Guide pratique · Suisse
L'AI Act européen et les PME suisses : suis-je concerné ?
La réponse honnête, en clair. Pour la grande majorité des PME romandes qui utilisent l'IA en interne, la réponse est non. Voici comment en avoir le coeur net, en trois questions.
Le guide en 6 points
Pour la plupart des PME, c'est non.
Disons-le franchement, parce que peu de gens vous le diront aussi simplement : si votre PME utilise l'IA en interne, pour traduire, écrire un premier jet, trier des e-mails ou préparer un devis, vous n'êtes pas concerné par les obligations « haut-risque » de l'AI Act européen. Ces usages relèvent du risque minimal, et le risque minimal n'impose rien.
Le règlement a bien une portée extraterritoriale, qui peut toucher une entreprise suisse. Mais elle ne joue que dans un cas précis : quand vous mettez un produit d'IA sur le marché de l'UE, ou que les résultats de votre IA y sont utilisés. Ce n'est pas le fait d'employer l'IA qui vous oblige, c'est le fait de la fournir au marché européen.
« Ce n'est pas d'utiliser l'IA qui vous oblige. C'est de la fournir au marché de l'UE. »
Nous ne vendons pas d'anxiété. Pour neuf PME romandes sur dix, l'AI Act n'impose rien aujourd'hui, et la vraie priorité reste ailleurs : la nLPD suisse, qui, elle, s'applique déjà. L'arbre ci-dessous vous situe en trois questions.
Trois questions, un verdict.
Suivez les questions dans l'ordre. La plupart des PME s'arrêtent dès la première : un verdict tombe, et le sujet est clos. Répondez honnêtement, sans dramatiser.
Vert : rien à faire au titre de l'AI Act · Orange : transparence à documenter · Rouge : obligations haut-risqueMettez-vous un produit ou un service d'IA sur le marché ?
Autrement dit : développez-vous une IA, ou intégrez-vous une IA dans ce que vous vendez sous votre nom, pour des clients ?
Vous êtes utilisateur, pas fournisseur. Les obligations haut-risque ne vous visent pas. Allez directement à la vraie priorité : la nLPD.
Cet usage touche-t-il le marché de l'Union européenne ?
Vendez-vous ce produit IA à des clients dans l'UE, ou les résultats produits par votre IA sont-ils utilisés dans l'UE ?
Sans contact avec le marché de l'UE, l'AI Act ne s'applique pas à vous. Restez attentif au cadre suisse, qui se précise, mais ce n'est pas Bruxelles qui vous oblige.
Votre système est-il classé « à haut risque » ?
Le haut risque vise des usages précis : recrutement, scoring de crédit, biométrie, sécurité de produits réglementés, infrastructures critiques. Un assistant de rédaction ou un agent de support n'en fait pas partie.
Vous relevez surtout d'une obligation de transparence : dire clairement à l'utilisateur qu'il parle à une IA ou que le contenu est généré. Lourd, non. À documenter, oui.
Vous entrez dans les obligations haut-risque : documentation technique, gouvernance des données, supervision humaine, évaluation de conformité. C'est ici qu'un accompagnement se justifie.
Repère de lecture, pas un avis juridique. Sources : résumé de l'AI Act et Lenz & Staehelin, implications pour les entreprises suisses.
Tout se joue sur un mot.
C'est la distinction qui décide de presque tout. L'AI Act ne traite pas de la même manière celui qui se sert d'une IA et celui qui en met une sur le marché. Une PME se trompe rarement de réponse, à condition de se poser la bonne question.
Utilisateur (déployeur)
Vous vous servez d'une IA existante pour votre propre travail : traduire, résumer, rédiger un premier jet, trier des documents, accélérer le support.
Très peu d'obligations directes au titre de l'AI Act. Le bon réflexe relève de la nLPD et du bon sens : savoir quelles données vous saisissez et garder un humain dans la boucle.
Fournisseur
Vous développez une IA, ou vous l'intégrez dans un produit ou un service vendu sous votre nom à des clients.
C'est ce rôle que l'AI Act vise en priorité. Et c'est par lui que joue la portée extraterritoriale : un fournisseur suisse est concerné dès qu'il met son IA sur le marché de l'UE, sans présence physique requise.
La portée extraterritoriale, celle qui inquiète, ne s'active que côté fournisseur, et seulement au contact du marché de l'UE. Tant que vous restez utilisateur, et que vos usages restent internes, elle ne vous concerne pas. Source : Commission européenne.
Les dates qui comptent vraiment.
Si l'arbre vous a classé fournisseur au contact de l'UE, voici les échéances. Pour tous les autres, ce calendrier est une information, pas une horloge qui tourne contre vous.
- 2.2.2025 · Pratiques interdites et obligation de culture de l'IA : déjà en vigueur. Quelques usages sont bannis, et chacun doit comprendre l'outil qu'il emploie.
