Règlement sur l'IA de l'UE : quand une PME suisse est-elle concernée ?

Un client basé en Allemagne vous a demandé, dans son questionnaire fournisseur, si votre entreprise respecte le règlement européen sur l'IA. Ou alors, une personne de votre équipe a branché un module d'intelligence artificielle sur votre outil de scoring de crédit ou d'aide au diagnostic, et personne ne s'est encore demandé si cela avait une incidence de l'autre côté de la frontière. Ces deux situations reviennent régulièrement chez les PME suisses actives dans la fintech ou la pharma/medtech, et la réponse n'est pas aussi simple qu'un « nous sommes en Suisse, cela ne nous regarde pas ».

La Suisse est hors UE — mais le règlement sur l'IA peut quand même s'appliquer à vous

Le règlement (UE) 2024/1689, dit règlement sur l'IA ou AI Act, est un règlement de l'Union européenne. La Suisse n'étant membre ni de l'UE ni de l'EEE, ce texte n'est pas du droit suisse et ne s'applique pas sur le territoire helvétique de la même manière qu'en France ou en Allemagne : il n'y a pas de transposition à attendre, ni d'autorité suisse chargée de le faire respecter au sens strict.

Ce qui change la donne, c'est l'article 2 du règlement, qui fixe son champ d'application territorial sur un principe proche de celui que le RGPD a popularisé à son article 3, paragraphe 2 : le texte s'applique aussi à des fournisseurs et des déployeurs établis dans un pays tiers, dès lors que le système d'IA est mis sur le marché de l'UE ou mis en service dans l'UE, ou que la sortie (l'output) produite par ce système est utilisée dans l'UE. Une entreprise suisse peut donc se retrouver dans le champ du règlement pour une activité précise, sans jamais avoir de filiale ni de présence physique dans l'Union.

Qui, parmi les PME suisses, est concrètement visé

En pratique, ce sont des activités précises qui font basculer une entreprise suisse dans le champ du règlement — pas son siège social. Une fintech du cluster de Zoug qui vend une API de scoring de crédit à un établissement prêteur basé dans l'UE fournit un système d'IA dont l'output, la note de solvabilité, est utilisé dans l'UE. Une entreprise medtech du pôle pharma et diagnostics de Bâle qui commercialise un outil d'aide au diagnostic assisté par IA sur le marché européen met, elle, un système d'IA sur le marché de l'UE. Dans les deux cas, l'article 2 s'applique à cette activité précise, indépendamment du fait que le siège reste à Zoug ou à Bâle.

À l'inverse, un usage purement domestique — un outil d'IA interne utilisé uniquement par des équipes suisses, pour des clients suisses, sans que l'output ne quitte jamais la Suisse — reste en dehors du champ du règlement. C'est la présence d'un lien réel avec le marché européen, pas la nationalité de l'entreprise, qui déclenche l'analyse.

Ce qui est en jeu : niveaux de risque et sanctions

Le règlement ne traite pas toute IA de la même façon : il distingue un risque inacceptable (pratiques interdites, comme la notation sociale généralisée), un risque élevé (recrutement, évaluation du personnel, scoring de solvabilité — l'annexe III en dresse la liste), un risque limité (obligations de transparence, par exemple signaler un contenu généré par IA ou un chatbot) et un risque minimal, où se situe la majorité des outils courants. Pour une fintech suisse dont l'API de scoring touche un client UE, c'est potentiellement le régime à haut risque, le plus exigeant, qui s'applique à cette activité précise.

Le régime de sanctions de l'article 99 prévoit jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel pour les pratiques interdites, et jusqu'à 15 millions d'euros ou 3 % pour la plupart des autres manquements. L'article 99, paragraphe 6, prévoit des plafonds réduits et proportionnés pour les PME et jeunes pousses — un point rassurant, mais qui ne dispense pas d'évaluer sa situation, et les mécanismes concrets d'exécution contre un fournisseur suisse sans présence dans l'UE restent, à notre connaissance, peu éprouvés en pratique.

Et côté suisse : la nLPD et le rôle du PFPDT

Sur son propre territoire, la Suisse applique la loi fédérale sur la protection des données révisée (nLPD), en vigueur depuis le 1er septembre 2023, dont l'esprit se rapproche du RGPD sans lui être identique — les sanctions pénales y visent notamment davantage des personnes physiques que l'entreprise en tant que telle. Le PFPDT (Préposé fédéral à la protection des données et à la transparence) est l'autorité suisse compétente pour la nLPD. Il n'a en revanche aucun rôle désigné dans l'application du règlement européen sur l'IA : la Suisse, en dehors de l'UE et de l'EEE, n'est pas tenue de désigner une autorité de surveillance du marché pour ce texte. À ce jour, la Confédération n'a pas non plus adopté de loi horizontale spécifique à l'IA équivalente au règlement européen ; la question reste ouverte, et rien ne permet d'anticiper avec certitude si et comment elle sera tranchée.

Ce que votre PME doit vérifier concrètement

Plutôt que d'essayer de retenir des articles, il est plus utile de se poser quelques questions précises sur vos usages réels de l'IA :

• Un système d'IA que vous développez ou exploitez produit-il un output (score, diagnostic, décision, contenu) utilisé par un client, un partenaire ou un utilisateur situé dans l'UE ?
• Vendez-vous, licenciez-vous ou intégrez-vous un système d'IA directement sur le marché européen, même via un distributeur ou un partenaire ?
• Un client ou partenaire de l'UE vous a-t-il déjà interrogé, via un questionnaire fournisseur ou un audit, sur votre conformité au règlement sur l'IA ?
• Si l'un de vos usages a un lien avec l'UE, touche-t-il un domaine à haut risque au sens de l'annexe III, comme le scoring de crédit, le recrutement ou l'évaluation médicale ?
• Savez-vous distinguer, dans votre catalogue d'outils IA, ce qui reste strictement domestique de ce qui a un nexus réel avec l'UE ?

Information générale, pas un conseil juridique

Tout ce qui précède est une information générale pour vous orienter, pas un conseil juridique sur votre situation précise — en particulier sur des points où la pratique n'est pas encore stabilisée, comme les mécanismes concrets d'application du règlement contre un fournisseur suisse sans présence dans l'UE, ou l'évolution future du cadre légal suisse en matière d'IA. Quand Komplya publie ce type de contenu, nous distinguons clairement ce qui a été revu juridiquement de ce qui reste un document de travail, afin que vous puissiez l'utiliser en connaissance de cause.

Le moyen le plus rapide de savoir si votre entreprise entre dans le champ du règlement sur l'IA est de passer en revue, cas par cas, vos usages réels et leurs éventuels destinataires dans l'UE. Répondez à un court questionnaire sur votre utilisation de l'IA et obtenez une lecture en langage simple de votre situation probable.