IA et biais dans l'admission étudiante en Suisse : risques et garde-fous

Aviso : cet article est publié à titre informatif uniquement. Consultez un Délégué à la protection des données pour toute mise en œuvre concrète.

La sélection étudiante par IA en Suisse : un cadre réglementaire propre, distinct de l'UE

La Suisse n'est pas membre de l'Union européenne. L'AI Act européen ne s'applique donc pas directement sur le territoire helvétique, et les établissements d'enseignement supérieur suisses — universités cantonales, Hautes Écoles Spécialisées (HES) et Hautes Écoles Pédagogiques (HEP) — ne peuvent pas se contenter d'importer les obligations européennes sans vérifier leur applicabilité locale. La réglementation des systèmes d'IA en Suisse repose principalement sur la nouvelle Loi fédérale sur la protection des données (nLPD, RS 235.1), en vigueur depuis le 1er septembre 2023.

La nLPD impose une obligation d'information renforcée pour tout traitement automatisé ayant un effet juridique ou significatif sur la personne (art. 21 nLPD). Cette disposition couvre explicitement le scoring d'admission, la recommandation de filière et le tri de dossiers par algorithme. L'autorité de contrôle compétente est le PFPDT — Préposé fédéral à la protection des données et à la transparence, qui peut ouvrir des investigations d'office et émettre des recommandations contraignantes.

L'AAQ (Agence suisse d'accréditation et d'assurance qualité) supervise la qualité des établissements d'enseignement supérieur au titre de la loi sur l'encouragement et la coordination des hautes écoles (LAHE). Ses Standards d'accréditation institutionnelle exigent des processus d'admission transparents et équitables — conditions structurellement incompatibles avec des algorithmes biaisés non documentés. Un système d'admission automatisé qui produirait des discriminations indirectes non détectées pourrait compromettre l'accréditation d'un établissement.

Contrairement à la France, la Suisse ne dispose pas d'une plateforme centralisée d'admission comparable à Parcoursup. L'admission se fait directement auprès de chaque établissement (universités, HES, HEP). Pour les HES, swissuniversities coordonne les informations et les standards de qualité. Ce système décentralisé favorise la multiplication d'outils numériques d'aide à la sélection développés ou achetés de manière autonome par chaque institution, sans cadre commun d'audit des biais algorithmiques.

Point de vigilance important : la Suisse bénéficie d'une décision d'adéquation de l'UE pour la protection des données, la nLPD étant reconnue équivalente au RGPD. Cela facilite les échanges de données avec des partenaires académiques européens, mais n'implique en aucun cas l'application de l'AI Act européen sur le territoire suisse. Les obligations applicables restent celles de la nLPD et du droit suisse.

Pourquoi les biais sont statistiquement inévitables

Tout modèle d'IA apprend à partir des données sur lesquelles il est entraîné. Dans le contexte de l'admission étudiante suisse, ces données historiques reflètent les déséquilibres structurels du système éducatif helvétique : différences entre maturité gymnasiale, maturité professionnelle et maturité spécialisée ; inégalités d'accès selon le canton de résidence ; biais linguistiques entre romandie, Suisse alémanique et Tessin ; représentation inégale selon que l'établissement est une EPF fédérale (EPFL, EPFZ) ou une HES régionale.

Le PFPDT a rappelé dans ses prises de position sur l'IA que l'absence de biais visible ne garantit pas l'absence de discrimination indirecte. Des variables en apparence neutres — code postal cantonal, type de maturité, langue maternelle, établissement d'origine — peuvent agir comme proxies de l'origine socio-économique ou culturelle d'un candidat. Un modèle qui n'accède jamais à l'ethnie ou au revenu des parents peut néanmoins reproduire des inégalités de classe si ces proxies sont inclus dans les données d'entraînement sans précaution.

Le NIST AI Risk Management Framework identifie plusieurs catégories de biais algorithmique qui se manifestent avec une acuité particulière dans les systèmes d'admission : biais historique, biais de sélection, biais de mesure, biais d'agrégation, biais de déploiement et biais de rétroaction. Ces six sources sont développées dans la section suivante.

Une classification automatique réalisée sur 12 000 conversations Skolbot (2025) illustre concrètement le problème : 72 % des requêtes étaient des questions simples de type FAQ, 21 % des requêtes contextuelles de niveau intermédiaire, et 7 % des requêtes complexes. C'est dans ce 7 % — candidats en passerelle maturité professionnelle vers HES, adultes en formation continue, ressortissants non-UE, candidats aux filières contingentées — que les biais se manifestent avec le plus de force et le moins de visibilité pour les équipes de conformité.

