IA générative et propriété des contenus RH : ce que dit le droit suisse

Un vide juridique qui coûte cher si on l'ignore

Un règlement de travail rédigé en dix minutes avec un outil d'IA générative, une grille d'évaluation produite par GPT-4, une offre d'emploi ajustée par Copilot : ces documents circulent dans des dizaines de PME romandes sans que personne n'ait posé la question fondamentale de leur statut juridique. Qui en est l'auteur ? L'entreprise peut-elle les protéger contre la copie ? Et si le contenu généré contient une clause illicite ou reproduit un texte tiers — qui est responsable ?

Le droit suisse n'a pas encore de régime spécifique à l'IA générative. On applique donc les textes existants : la Loi fédérale sur le droit d'auteur (LDA), le Code des obligations (CO), la nouvelle Loi fédérale sur la protection des données (nLPD) en vigueur depuis le 01.09.2023, et les conditions générales des fournisseurs d'IA — souvent des entités américaines soumises au droit californien ou irlandais pour l'UE.

Droit d'auteur suisse : l'IA ne peut pas être auteur

Le principe de la création humaine

La LDA protège les œuvres littéraires, artistiques ou scientifiques qui sont le fruit d'une création intellectuelle humaine individuelle (art. 2 al. 1 LDA). Une description de poste ou un règlement de travail peuvent théoriquement bénéficier de cette protection — à condition de présenter un caractère créatif suffisant, ce que les tribunaux suisses apprécient restrictivement pour les textes fonctionnels.

L'IA générative n'est pas une personne physique. Elle ne peut donc pas être titulaire de droits d'auteur en droit suisse. La question est : qui l'est à sa place ? Trois réponses possibles, selon les circonstances :

• L'utilisateur humain, si sa contribution créative (structuration du prompt, sélection et remaniement substantiel du contenu) dépasse un simple clic de validation. En pratique, plus le prompt est élaboré et plus l'utilisateur retravaille le résultat, plus sa créativité personnelle est reconnaissable.
• L'employeur, sur la base de l'art. 332 CO : les droits sur les inventions et créations réalisées dans l'exercice du travail appartiennent à l'employeur — y compris, par analogie, les œuvres produites à l'aide d'outils mis à disposition ou utilisés dans le cadre du travail.
• Personne : si le texte généré est trivial (liste de tâches standardisées, formule de contrat générique), il tombe dans le domaine public dès sa création — ce qui signifie qu'aucune protection n'est possible, mais aussi qu'un concurrent peut l'utiliser librement.

Ce que les CGU des outils d'IA prévoient

OpenAI (ChatGPT) cède contractuellement à l'utilisateur les droits sur les outputs générés, sous réserve de la politique d'utilisation acceptable. Microsoft Copilot intégré à Microsoft 365 suit une logique similaire, avec une clause de protection commerciale (Copilot Copyright Commitment) valable uniquement pour les abonnements entreprise. Ces cessions contractuelles n'ont toutefois de valeur que dans la mesure où le droit national reconnaît un droit à céder — or si personne n'est auteur selon la LDA, la cession est sans objet. La sécurité juridique reste donc limitée.

Propriété des données RH transmises à l'IA : le risque nLPD

Quelles données circulent ?

Dès qu'un RH ou un dirigeant saisit dans un prompt des informations identifiantes — nom d'un candidat, résultats d'entretien, situation familiale pour calculer des allocations, données salariales — il traite des données personnelles au sens de la nLPD. Ces données sont transmises aux serveurs du fournisseur, généralement hors de Suisse, et peuvent être utilisées pour l'entraînement du modèle (selon les paramètres du compte).

La nLPD impose au responsable du traitement (l'employeur) de garantir un niveau de protection adéquat lors du transfert de données à l'étranger (art. 16 nLPD). Pour les États-Unis, aucun accord d'adéquation automatique n'existe avec la Suisse : il faut soit des clauses contractuelles types reconnues par le Préposé fédéral à la protection des données (PFPDT), soit vérifier que le fournisseur dispose d'un mécanisme reconnu équivalent (ex. Swiss-US Data Privacy Framework si applicable).

