AI Act : la loi européenne sur l'IA s'applique-t-elle aussi à votre PME suisse ?

La Suisse n'est pas membre de l'Union européenne, mais beaucoup de PME romandes vendent en France, travaillent pour des clients allemands ou italiens, ou publient un site consulté depuis toute l'Europe. Alors, le règlement européen sur l'intelligence artificielle (AI Act) vous concerne-t-il ? La réponse est : ça dépend. Si vous utilisez l'IA uniquement en interne, pour des clients suisses, il ne s'applique en principe pas directement. En revanche, dès que les résultats produits par une IA sont utilisés dans l'UE, ou que vous vendez un produit intégrant de l'IA sur le marché européen, vous entrez dans son champ d'application.

Dans tous les cas, la loi suisse sur la protection des données (nLPD) s'applique déjà à vos usages de l'IA. Le vrai sujet n'est donc pas de tout geler, mais de savoir exactement où vous vous situez. Et si l'IA pouvait vous aider à faire cet inventaire de conformité en quelques heures plutôt qu'en quelques semaines ?

La question

• Portée extraterritoriale : l'article 2 de l'AI Act vise aussi les fournisseurs et les « déployeurs » établis dans un pays tiers lorsque les sorties produites par le système d'IA sont utilisées dans l'Union. Une PME suisse peut donc être concernée sans aucune filiale en Europe.
• Un calendrier par étapes : les pratiques interdites et l'obligation de « maîtrise de l'IA » (article 4) s'appliquent depuis le 2 février 2025 ; les obligations de transparence (article 50) depuis le 2 août 2026.
• Un report pour le « haut risque » : le règlement « Omnibus numérique » (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, a repoussé les obligations pour les systèmes à haut risque de l'annexe III (recrutement, gestion du personnel, évaluation de crédit…) au 2 décembre 2027.
• Des amendes élevées : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour la plupart des autres obligations. Pour les PME, c'est le plus faible des deux montants qui sert de plafond.
• Côté suisse : la Confédération a signé la Convention du Conseil de l'Europe sur l'IA le 27 mars 2025 et a choisi une approche sectorielle. Un avant-projet du DFJP est annoncé pour fin 2026, avec une consultation attendue en 2027.

Les conséquences concrètes

Le premier risque n'est pas l'amende, c'est la perte de clients. De plus en plus de donneurs d'ordre européens ajoutent des clauses IA dans leurs contrats et leurs questionnaires fournisseurs. Une PME qui ne sait pas répondre à « quels outils d'IA utilisez-vous, et pour quoi ? » passe pour un sous-traitant à risque.

Deuxième risque : les usages invisibles. Un chatbot sur votre site qui répond à des visiteurs français, un outil de tri de CV utilisé pour un poste ouvert à des frontaliers, des visuels générés par IA pour une campagne en Allemagne : autant de cas où les sorties de l'IA sont utilisées dans l'UE, souvent sans que la direction le sache.

Troisième risque : la confusion. Certains dirigeants bloquent tout projet IA « en attendant la loi », d'autres ignorent le sujet. Dans les deux cas, ils perdent du temps : les règles qui touchent une PME « utilisatrice » sont en réalité limitées et assez simples à respecter.

Ce que l'IA peut faire — et ce qu'elle ne peut pas

Cartographier vos usages en quelques heures

Un assistant comme ChatGPT, Claude ou Copilot peut transformer un simple questionnaire envoyé à vos équipes en registre des usages : outil, département, données traitées, pays des destinataires. C'est la base de toute démarche, AI Act comme nLPD.

Classer chaque usage par niveau de risque

Rédiger un e-mail ou résumer une réunion : risque minimal. Un chatbot client : obligation de transparence. Trier des candidatures ou évaluer des collaborateurs : potentiellement haut risque dès décembre 2027. Attention, la reconnaissance des émotions sur le lieu de travail est interdite depuis février 2025, sauf raisons médicales ou de sécurité.

Rédiger votre charte et vos mentions de transparence

L'IA produit en quelques minutes une première version de charte interne, de mention « vous échangez avec un assistant virtuel » ou de réponse type aux questionnaires clients. Elle reste à faire valider.

Ce qu'elle ne fera pas à votre place

L'IA ne remplace pas un avis juridique sur un cas limite (par exemple un outil RH utilisé pour des salariés en France). Elle peut aussi se tromper sur des textes récents : l'Omnibus numérique a modifié plusieurs dates en 2026, vérifiez toujours la version en vigueur.

Mise en place

Étape 1 : l'inventaire (1 à 2 semaines)

Listez tous les outils d'IA utilisés, y compris les versions gratuites. Pour chacun, notez si ses résultats touchent des clients, candidats ou partenaires situés dans l'UE. Coût : quelques heures de travail interne.

Étape 2 : la formation de base

L'obligation de « maîtrise de l'IA » de l'article 4 demande de prendre des mesures pour développer les compétences de vos équipes, sans niveau minimum imposé. Une session de formation de deux à trois heures, documentée, est un bon point de départ.

Étape 3 : transparence et nLPD

Ajoutez une mention claire sur votre chatbot, signalez les contenus réalistes générés par IA (« deepfakes »), mettez à jour votre déclaration de protection des données et privilégiez des versions professionnelles des outils, qui n'entraînent pas leurs modèles sur vos données.

Étape 4 : un point de vigilance RH

Si vous utilisez ou envisagez un outil de présélection de CV ou d'évaluation du personnel touchant l'UE, anticipez dès maintenant : vous avez jusqu'au 2 décembre 2027. Estimation pour un accompagnement externe ciblé : généralement quelques milliers de francs, selon la complexité.

Résultats concrets

• Un registre complet des usages IA établi en 1 à 2 semaines au lieu de plusieurs mois de flou.
• Des réponses prêtes aux questionnaires fournisseurs de vos clients européens.
• Une exposition à l'amende fortement réduite, les obligations applicables étant identifiées et traitées.
• Une base solide pour la future réglementation suisse, qui devrait viser une protection équivalente à celle de l'UE.
• Des équipes formées qui utilisent l'IA avec confiance plutôt qu'en cachette.

Conclusion

L'AI Act ne s'applique pas automatiquement à toutes les PME suisses, mais il vous concerne dès que vos activités touchent l'Europe, ce qui est le cas de nombreuses entreprises romandes. Pour une PME « utilisatrice », l'essentiel tient en quatre gestes : inventorier, former, informer, surveiller les usages RH. La nLPD, elle, s'applique déjà. Agir maintenant coûte peu ; attendre la loi suisse pour découvrir vos risques coûtera davantage, en temps comme en crédibilité auprès de vos clients.

La question : et si une IA dressait en quelques heures l'inventaire de vos usages de l'intelligence artificielle et vous indiquait lesquels relèvent de l'AI Act européen ?

🎯 Problème PME = Solution IA