2027 est déjà dans l’agenda.

Une Suisse qui régule par petites touches

La Suisse n’a pas de loi transversale sur l’intelligence artificielle. L’IA ne se développe pas pour autant dans un vide juridique. La loi sur la protection des données s’applique aux traitements de données personnelles par des systèmes d’IA, comme le Préposé fédéral l’a rappelé dès 2023, et les réglementations sectorielles, de la finance à la santé, continuent de s’appliquer.

Le cadre va pourtant évoluer. Le 12 février 2025, le Conseil fédéral a décidé de ratifier la Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle, que la Suisse a signée le 27 mars 2025. Plutôt qu’un équivalent de l’AI Act européen, il privilégie des adaptations ciblées du droit existant. Un avant-projet destiné à la consultation, préparé par le DFJP avec le DETEC et le DFAE, est désormais attendu pour début 2027, selon une communication de la Confédération publiée en septembre 2026.

Pour une entreprise suisse, ce rythme peut sembler confortable. Il ne l’est que pour les activités strictement domestiques.

L’Europe, voisine et marché

Le règlement européen sur l’IA s’applique aux entreprises suisses qui mettent des systèmes ou des modèles d’IA sur le marché de l’UE. Il peut aussi les concerner lorsque les résultats produits par un système sont utilisés dans l’UE.

Son calendrier a été ajusté. Les pratiques interdites le sont depuis février 2025, les règles sur les modèles d’IA à usage général s’appliquent depuis août 2025. L’omnibus numérique sur l’IA, publié au Journal officiel en juillet 2026, a reporté les obligations visant les systèmes à haut risque : au 2 décembre 2027 pour les systèmes autonomes (recrutement, crédit, éducation, infrastructures critiques) et au 2 août 2028 pour l’IA intégrée à des produits réglementés. Le report touche le calendrier, pas le contenu de ces obligations.

Les obligations de transparence, elles, n’ont pas été repoussées. Depuis le 2 août 2026, une personne doit être informée lorsqu’elle interagit avec un système d’IA comme un chatbot, et les hypertrucages doivent être signalés. Le marquage technique des contenus synthétiques par les fournisseurs suivra le 2 décembre 2026. Un assistant conversationnel installé sur un site suisse qui s’adresse à une clientèle européenne entre directement dans ce périmètre.

Souveraineté : de l’intention aux choix d’architecture

La souveraineté numérique a pris une forme concrète en Suisse. En septembre 2025, l’EPFL, l’ETH Zurich et le Centre suisse de calcul scientifique (CSCS) ont publié Apertus, un modèle de langage entièrement ouvert dont les poids, les données d’entraînement et la méthodologie sont documentés. Disponible en versions de 8 et 70 milliards de paramètres, il a été entraîné sur plus de 1000 langues, dont le suisse allemand et le romanche, avec environ 40% de données non anglophones. Swisscom le propose sur son infrastructure, et une version 1.5, capable d’analyser images et sons, a été publiée en 2026.

Apertus n’a pas été conçu comme un assistant grand public destiné à rivaliser avec les modèles commerciaux les plus avancés. Il démontre qu’une alternative ouverte, auditable et hébergeable en Suisse existe pour certains usages. Pour une organisation, la souveraineté devient ainsi une série de choix d’architecture plutôt qu’un principe abstrait : où les données sont-elles traitées, quel modèle pour quel usage, quelle dépendance envers un fournisseur est acceptable, quelle réversibilité en cas de changement de conditions.

Le calendrier qui compte

Plusieurs échéances convergent sur les quinze prochains mois. Elles ne concernent pas toutes chaque organisation, mais leur proximité justifie une lecture d’ensemble. Elles s’ajoutent à celles déjà en vigueur : l’Acte européen sur l’accessibilité depuis juin 2025, l’obligation suisse de signaler les cyberattaques contre les infrastructures critiques depuis avril 2025, et le signalement des vulnérabilités exploitées prévu par le Cyber Resilience Act depuis septembre 2026.

Ce qu’une organisation peut faire dès maintenant

Rien dans ce calendrier n’exige de précipitation. Tout justifie de préparer le terrain.

• Recenser les usages de l’IA dans l’organisation, y compris ceux qui échappent à l’informatique : outils en ligne, extensions, assistants intégrés aux suites bureautiques.

• Adopter une politique d’usage simple : outils autorisés, données interdites, validation humaine requise.

• Signaler clairement les interfaces conversationnelles et les contenus générés.

• Cartographier les flux de données vers des fournisseurs d’IA et vérifier les contrats correspondants.

• Identifier les activités tournées vers l’UE, qui relèvent déjà du droit européen.

Cet article présente un cadre général et ne constitue pas un avis juridique. Les dates citées sont celles connues au moment de la publication.

Questions fréquentes

La Suisse aura-t-elle une loi comparable à l’AI Act ?

Le Conseil fédéral a choisi une autre voie : ratifier la Convention du Conseil de l’Europe sur l’IA et adapter le droit existant de manière ciblée. Un avant-projet est attendu en consultation début 2027.

Une entreprise suisse est-elle soumise à l’AI Act ?

Oui si elle met des systèmes ou des modèles d’IA sur le marché de l’UE, et potentiellement lorsque les résultats de ses systèmes sont utilisés dans l’UE.

Les obligations de l’AI Act ont-elles été repoussées ?

En partie seulement. L’omnibus numérique reporte les obligations à haut risque à décembre 2027 et août 2028, mais les interdictions, les règles sur les modèles à usage général et les obligations de transparence s’appliquent déjà.