Réglementation de l'IA en Suisse

L'orientation du Conseil fédéral

Plutôt qu'une loi exhaustive sur l'IA, la Suisse mise sur trois éléments:

1. La Convention du Conseil de l'Europe sur l'IA. La Suisse l'a signée le 27 mars 2025. La Convention oblige principalement les autorités publiques à protéger les droits de l'homme, la démocratie et l'État de droit lors de l'utilisation de l'IA.
2. Des adaptations sectorielles des lois existantes, là où nécessaire, notamment dans les domaines liés aux droits fondamentaux comme la protection des données. Il s'agit de transparence, de non-discrimination et de surveillance. Le DFJP élabore un projet de consultation avec le DETEC et le DFAE.
3. Des mesures non contraignantes comme des guides et des solutions sectorielles. Le DETEC présentera un plan à cet effet.

L'étendue des obligations pour les acteurs privés reste ouverte. Sur le plan politique, la question est controversée: la mise en œuvre concernera-t-elle principalement l'État ou également les entreprises? Nous en rendrons compte dans le Briefing IA dès que le projet sera disponible.

La loi sur la protection des données s'applique déjà aujourd'hui

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) a clarifié que la loi sur la protection des données en vigueur depuis le 1er septembre 2023 est neutre sur le plan technologique et s'applique directement à l'IA, tant pour l'entraînement que pour l'utilisation.

Quiconque utilise l'IA avec des données personnelles doit indiquer la finalité, le fonctionnement et les sources des données. Les utilisateurs doivent savoir s'ils communiquent avec une machine et si leurs saisies sont réutilisées, par exemple pour l'entraînement. Les personnes concernées peuvent s'opposer au traitement de leurs données (art. 30 al. 2 LPD).

Si un système prend seul une décision ayant des effets juridiques ou une incidence significative, par exemple un refus automatique, il s'agit d'une décision individuelle automatisée (art. 21 LPD). La personne concernée doit alors en être informée. Elle peut exprimer son point de vue et demander qu'un être humain réexamine la décision.

En cas de risque élevé prévisible pour la personnalité, une analyse d'impact relative à la protection des données (AIPD) est obligatoire (art. 22 LPD). C'est souvent le cas pour les applications d'IA utilisant des données personnelles.

Le PFPDT a également précisé deux autres points. Selon lui, les deepfakes représentant des personnes identifiables doivent toujours être reconnaissables comme tels. Par ailleurs, les applications visant à porter atteinte à la sphère privée sont interdites, comme la reconnaissance faciale en temps réel dans l'espace public ou le social scoring.

Pour en savoir plus sur les données personnelles sensibles, la communication à l'étranger et le secret professionnel, consultez Données sensibles & IA.

FINMA: attentes envers les banques et les assurances

Dans sa communication de surveillance 08/2024 du 18 décembre 2024, la FINMA décrit ce qu'elle attend des institutions surveillées en matière d'utilisation de l'IA. Il n'existe pas de législation spécifique sur l'IA, mais les exigences existantes en matière de gouvernance et de gestion des risques s'appliquent également à l'IA. La FINMA attend:

• des responsabilités claires, un inventaire central des applications d'IA et leur classification des risques;
• la qualité des données, des tests et une surveillance continue;
• la documentation et l'explicabilité des résultats;
• un contrôle indépendant des applications essentielles;
• pour les solutions externalisées, des tests supplémentaires et une sécurisation contractuelle.

Cette liste constitue également une bonne référence pour les PME non surveillées. Une fiduciaire à Saint-Gall peut par exemple l'utiliser comme modèle pour son propre inventaire d'IA.

Autres lois applicables à l'IA

• Code des obligations et responsabilité civile: celui qui transmet des résultats d'IA à des clients en répond comme de son propre travail.
• Droit d'auteur: selon l'opinion dominante, les contenus générés purement par machine ne sont pas protégés. Les œuvres d'autrui ne peuvent pas être reprises sans adaptation.
• Égalité et droit du travail: les décisions discriminatoires restent interdites, même si elles sont préparées par une IA.
• Loi contre la concurrence déloyale (LCD): la publicité trompeuse sur les capacités de l'IA et les faux avis sont interdits.
• Secret professionnel (art. 321 CP, art. 47 LB) et obligation de confidentialité professionnelle (art. 62 LPD).

Et le règlement européen sur l'IA (AI Act)?

Il ne s'applique pas directement en Suisse, mais concerne les entreprises suisses qui proposent de l'IA dans l'UE ou dont les résultats d'IA sont utilisés dans l'UE. De nombreuses PME orientées vers l'exportation s'alignent donc de facto sur les standards européens. Pour en savoir plus, consultez le guide sur le règlement européen sur l'IA.

Questions fréquentes

Cette page donne une vue d’ensemble et ne remplace pas un conseil personnalisé. Les lois et les délais évoluent; seuls les textes officiels liés font foi.