ISO 42001 et nLPD suisse : comment s'articulent-elles

Deux textes, deux logiques

La nLPD est une loi fédérale contraignante qui s'applique à tout traitement de données personnelles, indépendamment de la technologie employée. L'ISO/IEC 42001 est une norme internationale volontaire, publiée en 2023, qui définit les exigences d'un système de management de l'intelligence artificielle, ou SMIA^[4]. Les deux textes ne parlent donc pas de la même chose, mais se croisent dès qu'un système d'IA traite des données personnelles.

L'ISO 42001 s'inscrit dans la Harmonized Structure des normes ISO, ce qui la rend intégrable avec ISO 9001 ou ISO 27001^[3]. La nLPD, elle, découle du droit suisse et impose des obligations directes : information, registre des activités, sécurité, notification de violation, analyses d'impact dans certains cas. L'une organise une gouvernance, l'autre définit un régime juridique.

Interprétation : traiter les deux textes en silo produit du double travail et des angles morts. Les traiter comme un ensemble cohérent, avec des points de jonction identifiés, produit une conformité plus solide et moins coûteuse à maintenir. Le reste de cet article détaille ces points de jonction et leurs limites.

Recouvrements opérationnels

Trois zones de recouvrement structurent la pratique. La première concerne la responsabilisation. L'ISO 42001 exige un engagement de direction, une politique IA, des rôles définis et une revue de direction^[5]. La nLPD, dans une logique parallèle, place le responsable du traitement au centre et attend une gouvernance interne des données personnelles. Les instances et les rôles peuvent être partagés.

La deuxième zone est la gestion des risques. L'ISO 42001 promeut une approche par les risques appliquée au cycle de vie des solutions d'IA, avec identification, évaluation et traitement^[3]. La nLPD attend une appréciation des risques pour les personnes concernées quand un traitement est susceptible d'engendrer un risque élevé. Les méthodes sous-jacentes se ressemblent, sans être identiques dans leur périmètre.

La troisième zone est la documentation. L'ISO 42001 impose des politiques, un registre des risques, des analyses d'impact et des rapports d'audit^[5]. La nLPD attend un registre des activités de traitement, des directives de sécurité et des documents relatifs aux droits des personnes. Les deux corpus se nourrissent l'un l'autre quand ils sont maintenus dans une base documentaire unique. Pour comprendre le socle documentaire ISO, consultez notre analyse des documents obligatoires selon la clause 7.5.

Analyses d'impact : AIPD et AIIA

C'est le point de jonction le plus visible, et souvent le plus mal traité. L'ISO 42001 introduit l'AI Impact Assessment (AIIA), une analyse d'impact sur les personnes et la société, qui va au-delà des seuls risques pour l'organisation^[5]. La norme ISO/IEC 42005 spécifie cette analyse d'impact des systèmes d'IA^[8].

La nLPD, elle, prévoit une analyse d'impact relative à la protection des données (AIPD) quand un traitement est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux. Les deux analyses ont des logiques proches mais des périmètres distincts : l'AIPD porte sur les données personnelles, l'AIIA porte sur les effets d'un système d'IA sur les individus et la société, données personnelles comprises ou non.

Périmètres des analyses d'impact

Les périmètres se chevauchent quand un système d'IA traite des données personnelles, situation la plus fréquente en pratique.

1AIPD (nLPD) : traitement de données personnelles à risque élevé

2Zone commune : systèmes d'IA traitant des données personnelles

3AIIA (ISO 42001 et 42005) : impacts d'un système d'IA sur individus et société

Interprétation, construite à partir des exigences des deux textes.

Piège fréquent : produire une AIPD sommaire et croire qu'elle vaut AIIA, ou l'inverse. Une AIIA solide sur un chatbot RH ne dispense pas d'une AIPD sur les données de candidats. À l'inverse, une AIPD faite en 2022 sur une base de données de clients ne couvre pas les biais d'un modèle de scoring déployé en 2026. Notre article dédié à la méthode d'analyse d'impact IA détaille la démarche pas à pas.

DPO et responsable IA : partager sans confondre

La nLPD encourage la désignation d'un conseiller à la protection des données (DPO) dans le secteur privé, et l'impose dans le secteur public fédéral. L'ISO 42001 attend, elle, des rôles et responsabilités pour la gouvernance de l'IA, sans nommer précisément une fonction^[5]. La pratique observée montre que le DPO devient un interlocuteur naturel du responsable IA, sans que les deux fonctions se confondent.

