nLPD et traduction : ce que vous pouvez envoyer à un moteur

Cet article décrit un cadre général et ne constitue pas un conseil juridique. Pour un cas concret, consultez un professionnel du droit ou l’autorité compétente.

Le geste anodin qui n’en est pas un

Coller un texte dans une interface de traduction en ligne prend deux secondes. Juridiquement, c’est une communication de données à un tiers, très souvent situé à l’étranger.

Selon la nature du contenu, cette communication peut être parfaitement licite, exiger des garanties contractuelles, ou être interdite. La difficulté est que rien dans l’interface ne le signale, et que le collaborateur qui fait le geste n’a généralement pas les éléments pour trancher.

C’est pourquoi la question de la confidentialité se règle en amont, par une politique claire, et non au cas par cas par la personne qui a un document à traduire dans l’urgence.

Ce que la loi suisse encadre

La loi fédérale révisée sur la protection des données, entrée en vigueur en septembre 2023, structure le problème autour de deux mécanismes qui concernent directement la traduction.

La sous-traitance. Confier un traitement à un tiers reste possible, mais le responsable du traitement demeure comptable : il doit s’assurer que le sous-traitant offre les garanties nécessaires et qu’il ne traite les données que comme lui-même serait autorisé à le faire. Un prestataire de traduction qui recourt à un moteur externe ajoute un maillon à cette chaîne, et ce maillon doit être encadré.

Le transfert à l’étranger. La communication de données personnelles hors de Suisse suppose que l’État destinataire assure une protection adéquate. Le Conseil fédéral établit la liste des États concernés. À défaut, le transfert exige des garanties appropriées — clauses contractuelles types, règles d’entreprise contraignantes — ou relève d’une exception.

Concrètement, cela signifie que la juridiction d’hébergement du moteur employé est une donnée de conformité, pas un détail technique.

Les couches sectorielles, plus strictes

Pour de nombreuses organisations suisses, la nLPD n’est que le plancher.

Le secret bancaire impose des contraintes propres au secteur financier. Le secret professionnel couvre notamment les activités médicales, juridiques et notariales, et sa violation est sanctionnée pénalement. Le secret de fonction s’applique aux administrations. Les exigences prudentielles en matière d’externalisation ajoutent leurs propres conditions dans le secteur financier réglementé.

La conséquence pratique est simple : dans ces secteurs, la question n’est pas « ce moteur est-il bon » mais « ai-je le droit de lui transmettre ce document ». La seconde question élimine régulièrement des options avant que la première ne se pose.

L’articulation avec le cadre européen

La Suisse n’applique pas le règlement européen sur l’intelligence artificielle. Elle n’applique pas directement le RGPD.

Mais une entreprise suisse qui traite des données de personnes situées dans l’Union, ou qui met des produits sur le marché européen, se retrouve tenue par les deux cadres simultanément. Pour les services linguistiques, cela ajoute des obligations de transparence sur l’usage de systèmes automatisés, et des exigences de documentation selon le contexte d’emploi des documents traduits.

La grille de décision par type de contenu

Quatre régimes suffisent à couvrir la quasi-totalité des situations. Écrivez-les, faites-les valider, diffusez-les.

Contenu	Régime
Aucune donnée personnelle, aucune information confidentielle	Service en ligne acceptable
Données personnelles ordinaires, information d’entreprise non stratégique	Offre professionnelle avec non-rétention contractuelle et sous-traitance encadrée
Données sensibles, secret professionnel, documents stratégiques	Instance dédiée ou hébergement en Suisse, contrat de traitement complet
Secret bancaire, dossier médical nominatif, pièce de procédure, projet d’opération	Ne quitte pas le périmètre — traitement interne uniquement

Le premier régime est celui qui pose le plus de problèmes en pratique, non par sa règle mais par son application : c’est celui que les collaborateurs utilisent par défaut, y compris pour des contenus qui relèvent des trois autres.

Les questions à poser à un fournisseur

Six questions, à faire figurer au contrat et non dans un échange de courriels.

1. Les contenus soumis servent-ils à entraîner ou améliorer un système, chez vous ou chez votre fournisseur de moteur ?
2. Combien de temps sont-ils conservés, et dans quelle juridiction ?
3. Quels sous-traitants intervennent, et sous quel contrat ?
4. Proposez-vous un déploiement dédié ou un hébergement en Suisse ?
5. Quelles mesures de sécurité couvrent le transport et le stockage ?
6. Que devient la mémoire de traduction en fin de contrat ?

La sixième est celle qu’on oublie, et c’est celle qui porte le plus de données.

Le point aveugle : la mémoire de traduction

Une mémoire de traduction accumule, année après année, des extraits de contrats, de correspondance, de dossiers de personnel, de documentation technique non publiée. Au bout de cinq ans, elle constitue un condensé remarquablement complet de l’activité d’une organisation.

Elle est souvent stockée chez un prestataire, parfois répliquée chez ses sous-traitants, rarement inventoriée dans le registre des traitements. Elle devrait l’être : c’est une base de données personnelles et confidentielles, et elle mérite le même traitement que les autres — inventaire, durée de conservation, conditions de restitution et de suppression.

Ce que la technique ne résoudra pas

Il faut le dire clairement, parce que le discours dominant suggère l’inverse : cette limite n’est pas technique. Aucune amélioration de modèle, aucun gain de qualité, aucune baisse de coût ne transforme une interdiction de transmettre en autorisation.

C’est pourquoi, dans une organisation suisse, la conformité arbitre avant la qualité. Dans l’ordre inverse, on choisit un outil qu’il faut ensuite renoncer à utiliser.