Depuis le 2 août 2026, une nouvelle partie du règlement européen sur l’intelligence artificielle s’applique, et quelques jours auparavant l’Union européenne a repoussé une partie de son propre calendrier. Pour les entreprises suisses, la situation paraît contradictoire à première vue : les grandes obligations liées aux systèmes à haut risque arrivent plus tard que prévu, tandis que les obligations de transparence sont désormais contraignantes. Si vous utilisez des outils d’IA dans votre exploitation ou vendez des prestations dans l’UE, il vaut la peine de connaître l’état du droit — même en l’absence d’une loi suisse sur l’IA.
Ce qui est contraignant depuis le 2 août 2026
Les obligations de transparence prévues à l’article 50 du règlement sont entrées en vigueur. Elles ne visent pas les développeurs spécialisés, mais l’usage quotidien des systèmes génératifs :
- Les systèmes qui interagissent directement avec des personnes doivent indiquer qu’il s’agit d’une machine — le chatbot de votre propre site web en fait partie.
- Les contenus produits par l’IA — texte, image, audio, vidéo — doivent être marqués dans un format lisible par machine.
- Les hypertrucages et les textes générés par l’IA portant sur des sujets d’intérêt public exigent un marquage visible.
- Quiconque recourt à la reconnaissance des émotions ou à la catégorisation biométrique doit en informer les personnes concernées.
Pour les systèmes déjà en service avant le 2 août 2026, le délai de marquage lisible par machine court jusqu’au 2 décembre 2026. Deux nouvelles interdictions de l’article 5 prennent effet à la même date : elles concernent les systèmes d’IA servant à produire du matériel intime non consenti ainsi que des représentations d’abus sexuels sur des enfants.
Ce que le Digital Omnibus a reporté
Le règlement (UE) 2026/1744, dit Digital Omnibus, est entré en vigueur le 27 juillet 2026. Il repousse nettement les obligations applicables aux systèmes à haut risque : les systèmes autonomes relevant de l’annexe III passent d’août 2026 au 2 décembre 2027, et les systèmes intégrés à des produits réglementés selon l’annexe I au 2 août 2028. Sont notamment concernées l’IA dans le recrutement, dans l’octroi de crédits et dans l’évaluation scolaire — précisément les domaines auxquels de nombreuses entreprises se préparaient depuis 2024.
Le cadre des sanctions reste inchangé : jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial en règle générale, et jusqu’à 35 millions d’euros ou 7 % pour les pratiques interdites de l’article 5. Pour les PME, c’est le montant le plus faible qui s’applique.
Ce report n’est pas un blanc-seing. Il donne du temps supplémentaire pour la documentation et la gestion des risques — les obligations de transparence et de compétence, elles, continuent de courir.
Pourquoi le règlement européen concerne les entreprises suisses
Le règlement ne se rattache pas au siège de l’entreprise, mais au marché sur lequel un système d’IA, ou son résultat, est utilisé. Une entreprise suisse entre dans le champ d’application si elle propose dans l’UE des produits ou des services reposant sur l’IA, ou si les résultats d’un système y sont utilisés. Concrètement : si vous présélectionnez des candidatures pour un client allemand, si vous livrez une application assistée par IA à un groupe européen ou si vous êtes fournisseur dans une chaîne de valeur dont les clients finaux se trouvent dans l’UE, clarifiez votre rôle. Fournisseurs et déployeurs ont des obligations différentes, et beaucoup d’entreprises sont les deux à la fois.
Et en Suisse ?
Il n’existe pas de loi suisse générale sur l’IA. Le 12 février 2025, le Conseil fédéral a écarté la reprise du modèle européen au profit d’une approche sectorielle : la convention du Conseil de l’Europe sur l’IA — signée par la Suisse le 27 mars 2025 — doit être transposée en droit suisse, avec des adaptations ponctuelles en matière de transparence, de protection des données, de non-discrimination et de surveillance. Un projet mis en consultation est attendu d’ici fin 2026 ; la ratification reste pendante.
D’ici là, le domaine n’est pas sans règles, il est simplement dispersé : la loi révisée sur la protection des données s’applique à tout traitement de données personnelles par des systèmes d’IA, auxquels s’ajoutent le droit du travail, le droit d’auteur, le droit des contrats et les exigences sectorielles. Diriger aujourd’hui un assistant d’IA sur des données clients, c’est donc déjà évoluer dans un cadre réglementé — simplement sans l’étiquette « loi sur l’IA ».
L’obligation qui court depuis dix-huit mois
La règle la moins remarquée et la plus simple à respecter est l’article 4 du règlement : la maîtrise de l’IA. Applicable depuis le 2 février 2025, il exige des fournisseurs et des déployeurs qu’ils prennent des mesures pour que leur personnel, ainsi que les autres personnes associées à l’exploitation, disposent de compétences, de connaissances et d’une compréhension suffisantes des possibilités et des risques. Selon l’analyse du cabinet Flick Gocke Schaumburg, le Digital Omnibus a assoupli la formulation, passant de « garantir » à « promouvoir » ; un niveau de compétence déterminé pour chaque personne n’a de toute façon jamais été exigé.
Ce qui compte, c’est de pouvoir le démontrer. Former, documenter les participations et consigner les règles internes par écrit permet de remplir ce point pour un effort raisonnable — avec en prime l’effet que la plupart des entreprises recherchent de toute manière : moins de prolifération incontrôlée d’outils.
Étapes pour les prochains mois
- Établir un inventaire. Quels outils d’IA sont utilisés, dans quel service, avec quelles données ? Les fonctions intégrées aux logiciels existants en font partie, pas seulement les assistants autonomes.
- Déterminer son rôle. Fournisseur ou déployeur — et existe-t-il seulement un lien avec l’UE ? Sans ce classement, aucune obligation ne peut être attribuée utilement.
- Mettre en œuvre la transparence. Signaler les chatbots, marquer les contenus générés par l’IA et inscrire au calendrier le délai du 2 décembre 2026 pour les systèmes existants.
- Développer et documenter les compétences. Des formations pour les utilisateurs, des formations approfondies pour les cadres et l’informatique — avec listes de participation et dates.
- Intégrer la protection des données. Vérifier quelles données personnelles alimentent quels systèmes, et si les autorisations et la classification y résistent.
- Rédiger des règles internes. Une directive d’utilisation de deux pages, avec les outils autorisés, les catégories de données interdites et les obligations de validation, produit plus d’effet qu’un cadre que personne ne lit.
Le temps gagné grâce au Digital Omnibus est réel, mais il ne vaut que pour le niveau haut risque. Les tâches qui s’imposent maintenant — inventaire, transparence, compétence, protection des données — sont celles dont une entreprise a besoin pour utiliser l’IA de manière maîtrisée, lien avec l’UE ou non.
Les cours correspondants de CT Academy
Pour la mise en perspective au niveau de la direction — champs d’application, risques et réglementation en une journée — KI für Führungskräfte: Einsatzfelder, Risiken, Regulierung constitue le point de départ. Si vous introduisez Microsoft 365 Copilot et souhaitez mettre en place proprement les autorisations, la protection des données et la gouvernance, la démarche est présentée dans Copilot einführen: Governance, Datenschutz und Berechtigungen. Pour les utilisateurs, c’est-à-dire la montée en compétence à large échelle, Prompting, das funktioniert est l’entrée pratique. Et si vous répondez de la protection technique des informations dans Microsoft 365 — classification, étiquettes de confidentialité, prévention des pertes de données et protection des données dans les services d’IA —, vous la trouverez dans SC-401 Administering Information Security in Microsoft 365. Les cours sont donnés en allemand.
