Vous êtes concerné dès que votre IA a un impact dans l'UE
Le AI Act est en vigueur depuis le 1er août 2024 et s'applique de manière échelonnée. Les interdictions et l'obligation de promouvoir les compétences en IA sont en vigueur depuis février 2025, les obligations de transparence (par exemple pour les chatbots) depuis le 2 août 2026.
Le Digital Omnibus a reporté les obligations pour les systèmes d'IA à haut risque : au 2 décembre 2027 pour des domaines comme les ressources humaines et l'évaluation du crédit, et au 2 août 2028 pour l'IA intégrée dans des produits réglementés.
Une entreprise suisse est concernée si elle propose de l'IA dans l'UE ou si les résultats de son système d'IA y sont utilisés. Une entreprise qui n'utilise l'IA qu'en interne en Suisse n'est généralement pas directement touchée. Cependant, les clients de l'UE exigent de plus en plus des garanties correspondantes.
Quand le AI Act concerne-t-il une entreprise suisse ?
Le AI Act se base sur le marché, le siège de l'entreprise n'est pas déterminant (art. 2 al. 1). Une entreprise suisse est concernée dans trois cas :
- Elle met en circulation ou met en service un système d'IA dans l'UE en tant que fournisseur, par exemple en vendant un logiciel doté d'une fonction d'IA à des clients de l'UE.
- Elle utilise en tant que fournisseur ou exploitant un système d'IA dont le résultat est utilisé dans l'UE, par exemple des analyses, des textes ou des décisions basés sur l'IA pour des clients en Allemagne.
- Elle utilise l'IA via un établissement dans l'UE, par exemple une filiale.
Exemple : Un bureau fiduciaire à Saint-Gall utilise l'IA pour préparer des documents fiscaux pour des clients dans le Vorarlberg. Le résultat est utilisé dans l'UE, le bureau est donc considéré comme exploitant au sens du AI Act. S'il utilise la même IA uniquement pour des mandats suisses, il n'est pas concerné.
Les rôles : fournisseur ou exploitant ?
| Rôle | Qui est-ce ? | Exemple typique pour une PME |
|---|---|---|
| Fournisseur (Provider) | Développe un système d'IA ou le fait développer et le met sur le marché sous son propre nom, même gratuitement. | Société de logiciels avec module d'IA, agence avec son propre produit de chatbot |
| Exploitant (Deployer) | Utilise un système d'IA sous sa propre responsabilité à des fins professionnelles. | Entreprise utilisant ChatGPT, Copilot ou un outil de recrutement basé sur l'IA |
| Importateur, distributeur | Introduisent des systèmes d'IA de pays tiers dans l'UE ou les distribuent. | Revendeur de logiciels d'IA dans l'UE |
La plupart des PME sont des exploitants. Cependant, celle qui propose un système à haut risque sous son propre nom ou le modifie de manière substantielle devient elle-même fournisseur (art. 25).
Les quatre niveaux de risque
Ce que le AI Act exige de vous dépend de l'usage auquel un système est destiné. Un constructeur de machines dans l'Argovie qui fait traduire des modes d'emploi par l'IA se situe par exemple dans le niveau le plus bas. S'il examine des candidatures avec un outil d'IA, il se trouve dans le domaine à haut risque.
| Niveau | Exemples | Conséquence |
|---|---|---|
| Risque inacceptable | Notation sociale, techniques manipulatrices, reconnaissance des émotions sur le lieu de travail et dans les écoles, collecte non ciblée d'images faciales ; à partir du 2 décembre 2026 également les systèmes générant des images intimes sans consentement | Interdits |
| Haut risque | IA dans la sélection du personnel et l'évaluation des performances, solvabilité, primes d'assurance (vie, maladie), éducation et examens, infrastructures critiques, composants de sécurité de produits (machines, dispositifs médicaux) | Obligations étendues : gestion des risques, qualité des données, documentation, supervision humaine, enregistrement |
| Risque limité | Chatbots, images, vidéos et textes générés par IA, deepfakes | Obligations de transparence |
| Risque minimal | Filtres anti-spam, traduction, brouillons de texte, fonctions de recherche | Aucune obligation particulière (sauf compétence en IA) |
Délais après le Digital Omnibus
Avec le règlement (UE) 2026/1744 (« Digital Omnibus on AI », en vigueur depuis le 27 juillet 2026), l'UE a adapté certains délais. De nombreux textes plus anciens mentionnent encore les dates initiales.
