AI Act et entreprises suisses : êtes-vous concerné ?
Non, la Suisse n'applique pas l'AI Act
Commençons par lever l'ambiguïté la plus courante. Le règlement (UE) 2024/1689 est un texte européen : il ne fait pas partie du droit suisse, il n'a pas été repris par voie d'accord bilatéral, et aucune autorité helvétique ne le fait appliquer sur le territoire suisse en tant que tel.
La Suisse a retenu une autre approche. Le 12 février 2025, le Conseil fédéral a décidé de ratifier la Convention-cadre du Conseil de l'Europe sur l'intelligence artificielle, les droits de l'homme, la démocratie et l'État de droit, et de n'adapter le droit que là où c'est nécessaire, secteur par secteur — pas de loi générale sur l'IA. La convention a été signée à Strasbourg le 27 mars 2025 par le conseiller fédéral Albert Rösti.
Conséquence pratique : une entreprise suisse dont toute l'activité reste suisse ne se réveille pas soumise à l'AI Act. Ce serait toutefois une lecture trop rapide de s'arrêter là.
Les trois portes d'entrée de l'article 2
Le champ d'application territorial du règlement ne dépend pas du lieu du siège social, mais de l'endroit où le système d'IA — ou son résultat — atterrit. L'article 2, paragraphe 1, retient trois cas, dont le troisième est celui qui rattrape les entreprises de pays tiers :
| Cas | Qui est visé | Une entreprise suisse peut-elle l'être ? |
|---|---|---|
| a) Mise sur le marché | Le fournisseur qui met un système d'IA sur le marché de l'Union ou le met en service dans l'Union, quel que soit son lieu d'établissement. | Oui — un éditeur suisse qui commercialise son outil dans l'UE. |
| b) Déployeur établi dans l'Union | Le déployeur qui utilise un système d'IA et dont le lieu d'établissement se situe dans l'Union. | Oui, via une filiale ou une succursale européenne. |
| c) Résultats utilisés dans l'Union | Les fournisseurs et déployeurs établis dans un pays tiers, lorsque les sorties produites par le système sont utilisées dans l'Union. | Oui — c'est le cas le plus fréquent, et le moins anticipé. |
Le considérant 22 du règlement confirme cette logique : il vise les fournisseurs et déployeurs établis dans un pays tiers « dans la mesure où les sorties produites par ces systèmes sont destinées à être utilisées dans l'Union ». C'est le même mécanisme que celui qui a rendu le RGPD opposable à des sociétés suisses ; la mécanique n'est pas nouvelle, seul l'objet change.
Trois situations concrètes
Les exemples valent mieux qu'un commentaire d'article.
Le chatbot ouvert aux résidents de l'Union
Une société suisse installe sur son site un assistant conversationnel accessible sans restriction géographique. Un résident français l'utilise : la sortie du système est utilisée dans l'Union. L'entreprise entre dans le champ du règlement, et l'obligation de transparence de l'article 50 s'applique à cet échange.
Le contenu marketing généré par IA et diffusé dans l'UE
Une PME romande produit ses visuels et ses textes publicitaires avec un outil d'IA générative, puis les diffuse auprès d'une audience européenne. Là encore, le résultat est utilisé dans l'Union.
Le recrutement strictement suisse
Une fiduciaire genevoise utilise un outil d'IA pour trier des candidatures, exclusivement pour des postes basés en Suisse. Les résultats ne sont pas utilisés dans l'Union : l'AI Act ne s'applique pas. Le même outil, employé pour un poste à pourvoir à Lyon, changerait la réponse — et le placerait de surcroît dans la catégorie haut risque de l'annexe III, puisqu'il touche au recrutement.
La ligne de partage n'est donc ni la nationalité de l'entreprise, ni celle de l'outil utilisé : c'est la destination du résultat.
Pas sûr d'être concerné ?
Faites le diagnostic gratuit (2 min, sans inscription), puis documentez tout avec le kit.