Le DPO répond du respect de la loi. Le responsable IA, quand il existe, répond de la conformité du SMIA aux exigences de l'ISO 42001 et de la maîtrise opérationnelle du cycle de vie des systèmes. Dans une PME, la même personne peut cumuler les deux rôles, à condition d'expliciter les conflits d'intérêts potentiels et de tenir des dossiers distincts.

Exemple romand plausible : une caisse de pension genevoise déploie un outil d'aide à la décision sur les rentes d'invalidité. Le DPO vérifie la base légale du traitement et l'information des assurés. Le responsable IA cartographie le système, conduit l'AIIA et documente les contrôles de la Annexe A. Les deux se coordonnent, mais leur signature n'engage pas la même chose.

Documentation et preuves communes

Une organisation qui vise l'ISO 42001 et qui doit tenir sa conformité nLPD gagne à concevoir une base documentaire unique. Plusieurs artefacts sont naturellement partagés.

Artefacts partageables entre ISO 42001 et nLPD
Artefact	Usage ISO 42001 et nLPD
Inventaire des systèmes d'IA	Cartographie SMIA et alimentation du registre des activités de traitement
Politique de gouvernance IA	Politique SMIA et directive interne de protection des données
Analyse d'impact intégrée	AIIA (ISO 42001, 42005) élargie aux exigences AIPD (nLPD)
Registre des risques	Risques SMIA et risques pour les personnes concernées
Plan de traitement d'incident	Incidents IA et notifications de violation de données

Interprétation, construite à partir des exigences documentaires de l'ISO 42001^[5] et de la logique du droit suisse de la protection des données. Le tableau ne dispense pas de vérifier les exigences précises de chaque texte pour votre organisation.

Le point pratique tient à la granularité. Le registre nLPD attend un niveau de détail par traitement, l'inventaire SMIA attend un niveau par système d'IA. Un même système d'IA peut sous-tendre plusieurs traitements, et un même traitement peut mobiliser plusieurs modèles. Il faut donc lier les deux référentiels par des identifiants stables, sans les fusionner naïvement. Pour approfondir cette cartographie, voyez notre article sur l'inventaire des systèmes IA.

Angles morts de chaque référentiel

La nLPD ignore par nature les systèmes d'IA qui ne traitent pas de données personnelles : un modèle de maintenance prédictive sur des capteurs industriels, un système de vision par ordinateur sur des pièces mécaniques. Sur ces cas, seule une démarche ISO 42001 apporte une gouvernance structurée^[3]. Ne pas confondre absence de données personnelles et absence de risque.

L'ISO 42001 n'aborde pas les droits subjectifs des personnes concernées de la même façon que la nLPD. La norme parle d'impacts sur les individus et la société, mais elle ne définit pas de droit d'accès, de rectification ou d'opposition opposable. Sur ce terrain, la loi reste seule compétente et impose des délais et des formalismes précis.

Autre angle mort : la nLPD ne traite pas explicitement des biais algorithmiques, des dérives de modèles en production, ni de la traçabilité des décisions automatisées au-delà des cas déjà couverts par le droit. L'ISO 42001, par son Annexe A et ses 38 contrôles indicatifs^[5], comble une partie de ce vide opérationnel. Notre article sur le traitement des biais IA détaille comment un éditeur s'y prend.

Séquence pratique pour une organisation romande

Pour une PME ou une entité publique romande qui part de zéro, une séquence tenable existe. Elle évite de tout faire en même temps et respecte les priorités juridiques de la nLPD.

Constituer un inventaire unique des systèmes d'IA et des traitements de données personnelles associés.
Réviser le registre des activités de traitement à la lumière de cet inventaire.
Identifier les systèmes d'IA à risque, prioriser AIPD et AIIA sur les mêmes cas.
Définir une politique IA cohérente avec la directive interne de protection des données.
Aligner les rôles DPO et responsable IA, formaliser une convention interne de coordination.
Étendre progressivement les contrôles de l'Annexe A aux systèmes non couverts par la nLPD.

Cette séquence n'est pas prescriptive. Elle sert de repère pour éviter les deux erreurs les plus courantes : partir de l'ISO 42001 sans consolider la conformité nLPD existante, ou traiter la nLPD comme un pare-feu qui suffirait à couvrir les risques d'IA. Le hub Comparatifs et réglementation regroupe les autres croisements pertinents pour la Suisse.