Skolbot Bias Risk Matrix : 6 sources de biais dans l'enseignement supérieur suisse

Le framework ci-dessous croise chaque source de biais avec quatre dimensions opérationnelles : probabilité d'occurrence, sévérité de l'impact, exposition réglementaire (nLPD/AAQ), et difficulté de détection. Il est fondé sur les catégories du NIST AI RMF, adapté au contexte réglementaire suisse et au paysage spécifique des HES, universités et HEP helvétiques.

Le biais de mesure mérite une attention particulière dans le contexte suisse. Le type de maturité (gymnasiale, professionnelle, spécialisée) est une variable objectivement pertinente pour évaluer les prérequis académiques — mais elle corrèle fortement avec l'origine socio-économique, le canton de résidence et la trajectoire scolaire. Un modèle qui valorise systématiquement la maturité gymnasiale par rapport à la maturité professionnelle reproduira des inégalités structurelles du système éducatif suisse sous une apparence de neutralité méritocratique.

Le biais de déploiement est particulièrement insidieux dans un pays quadrilingue comme la Suisse : un modèle entraîné majoritairement sur des dossiers d'établissements alémaniques (qui représentent la majorité des HES) produira des résultats sous-optimaux pour des candidats romands ou tessinois, non pas parce qu'il est intrinsèquement biaisé, mais parce que le contexte de déploiement diffère du contexte d'entraînement.

Deux cas documentés

Cas 1 : Amazon (2018)

Amazon a développé un outil interne de tri de CV qui pénalisait les candidatures féminines en détectant des proxies lexicaux associés à l'appartenance à des clubs ou activités féminins, ou simplement le terme "femmes" dans les intitulés de diplômes. Le modèle avait été entraîné sur dix ans d'historique de recrutement dans un secteur où les hommes étaient majoritaires — le biais historique du jeu de données s'est directement reproduit dans les recommandations. L'outil a été désactivé après découverte interne. Ce cas est régulièrement cité par le PFPDT dans ses communications sur l'IA responsable comme exemple paradigmatique de biais algorithmique à l'échelle.

Cas 2 : Ofqual (Royaume-Uni, 2020)

L'algorithme britannique d'attribution de notes de certificats de fin d'études secondaires pendant la crise Covid a massivement dégradé les résultats des élèves issus d'établissements publics modestes, en faveur des élèves d'écoles privées. Le mécanisme combinait deux biais : un biais d'agrégation (un modèle unique appliqué à des contextes scolaires hétérogènes) et un biais historique (les performances passées des établissements défavorisés étaient structurellement plus basses). L'affaire a été analysée par swissuniversities dans le cadre de ses travaux sur l'équité des évaluations en période de crise et a conduit à des recommandations spécifiques pour les systèmes d'évaluation automatisés.

Le dénominateur commun entre ces deux cas est univoque : aucune métrique d'équité par sous-groupe n'avait été mesurée avant le déploiement. Dans les deux cas, les biais étaient détectables a priori avec des outils statistiques standards.

Framework de mitigation en 4 étapes

Le framework ci-dessous est structuré pour s'intégrer dans un cycle de développement standard. Chaque étape produit un artefact documentaire qui peut être présenté au PFPDT en cas de contrôle, à l'AAQ dans le cadre d'une procédure d'accréditation, ou aux candidats qui exercent leur droit de contrôle humain au sens de l'art. 21 nLPD.

Deux précisions juridiques importantes s'imposent :

Premièrement, l'art. 21 nLPD impose que la personne soit informée de toute décision exclusivement automatisée ayant un effet juridique ou significatif, et puisse demander un contrôle humain. L'étape 3 du framework n'est donc pas un choix de bonne pratique : elle est juridiquement exigible sur demande dès lors qu'une décision d'admission est prise ou influencée par un système automatisé.

Deuxièmement, en l'absence d'un AI Act suisse spécifique à ce jour, c'est la nLPD qui porte l'essentiel des obligations applicables aux systèmes d'IA en contexte éducatif. Les établissements qui anticipent un éventuel cadre réglementaire suisse sur l'IA auront intérêt à documenter leur conformité au standard international ISO/IEC 42001:2023, qui fournit un système de management de l'IA applicable indépendamment de la juridiction.

Checklist conformité : 10 points avant mise en production

Cette checklist est adressée au Délégué à la protection des données ou au responsable conformité de l'établissement. Elle ne se substitue pas à une analyse d'impact complète, mais constitue un premier filtre opérationnel avant tout déploiement.

