20. IA dans une PME : par où commencer sans exposer ses données ?

En bref

Pour introduire l’intelligence artificielle dans une PME sans exposer ses données, commencez par une tâche fréquente, réversible et alimentée uniquement par des informations publiques ou non confidentielles. Mesurez la situation actuelle, définissez les données interdites, choisissez un outil approuvé, imposez une validation humaine et conduisez un pilote de 30 jours.

Un bon premier essai peut être la préparation d’un brouillon à partir de documents publics, le classement de demandes sans données personnelles ou la synthèse d’une documentation déjà publiée. Évitez comme premier cas les décisions de recrutement, de crédit ou de santé, ainsi que tout traitement contenant des secrets d’affaires, des données clients ou des données personnelles sensibles.

En Suisse, la loi sur la protection des données s’applique directement aux traitements utilisant l’IA. Le bon point de départ n’est donc pas de chercher l’outil le plus impressionnant, mais de délimiter un usage utile que l’équipe peut contrôler.

Pourquoi commencer par un seul cas d’usage ?

L’IA est déjà présente dans de nombreuses entreprises suisses. Une enquête EY relayée par le Portail PME en juillet 2026, menée auprès de 604 personnes actives en Suisse, indique que 89 % des répondants utilisent l’IA au quotidien et que 31 % des entreprises interrogées en sont encore au stade pilote. La qualité des données, la sécurité et le manque de compétences figurent parmi les obstacles cités (Portail PME, 15 juillet 2026).

Ces chiffres ne disent pas qu’une PME doit automatiser partout. Ils montrent surtout qu’un essai doit être cadré. Lancer plusieurs outils dans tous les services rend rapidement impossible de savoir ce qui apporte un gain, où les données partent et qui vérifie les résultats.

Un seul cas d’usage permet de répondre à quatre questions :

1. la tâche prend-elle réellement moins de temps ?
2. le résultat demande-t-il moins ou plus de corrections ?
3. les données peuvent-elles être traitées sans risque disproportionné ?
4. l’équipe adopte-t-elle le nouveau processus sans créer de contournements ?

Quel premier cas d’usage choisir dans une PME ?

Choisissez une tâche qui réunit cinq conditions : elle revient souvent, prend assez de temps pour être mesurée, produit un résultat facile à relire, reste réversible et ne nécessite pas de données confidentielles.

Trois exemples conviennent souvent à un premier pilote :

• créer le premier brouillon d’une FAQ à partir du site public et de modes d’emploi publiés ;
• résumer des rapports ou des textes réglementaires accessibles au public, avec vérification des sources ;
• reformuler un texte interne non confidentiel avant validation par son auteur.

À l’inverse, ne commencez pas par une tâche où une erreur peut affecter directement une personne ou engager l’entreprise. Un modèle ne devrait pas sélectionner seul un candidat, accepter une dépense, répondre définitivement à un client sur un sujet sensible ou interpréter des données médicales.

Le Portail PME recommande de définir des cas d’usage concrets, de préparer la base de données nécessaire et d’établir un cadre clair pour le personnel. Cette séquence évite d’acheter une technologie avant d’avoir défini le problème.

Comment mesurer la situation avant d’utiliser l’IA ?

Pendant une semaine, observez la tâche sans la modifier. Prenez un petit échantillon représentatif et notez :

Conservez ensuite exactement les mêmes mesures pendant le pilote. Ne comparez pas une démonstration idéale à une journée normale. Comparez des tâches similaires, relues par les mêmes rôles et avec le même niveau d’exigence.

Un gain de vitesse n’est pas utile si la relecture devient plus longue, si la qualité varie ou si l’équipe doit copier des informations dans un outil non approuvé. La décision finale doit intégrer ces coûts cachés.

Quelles données peut-on confier à un outil d’IA ?

Créez une classification opérationnelle simple avant le premier test. Elle ne remplace pas une analyse juridique ; elle sert à empêcher les erreurs de manipulation les plus courantes.