Obligations concrètes pour la PME

Toute PME qui utilise un outil d'IA générative pour des tâches RH doit :

1. Identifier les catégories de données personnelles transmises (données sensibles au sens de l'art. 5 let. c nLPD — santé, appartenance syndicale, données biométriques — appellent une protection renforcée).
2. Documenter la base juridique du traitement : consentement du collaborateur ou intérêt légitime prépondérant (art. 31 nLPD).
3. Vérifier les CGU et la politique de confidentialité du fournisseur IA pour confirmer que les données ne sont pas réutilisées à des fins d'entraînement sans consentement.
4. Mettre à jour le registre des activités de traitement (obligatoire pour les entreprises de plus de 250 employés, recommandé en deçà) pour y inclure les traitements IA.
5. Informer les employés de l'utilisation d'outils IA dans les processus RH les concernant — obligation de transparence découlant des art. 19-21 nLPD.

Le non-respect peut exposer l'employeur à une amende administrative allant jusqu'à CHF 250'000 (art. 60 nLPD), infligée à la personne physique responsable, pas à l'entreprise.

Responsabilité pour le contenu généré : clauses illicites et discriminations

Clauses de travail non conformes au CO

Un outil d'IA générative entraîné principalement sur des données françaises, américaines ou allemandes produira des contrats et règlements adaptés à ces droits — pas au droit suisse. Exemples courants d'erreurs : clause de non-concurrence sans limitation géographique ou temporelle précise (nulle selon l'art. 340a CO), délai de résiliation erroné (l'art. 335c CO prévoit des délais stricts selon l'ancienneté), absence de mention de la convention collective applicable (CCT de branche, notamment dans la construction, l'hôtellerie ou le commerce de détail romand).

L'employeur reste seul responsable du contenu des documents qu'il signe et remet à ses employés. L'IA n'a aucune personnalité juridique : elle ne peut être actionnée ni mise en cause. Toute clause nulle ou tout document discriminatoire produit par IA engage la responsabilité de l'entreprise, sans possibilité de report sur le fournisseur technologique (sauf faute contractuelle démontrée, extrêmement difficile à établir).

Discrimination à l'embauche et annonces IA

En Suisse, la Loi fédérale sur l'égalité entre femmes et hommes (LEg) interdit toute discrimination directe ou indirecte dans le recrutement. Une offre d'emploi rédigée par IA peut reproduire des biais statistiques présents dans ses données d'entraînement : formulations genrées, exigences implicitement liées à l'âge ou au profil culturel. En cas de contestation devant le tribunal des prud'hommes, l'employeur devra démontrer que le processus de sélection était exempt de discrimination — et la délégation à un outil automatique ne constitue pas un argument exonératoire.

Cas pratique : Fiduciaire Rochat SA, Lausanne — 18 employés

La fiduciaire Rochat SA emploie 18 collaborateurs. La responsable RH, Madeleine Favre, décide en mars 2025 d'utiliser ChatGPT-4o pour produire trois documents : une description de poste de comptable senior, un règlement interne sur le télétravail, et une grille d'évaluation annuelle.

Situation initiale : Madeleine saisit directement dans le prompt des extraits du contrat actuel de deux employés (nom, salaire, fonction) pour contextualiser la demande. Elle valide les textes générés sans relecture juridique et les soumet à signature.

Problèmes identifiés :

• Le règlement télétravail généré prévoit une indemnité forfaitaire de CHF 50/mois pour les frais de bureau à domicile. Or, l'art. 327a CO impose le remboursement des frais effectifs nécessaires à l'exécution du travail — un forfait peut être admissible, mais uniquement s'il couvre les frais réels prouvables. Une remise en cause est possible si un employé conteste.
• La clause de confidentialité du règlement est rédigée sur le modèle américain (NDA perpétuel sans limitation). En droit suisse, une telle clause sans délai ni périmètre précis est susceptible d'être réduite par un tribunal.
• Les données nominatives saisies dans ChatGPT ont transité sur des serveurs OpenAI sans que Rochat SA ait vérifié si l'option de non-utilisation pour l'entraînement était activée (elle ne l'était pas par défaut sur le compte personnel utilisé).