Si vous êtes concerné, le calendrier est le même
Une entreprise suisse soumise au règlement n'obtient aucun délai supplémentaire : elle suit le calendrier européen, à la date près.
| Date | Ce qui s'applique | Statut |
|---|---|---|
| 2 février 2025 | Pratiques interdites (art. 5) et littératie IA (art. 4) | En vigueur |
| 2 août 2025 | Modèles d'IA à usage général (GPAI) | En vigueur |
| 2 décembre 2027 | IA à haut risque de l'annexe III (anciennement 2 août 2026) | Reporté |
| 2 août 2028 | IA à haut risque intégrées à des produits réglementés (annexe I) | À venir |
Le report de l'annexe III au 2 décembre 2027, acté par l'accord Digital Omnibus avec le feu vert du Conseil de l'UE le 29 juin 2026, ne suspend rien de ce qui est déjà exigible. La formation du personnel et la transparence sont dues depuis février 2025 : ce sont elles, et non l'échéance lointaine, qui constituent le vrai sujet de l'été 2026. Le calendrier complet détaille chaque étape.
Le cas particulier des fiduciaires et cabinets romands
Un cabinet comptable ou une fiduciaire de Suisse romande est rarement concerné pour son propre compte — ses mandats sont suisses, ses outils aussi. Sa clientèle, en revanche, l'est souvent : dès qu'un client exporte, vend en ligne à des résidents de l'Union, ou emploie du personnel frontalier sur des postes européens, la question se pose pour lui.
C'est une position confortable pour un cabinet : le sujet n'est pas un risque à gérer mais une question que les clients vont poser, et à laquelle presque personne ne sait encore répondre de façon documentée. Recenser les systèmes d'IA d'un client et classer leurs usages prend quelques heures avec un modèle ; la valeur, elle, tient au fait que ce soit daté, écrit et défendable.
Par quoi commencer
- Recenser les outils d'IA réellement utilisés dans l'entreprise, y compris les assistants génériques comme ChatGPT.
- Pour chacun, répondre à une seule question : ses résultats sont-ils utilisés dans l'Union ? C'est ce qui déclenche ou non l'application du règlement.
- Documenter la réponse, y compris quand elle est négative : une cartographie datée qui conclut « hors champ » vaut mieux qu'une absence de dossier.
- Pour les systèmes dans le champ, traiter d'abord ce qui est déjà exigible — formation et transparence — avant de se préoccuper de l'annexe III.
Questions fréquentes
La Suisse a-t-elle adopté l'AI Act ?
Non. La Suisse n'est membre ni de l'Union européenne ni de l'EEE : le règlement (UE) 2024/1689 n'est pas du droit suisse. Le 12 février 2025, le Conseil fédéral a retenu une autre voie : ratifier la Convention-cadre du Conseil de l'Europe sur l'IA, signée le 27 mars 2025, et adapter le droit existant secteur par secteur plutôt que d'adopter une loi générale sur l'IA.
Une PME suisse sans client dans l'UE est-elle concernée ?
En principe non. Si vos systèmes d'IA ne sont ni mis sur le marché de l'UE ni utilisés pour produire des résultats destinés à l'Union, l'AI Act ne s'applique pas à vous. Une fiduciaire genevoise qui trie des candidatures pour des postes situés uniquement en Suisse en est un bon exemple.
Un chatbot sur mon site suisse me rend-il soumis au règlement ?
Cela dépend de votre public. Un chatbot ouvert aux résidents de l'Union produit des résultats utilisés dans l'UE : le cas relève alors de l'article 2. Un outil réservé à une clientèle suisse, ou restreint techniquement, ne déclenche pas cette application.
Que faire si mon entreprise suisse est concernée ?
Les mêmes obligations qu'une entreprise de l'Union s'appliquent, au même calendrier : formation du personnel et transparence depuis février 2025, obligations des IA à usage général depuis août 2025, et systèmes à haut risque de l'annexe III au 2 décembre 2027. Le point de départ est de recenser vos systèmes d'IA et de documenter lesquels produisent des résultats utilisés dans l'Union.
Sources : Règlement (UE) 2024/1689 (AI Act), article 2 et considérant 22 ; Conseil fédéral, communiqué du 12 février 2025 (approche réglementaire de l'IA en Suisse) ; DFAE, signature de la Convention-cadre du Conseil de l'Europe le 27 mars 2025 ; Centre de droit bancaire et financier, application du règlement IA aux entreprises suisses ; accord Digital Omnibus, feu vert du Conseil de l'UE du 29 juin 2026.