Le Préposé fédéral à la protection des données et à la transparence rappelle que le traitement doit être transparent : la finalité, le fonctionnement et les sources doivent pouvoir être expliqués. Une personne doit aussi savoir lorsqu’elle interagit avec une machine et si ses saisies peuvent être réutilisées pour améliorer le système (PFPDT, IA et protection des données).

L’anonymisation ne consiste pas à retirer seulement le nom. Une fonction, une adresse, un numéro de dossier ou la combinaison de plusieurs détails peut encore permettre d’identifier quelqu’un. Lorsque le doute subsiste, ne mettez pas la donnée dans le pilote.

Comment choisir un outil approuvé ?

Ne laissez pas chaque collaborateur choisir son propre service. Établissez une courte liste d’outils autorisés et vérifiez pour chacun :

• l’entité qui fournit le service et les conditions contractuelles ;
• le lieu de traitement et de stockage annoncé ;
• l’utilisation éventuelle des saisies pour entraîner ou améliorer les modèles ;
• la durée de conservation et la possibilité de supprimer les données ;
• la gestion des comptes, des accès et des départs ;
• la disponibilité d’un journal d’activité ;
• les mesures de sécurité et la procédure en cas d’incident.

Le PFPDT demande des mesures techniques et organisationnelles adaptées au risque. Il cite notamment l’authentification, le contrôle des accès, le chiffrement et l’anonymisation parmi les mesures possibles (PFPDT, sécurité de l’information).

Pour du code ou des documents, le Portail PME rapporte le conseil de n’utiliser un service d’IA externe qu’avec du contenu non confidentiel ou anonymisé, sauf si l’environnement a été évalué pour cet usage (entretien du Portail PME sur la qualité des données).

Pourquoi la validation humaine reste-t-elle obligatoire ?

Un résultat fluide peut être faux, incomplet ou fondé sur une source dépassée. La validation humaine ne doit donc pas être une formule vague. Désignez précisément :

• qui relit ;
• quels critères sont contrôlés ;
• quelles sources doivent être ouvertes ;
• quels cas imposent l’arrêt ou l’escalade ;
• qui assume la décision finale.

Pour un texte public, vérifiez au minimum les faits, les dates, les noms, les chiffres, les liens et le ton. Pour une recommandation métier, comparez chaque point à la source de référence. Pour une décision pouvant produire un effet juridique ou significatif sur une personne, le PFPDT souligne le droit de faire valoir son point de vue et de demander qu’une personne physique examine la décision automatisée.

Gardez une trace légère : demande envoyée au système, version du résultat, corrections importantes et décision finale. Le but n’est pas de créer une bureaucratie, mais de pouvoir comprendre une erreur et améliorer la règle.

Quelles règles donner à l’équipe ?

Une page suffit pour commencer. Elle doit pouvoir être comprise sans formation juridique.

1. Utiliser uniquement les outils listés comme approuvés.
2. Ne jamais saisir de mot de passe, clé d’API, dossier client, donnée RH ou secret d’affaires.
3. Anonymiser les exemples lorsque cela est réellement possible.
4. Vérifier toute information factuelle dans sa source d’origine.
5. Faire valider par une personne les résultats envoyés à un client ou publiés.
6. Signaler immédiatement une saisie accidentelle ou un résultat problématique.
7. Ne pas présenter un contenu généré comme une décision humaine déjà approuvée.

Ajoutez deux exemples propres à votre métier : une saisie autorisée et une saisie interdite. Les règles abstraites deviennent alors beaucoup plus faciles à appliquer.

Comment organiser un pilote de 30 jours ?

Semaine 1 : cadrer et établir la référence

Choisissez la tâche, le responsable et cinq à vingt exemples représentatifs. Mesurez le temps et la qualité actuels. Classez les données et rédigez les règles de l’équipe.

Semaine 2 : tester sur des données maîtrisées

Configurez l’outil approuvé et travaillez uniquement avec les données publiques ou préparées pour le pilote. Construisez un modèle de demande commun afin d’éviter que chaque essai utilise une méthode différente.

Semaine 3 : exécuter avec une double vérification

Utilisez l’IA sur un volume limité de cas réels autorisés. Une personne produit avec l’outil ; une autre contrôle un échantillon avec la grille définie. Documentez les corrections et les cas refusés.