- 2.8.2025 · Règles pour les modèles d'IA à usage général (les grands modèles) et mise en place de la gouvernance européenne : déjà en vigueur.
- 2.8.2026 · Obligations haut-risque et transparence : la date qui compte pour les fournisseurs, dans le texte en vigueur aujourd'hui.
- À surveiller · Bruxelles débat d'un report d'une partie des obligations haut-risque vers fin 2027. Tant que ce report n'est pas adopté et publié, la date de référence reste le 2 août 2026.
Le report en discussion à Bruxelles n'est pas encore adopté ni publié. Sources : Commission européenne et Gibson Dunn, accord Omnibus.
La nLPD avant Bruxelles.
9 sur 10PME romandes pour qui l'AI Act n'impose rien aujourd'hui, alors que la nLPD, elle, s'applique déjà.
Voici notre opinion, à rebours de l'ambiance générale : pour la quasi-totalité des PME suisses, l'AI Act n'est pas le bon endroit où mettre son énergie. Le sujet qui vous concerne vraiment, et tout de suite, c'est la nLPD, la loi suisse sur la protection des données. Elle est en vigueur, et son amende vise personnellement le dirigeant.
La bonne séquence est simple : mettez d'abord de l'ordre dans vos données et vos usages internes de l'IA, sous l'angle nLPD. Ne revenez à l'AI Act que le jour où vous mettez réellement un produit d'IA sur le marché de l'UE. Tout le reste est du bruit que l'on vous vend cher.
Le détail de cette priorité, nous l'avons traité à part : la nLPD, et ce qu'un dirigeant doit faire concrètement. C'est par là que nous commencerions, et de loin.
Questions fréquentes.
Ma PME utilise ChatGPT et un outil de traduction. Suis-je concerné par l'AI Act ?
Non, presque certainement pas par les obligations haut-risque. Utiliser une IA en interne pour traduire, rédiger un premier jet ou trier des e-mails fait de vous un utilisateur, pas un fournisseur. L'écrasante majorité de ces usages relève du risque minimal, sans obligation particulière au titre de l'AI Act. Votre vrai sujet, c'est la nLPD suisse : savoir quelles données vous saisissez dans l'outil.
Je suis une entreprise suisse, hors UE. L'AI Act peut-il vraiment s'appliquer à moi ?
Oui, mais seulement par sa portée extraterritoriale, et seulement si vous êtes fournisseur. Le règlement s'applique à une entreprise suisse dès qu'elle met un système d'IA sur le marché de l'UE, ou que les résultats produits par son IA y sont utilisés, sans présence physique requise. Si vous utilisez l'IA uniquement en interne et en Suisse, vous n'êtes pas visé.
Qu'est-ce qu'un système « à haut risque » ?
Une liste précise d'usages sensibles : recrutement et gestion du personnel, scoring de crédit, biométrie, sécurité de produits réglementés, infrastructures critiques, certains usages dans l'éducation ou le secteur public. Un assistant de rédaction, un agent de support ou un outil de tri n'en font pas partie. C'est l'usage qui classe le système, pas la technologie.
Le 2 août 2026 est-il une date sûre, ou va-t-elle bouger ?
Dans le texte en vigueur aujourd'hui, les obligations haut-risque s'appliquent dès le 2 août 2026. Bruxelles discute d'un report d'une partie de ces obligations vers fin 2027, mais ce report n'est pas encore adopté ni publié. Tant qu'il ne l'est pas, la prudence consiste à retenir le 2 août 2026 comme date de référence si vous êtes fournisseur, sans précipitation pour autant.
Concrètement, par quoi devrais-je commencer ?
Par la nLPD, pas par Bruxelles. Pour neuf PME romandes sur dix, l'AI Act n'impose rien aujourd'hui, alors que la nLPD, elle, s'applique déjà et vise personnellement le dirigeant. Mettez d'abord de l'ordre dans vos données et vos usages internes. Ne revenez à l'AI Act que le jour où vous mettez vraiment un produit d'IA sur le marché de l'UE.
Pour la plupart des PME, ce guide suffit : vous n'êtes pas concerné, et vous pouvez fermer cet onglet l'esprit tranquille. Nous préférons vous le dire que vous vendre une mise en conformité dont vous n'avez pas besoin.
Faites appel à nous le jour où vous mettez vraiment une IA sur le marché de l'UE, ou quand vous voulez relier vos usages internes de l'IA à la nLPD sans tout transformer en projet. Derrière notre façon de trier ce qui vous oblige de ce qui ne vous oblige pas, il y a le Hub Map. La bonne première question n'est pas « que dit Bruxelles », c'est « où l'IA touche-t-elle vraiment vos données et vos clients ».
Une heure pour y voir clair ?
Pas de présentation, pas de barrière. Une séance de travail sur votre situation réelle, avec les opérateurs qui la mèneraient.