Coût du risque : Si l'un des deux employés dont les données ont été partagées porte plainte au PFPDT, la direction peut être exposée à une amende individuelle pouvant atteindre CHF 250'000. La correction du règlement par un juriste spécialisé coûte entre CHF 1'500 et 3'500 selon la complexité — largement supérieur aux 20 minutes économisées sur la rédaction IA.

Procédure corrective mise en place :

1. Activation du paramètre «ne pas utiliser les conversations pour l'entraînement» dans les paramètres ChatGPT (compte Teams ou Enterprise recommandé pour usage professionnel).
2. Rédaction d'une note interne interdisant la saisie de données nominatives dans tout outil IA non contractuellement encadré.
3. Relecture de tous les documents générés par un avocat partenaire de la fiduciaire, avec checklist de conformité CO/LTr.
4. Mise à jour du registre de traitement des données pour inclure l'usage de ChatGPT comme sous-traitant.
5. Information des deux employés concernés sur le traitement incident de leurs données (art. 19 nLPD).

Récapitulatif opérationnel

• Ne jamais saisir de données personnelles identifiantes dans un prompt IA : remplacer les noms par des pseudonymes, supprimer les montants salariaux individuels, anonymiser toute information permettant l'identification.
• Utiliser un compte entreprise (Microsoft 365 Copilot, ChatGPT Team/Enterprise) avec clause de non-réutilisation des données pour l'entraînement — vérifier contractuellement, pas seulement en lisant la FAQ.
• Soumettre tout document RH généré par IA à relecture juridique avant signature : contrat, règlement, grille d'évaluation. Le gain de temps IA ne vaut rien si le document est nul ou litigieux.
• Documenter la chaîne de production : conserver les prompts utilisés, la version de l'outil, la date — pour toute dispute ultérieure sur la paternité ou la conformité du document.
• Mettre à jour le registre des activités de traitement avec les outils IA utilisés en RH, les catégories de données traitées, les garanties de transfert international (art. 16 nLPD).
• Former les utilisateurs RH sur deux règles non négociables : pas de données sensibles dans l'IA, et vérification systématique de la conformité au droit suisse des textes produits (CO, LTr, CCT applicable, LEg).
• Cadrer l'usage de l'IA dans le règlement interne ou dans une directive sur les outils numériques — opposable aux employés et protectrice pour l'employeur en cas de mésusage.
• Vérifier les offres d'emploi produites par IA contre la grille LEg : formulation neutre quant au genre, absence d'exigences implicitement discriminatoires sur l'âge ou l'origine.

SynHR intègre des modèles de documents RH conformes au droit suisse (contrats, règlements, grilles d'évaluation) directement dans les flux de gestion, réduisant la dépendance aux contenus générés sans encadrement juridique.

Sources

• Loi fédérale sur le droit d'auteur (LDA), fedlex.admin.ch — texte consolidé de la LDA, régime de protection des œuvres et conditions de la création humaine.
• Loi fédérale sur la protection des données (nLPD), fedlex.admin.ch — texte en vigueur depuis le 01.09.2023, obligations de traitement, transferts internationaux et sanctions.
• Loi fédérale sur l'égalité entre femmes et hommes (LEg), fedlex.admin.ch — interdiction de discrimination à l'embauche et obligations pour les employeurs.
• Code des obligations (CO), fedlex.admin.ch — art. 327a (frais), 332 (inventions des travailleurs), 335c (délais de résiliation), 340a (non-concurrence).
• Préposé fédéral à la protection des données et à la transparence (PFPDT) — autorité de contrôle nLPD, recommandations sur les transferts de données à l'étranger et l'usage des outils IA.