Semaine 4 : comparer et décider

Comparez le temps, la qualité, les reprises, les escalades et les incidents à la référence. Décidez entre trois suites : abandonner, prolonger avec une modification précise ou intégrer la tâche avec un responsable et des contrôles réguliers.

Ne généralisez pas le résultat à toute l’entreprise. Un pilote réussi sur la synthèse de documents publics ne valide pas automatiquement l’usage sur les dossiers clients. Chaque nouvelle catégorie de données ou de décision demande une nouvelle évaluation.

Quand faut-il réaliser une analyse d’impact ?

Selon le PFPDT, une analyse d’impact relative à la protection des données est requise lorsqu’un traitement envisagé est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux. Le risque dépend notamment des données, de l’ampleur du traitement, de la technologie et des conséquences possibles.

Demandez un avis spécialisé avant le déploiement si le système traite à grande échelle des données personnelles, établit des profils, surveille des personnes ou influence une décision importante. Un premier pilote bien choisi doit précisément éviter ces situations complexes.

Le règlement européen sur l’IA concerne-t-il une PME suisse ?

Pas automatiquement. La législation suisse existante, dont la LPD, s’applique déjà aux usages concernés. Le Conseil fédéral prévoit par ailleurs un avant-projet suisse pour 2027. Selon le Portail PME, le règlement européen peut toutefois concerner une entreprise suisse lorsqu’elle met un système d’IA ou certains modèles sur le marché de l’Union européenne (Portail PME, 23 septembre 2026).

Si votre produit ou vos clients se trouvent dans l’Union européenne, vérifiez précisément votre rôle et le périmètre applicable. Ne transposez pas automatiquement toutes les obligations européennes à un simple usage interne en Suisse, mais ne les ignorez pas lorsque vous entrez sur ce marché.

Quelle première action faire aujourd’hui ?

Choisissez une tâche de moins de trente minutes, répétée plusieurs fois par semaine, dont les entrées peuvent être publiques. Mesurez cinq exemples sans IA. Vous aurez ainsi une référence concrète et un périmètre assez petit pour discuter des données avant de choisir l’outil.

Si votre premier cas touche un processus manuel ou un tableur, le guide quand remplacer Excel par un outil métier vous aidera à séparer le problème du logiciel. Pour cadrer un développement adapté à votre organisation, vous pouvez aussi comparer application sur mesure ou logiciel standard.

Je peux vous aider à cartographier la tâche, identifier les données à protéger et construire un pilote mesurable. Décrivez-moi le processus que vous voulez tester : le premier échange sert à vérifier si un essai simple suffit ou si une analyse plus complète est nécessaire.

FAQ

Peut-on utiliser une version gratuite d’un assistant IA dans une PME ?

Oui pour un essai strictement limité à des informations publiques, si les conditions du service et les réglages sont compris. Une version gratuite ne constitue pas à elle seule une validation pour des données internes, personnelles ou confidentielles.

Faut-il informer les clients qu’une IA intervient ?

La transparence dépend du traitement et de ses effets. Le PFPDT indique qu’une personne doit pouvoir savoir lorsqu’elle échange avec une machine et comprendre la finalité du traitement de ses données. Si l’IA prépare seulement un brouillon relu en interne sans données personnelles, la situation est différente d’un agent qui répond directement au client.

Peut-on envoyer une liste de clients dans un outil d’IA pour la classer ?

Pas comme premier pilote. La liste contient des données personnelles et parfois des informations commerciales confidentielles. Commencez avec un jeu fictif ou correctement anonymisé, puis évaluez le fournisseur, le contrat, la sécurité, la finalité et les droits des personnes avant tout usage réel.

Comment savoir si le pilote a réussi ?

Fixez le seuil avant de commencer : temps économisé, qualité minimale, taux de correction acceptable et absence d’incident de données. Un pilote est réussi lorsque ces critères sont atteints sur des cas représentatifs, pas lorsqu’une démonstration produit un beau résultat.