1. Portée réglementaire documentée : la nLPD s'applique-t-elle au traitement ? L'établissement est-il soumis à la LAHE (accréditation AAQ) ?
2. Information des candidats : nLPD art. 19 exige une information claire sur le traitement ; art. 21 exige une notice spécifique pour les décisions automatisées — cette notice est-elle rédigée et accessible avant la candidature ?
3. Fiche de données produite : origine du jeu de données, période couverte, sous-groupes représentés (type de maturité, canton, langue), proxies connus identifiés et documentés.
4. Données sensibles traitées : origine raciale ou ethnique, handicap, opinions politiques — le traitement de ces catégories est soumis à conditions strictes (nLPD art. 6 al. 7) ; base légale ou consentement documentés.
5. Métriques d'équité mesurées avant déploiement par sous-groupe ; seuil d'impact disparate documenté (ratio > 0,8 recommandé comme référence minimale).
6. Contrôle humain effectif : procédure écrite, zones d'incertitude définies, droit de révision humaine opérationnel et accessible (nLPD art. 21) — pas de validation en lot automatique pour les dossiers en marge.
7. Logs conservés : nLPD art. 12 impose la documentation des activités de traitement ; durée de conservation définie et cohérente avec la politique de gestion des données de l'établissement.
8. Communication au candidat : le candidat sait qu'un système automatisé intervient dans le traitement de son dossier ; une voie de recours clairement indiquée est disponible.
9. Monitorage de dérive : mensuel minimum ; métriques comparées à la référence de déploiement ; alertes définies pour déviation significative ; registre d'incidents maintenu.
10. Plan de retrait documenté : si un biais grave est détecté en production — qui prend la décision de suspension, en combien de temps, qui est prévenu (PFPDT, candidats concernés, direction, swissuniversities si pertinent).

Pour approfondir les aspects connexes de la conformité numérique dans l'enseignement supérieur suisse, consultez également :

• Guide RGPD et données étudiantes
• Chatbot IA et recrutement étudiant : guide pratique
• AI Act et enseignement supérieur : ce qui change
• Protéger les données des prospects : obligations et bonnes pratiques

FAQ

Un outil d'aide à la sélection utilisé par une HES est-il soumis à la nLPD ?

Oui, dès lors qu'il traite des données personnelles de candidats. Si l'outil prend ou influence une décision d'admission de manière automatisée, l'art. 21 nLPD impose une information spécifique et un droit de contrôle humain sur demande. L'accréditation AAQ requiert par ailleurs des processus d'admission transparents et équitables — ce qui implique que les biais algorithmiques non documentés constituent un risque d'accréditation, pas seulement un risque réglementaire.

Faut-il refaire une analyse d'impact à chaque mise à jour du modèle ?

Pas à chaque version technique mineure, mais à chaque changement substantiel : nouveau jeu de données d'entraînement, nouvelle finalité de traitement, nouveau contexte de déploiement (par exemple, extension d'un modèle alémanique à la romandie). La nLPD ne prescrit pas la fréquence de manière explicite, mais la documentation de toute activité de traitement significative est exigible (art. 12). En pratique, un audit complet est recommandé à chaque nouveau cycle d'admission et à chaque mise à jour majeure du modèle.

Peut-on utiliser le type de maturité ou le canton d'origine comme variable d'entrée ?

Ces variables ne sont pas des données sensibles au sens strict de la nLPD, mais elles agissent comme proxies de l'origine socio-économique et linguistique en Suisse. Leur usage doit être justifié par une finalité légitime, documenté dans la fiche de données, et soumis à des tests d'impact disparate avant le déploiement. Si l'impact disparate est avéré sur un sous-groupe protégé — par exemple, les candidats avec maturité professionnelle issus de cantons périphériques — la variable doit être retirée ou le modèle rééquilibré.

Qui répond devant le PFPDT en cas de biais avéré : l'établissement ou le prestataire ?

L'établissement est le maître du fichier au sens de la nLPD et répond en premier lieu devant le PFPDT. Le prestataire peut être qualifié de sous-traitant au sens de l'art. 9 nLPD ; sa responsabilité contractuelle est distincte et doit être encadrée par une clause de traitement des données conforme à la nLPD. Les établissements ont intérêt à exiger une déclaration de conformité nLPD de leur prestataire et à documenter leurs propres mesures de mitigation indépendamment des garanties contractuelles obtenues.

Quel est le coût de la conformité nLPD pour un établissement suisse de taille moyenne ?

Un audit initial de conformité nLPD pour un système d'admission automatisé prend généralement 2 à 4 semaines selon la complexité du système et la maturité documentaire existante. Un budget annuel de monitorage et de maintenance de la conformité oscille entre CHF 15 000 et CHF 40 000 selon la maturité interne et la taille de l'établissement. À titre de comparaison, la sanction pénale sous la nLPD peut atteindre CHF 250 000 pour les personnes physiques responsables (art. 60 nLPD) — ce qui rend l'investissement en conformité préventive économiquement rationnel.