AI Act européen : ce qui concerne vraiment une entreprise suisse

Quand on interroge des dirigeants suisses sur l'AI Act, deux réponses reviennent. La première : « nous ne sommes pas dans l'UE, cela ne nous concerne pas ». La seconde : « c'est un texte de plusieurs centaines de pages, nous verrons plus tard ». Aucune des deux n'est tenable. Le règlement a un effet au-delà des frontières de l'Union, comme le RGPD avant lui, mais il ne vise pas tous les usages de l'IA. Pour une PME ou une ETI, la charge réelle est le plus souvent modérée. Elle dépend de trois questions : quel est votre rôle, quel est votre lien avec le marché européen, et quel est le niveau de risque de chaque usage.

Ce que dit le texte sur le champ d'application

Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024. Une entreprise suisse peut être concernée dans trois situations principales :

• elle met sur le marché européen un système d'IA, ou un produit qui en intègre un, sous son nom (rôle de fournisseur) ;
• elle exploite un système dont les résultats sont utilisés dans l'UE, même si le système tourne en Suisse ;
• elle a une filiale, un établissement ou un client européen pour lequel elle utilise ou distribue de l'IA (rôle de déployeur, d'importateur ou de distributeur).

La Suisse n'a pas de loi équivalente. Le Conseil fédéral a indiqué en février 2025 privilégier une approche sectorielle, avec la ratification de la convention du Conseil de l'Europe sur l'IA, plutôt qu'une copie du règlement européen. Pour les entreprises exportatrices, cela change peu : c'est le droit du marché de destination qui s'applique.

Le calendrier à garder en tête

• 2 février 2025 : interdiction de certaines pratiques (notation sociale, reconnaissance des émotions au travail ou à l'école, moissonnage non ciblé d'images faciales, entre autres) et obligation de maîtrise de l'IA pour les fournisseurs et déployeurs.
• 2 août 2025 : obligations pour les fournisseurs de modèles d'IA à usage général. Utiliser un assistant du commerce ne fait pas de vous un fournisseur de modèle.
• 2 août 2026 : application de l'essentiel du règlement, dont les systèmes à haut risque de l'annexe III et les obligations de transparence.
• 2 août 2027 : systèmes à haut risque intégrés dans des produits déjà réglementés, comme les machines ou les dispositifs médicaux.

Les amendes peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et 15 millions ou 3 % pour la plupart des autres manquements. Pour les PME, c'est le montant le plus bas des deux qui s'applique. Le risque est donc réel, mais proportionné à la taille.

Guide en six étapes

1. Inventorier les usages

Listez tous les systèmes d'IA : outils achetés, fonctions d'IA intégrées dans vos logiciels (RH, CRM, support client), modèles développés en interne, assistants utilisés par les équipes sans validation formelle. Cet inventaire est souvent plus long que prévu, car l'IA entre par les logiciels existants. Il rejoint le chantier décrit dans Pas d'IA sans données propres : le chantier que les PME repoussent.

2. Qualifier votre rôle et votre lien avec l'UE

Pour chaque système, notez si vous le concevez, l'achetez, le revendez ou l'intégrez dans un produit, et où ses résultats sont utilisés. Un fournisseur situé hors UE de système à haut risque doit désigner un représentant autorisé dans l'Union. Le rôle détermine les obligations, bien plus que la taille.

3. Classer par niveau de risque

Quatre niveaux : pratiques interdites, haut risque, transparence, risque minimal. Sont notamment à haut risque les usages de tri de candidatures et d'évaluation du personnel, d'accès à l'éducation, d'évaluation de solvabilité, et certains composants de sécurité de produits. Un chatbot relève de la transparence. Un outil de résumé ou de traduction interne relève généralement du risque minimal. Le plus utile à ce stade est de repérer les deux ou trois usages qui sortent de cette dernière catégorie.

4. Traiter ce qui s'applique déjà

Vérifiez qu'aucun usage n'entre dans les pratiques interdites. Documentez ensuite la maîtrise de l'IA : une formation proportionnée aux rôles, une règle d'usage claire, une personne référente. La charte minimale de gouvernance de l'IA couvre l'essentiel de ce point.

5. Revoir les contrats fournisseurs

Pour tout outil à haut risque, vous devez pouvoir obtenir du fournisseur la notice d'utilisation, les informations sur le fonctionnement et la possibilité de conserver les journaux. Ajoutez ces points aux contrats et aux renouvellements. Pour vos propres produits, définissez qui, du client ou de vous, porte quelle obligation.

6. Articuler avec la LPD et planifier

La loi fédérale sur la protection des données révisée est en vigueur depuis le 1er septembre 2023. Elle encadre déjà les décisions individuelles automatisées et l'analyse d'impact. Ce travail est un socle : voyez ce que les PME suisses doivent avoir en place et l'exemple de conformité LPD des données clients. Puis fixez un plan jusqu'en août 2026, avec un responsable et un point trimestriel.

Un exemple chiffré, avec ses hypothèses

Prenons une entreprise industrielle suisse de 300 personnes, dont environ 40 % du chiffre d'affaires est réalisé dans l'UE, avec une filiale en Allemagne. Hypothèses : elle utilise un logiciel de présélection de candidatures acheté auprès d'un éditeur, un chatbot sur son site, des assistants bureautiques, et ses machines embarquent un module de maintenance prédictive.

• Le logiciel de présélection relève probablement du haut risque (emploi). L'entreprise est déployeuse : supervision humaine, information des candidats, conservation des journaux, usage conforme à la notice.
• Le chatbot impose d'informer l'utilisateur qu'il échange avec une machine.
• Les assistants bureautiques relèvent de la maîtrise de l'IA, donc de formation et de règles d'usage.
• Le module de maintenance prédictive est probablement à risque minimal, sauf s'il remplit une fonction de sécurité de la machine. Ce point est à vérifier avant 2027.

Nous estimons, en ordre de grandeur, que l'inventaire et la classification mobilisent de dix à quinze jours de travail réparties sur quelques semaines pour une organisation de cette taille. Ce chiffre dépend de la qualité de la documentation existante.

Ce que les dirigeants peuvent décider ce trimestre

Nommer un responsable, lancer l'inventaire, et décider qui valide tout nouvel usage d'IA avant déploiement. Le sujet est aussi stratégique : savoir où l'IA crée de la valeur et où elle crée de l'exposition relève de la stratégie et création de valeur. Le suivi des textes peut lui-même être outillé, comme dans une veille réglementaire automatisée. L'ensemble s'inscrit dans notre expertise Données, IA & conformité.

Si vous souhaitez savoir en quelques semaines où votre entreprise se situe, quels usages méritent une action avant août 2026 et lesquels peuvent attendre, notre diagnostic est le point de départ.