité de l'employeur, quel que soit le logiciel utilisé.

Sources

• Nouvelle loi fédérale sur la protection des données (nLPD), fedlex.admin.ch — texte consolidé officiel de la nLPD en vigueur depuis le 01.09.2023.
• Préposé fédéral à la protection des données et à la transparence (PFPDT) — guides pratiques, modèles d'AIPD, recommandations sur les transferts transfrontaliers et les décisions automatisées.
• SECO — Conditions de travail — cadre légal LTr et CO applicable aux relations d'emploi en Suisse, indépendamment des outils RH utilisés.
• Office fédéral des assurances sociales (OFAS) — données de référence sur les cotisations AVS/AI/APG/LPP traitées dans les SIRH.