AI Act en Suisse : quand le règlement européen vous concerne

Personne n’a voté le règlement (UE) 2024/1689 à Berne. Il entre pourtant dans les PME romandes par la porte commerciale : un logiciel vendu à Lyon, une lettre qui part à Pontarlier. Bruxelles regarde moins votre siège que l’endroit où servent les résultats de votre IA. C’est le critère que je place en tête.

Je passe ici en revue les situations où l’AI Act vous atteint depuis la Suisse, avec les dates telles que l’omnibus de juillet 2026 les a corrigées. Ce que la loi suisse exige des mêmes outils est traité dans ChatGPT en Suisse et la protection des données.

Champ d’application de l’AI Act : les trois portes de l’article 2

L’art. 2 par. 1 ignore le siège. La let. a vise le fournisseur « établi ou situé dans l’Union ou dans un pays tiers » qui y vend un système d’IA. La let. c, ceux dont les sorties « sont utilisées dans l’Union ».

Le fournisseur développe un système et le met sur le marché sous son nom ou sa marque (art. 3, point 3). Le déployeur l’utilise sous sa propre autorité (point 4). La let. b vise les déployeurs établis dans l’UE : votre filiale de Thonon, pas vous.

Le considérant 22 justifie la let. c par le risque de contournement, sans fixer de seuil. Dans le doute, je compte comme couverte toute sortie qui part régulièrement dans l’UE ; une commune qui écrit à ses habitants reste dehors (ses règles à elle relèvent d’abord du canton).

Mandataire dans l’UE : l’article 22 et son miroir dans la LPD

Un fournisseur établi hors de l’Union qui veut y vendre un système à haut risque désigne d’abord, « par mandat écrit », un mandataire établi dans l’Union (art. 22 par. 1). L’art. 54 impose la même chose aux fournisseurs de modèles d’IA à usage général.

Le mandataire garde dix ans la déclaration UE de conformité et la documentation technique pour les autorités, et répond à leurs demandes. L’art. 22 s’appliquera le 2 décembre 2027 pour l’annexe III ; l’art. 54 s’applique depuis le 2 août 2025.

Le juriste suisse connaît la figure : l’art. 14 LPD fait désigner un représentant en Suisse au responsable étranger qui cible des personnes ici. Pour ce rôle, je choisirais quelqu’un qui connaît le produit, pas un simple distributeur. Le volet LPD : nLPD et IA.

Calendrier de l’AI Act : ce que l’omnibus de juillet 2026 a déplacé

L’art. 113 échelonnait l’application entre février 2025 et août 2027. Le règlement (UE) 2026/1744 du 8 juillet 2026, publié le 24 juillet, a repoussé le haut risque et ajouté deux interdictions. La Commission, au 19 octobre 2026, ne signale aucun autre report.

Pour une PME suisse, ce qui n’a pas bougé pèse davantage : interdictions et maîtrise de l’IA depuis février 2025, art. 50 depuis août 2026. L’art. 4 réécrit demande de « favoriser » la maîtrise de l’IA du personnel, plus de la « garantir ».

Ce report, je le lis comme un sursis, pas comme une dispense. L’éditeur qui découvrirait l’annexe III à l’automne 2027 n’aurait plus le temps de monter son dossier. L’art. 4, lui, se règle en quelques heures avec une charte d’utilisation de l’IA et une formation interne datée.

Logiciel RH vendu en France : le haut risque de l’annexe III

Mentue Talents Sàrl, à Cossonay (société inventée), vend à des entreprises françaises un logiciel qui lit les CV et classe les candidats. L’annexe III, point 4 a, range à haut risque les systèmes destinés à « analyser et filtrer les candidatures et évaluer les candidats ».

Fournisseur au sens de la let. a, elle devra tenir l’art. 16 dès le 2 décembre 2027 : système qualité, évaluation de la conformité, déclaration UE, marquage CE, enregistrement. L’omnibus veut ce système qualité proportionné à la taille d’une PME (art. 17 par. 2).

L’échappatoire de l’art. 6 par. 3 ne vaut jamais pour un système qui profile des personnes, et classer des candidats y ressemble fort. Les CV portent souvent des données sensibles au sens de la nLPD. À sa place, je chiffrerais ce dossier dès le budget 2027.

Fiduciaire genevoise et horloger neuchâtelois : l’IA ordinaire face à l’AI Act

Deux usages plus courants, deux entreprises inventées. La Fiduciaire Rive-Arve Sàrl, à Carouge, fait rédiger par ChatGPT les courriers de ses clients frontaliers. Cadrans Pouillerel SA, à La Chaux-de-Fonds, contrôle ses cadrans par vision artificielle et répond aux acheteurs français avec un robot maison.

Chez la fiduciaire, l’AI Act pèse peu à côté de la LPD et du mandat, qui décident de ce qu’une fiduciaire colle dans l’outil. L’horloger a davantage à faire : son robot devait s’annoncer comme IA dès le 2 août 2026. Ce retard-là, je ne le laisse pas traîner.

