L'AI Act s'applique-t-il à ma PME suisse ?

Pourquoi la question se pose

L'AI Act est le règlement européen sur l'intelligence artificielle (règlement (UE) 2024/1689). Il s'applique par étapes depuis février 2025. La Suisse n'est pas membre de l'Union européenne (UE) et n'a pas repris ce texte. Pourtant, de nombreuses petites et moyennes entreprises (PME) suisses sont directement concernées.

La raison tient à la portée extraterritoriale du règlement. Comme le Règlement général sur la protection des données (RGPD) avant lui, l'AI Act ne s'arrête pas aux frontières de l'UE. Il vise aussi les acteurs établis dans des pays tiers, dès que leurs systèmes d'intelligence artificielle (IA) touchent le marché européen (art. 2).

Le test décisif : le lien avec le marché européen (art. 2)

Trois situations placent une PME suisse dans le champ du règlement. Une seule suffit.

Premier cas : vous vendez des produits ou services intégrant un système d'IA à des clients situés dans l'UE. C'est la mise sur le marché ou la mise en service dans l'Union (art. 2(1)(a)).

Deuxième cas : les résultats produits par votre système — scores, décisions, contenus, rapports — sont utilisés dans l'UE (art. 2(1)(c)). C'est le piège classique des déployeurs suisses. Exemple : une fiduciaire lausannoise fait analyser par IA les dossiers d'une filiale française. Le système tourne en Suisse, mais ses résultats sont exploités en France. Le règlement s'applique.

Troisième cas : votre système traite ou évalue des personnes situées dans l'UE, par exemple des candidats frontaliers, des clients ou des utilisateurs européens.

À l'inverse, une PME dont les systèmes d'IA ne servent que des clients suisses, avec des résultats utilisés uniquement en Suisse, reste hors du champ de l'AI Act pour ces usages.

Le piège de l'article 25 : l'utilisateur qui devient fournisseur

Le règlement distingue deux rôles principaux. Le déployeur utilise sous sa propre autorité un système d'IA acheté ou loué : c'est le cas le plus fréquent en PME, par exemple un outil SaaS (logiciel accessible en ligne) ou le module IA d'un logiciel métier. Le fournisseur, lui, développe un système et le met sur le marché sous son nom. Ses obligations sont nettement plus lourdes.

L'article 25 contient une requalification souvent ignorée. Si vous apposez votre marque sur un système d'IA existant, si vous le modifiez substantiellement ou si vous détournez son usage prévu, vous devenez juridiquement fournisseur. Toutes les obligations du fournisseur vous incombent alors.

Exemple concret : une agence web qui habille un chatbot du commerce sous sa propre marque et le revend à ses clients n'est plus un simple utilisateur, mais un fournisseur au sens du règlement.

Les quatre niveaux de risque

L'AI Act classe les usages, pas les technologies. Un même outil peut être anodin dans un contexte et fortement encadré dans un autre.

Niveau 1 : les pratiques interdites (art. 5). Manipulation, exploitation de vulnérabilités, notation sociale, reconnaissance des émotions au travail et en éducation, notamment. Ces interdictions s'appliquent depuis le 2 février 2025. Les sanctions atteignent 35 millions d'euros ou 7 % du chiffre d'affaires (CA) mondial (art. 99(3)).

Niveau 2 : le haut risque (art. 6 et Annexe III). Il couvre notamment le tri de CV et l'évaluation de candidats, le credit scoring, la tarification en assurance vie ou maladie, l'éducation et la biométrie. La catégorie emploi et ressources humaines est la plus fréquente en PME.

Niveau 3 : les obligations de transparence (art. 50). Chatbots, contenus générés par IA, deepfakes et reconnaissance des émotions dans les cas licites doivent être signalés comme tels aux personnes concernées.

Niveau 4 : le risque minimal. C'est la grande majorité des usages, comme l'aide à la rédaction interne ou la traduction. Aucune obligation spécifique au-delà des bonnes pratiques volontaires (art. 95) — et du droit suisse de la protection des données.

Ce qui est dû, et quand : le calendrier après le Digital Omnibus

Le règlement « Digital Omnibus IA », adopté définitivement le 29 juin 2026, a remanié le calendrier initial. Voici les échéances à retenir.

Depuis le 2 février 2025 : pratiques interdites (art. 5) et obligation de maîtrise de l'IA du personnel (art. 4), assouplie par l'omnibus en obligation de moyens.

2 août 2026 : obligations de transparence de l'article 50 — chatbots, contenus générés, deepfakes. Échéance maintenue par l'omnibus.

2 décembre 2026 : nouvelles interdictions (génération d'images intimes non consenties, contenus pédocriminels) et fin du sursis de marquage lisible par machine pour les systèmes génératifs mis sur le marché avant le 2 août 2026.

2 décembre 2027 : obligations complètes pour le haut risque de l'Annexe III, reportées de seize mois par l'omnibus. La date initiale était le 2 août 2026 — c'est le principal changement pour les PME.

2 août 2028 : haut risque de l'Annexe I, c'est-à-dire l'IA intégrée dans des produits déjà réglementés comme les machines, les jouets ou les dispositifs médicaux.

Pas concerné ? Vos obligations suisses demeurent

Être hors du champ de l'AI Act ne signifie pas être libre de toute obligation. La loi fédérale sur la protection des données (LPD), en vigueur depuis septembre 2023, s'applique à tout traitement de données personnelles, IA comprise : c'est la position du Préposé fédéral à la protection des données et à la transparence (PFPDT). Transparence (art. 19 LPD), sécurité (art. 8 LPD), droits des personnes et encadrement des décisions individuelles automatisées (art. 21 LPD) valent pour toutes les entreprises suisses.

Le droit suisse de l'IA se construit par ailleurs. La Suisse a signé la Convention-cadre du Conseil de l'Europe sur l'IA en mars 2025. Un avant-projet de loi est attendu en consultation d'ici fin 2026, avec une approche sectorielle plutôt qu'une loi transversale. Les pratiques interdites par l'AI Act constituent le meilleur prédicteur des futures lignes rouges suisses.

Par où commencer

Trois gestes concrets. D'abord, inventoriez vos usages d'IA, y compris les fonctions IA intégrées à vos logiciels métier. Ensuite, pour chaque usage, posez la question du lien avec l'UE : clients, résultats, personnes concernées. Enfin, classez les usages concernés selon les quatre niveaux de risque et notez l'échéance applicable.

L'outil gratuit AI-Karma, conçu pour les PME suisses, permet cette évaluation en une quinzaine de minutes. Son module de classification AI Act (/aiact) reproduit le raisonnement décrit ici, question par question, et restitue les obligations et échéances propres à chaque cas d'usage.

Ceci n'est pas un avis juridique. Pour les situations complexes — rôle de fournisseur, haut risque, secteur réglementé — faites valider votre analyse par un conseil spécialisé.

Questions fréquentes