L'AI Act, le règlement (UE) 2024/1689 sur l'intelligence artificielle (IA), ne s'arrête pas à la frontière : une entreprise suisse y est soumise dès qu'elle met un système d'IA sur le marché de l'Union européenne (UE) ou que les résultats de son système y sont utilisés. Le texte s'applique depuis le 2 août 2026, mais ses règles sur l'IA à haut risque ont été repoussées au 2 décembre 2027 et au 2 août 2028. La Suisse suit une autre voie, celle de la convention du Conseil de l'Europe, avec une consultation prévue au printemps 2027.

Le droit suisse en préparation est détaillé dans notre page sur la régulation de l'IA en Suisse.

Chiffres clés

  • 4 niveaux de risque : inacceptable, élevé, transparence, minimal ou nul.
  • 9 pratiques d'IA interdites, dont 8 depuis le 2 février 2025.
  • 2 décembre 2027 : règles pour l'IA à haut risque dans les domaines sensibles (annexe III).
  • 2 août 2028 : règles pour l'IA à haut risque intégrée à des produits réglementés (annexe I).
  • 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial : amende maximale pour une pratique interdite.
  • Printemps 2027 : ouverture prévue de la consultation sur les règles suisses.

Quand une entreprise suisse tombe-t-elle sous l'AI Act ?

Le critère n'est pas le siège, mais le marché visé et l'usage des résultats. L'article 2 du règlement, consolidé au 27 juillet 2026 par le service d'assistance de la Commission européenne, vise notamment :

  • les fournisseurs qui mettent sur le marché ou en service un système d'IA dans l'UE, ou y placent un modèle d'IA à usage général, qu'ils soient établis dans l'UE ou dans un pays tiers ;
  • les fournisseurs et les déployeurs établis dans un pays tiers, lorsque le résultat produit par le système d'IA est utilisé dans l'UE ;
  • les déployeurs établis ou situés dans l'UE ;
  • les importateurs, les distributeurs et les mandataires des fournisseurs qui ne sont pas établis dans l'UE.

Le fournisseur met le système sur le marché ou en service ; le déployeur l'utilise dans son activité. Selon le considérant 22, la règle sur les résultats évite qu'un opérateur européen contourne le texte en confiant une tâche à haut risque à un prestataire hors de l'UE.

Sont exclus l'usage purement personnel, la seule recherche scientifique et les usages exclusivement militaires ou de défense. Les logiciels libres le sont aussi, sauf s'ils sont à haut risque, interdits ou soumis à la transparence.

Notre analyse : une entreprise suisse sans clients, sans utilisateurs et sans résultats exploités dans l'UE reste hors du champ. À l'inverse, un éditeur suisse qui vend un logiciel de tri de CV à des recruteurs en France serait fournisseur d'un système à haut risque, car la Commission range ce cas parmi les usages à haut risque.

Comment l'AI Act classe-t-il les risques ?

Le règlement vise des usages précis, classés en quatre niveaux. Le tableau reprend les exemples de la page de la Commission consacrée à la législation sur l'IA.

NiveauExemples cités par la CommissionConséquence
InacceptableNotation sociale, reconnaissance des émotions au travail et à l'école, moissonnage non ciblé d'images pour la reconnaissance faciale, applications de « nudification »Interdit
ÉlevéTri de CV, notation de crédit, notation des examens, composants de sécurité d'infrastructures critiques, chirurgie assistée par robotObligations strictes avant la mise sur le marché
TransparenceChatbots, contenus générés par l'IA, hypertrucages (deepfakes)Informer, rendre identifiable, étiqueter
Minimal ou nulFiltres anti-spam, jeux vidéo dotés d'IAAucune règle nouvelle

Selon la Commission, la grande majorité des systèmes d'IA utilisés dans l'UE relève du risque minimal. Les modèles d'IA à usage général, qui servent de base à de nombreux systèmes, ont leurs propres règles de transparence et de droit d'auteur.

Quel est le calendrier d'application après l'omnibus numérique ?

Le règlement est entré en vigueur le 1er août 2024 et s'applique par étapes. Le calendrier a été modifié par le règlement (UE) 2026/1744 du 8 juillet 2026, dit « train de mesures omnibus numérique sur l'IA », publié au Journal officiel de l'UE le 24 juillet 2026.

DateCe qui s'applique
2 février 2025Pratiques interdites (les huit premières) et maîtrise de l'IA
2 août 2025Gouvernance et règles pour les modèles d'IA à usage général
2 août 2026Application générale, dont les règles de transparence ; contrôle par le Bureau de l'IA et les autorités nationales
Décembre 2026Neuvième interdiction : contenus intimes non consentis et matériel pédopornographique générés par l'IA
2 décembre 2027IA à haut risque dans les domaines sensibles (annexe III) : biométrie, infrastructures critiques, éducation, emploi, migration
2 août 2028IA à haut risque intégrée à des produits comme les ascenseurs ou les jouets (annexe I)

Selon la Commission, l'omnibus a été proposé le 19 novembre 2025, a fait l'objet d'un accord politique le 7 mai 2026 et est entré en vigueur le 27 juillet 2026. Ses considérants invoquent le retard des normes techniques et des autorités nationales. Exemple daté : la Commission a annoncé le 19 octobre 2026 la publication au Journal officiel de la première norme harmonisée à l'appui du règlement.

