L'AI Act et les entreprises suisses : deux idées reçues qui coûtent cher

« L’AI Act, c’est une affaire européenne. Nous sommes en Suisse, ça ne nous concerne pas. » J’entends cette phrase souvent. Après trente ans dans l’informatique professionnelle, elle me rappelle exactement ce qu’on disait du RGPD avant 2018, jusqu’à ce que beaucoup d’entreprises suisses découvrent qu’elles y étaient soumises.

Autour du règlement européen sur l’intelligence artificielle (Règlement (UE) 2024/1689, publié le 12 juillet 2024) circulent deux idées reçues qui peuvent coûter cher. Comment les lire sans paniquer, et sans se voiler la face.

Idée reçue n°1 : « C’est l’Europe, pas nous »

L’AI Act a une portée extraterritoriale. Son article 2 précise qu’une entreprise établie hors de l’Union est concernée dès lors que le résultat produit par son système d’IA est utilisé dans l’UE — même sans aucune présence physique en Europe.

Une entreprise suisse qui met un outil d’IA sur le marché européen, ou dont les systèmes produisent des résultats exploités par un client dans l’UE, entre donc dans le champ du règlement. Un éditeur romand d’un outil de tri de candidatures vendu à un seul employeur en Allemagne doit, en principe, classifier son système et tenir sa documentation. La frontière géographique ne protège pas.

Idée reçue n°2 : « La Suisse n’a pas de loi, donc rien à faire »

C’est vrai que la Suisse n’a pas d’« AI Act » global. Le Conseil fédéral a tranché le 12 février 2025 pour une approche sectorielle plutôt qu’une loi-cadre transversale, et a signé le 27 mars 2025 la Convention du Conseil de l’Europe sur l’IA — le premier traité international contraignant en la matière. Un avant-projet de loi est attendu en consultation d’ici fin 2026.

Une entreprise suisse vit donc déjà sous un double cadre : une réglementation suisse qui se précise, et le règlement européen qui s’applique par ricochet. Attendre « la loi suisse » pour s’y intéresser, c’est ignorer la moitié de l’équation.

Le calendrier bouge : ne pilotez pas votre conformité dessus

L’AI Act s’applique par étapes. Les pratiques jugées inacceptables sont interdites depuis le 2 février 2025. Les règles sur les modèles d’usage général et le régime de sanctions sont en vigueur depuis le 2 août 2025. Et depuis le 2 août 2026, les obligations de transparence s’appliquent (signaler qu’on interagit avec une IA, marquer les contenus générés).

Le calendrier vient d’ailleurs de bouger une nouvelle fois : le « Digital Omnibus » européen, publié au Journal officiel le 24 juillet 2026 (règlement (UE) 2026/1744) et en vigueur depuis le 27 juillet, reporte les obligations « haut risque » au 2 décembre 2027 pour les systèmes autonomes, et au 2 août 2028 pour l’IA embarquée dans des produits réglementés. La transparence, elle, reste au calendrier initial.

Une chose reste solide quand les dates bougent : ne calez pas votre conformité sur une échéance. Pilotez sur le cadre durable.

Ce que le cadre demande

L’AI Act classe les systèmes en quatre niveaux : risque inacceptable (interdit), haut risque (obligations strictes : gouvernance des données, documentation, journalisation, supervision humaine), risque limité (transparence), et risque minimal (la grande majorité : aucune obligation).

Regardez la liste des obligations « haut risque » : tracer ses données, documenter ses systèmes, garder un humain dans la boucle, journaliser les décisions. Ce sont de bonnes pratiques d’ingénierie avant d’être des contraintes : celles qui distinguent un déploiement sérieux d’un bricolage. Les sanctions existent (jusqu’à 35 millions d’euros ou 7% du chiffre d’affaires mondial pour les pratiques interdites, article 99), et elles visent la négligence caractérisée.

Ce que nous faisons chez nous

Chez Djtal, nous opérons nos propres agents IA avec supervision humaine systématique, un état commun où l’information se partage et une journalisation des décisions. Aucune de ces trois disciplines n’a été mise en place pour l’AI Act : elles existaient avant, parce qu’un agent qu’on ne relit pas finit par coûter cher. Le jour où ces exigences deviennent la norme, on est déjà en règle.

La première étape n’est pas juridique, elle est cartographique : savoir où vous en êtes. Quels systèmes d’IA utilisez-vous, lesquels touchent l’UE, lesquels relèvent du haut risque ? Un état des lieux clair vaut mieux qu’une inquiétude floue.

Les entreprises qui travaillent déjà proprement remplissent l’essentiel de l’AI Act sans le savoir.

Vous vous demandez si vos usages de l’IA sont concernés ? Écrivez-moi, on en discute.