Chatbot IA et nLPD : quelles données peut-on collecter dans une haute école en Suisse ?

Ce qu'un chatbot IA collecte concrètement sur vos prospects en Suisse

Un chatbot IA de recrutement étudiant collecte des données personnelles dès la première interaction — bien avant que le prospect saisisse son nom. Adresse IP, horodatage de session, messages tapés, programme consulté : chacun de ces éléments est une donnée personnelle au sens de la nouvelle Loi fédérale sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023.

La Suisse n'est pas membre de l'UE : le RGPD européen ne s'applique pas directement. La nLPD est la loi applicable — elle est calquée sur les principes du RGPD et bénéficie d'une décision d'adéquation de l'UE, mais présente des spécificités importantes pour les établissements d'enseignement supérieur suisses. L'autorité de contrôle est le PFPDT (Préposé fédéral à la protection des données et à la transparence).

72 % des questions posées aux chatbots d'institutions de formation sont automatisables (FAQ simple), 21 % nécessitent un contexte institutionnel, 7 % nécessitent un humain. (Source : Classification automatique sur 12 000 conversations Skolbot, 2025.) Chacune de ces 12 000 conversations est un traitement de données soumis à la nLPD. Et le chatbot a un avantage décisif : temps de réponse de 3 secondes, 24/7, contre 47 h par courriel et 72 h par formulaire (Source : Audit mystery shopping Skolbot, 2025, 80 établissements). Saisir cette opportunité nécessite une infrastructure de collecte conforme à la nLPD.

Voici les catégories de données qu'un chatbot d'une HES (Haute école spécialisée) ou d'une école de gestion privée suisse collecte typiquement :

• Données conversationnelles — texte des messages, horodatage, langue utilisée, durée de session
• Identifiants fournis volontairement — prénom, nom, adresse courriel, numéro de natel (si le prospect les communique pour être recontacté)
• Données d'intérêt — filière(s) consultée(s), niveau visé (Bachelor HES, Master, formation continue CAS/DAS/MAS), mode d'études recherché (plein temps, temps partiel, formation professionnelle duale)
• Données démographiques volontaires — canton de domicile, nationalité, pays de résidence (si collectées via un formulaire intégré)
• Données techniques — adresse IP, type d'appareil, navigateur, identifiant de session

Le PFPDT rappelle que chaque traitement effectué via un chatbot doit reposer sur un motif justificatif valable, et que les personnes doivent être informées du traitement au moyen d'une déclaration de confidentialité complète. Pour une cartographie complète des données traitées par votre établissement, consultez notre guide complet nLPD et données étudiantes en Suisse.

Les motifs justificatifs applicables à chaque catégorie de données

La nLPD ne recourt pas au concept de « base légale » au sens du RGPD, mais à celui de motif justificatif (article 31 nLPD). En l'absence de motif justificatif, tout traitement de données personnelles qui risque de porter atteinte à la personnalité est illicite. Quatre motifs couvrent la quasi-totalité des traitements d'un chatbot de HES ou d'école privée suisse :

Consentement de la personne concernée (art. 31 al. 1 let. a nLPD) — La personne a donné son accord libre, exprès et circonstancié. C'est le motif adapté pour les communications marketing ultérieures (relances, newsletters, invitations aux journées portes ouvertes / info-days) déclenchées à partir d'une interaction chatbot. Le consentement doit être obtenu par un mécanisme actif (case à cocher non pré-cochée), horodaté, et conservé comme preuve.

Intérêt prépondérant (art. 31 al. 1 let. b nLPD) — Le traitement est nécessaire à la sauvegarde d'un intérêt prépondérant du responsable du traitement ou d'un tiers, à condition que l'intérêt de la personne concernée à l'exclusion du traitement ne prédomine pas. Un prospect qui demande des informations sur les frais en CHF ou les conditions d'admission : le traitement de son courriel pour lui envoyer la documentation demandée peut relever de ce motif. Attention : une pondération documentée entre les intérêts est recommandée, notamment depuis que le PFPDT a renforcé ses contrôles sur les traitements marketing en ligne.

Obligation légale — Le traitement est nécessaire pour se conformer à une obligation légale. Applicable lorsque des données doivent être conservées à des fins de traçabilité imposées par le SEFRI (Secrétariat d'État à la formation, à la recherche et à l'innovation) ou par la LAHE (Loi fédérale sur l'encouragement et la coordination des hautes écoles).

Contrat avec la personne concernée — Le traitement est nécessaire à l'exécution d'un contrat ou à la mise en œuvre de mesures précontractuelles. S'applique dès lors qu'une relation contractuelle avec le futur étudiant est en cours de formation.

Pour les données sensibles — voir section suivante —, la nLPD exige en principe le consentement exprès (art. 6 al. 7 nLPD pour les données sensibles et les profils de la personnalité).

Le principe de minimisation : ne collecter que le nécessaire

Le principe de proportionnalité (art. 6 al. 2 nLPD) impose que les données personnelles traitées doivent être adéquates, pertinentes et non excessives au regard des finalités poursuivies. C'est le principe le plus fréquemment violé dans les chatbots des HES et écoles privées suisses.

