Qui contrôle l'application du règlement sur l'IA en Suisse ?

Publié 2026-08-11· 6 min de lecturePouls réglementaire

Vous avez lu qu'une amende était possible en cas de manquement au règlement sur l'IA de l'Union européenne, et la question qui vient naturellement ensuite est : qui, en Suisse, viendrait concrètement vérifier ? Le PFPDT, comme pour la protection des données ? La réponse surprend souvent les PME romandes et alémaniques qui la posent : en Suisse, il n'existe tout simplement pas d'autorité chargée de faire appliquer ce règlement — et comprendre pourquoi permet de savoir à qui vous auriez réellement affaire si votre activité touche le marché européen.

Pourquoi la Suisse n'a désigné aucune autorité pour le règlement sur l'IA

Le règlement sur l'IA de l'UE, entré en vigueur en 2024, oblige chaque État membre à désigner au moins une autorité de surveillance du marché avant le 2 août 2025 — c'est ce qu'ont fait la France, en s'appuyant notamment sur la CNIL, ou l'Italie, avec le Garante. Cette obligation figure à l'article 70 du texte et s'adresse explicitement aux États membres de l'Union. La Suisse n'en fait pas partie : elle n'est ni membre de l'UE ni de l'Espace économique européen, et le règlement sur l'IA n'est pas transposé en droit suisse. Il n'existe donc aucune obligation légale pour la Confédération de désigner un organisme équivalent — et elle ne l'a pas fait.

Cela ne signifie pas que le règlement sur l'IA est sans effet pour une entreprise suisse. Cela signifie que l'organe qui le ferait appliquer, le cas échéant, ne se trouve pas à Berne.

Ce que change la portée extraterritoriale du règlement pour une entreprise suisse

Le règlement sur l'IA s'applique en dehors du territoire de l'Union dans des cas précis : dès qu'un fournisseur met un système d'IA sur le marché européen ou le met en service dans l'UE, et dès que la sortie d'un système exploité par un fournisseur ou un déployeur situé dans un pays tiers — la Suisse, en l'occurrence — est utilisée dans l'Union. Notre article sur le règlement sur l'IA pour les PME suisses détaille les niveaux de risque et les sanctions applicables ; ce qui nous intéresse ici, c'est uniquement qui contrôle quoi.

Concrètement, une fintech genevoise dont l'outil de scoring est utilisé par un partenaire bancaire installé dans l'UE, ou un acteur pharma ou medtech bâlois dont le dispositif assisté par IA est mis sur le marché européen, entrent dans le champ du règlement pour cette activité précise — même sans aucun établissement dans l'Union. Le texte prévoit, pour les fournisseurs établis hors UE qui mettent certains systèmes à haut risque sur le marché européen, l'obligation de désigner un mandataire établi dans l'Union — une logique proche du représentant RGPD que doivent déjà désigner les responsables de traitement non européens au titre de l'article 27. Les modalités précises de cette désignation pour le règlement sur l'IA restent encore peu éprouvées en pratique et méritent d'être vérifiées au cas par cas.

Qui contrôle réellement une entreprise suisse qui exporte vers l'UE

Pour la part de votre activité qui relève du règlement sur l'IA, le contrôle s'exerce depuis l'État membre avec lequel votre activité a un point de rattachement : celui où vous placez votre système sur le marché, celui où se trouve votre mandataire ou votre importateur européen, ou celui où opère le déployeur qui utilise votre système. C'est l'autorité de surveillance du marché de cet État — la CNIL et la DGCCRF pour la France, le Garante pour l'Italie — qui serait compétente, comme si votre entreprise y était établie.

Aucun client ni utilisateur dans l'UE, système jamais mis sur le marché européen : le règlement sur l'IA ne s'applique en principe pas — seule la nLPD suisse reste pertinente.
Système vendu ou mis sur le marché d'un État membre précis : l'autorité de surveillance du marché de cet État est compétente.
Passage par un importateur, un distributeur ou un mandataire établi dans l'UE : le pays où celui-ci est enregistré devient le point de rattachement.
Système utilisé par un déployeur situé dans l'UE, même sans vente directe : l'usage dans l'UE peut suffire à déclencher le champ d'application.
Données personnelles de clients ou d'employés traitées en Suisse, sans lien avec l'UE : c'est le PFPDT, au titre de la nLPD, qui reste l'interlocuteur — un sujet distinct, détaillé dans notre article sur la nLPD, le RGPD et le règlement sur l'IA.

Le rôle du PFPDT : protection des données, pas règlement sur l'IA

Le PFPDT (Préposé fédéral à la protection des données et à la transparence) reste l'autorité suisse de référence pour la protection des données personnelles, sous la nLPD révisée, en vigueur depuis le 1er septembre 2023. Il n'a en revanche reçu aucun mandat formel lié au règlement sur l'IA — ce n'est pas son rôle. Si votre système d'IA traite des données personnelles en Suisse, le PFPDT reste compétent pour cet aspect ; si ce même système touche par ailleurs le marché européen, c'est un autre régulateur, dans un autre pays, qui traite le volet règlement sur l'IA. Les deux questions se recoupent souvent en pratique, mais restent juridiquement distinctes.

Reste une question ouverte : la Suisse pourrait, à terme, se doter de sa propre législation horizontale sur l'intelligence artificielle. La Confédération suit le dossier, mais aucun texte ni calendrier précis n'est arrêté à ce jour, et il serait prématuré d'anticiper la forme que prendrait un tel dispositif.

Une checklist pour évaluer votre exposition

Avant de consulter un texte de loi, quelques questions suffisent en général à se faire une idée raisonnable de votre exposition :

Votre système d'IA est-il vendu, licencié ou mis à disposition d'un client établi dans un État membre de l'UE ? Si oui, le règlement s'applique à cette activité.
La sortie de votre système — décision, score, contenu généré — est-elle utilisée par une organisation basée dans l'UE, même sans vente directe ? Cela peut suffire à déclencher le champ d'application.
Passez-vous par un distributeur, un importateur ou un partenaire établi dans l'Union pour atteindre le marché européen ? Son pays d'établissement devient un point de rattachement.
Votre activité reste-t-elle strictement suisse, sans client ni utilisateur dans l'UE ? Le règlement ne s'applique alors probablement pas, mais la nLPD continue de s'appliquer aux données personnelles traitées.
Vous ne savez pas répondre avec certitude à l'une de ces questions : c'est le signe qu'une analyse plus poussée de vos flux et marchés est nécessaire avant d'en tirer une conclusion.

Information générale, pas un conseil juridique

Ce qui précède est une information générale destinée à vous orienter, pas un conseil juridique sur la situation précise de votre entreprise. Le cadre applicable aux entreprises suisses actives sur le marché européen continue d'évoluer, tant du côté de l'Union que d'une éventuelle réglementation suisse à venir. Quand Komplya publie ce type de contenu, nous distinguons clairement ce qui a été revu juridiquement de ce qui reste un document de travail, afin que vous puissiez l'utiliser en connaissance de cause.

Le moyen le plus rapide de savoir si votre activité entre dans le champ du règlement sur l'IA est de partir de vos marchés et de vos flux réels plutôt que d'une liste générale. Répondez à un court questionnaire sur votre utilisation de l'IA et vos marchés pour obtenir une lecture en langage simple de votre exposition probable.