Amendes du règlement IA et questions des clients européens

L’art. 99 laisse les sanctions aux États membres, avec des plafonds : 35 000 000 EUR ou 7 % du chiffre d’affaires annuel mondial pour les interdictions ; 15 000 000 EUR ou 3 % pour fournisseurs, mandataires, déployeurs et art. 50.

Entre montant fixe et pourcentage, le plus haut s’applique ; une PME a droit au plus bas (art. 99 par. 6), une petite entreprise à moyenne capitalisation aussi, hors interdictions (par. 6 bis). Comment un État membre poursuivrait une Sàrl genevoise, le règlement ne le dit pas.

Je parie davantage sur la pression du client que sur celle d’un régulateur. L’entreprise française qui déploie le logiciel de Mentue Talents devra tenir l’art. 26 et réclamera notice et preuves. Une réponse écrite, prête d’avance, se coordonne avec la clause IA d’un contrat de mandat.

Loi IA suisse : la convention de Strasbourg plutôt qu’un règlement européen

Berne a écarté, le 12 février 2025, une grande loi à la bruxelloise : le traité de Strasbourg sur l’IA sera repris, par retouches surtout sectorielles. Ses mesures non contraignantes visent la compatibilité avec « ses principaux partenaires commerciaux ».

Les étapes de Berne depuis, jusqu’à la consultation attendue au printemps 2027, sont suivies dans nLPD et IA. Ici, une seule question : ce futur droit suisse allégera-t-il la charge d’un exportateur ?

Non. Je ne compte pas sur Berne pour alléger quoi que ce soit : ce traité vise d’abord les acteurs étatiques, et aucune loi fédérale ne dispensera vos clients européens de l’AI Act. Les deux textes s’additionneront, ils ne s’échangeront pas.

Checklist AI Act pour une PME romande qui travaille avec l’UE

Sept questions situent une entreprise. Répondez par écrit : un client, un assureur ou votre futur mandataire vous demanderont la même chose, et la trace datée vaut mieux qu’une bonne mémoire.

Des sept, c’est le dernier que je surveille de plus près : il se joue au clavier, à chaque envoi. Pour un PDF ou un Word isolé, nos outils par format suffisent.

Une organisation qui veut imposer une règle centrale à tous ses postes lira plutôt ce qu’est un AI gateway.

Sorties d’IA vers l’UE : nettoyer le texte avant qu’il parte

L’AI Act regarde l’outil et ce qu’il produit. Il ignore la demande où la collaboratrice de Carouge a laissé le nom, le natel et l’adresse d’une cliente frontalière. Ce geste relève de la LPD, et il revient plusieurs fois par jour.

Cette demande, l’application Nonimo la débarrasse du nom, du natel et de l’e-mail de la cliente sur le poste, avant l’envoi à ChatGPT, puis glisse Mme Bonvin et ses coordonnées dans le courrier rédigé. Saint-Julien-en-Genevois, lui, passe tel quel : une commune frontalière ou un employeur cité peut encore trahir une cliente.

Ma conclusion : la conformité AI Act se règle une fois par outil ; le nettoyage des demandes, à chaque envoi. Cette lecture date du 9 novembre 2026 ; pour un dossier de fournisseur, un avocat qui pratique le droit européen tranche.

Sources

• Règlement (UE) 2024/1689 (AI Act), EUR-Lex : art. 2, 3, 4, 6, 16, 22, 50, 54, 99, 111 et 113, annexe III, considérant 22.
• Règlement (UE) 2026/1744 (omnibus sur l’IA), EUR-Lex : reports au 2 décembre 2027 et au 2 août 2028, délai du 2 décembre 2026 pour l’art. 50 par. 2 (art. 111 par. 4), art. 4 réécrit, art. 5, 17 et 99 modifiés.
• Commission européenne, cadre réglementaire de l’IA : calendrier d’application, page mise à jour le 19 octobre 2026.
• Loi fédérale sur la protection des données (LPD, RS 235.1) : art. 3 (effets en Suisse), art. 14 et 15 (représentant).
• Conseil fédéral, « Réglementation de l’IA : le Conseil fédéral veut ratifier la Convention du Conseil de l’Europe », 12 février 2025.
• Conseil fédéral, « Le Conseil fédéral prend connaissance de l’avancement de la réglementation en matière d’IA », 28 octobre 2026.
• PFPDT, « Update - La loi actuelle sur la protection des données est directement applicable à l’IA », 8 mai 2025 : transparence sur la finalité, le fonctionnement et les sources de données.
• OFJ, « Intelligence artificielle » : mandat du 12 février 2025, avant-projet destiné à la consultation d’ici fin 2026.
• OFCOM, « Intelligence artificielle » : projet de loi fédérale de l’OFJ et consultation au printemps 2027.

Consulté le 9 novembre 2026.