PFPDT: Actes d’instruction

Live Webinaire Protection des données, IA et droit suisse

News & Updates : Sécuriser vos projets IA dans le respect du cadre légal

CHF 190.00

Suivi du projet CEBA

Même si le PFPDT a déclaré que le projet «Cloud Enabling Büroautomation - CEBA» ne constituait pas à proprement parler un acte d'instruction, le communiqué du 13 mars 2025¹ n'en reste pas moins très intéressant. Le projet CEBA de la Chancellerie fédérale suisse vise à moderniser l'informatique de l'administration fédérale en remplaçant la suite Office actuelle par Microsoft 365 (M365). 

Selon le communiqué, le PFPDT a exigé une mise à jour continue de l'analyse d'impact relative à la protection des données. Il convient notamment d'examiner les risques liés à l'accès des autorités étrangères (par exemple, le CLOUD Act ou les dispositions de la loi FISA – «Foreign Intelligence Surveillance Act») ou à l'utilisation de fournisseurs de services cloud dominants sur le marché (Microsoft). En effet, en ces temps de turbulences politiques, il ne faut surtout pas sous-estimer les risques potentiels liés à l'utilisation de fournisseurs de services cloud étrangers. 

Au printemps 2025, Microsoft a bloqué le compte de messagerie électronique du procureur général de la Cour pénale internationale à la suite des sanctions imposées par Donald Trump à la Cour et à son personnel. Même si Microsoft a déclaré avoir entre-temps trouvé une «faille» et ne plus être tenu de procéder à de tels blocages, la Cour pénale internationale a décidé de miser désormais sur une suite logicielle allemande. 

C'est précisément le risque d'un simple blocage des accès qui devrait faire l'objet de discussions approfondies au sein de l'administration fédérale. On attend avec impatience de connaître les mesures qui pourraient être prises pour minimiser ce risque. Le rapport d'activité 2025/2026 du PFPDT fournira sans doute de plus amples informations à ce sujet.

Données personnelles pour l'apprentissage de Grok

Le PFPDT n'est pas resté inactif non plus dans le domaine de l'entraînement de l'intelligence artificielle.² Le PFPDT a sollicité des informations auprès de Twitter International Unlimited Company (TIUC) concernant le processus précis au moyen duquel les données des utilisateurs de X étaient intégrées à l'entraînement de l'IA interne «Grok». Cette enquête préliminaire informelle a été menée après qu’il est apparu, en 2024, que X avait réussi à obtenir le consentement des utilisateurs sans attirer suffisamment leur attention à ce sujet. En effet, les utilisateurs qui ne consentaient pas à l’utilisation de leurs données à des fins d’entraînement de l'IA devaient eux-mêmes trouver le paramètre leur permettant de révoquer leur «consentement» (opt-out).³ Le PFPDT souhaitait notamment déterminer dans quelle mesure ces traitements de données étaient transparents et quelles possibilités de refus étaient loisibles.

Le PFPDT s'est déclaré satisfait des informations reçues. Il a ainsi publié, le 20 mars 2025, la conclusion de l'enquête préliminaire, en précisant qu'il était possible, grâce aux paramètres de confidentialité, d'empêcher l'utilisation par défaut des publications X à des fins d'entraînement. Selon lui, il incombe également aux utilisateurs de la plateforme de faire usage des possibilités offertes (notamment de la possibilité de refuser).

Etant donné que la loi suisse sur la protection des données, contrairement au Règlement général sur la protection des données de l'UE, considère que le fait de renoncer à son droit de rétractation vaut consentement, cette décision est juridiquement compréhensible. Il était en outre très important de souligner que les utilisateurs sont eux-mêmes responsables de l'utilisation de leurs données. Le PFPDT estime donc qu'il suffit de fournir des informations transparentes et d'offrir des possibilités de personnalisation. En ce qui concerne l'utilisation des données en question, le proverbe adapté est le suivant: «Nul n'est censé ignorer la loi». Il est donc conseillé de lire régulièrement les conditions d'utilisation des plateformes sur lesquelles de nombreuses données sont stockées ou divulguées. Saviez-vous, par exemple, que LinkedIn dispose également d'un paramètre correspondant? ⁴