Le report décale les échéances sans supprimer d'obligation. Selon la Commission, les règles s'appliqueront quand les entreprises disposeront des outils nécessaires, comme les normes.

Fournisseur ou déployeur : quelles obligations ?

Le fournisseur d'un système à haut risque porte l'essentiel des obligations. Avant la mise sur le marché, la Commission en cite sept :

  • un système d'évaluation et d'atténuation des risques ;
  • des jeux de données de haute qualité, pour limiter les résultats discriminatoires ;
  • la journalisation de l'activité, pour tracer les résultats ;
  • une documentation détaillée, pour que les autorités évaluent la conformité ;
  • des informations claires pour le déployeur ;
  • des mesures de surveillance humaine appropriées ;
  • un niveau élevé de robustesse, de cybersécurité et de précision.

Après la mise sur le marché, le fournisseur tient un système de surveillance. Le déployeur assure la surveillance humaine et le suivi du système. Tous deux signalent les incidents graves et les dysfonctionnements. Le règlement vise aussi les mandataires des fournisseurs établis hors de l'UE ; leurs obligations figurent à l'article 22.

La transparence touche un public plus large. Une personne doit savoir qu'elle échange avec un chatbot. Les fournisseurs d'IA générative rendent les contenus identifiables. Les hypertrucages et les textes publiés pour informer le public sur des questions d'intérêt public doivent être étiquetés.

L'article 4 imposait à tous les fournisseurs et déployeurs de garantir la maîtrise de l'IA par leur personnel. L'omnibus l'assouplit : ils doivent désormais prendre des mesures pour la soutenir, l'obligation initiale pesant surtout sur les petites entreprises selon ses considérants.

L'omnibus étend aussi aux petites entreprises à moyenne capitalisation des allègements prévus pour les petites et moyennes entreprises (PME), dont une documentation technique simplifiée. L'AI Act ne remplace pas le règlement général sur la protection des données (RGPD), que son article 2 laisse intact. En Suisse, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a rappelé le 24 septembre 2025 que la nLPD s'applique directement aux traitements de données recourant à l'IA.

Quelles sanctions risque une entreprise ?

Les États membres de l'UE fixent les sanctions, dans les limites de l'article 99 du règlement. Les plafonds sont les suivants :

  • pratique interdite : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu ;
  • manquement aux obligations des fournisseurs, mandataires, importateurs, distributeurs, déployeurs ou aux règles de transparence : jusqu'à 15 millions d'euros ou 3 % ;
  • informations inexactes ou trompeuses fournies aux autorités : jusqu'à 7,5 millions d'euros ou 1 %.

Pour une PME ou une jeune pousse, c'est le montant le plus bas des deux qui sert de plafond. Depuis l'omnibus, cette règle vaut aussi pour les petites entreprises à moyenne capitalisation, sauf pour les pratiques interdites.

La Suisse va-t-elle reprendre l'AI Act ?

Rien ne l'indique dans les décisions publiées. D'après l'Office fédéral de la justice (OFJ), la Suisse ne dispose pour l'heure d'aucune législation propre à l'IA. Le 12 février 2025, le Conseil fédéral a décidé de ratifier la convention IA du Conseil de l'Europe et chargé le Département fédéral de justice et police (DFJP) d'un avant-projet de règles d'ici fin 2026.

Dans son communiqué du 28 octobre 2026, le Conseil fédéral indique que l'OFJ prépare les mesures contraignantes : transparence, protection des données, non-discrimination, surveillance et évaluation des risques. L'ouverture de la consultation est désormais prévue au printemps 2027. Il s'agit d'un projet : aucune obligation nouvelle ne s'applique encore aux entreprises en Suisse à ce titre.

L'Office fédéral de la communication (OFCOM) coordonne les mesures non contraignantes. Son guide aide associations et entreprises à rédiger un code sur l'IA, avec des modules sur dix thèmes et trois niveaux de détail.

L'UE a ratifié cette convention-cadre (STCE n° 225) le 15 mai 2026, selon le Conseil de l'Europe. Notre analyse : l'UE dispose en plus d'un règlement détaillé, l'AI Act, quand la Suisse prépare des mesures ciblées. Une entreprise active des deux côtés suivra donc deux cadres distincts, que notre rubrique sur le cadre légal de l'IA suit.

Que doit faire une entreprise suisse dès maintenant ?

Notre analyse, à partir des textes cités :

  • inventorier les systèmes d'IA développés, vendus ou utilisés dont les résultats servent dans l'UE, et son rôle pour chacun ;
  • classer chaque usage selon les quatre niveaux et écarter toute pratique interdite ;
  • appliquer la transparence et former le personnel concerné ;
  • pour un système à haut risque vendu dans l'UE, préparer la gestion des risques, la documentation et la journalisation avant le 2 décembre 2027 ou le 2 août 2028, et vérifier les obligations liées au mandataire (article 22) ;
  • suivre la consultation suisse annoncée pour le printemps 2027.

Le pacte sur l'IA de la Commission, volontaire, invite les fournisseurs et déployeurs « d'Europe et d'ailleurs » à se conformer aux principales obligations du texte.

Ce qu'on ne sait pas encore

  • Le contenu de l'avant-projet suisse : le Conseil fédéral n'en a publié que les thèmes, et la consultation n'est pas ouverte.
  • La modalité que la Suisse retiendra pour appliquer la convention au secteur privé, que le Conseil fédéral n'a pas encore précisée.

Sources