Ce que cela signifie concrètement pour votre chatbot :

• Le chatbot ne doit pas exiger un courriel pour répondre à une question sur les filières. Le courriel n'est nécessaire que si le prospect souhaite être recontacté ou recevoir un document.
• Le numéro AVS (numéro de sécurité sociale suisse) ne doit jamais être collecté lors d'une première interaction informative — c'est un identifiant unique à protection particulière en droit suisse.
• L'âge précis n'est pas nécessaire si le chatbot doit uniquement déterminer si le prospect est titulaire d'une maturité gymnasiale ou d'une maturité professionnelle. Une indication de niveau suffit.
• Les logs de conversation complets ne doivent pas être conservés indéfiniment. La finalité de la conservation (amélioration du service, transfert CRM) doit être définie avant la mise en production du chatbot.

Le PFPDT recommande d'adopter le principe de privacy by design — la minimisation doit être intégrée dès la conception, conformément à l'article 7 nLPD sur la protection des données dès la conception et par défaut.

Données sensibles : origine, santé, situation sociale

Certaines données collectables via un chatbot de HES suisse entrent dans la catégorie des données sensibles de l'article 5 let. c nLPD. Leur traitement est soumis à des exigences renforcées, notamment l'exigence d'un motif justificatif explicite.

Origine ethnique ou raciale : la nationalité n'est pas en elle-même une donnée sensible au sens de la nLPD, mais dès lors qu'elle révèle ou peut révéler une origine ethnique, l'article 5 let. c nLPD s'applique. En Suisse, les étudiants étrangers peuvent être soumis à des tarifs différenciés dans certaines écoles privées — la collecte de nationalité à cette fin est légitime, mais doit être documentée et proportionnée.

Santé et handicap : les prospects cherchant des informations sur les mesures de compensation des désavantages liés au handicap, les aménagements d'examens ou les soutiens spécialisés peuvent communiquer des données de santé. Le chatbot doit être configuré pour ne pas enregistrer ces informations dans des champs libres non sécurisés. Si une collecte est nécessaire (orientation vers le référent handicap de l'établissement), elle doit reposer sur le consentement exprès avec information préalable complète.

Situation financière : les demandes relatives aux bourses cantonales, aux aides du fonds d'études de l'établissement, ou aux facilités de paiement pour des frais en CHF qui peuvent atteindre CHF 15 000 à 40 000/an dans les écoles privées révèlent la situation socio-économique du prospect. Ces données exigent une base légale solide et une sécurisation appropriée.

Règle pratique : configurez votre chatbot pour détecter les topics sensibles et rediriger vers un humain ou un formulaire sécurisé, plutôt que de collecter ces informations dans l'interface conversationnelle standard.

Tableau de synthèse : données, motifs justificatifs et durées de conservation

L'analyse d'impact (AIPD) : quand votre chatbot la déclenche-t-il en Suisse ?

La nLPD (article 22) impose une analyse d'impact relative à la protection des données lorsqu'un traitement est susceptible de comporter un risque élevé pour la personnalité des personnes concernées. Le PFPDT a publié des orientations précisant les critères déclencheurs.

Votre chatbot de HES ou d'école privée suisse déclenche probablement l'obligation d'analyse d'impact si l'un des critères suivants est réuni :

• Traitement à grande échelle : un chatbot traitant des milliers de conversations mensuelles sur un site d'établissement suisse atteint rapidement le seuil de grande échelle retenu par le PFPDT
• Profilage : si le chatbot qualifie le prospect (chaud/froid, filière recommandée, probabilité d'inscription) à partir de ses interactions, c'est un profilage à risque élevé au sens de l'article 5 let. f nLPD
• Données sensibles : traitement de données révélant l'origine ethnique, l'état de santé ou la situation socio-économique
• Transfert à l'étranger : si votre prestataire de chatbot utilise des serveurs ou des modèles de langage hébergés hors de Suisse, l'article 16 nLPD sur la communication de données à l'étranger s'applique — même si la Suisse bénéficie d'une décision d'adéquation de l'UE, les transferts vers les États-Unis ou d'autres pays tiers exigent des garanties spécifiques

Si l'analyse d'impact conclut à un risque résiduel élevé que vous ne pouvez pas atténuer, vous devez consulter le PFPDT avant de mettre le traitement en œuvre (art. 22 al. 4 nLPD). Pour les autres obligations, notre checklist d'audit nLPD pour les HES et écoles privées suisses couvre les 20 points à vérifier.

Mettre en œuvre une collecte conforme : l'interface du chatbot

La conformité nLPD d'un chatbot se joue à trois niveaux : la déclaration de confidentialité, le mécanisme de consentement, et les droits des personnes concernées.

