Qu'est-ce que l'EU AI Act et que signifie-t-il pour les entreprises suisses ?

Qu'est-ce que l'EU AI Act ?

L'EU AI Act est la première réglementation horizontale et transsectorielle sur l'intelligence artificielle. En tant que règlement (UE) 2024/1689, il est entré en vigueur le 1er août 2024 et s'applique directement dans chaque État membre de l'UE, sans transposition nationale. Son but est un marché unique pour une IA digne de confiance : permettre l'innovation tout en protégeant les droits fondamentaux, la santé et la sécurité.

L'approche est fondée sur le risque, non sur la technologie. Ce qui est réglementé n'est pas la technologie elle-même, mais la finalité d'un système d'IA et le risque qu'il comporte. Plus le risque pour les personnes et la société est élevé, plus les exigences sont strictes : de l'interdiction totale à aucune obligation supplémentaire.

Les quatre niveaux de risque en un coup d'œil

Transversales à ces niveaux, les règles pour les modèles d'IA à usage général (GPAI), comme les grands modèles de langage. Leurs fournisseurs doivent fournir une documentation technique, une politique de droit d'auteur et un résumé des données d'entraînement ; les modèles assez puissants pour présenter un risque systémique ont des obligations supplémentaires.

• Risque inacceptable (interdit, art. 5) : pratiques telles que la notation sociale par les autorités, les techniques manipulatrices ou d'exploitation, la collecte non ciblée d'images faciales pour constituer des bases de données et – avec de rares exceptions – la reconnaissance des émotions au travail et dans l'éducation.
• Risque élevé : IA dans des domaines sensibles (annexe III) comme le recrutement, la solvabilité, les infrastructures critiques, l'éducation, la police ou la migration, ainsi que l'IA comme composant de sécurité de produits réglementés. Obligations : gestion des risques, qualité des données, documentation technique, surveillance humaine, évaluation de la conformité.
• Risque limité (transparence, art. 50) : systèmes qui interagissent avec des personnes ou génèrent du contenu. L'obligation principale est la divulgation : les utilisateurs doivent savoir qu'ils ont affaire à une IA ou que le contenu est généré artificiellement.
• Risque minimal : la grande majorité des applications actuelles – filtres anti-spam, systèmes de recommandation ou IA dans les jeux vidéo. Ici, l'EU AI Act n'impose aucune obligation légale supplémentaire ; des codes de conduite volontaires sont encouragés.

Portée extraterritoriale : pourquoi la Suisse est concernée

La Suisse n'est pas membre de l'UE, pourtant l'EU AI Act peut s'appliquer directement aux entreprises suisses. Ce qui compte est le lien avec le marché de l'UE, non le siège de l'entreprise. Sont visés les fournisseurs qui mettent des systèmes d'IA sur le marché de l'UE, ainsi que les fournisseurs et déployeurs hors UE dès lors que le résultat de leur système d'IA est utilisé dans l'UE.

En pratique : une PME suisse qui vend un outil d'IA à des clients en Allemagne, ou dont l'analyse automatisée d'une candidature concerne une personne dans l'UE, peut entrer dans le champ d'application. Comme pour le règlement européen sur la protection des données, la portée est volontairement transfrontalière.

Obligations de transparence au titre de l'article 50

L'article 50 couvre un ensemble très large d'applications et constitue, pour beaucoup d'entreprises, l'obligation la plus concrète. Il exige une divulgation afin que les personnes ne soient pas trompées sur l'implication de l'IA.

• Chatbots et assistants : les personnes doivent pouvoir savoir qu'elles interagissent avec un système d'IA et non un humain, sauf si c'est évident.
• Contenus générés : les contenus synthétiques audio, image, vidéo ou texte doivent être marqués de manière lisible par machine comme générés artificiellement.
• Deepfakes : quiconque génère ou manipule des contenus image, audio ou vidéo paraissant authentiques doit indiquer qu'ils ont été créés artificiellement.
• Reconnaissance des émotions et catégorisation biométrique : les personnes concernées doivent être informées de l'utilisation de tels systèmes.

Le calendrier : quand chaque obligation s'applique

• 1er août 2024 : entrée en vigueur du règlement.
• 2 février 2025 : les interdictions (art. 5) et l'obligation de maîtrise de l'IA (art. 4) s'appliquent.
• 2 août 2025 : les obligations pour les modèles d'IA à usage général, les structures de gouvernance et les dispositions relatives aux sanctions prennent effet.
• 2 août 2026 : la majorité des dispositions s'appliquent, y compris les exigences relatives au risque élevé de l'annexe III et les obligations de transparence de l'article 50.
• 2 août 2027 : les règles de risque élevé pour l'IA comme composant de sécurité de produits réglementés (annexe I) s'appliquent.

Ce que cela signifie pour la Suisse – EU AI Act, nLPD et la voie suisse

La Suisse n'a actuellement pas de loi horizontale propre sur l'IA. En 2025, le Conseil fédéral a décidé de ratifier la Convention du Conseil de l'Europe sur l'IA et de réglementer l'IA principalement de manière sectorielle et en adaptant le droit existant, plutôt que de créer une loi unique et globale. Un projet en ce sens doit être élaboré d'ici fin 2026.

Indépendamment, le traitement des données personnelles dans les systèmes d'IA est déjà régi par la loi révisée sur la protection des données (nLPD), surveillée par le PFPDT. Quiconque déploie de l'IA en Suisse doit donc déjà aujourd'hui traiter les questions de protection des données, de transparence et d'équité : l'EU AI Act s'y ajoute en cas de lien avec le marché de l'UE, mais ne remplace pas la nLPD.

Premiers pas : comment se préparer

• Constituer un inventaire : recenser tous les systèmes d'IA utilisés et prévus, avec leur finalité et l'existence éventuelle d'un lien avec l'UE.
• Clarifier votre rôle : êtes-vous fournisseur, déployeur, importateur ou distributeur ? Les obligations diffèrent nettement selon le rôle.
• Classer le risque : pour chaque système, vérifier s'il est interdit, à risque élevé, soumis à des obligations de transparence ou minimal.
• Développer la culture de l'IA : former le personnel à un usage responsable de l'IA (l'art. 4 exige un niveau suffisant de maîtrise de l'IA).
• Mettre en œuvre la transparence : signaler les chatbots et les contenus générés par IA, et documenter vos mesures de façon traçable.