L'AI Act européen : ce qui change pour les entreprises

L’AI Act est le premier cadre réglementaire complet au monde sur l’intelligence artificielle. C’est un règlement de l’Union européenne, il ne relève donc pas du droit suisse — mais il serait erroné d’en conclure qu’il ne concerne pas les entreprises en Suisse. Comme cela s’est produit avec le RGPD, sa portée est extraterritoriale, et pour qui développe, intègre ou vend des solutions d’IA vers le marché européen, il devient une référence concrète. Voyons ce qu’il introduit, qui il concerne et comment il convient de se préparer.

La logique de fond : le risque, non la technologie

L’AI Act ne réglemente pas l’intelligence artificielle dans l’abstrait. Il adopte une approche fondée sur le risque : plus un système d’IA peut affecter les droits et la sécurité des personnes, plus les obligations sont strictes. Une même technologie peut donc relever de catégories différentes selon la manière et le lieu où elle est utilisée.

Les catégories sont au nombre de quatre :

• Risque inacceptable : pratiques interdites. On y trouve des usages comme le social scoring généralisé ou la manipulation comportementale nuisible.
• Risque élevé : systèmes admis mais soumis à de lourdes obligations. Ils concernent des domaines sensibles comme la sélection du personnel, le crédit, les dispositifs médicaux, les infrastructures critiques.
• Risque limité : obligations surtout de transparence. Par exemple, informer l’utilisateur qu’il interagit avec un système d’IA ou qu’un contenu est généré artificiellement.
• Risque minimal : la grande majorité des applications courantes, sans obligations spécifiques.

Pour une PME, la question opérationnelle n’est pas « est-ce que j’utilise l’IA ? » mais « dans quelle catégorie tombe l’usage que j’en fais ? ».

Qui est concerné

Le règlement distingue les rôles, et cela compte car les obligations changent. Les deux principaux :

• Le fournisseur (provider) : celui qui développe un système d’IA ou le met sur le marché sous sa propre marque. Il a les obligations les plus étendues.
• L’utilisateur professionnel (deployer) : celui qui emploie un système d’IA dans son activité. Il a des obligations plus limitées mais réelles, surtout pour les systèmes à haut risque.

Le point clé pour qui se trouve en Suisse : l’AI Act s’applique aussi aux acteurs établis hors de l’UE lorsque le résultat produit par le système est utilisé dans l’Union, ou lorsqu’un système est mis sur le marché européen. Une entreprise suisse qui vend un logiciel doté de composants d’IA à des clients dans l’UE, ou qui intègre l’IA dans un produit destiné à ce marché, entre dans le champ d’application.

Les systèmes d’IA à usage général

Le règlement consacre des règles spécifiques aux modèles d’IA à usage général (les modèles de base, ceux sur lesquels se construisent de nombreuses applications). Il prévoit des obligations de transparence et de documentation à la charge de ceux qui les développent, avec des exigences renforcées pour les modèles les plus puissants considérés comme présentant un risque systémique. Pour la PME qui utilise ces modèles via des services de tiers, l’effet pratique est indirect mais utile : davantage d’informations disponibles sur le système qu’elle intègre.

Calendrier : une entrée en vigueur échelonnée

L’AI Act ne s’applique pas d’un seul coup. Son entrée en vigueur est échelonnée dans le temps : les interdictions sur les pratiques à risque inacceptable s’appliquent en premier, tandis que les obligations pour les systèmes à haut risque arrivent plus tard. Cette progressivité donne aux entreprises le temps de s’adapter, mais ce n’est pas une invitation à repousser : cartographier ses propres usages de l’IA demande du temps, et il vaut la peine de commencer tôt.

Et la Suisse ?

La Suisse n’a pas (encore) d’équivalent de l’AI Act. Cela ne signifie pas un vide juridique : l’usage de l’IA reste soumis au droit existant, en particulier à la nouvelle loi sur la protection des données (nLPD) lorsqu’on traite des données personnelles, ainsi qu’aux règles générales sur la responsabilité et les contrats. Pour les entreprises suisses actives vers l’UE, l’AI Act devient de toute façon un standard de référence de facto, exactement comme cela s’est produit pour la protection des données.

Comment se préparer, en pratique

Il ne faut pas réagir avec anxiété, il faut de la méthode. Quelques étapes concrètes :

1. Faites l’inventaire : où utilisez-vous déjà l’IA, dans quels processus, avec quelles données.
2. Classez le risque : vérifiez si certains usages relèvent de catégories à haut risque ou sensibles (ex. RH, évaluation des clients).
3. Soignez la transparence : là où vous interagissez avec des clients via l’IA ou générez des contenus automatiques, prévoyez des informations claires.
4. Maîtrisez les données : assurez-vous que l’usage de l’IA soit conforme à la nLPD et aux contrats avec les fournisseurs.
5. Vérifiez la chaîne : si vous achetez des solutions avec de l’IA intégrée, demandez aux fournisseurs comment ils gèrent la conformité.

SIH ONE est un groupe fiduciaire AI-native : nous connaissons l’IA du point de vue de celui qui l’utilise dans ses propres processus et de celui qui doit l’encadrer de manière conforme. Nous vous aidons à comprendre si et comment l’AI Act touche votre activité et à structurer vos usages de l’IA en ligne avec le droit suisse de la protection des données.

Vous voulez comprendre ce qui change pour votre entreprise ? Parlons-en avec notre desk juridique.