Pour une vue plus large des recoupements entre ISO 42001, ISO 27001, AI Act et nLPD, la page pilier ISO 42001 face à ISO 27001, AI Act et nLPD offre un panorama synthétique. Pour la comparaison RGPD, plus proche de la logique nLPD, voyez notre comparaison ISO 42001 et RGPD à destination des DPO.

Pièges fréquents

Premier piège : croire que la certification ISO 42001 tient lieu de conformité nLPD. L'ISO 42001 est une norme volontaire^[5], la nLPD est une loi. Un certificat n'exonère jamais du respect du droit applicable. À l'inverse, une conformité nLPD bien tenue ne couvre pas les exigences ISO 42001 sur la gouvernance du cycle de vie des systèmes d'IA.

Deuxième piège : dupliquer les registres. Certaines organisations tiennent un registre nLPD, un registre SMIA, un registre AI Act si elles exportent vers l'UE, sans lien technique entre les trois. Le coût de maintenance devient prohibitif et les incohérences apparaissent au premier audit. Un identifiant système commun, un identifiant traitement commun et une matrice de rattachement suffisent souvent.

Troisième piège : sous-estimer les systèmes d'IA acquis. Beaucoup d'outils intègrent désormais des composants d'IA générative sans que l'organisation les ait déployés en connaissance de cause. L'ISO 42001 attend une maîtrise de ces composants tiers^[5]. La nLPD attend une maîtrise de la sous-traitance des données. Les deux exigences convergent, mais elles doivent être explicitement tracées, sinon l'angle mort est massif. Notre article sur les risques de l'IA générative en entreprise détaille comment cadrer ces usages.

À la date de rédaction (août 2026), aucun texte d'application de la nLPD n'impose spécifiquement l'ISO 42001, et aucun texte suisse ne rend cette norme obligatoire pour un secteur donné. Cette situation est susceptible d'évoluer avec la position suisse sur l'IA, à vérifier sur les sources officielles fédérales.

Questions fréquentes

L'ISO 42001 remplace-t-elle la nLPD pour un système d'IA traitant des données personnelles ?

Non. La nLPD est une loi fédérale contraignante, l'ISO 42001 est une norme volontaire^[5]. Un système d'IA qui traite des données personnelles reste soumis à la loi, même certifié. La norme apporte une gouvernance structurée du cycle de vie, la loi fixe des droits et des obligations opposables. Les deux sont complémentaires, jamais substituables.

Faut-il produire deux analyses d'impact séparées, AIPD et AIIA ?

Pas nécessairement. La pratique consiste à intégrer les deux dans un même document quand un système d'IA traite des données personnelles à risque élevé. L'AIIA de l'ISO 42001 et de l'ISO 42005 couvre les impacts sur les individus et la société^[8], l'AIPD de la nLPD cible la protection des données. Le périmètre commun justifie une analyse unifiée mais complète.

Le DPO doit-il devenir responsable du SMIA ?

Ce n'est pas obligatoire et parfois pas souhaitable. Le DPO garantit le respect de la loi, le responsable IA pilote la conformité du SMIA^[5]. Dans une PME, le cumul est possible, à condition d'expliciter les conflits d'intérêts. Dans une organisation de taille moyenne, deux personnes distinctes qui se coordonnent produisent en général une meilleure conformité.

L'ISO 42001 couvre-t-elle les systèmes d'IA sans données personnelles ?

Oui. La norme s'applique à tout système d'IA, indépendamment de la nature des données^[3]. Sur ces cas, la nLPD n'est pas mobilisée, mais des risques subsistent : biais, dérives, sécurité, impact opérationnel. L'ISO 42001 apporte alors la seule structure de gouvernance disponible, ce qui la rend particulièrement pertinente pour les usages industriels et scientifiques.

Un même registre peut-il servir aux deux référentiels ?

Oui, sous conditions. L'inventaire des systèmes d'IA du SMIA^[5] et le registre des activités de traitement de la nLPD n'ont pas la même granularité, mais peuvent partager des identifiants et une base commune. Un système d'IA sous-tend souvent plusieurs traitements. Une matrice de rattachement entre les deux vues évite les doublons sans fusionner leurs finalités.

Situer votre organisation face à la norme ISO 42001

Un premier échange permet de cadrer les écarts à combler et les priorités.

Demander un avis indépendant