Le règlement (UE) 2024/1689 («AI Act») ne s'applique pas uniquement aux entreprises établies dans l'UE. Les entreprises suisses peuvent être directement concernées, par exemple lorsqu'elles mettent des systèmes d'IA sur le marché de l'UE ou lorsque les résultats (output) d'un système sont utilisés dans l'UE.
Depuis le 27 juillet 2026, l'AI Act s'applique dans la version du Digital Omnibus on AI (règlement (UE) 2026/1744). Celui-ci a reporté plusieurs délais et adapté certaines obligations. Cette page donne aux exportateurs suisses et aux PME ayant un lien avec l'UE un premier aperçu.
Champ d'application territorial (art. 2)
Selon l'art. 2, al. 1, le règlement s'applique notamment:
- aux fournisseurs qui mettent sur le marché de l'UE des systèmes d'IA ou des modèles d'IA à usage général (GPAI), ou qui mettent en service des systèmes d'IA dans l'UE, indépendamment de leur lieu d'établissement;
- aux déployeurs de systèmes d'IA qui sont établis dans l'UE ou qui s'y trouvent;
- aux fournisseurs et déployeurs établis dans des pays tiers comme la Suisse, lorsque l'output produit par le système d'IA est utilisé dans l'UE;
- aux importateurs et distributeurs, aux fabricants de produits, aux mandataires de fournisseurs sans établissement dans l'UE, ainsi qu'aux personnes concernées se trouvant dans l'UE.
Pour les entreprises suisses, deux points de rattachement sont particulièrement pertinents:
- Accès au marché : vous proposez un système d'IA ou un modèle GPAI dans l'UE ou vous l'y mettez en service.
- Utilisation de l'output dans l'UE : le système fonctionne en Suisse, mais ses résultats, par exemple des prévisions, des contenus, des recommandations ou des décisions, sont utilisés dans l'UE.
Quiconque utilise l'IA uniquement en Suisse et ne fournit aucun résultat à l'UE n'est en règle générale pas soumis à l'AI Act. La limite n'est toutefois pas toujours claire, par exemple en présence d'une clientèle ou de filiales dans l'UE, et doit être examinée au cas par cas.
Approche fondée sur le risque
L'AI Act distingue notamment:
- les pratiques interdites (art. 5), par exemple la notation sociale (social scoring) ou les techniques manipulatrices. Dès le 2 décembre 2026, seront en outre interdits les systèmes d'IA qui génèrent, sans consentement, des représentations intimes réalistes de personnes identifiables ou des représentations d'abus sexuels sur des enfants;
- les systèmes d'IA à haut risque, assortis d'obligations étendues (notamment gestion des risques, qualité des données, documentation technique, contrôle humain);
- les obligations de transparence pour certains systèmes (art. 50), par exemple les chatbots ainsi que les contenus générés ou manipulés par l'IA (deepfakes);
- les règles applicables aux modèles d'IA à usage général (GPAI), avec des obligations supplémentaires en cas de risque systémique.
Les obligations applicables dépendent de la classification du système et de votre rôle, et non du siège de l'entreprise.
Calendrier
L'AI Act devient applicable par étapes. Avec le Digital Omnibus on AI (publié au Journal officiel de l'UE le 24 juillet 2026, en vigueur depuis le 27 juillet 2026), le calendrier suivant s'applique:
| À partir du | Ce qui s'applique |
|---|---|
| 2 février 2025 | Pratiques interdites (art. 5) et obligations relatives à la maîtrise de l'IA (art. 4) |
| 2 août 2025 | Règles applicables aux modèles GPAI, gouvernance et sanctions |
| 27 juillet 2026 | Nouvelle version de l'art. 4 : les fournisseurs et déployeurs doivent prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel, sans devoir garantir un niveau de compétence déterminé |
| 2 août 2026 | Applicabilité générale, notamment des obligations de transparence selon l'art. 50 |
| 2 décembre 2026 | Nouvelles interdictions (voir ci-dessus) ; fin du délai transitoire pour le marquage des contenus générés par l'IA pour les systèmes mis sur le marché avant le 2 août 2026 |
| 2 décembre 2027 | Obligations applicables aux systèmes d'IA à haut risque autonomes (annexe III) |
| 2 août 2028 | Obligations applicables aux systèmes d'IA à haut risque intégrés dans des produits (annexe I) |
Seul le moment à partir duquel les obligations relatives au haut risque s'appliquent a été reporté, et non la classification elle-même. Les fournisseurs suisses présents sur le marché de l'UE devraient donc dès à présent classer leurs systèmes et planifier la mise en œuvre. Pour les PME et les petites entreprises à moyenne capitalisation, l'Omnibus prévoit des allégements, par exemple une documentation technique simplifiée.
Ce que les exportateurs suisses devraient vérifier
- Le système ou son output est-il proposé ou utilisé dans l'UE ?
- Quel est votre rôle : fournisseur, déployeur, importateur ou distributeur ?
- Comment le système est-il classé : interdit, à haut risque (annexe I ou III), soumis à une obligation de transparence, GPAI, ou sans obligation particulière ?
- En tant que fournisseur sans établissement dans l'UE, avez-vous besoin d'un mandataire dans l'UE (par exemple pour les systèmes à haut risque ou les modèles GPAI) ?
- Quels délais s'appliquent à votre produit, et la documentation, la gestion de la qualité et le contrôle humain sont-ils prévus ?
L'AI Act et la LPD suisse sont des réglementations distinctes et peuvent s'appliquer simultanément (voir nLPD et IA : les bases). Avant l'accès au marché de l'UE, il est recommandé de procéder à un examen au cas par cas : produit, rôle, utilisation de l'output et délais.