Déclaration de confidentialité (obligation de transparence)

Avant la première question, le chatbot doit afficher un message d'accueil incluant :

• L'identité du responsable du traitement (l'établissement)
• La finalité du traitement (répondre aux questions, qualifier le prospect)
• Un lien vers la déclaration de confidentialité complète
• La mention que l'interlocuteur est une intelligence artificielle — recommandée par le PFPDT dans ses orientations sur l'IA et la protection des données ; la Suisse n'a pas encore d'IA Act fédéral, mais le PFPDT suit les développements européens et a annoncé des recommandations spécifiques pour 2026

Exemple conforme : « Je suis [Nom du chatbot], l'assistant IA de [Établissement]. Vos échanges sont traités selon notre [déclaration de confidentialité]. Pour exercer vos droits, écrivez à datenschutz@[etablissement].ch (ou privacy@[etablissement].ch). »

Mécanisme de consentement intégré

Si le chatbot collecte le courriel ou le numéro de natel, un mécanisme de consentement actif doit précéder cette collecte :

• Case à cocher non pré-cochée pour les communications marketing
• Libellé distinct pour chaque finalité (relance prospect, newsletter, invitation info-day / journée portes ouvertes)
• Horodatage et conservation de la preuve

Droits des personnes : accès, rectification, effacement

La personne concernée peut exercer ses droits d'accès (art. 25 nLPD) et de rectification (art. 32 nLPD). La réponse doit intervenir dans un délai raisonnable — le PFPDT recommande de s'aligner sur le délai d'un mois du RGPD. La réponse à une demande d'effacement doit couvrir tous les systèmes : logs du chatbot, CRM, outil d'emailing, analytics nominatives, sauvegardes. Les frais en CHF ne peuvent être facturés à la personne que dans des cas exceptionnels (art. 26 nLPD).

FAQ

La nLPD impose-t-elle une analyse d'impact pour un chatbot qui ne collecte pas de courriel ?

Pas systématiquement, mais l'article 22 nLPD déclenche l'obligation dès lors qu'il existe un risque élevé pour la personnalité — ce qui peut inclure un chatbot traitant des adresses IP à grande échelle ou effectuant un profilage implicite, même sans collecte de courriel. Le PFPDT recommande de réaliser une évaluation préliminaire des critères de risque. Si deux critères ou plus parmi ceux identifiés par le PFPDT sont réunis, une analyse d'impact complète est requise. Cette analyse est également un signal de conformité proactif appréciable lors de l'accréditation par l'AAQ (Agence suisse d'accréditation).

Quelle durée de conservation pour les conversations chatbot en Suisse ?

Le PFPDT recommande de ne conserver les données personnelles que le temps nécessaire à la réalisation des finalités déclarées. Pour l'amélioration du service : les logs anonymisés peuvent être conservés jusqu'à 12 mois. Pour les prospects qualifiés (courriel fourni) : 3 ans après le dernier contact actif est un délai généralement proportionné. Les logs techniques (débogage, sécurité) n'ont aucune raison d'être conservés au-delà de 3 mois. Ces durées doivent figurer dans votre registre des traitements et être appliquées par une purge automatisée — pas par un nettoyage manuel annuel.

Le chatbot peut-il transférer des données au CRM sans consentement supplémentaire ?

Cela dépend de la finalité originale du traitement. Si la collecte repose sur un intérêt prépondérant documenté pour le suivi de la candidature, le transfert au CRM à cet effet est généralement compatible. En revanche, l'utilisation de ces données pour des campagnes marketing non directement liées à la demande initiale nécessite le consentement de la personne concernée — qui doit avoir été recueilli avant le transfert. Si le CRM est hébergé hors de Suisse, l'article 16 nLPD impose de vérifier que le pays destinataire offre un niveau de protection adéquat ou de mettre en place des garanties contractuelles appropriées (clauses contractuelles types).

Comment informer le prospect qu'il interagit avec une IA en Suisse ?

La Suisse ne dispose pas encore d'un AI Act fédéral équivalent au règlement européen. Cependant, le PFPDT a clairement indiqué dans ses orientations sur l'IA et la protection des données que la transparence sur l'utilisation de systèmes automatisés fait partie des obligations de la nLPD. Pour un chatbot textuel sur un site de HES ou d'école privée, la mention doit être claire et immédiate : un nom de chatbot explicite (ex. « Skolbot, assistant IA »), un message d'accueil mentionnant la nature IA, et une icône ou couleur distinctive. Cette information se cumule avec les mentions nLPD de transparence — un seul message d'accueil bien conçu couvre les deux obligations.

Que faire si un prospect révèle spontanément une condition de santé ou un handicap ?

Configurez votre chatbot pour détecter les sujets sensibles (mots-clés liés à la santé, au handicap, à la situation sociale) et déclencher une réponse de redirection : « Pour vous accompagner au mieux sur ce point, notre responsable des mesures de compensation vous contactera directement. Souhaitez-vous laisser vos coordonnées ? » Ne stockez pas la donnée sensible dans les logs standard du chatbot. Si un stockage est techniquement inévitable (log de session complet), ce champ doit être masqué ou supprimé avant archivage. L'enjeu : éviter que des données de santé se retrouvent dans un CRM marketing sans le consentement exprès requis par l'article 6 al. 7 nLPD — une atteinte illicite à la personnalité pouvant faire l'objet d'une plainte auprès du PFPDT.