| Depuis / à partir du | Ce qui s'applique |
|---|---|
| 2 février 2025 | Pratiques interdites ; obligation de promouvoir les compétences en IA du personnel (art. 4) |
| 2 août 2025 | Obligations pour les fournisseurs de modèles d'IA à usage général (GPAI), gouvernance, sanctions |
| 2 août 2026 | Application générale ; obligations de transparence selon l'art. 50 (chatbots, deepfakes, reconnaissance des émotions) |
| 2 décembre 2026 | Marquage lisible par machine pour les systèmes génératifs déjà sur le marché avant août 2026 ; nouvelle interdiction des systèmes générant des images intimes sans consentement |
| 2 décembre 2027 | Systèmes à haut risque selon l'annexe III (personnel, éducation, évaluation du crédit, infrastructures critiques, etc.), auparavant le 2 août 2026 |
| 2 août 2028 | IA à haut risque dans les produits selon l'annexe I (machines, dispositifs médicaux, jouets, etc.), auparavant le 2 août 2027 |
Que doivent faire concrètement les exploitants ?
Compétence en IA (tous, depuis février 2025)
Les fournisseurs et les exploitants doivent prendre des mesures pour promouvoir les compétences en IA de leur personnel et des autres personnes travaillant avec l'IA sous leur responsabilité. Depuis l'Omnibus, il est clair que des mesures appropriées suffisent. Aucun certificat spécifique ni nombre minimal d'heures n'est exigé. Consignez par écrit ce que vous faites, par exemple des formations et une politique d'IA.
Transparence (depuis le 2 août 2026)
Les personnes doivent être informées qu'elles interagissent avec un système d'IA, sauf si cela est évident. Cela concerne par exemple le chatbot sur votre site web. Par ailleurs, les règles suivantes s'appliquent :
- Les deepfakes (images, vidéos ou enregistrements sonores générés ou manipulés par l'IA qui semblent réels) doivent être divulgués.
- Les textes générés par l'IA sur des sujets d'intérêt public doivent être identifiés s'ils n'ont pas été vérifiés éditorialement.
- Quiconque utilise la reconnaissance des émotions ou la catégorisation biométrique doit informer les personnes concernées.
Systèmes à haut risque (à partir de décembre 2027)
Les exploitants doivent utiliser le système conformément au mode d'emploi, garantir une supervision humaine compétente, vérifier l'adéquation des données d'entrée, surveiller le fonctionnement, conserver les protocoles et informer les personnes concernées. Pour les décisions en matière de personnel, cela inclut également les collaborateurs. La charge principale (évaluation de la conformité, documentation technique, marquage CE) incombe au fournisseur.
Sanctions
- Pratiques interdites : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial
- Autres obligations (notamment obligations des exploitants et de transparence) : jusqu'à 15 millions d'euros ou 3 %
- Fausses déclarations aux autorités : jusqu'à 7,5 millions d'euros ou 1 %
Pour les PME et les start-ups, c'est toujours le montant le plus bas des deux qui s'applique.
Comment procéder
- Vérifiez si vous êtes concerné : avez-vous des clients dans l'UE, les résultats de votre IA y sont-ils utilisés ? Le vérificateur d'obligations peut vous aider.
- Établissez un inventaire des systèmes d'IA et classez chacun d'eux dans un niveau de risque.
- Développez les compétences en IA de vos collaborateurs et documentez-le.
- Mettez en œuvre les obligations de transparence : mentions pour les chatbots, identification des images et vidéos générées par l'IA.
- Clarifiez tôt les cas à haut risque. Si vous utilisez l'IA dans la gestion du personnel ou pour les décisions de crédit, demandez au fournisseur des preuves de conformité. Le délai de décembre 2027 est plus court qu'il n'y paraît.
Questions fréquentes
Le AI Act de l'UE s'applique-t-il en Suisse ?
Non, directement, la Suisse ne l'a pas adopté. Cependant, il concerne les entreprises suisses si elles proposent des systèmes d'IA dans l'UE ou si les résultats de leur IA y sont utilisés.
À partir de quand les obligations pour l'IA à haut risque s'appliquent-elles ?
Selon le Digital Omnibus (règlement (UE) 2026/1744), elles s'appliquent pour les systèmes de l'annexe III, par exemple dans la gestion du personnel ou l'évaluation du crédit, à partir du 2 décembre 2027. Pour l'IA dans les produits de l'annexe I, c'est le 2 août 2028.
Un chatbot sur un site web doit-il être identifié ?
Oui, si des personnes dans l'UE l'utilisent : depuis le 2 août 2026, elles doivent être informées qu'elles communiquent avec un système d'IA, sauf si cela est évident (art. 50).
Quelles sont les amendes encourues ?
Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, jusqu'à 15 millions ou 3 % pour les autres obligations. Pour les PME, c'est toujours le montant le plus bas qui s'applique.
Sources
Cette page donne une vue d’ensemble et ne remplace pas un conseil personnalisé. Les lois et les délais évoluent; seuls les textes officiels liés font foi.