Comment la Suisse réglemente-t-elle l’IA ?

Le 12 février 2025, le Conseil fédéral a choisi de ne pas copier l’AI Act européen. La Suisse a signé la Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle le 27 mars 2025 et prévoit de la ratifier. Les adaptations légales nécessaires doivent être sectorielles autant que possible, avec des règles générales limitées aux domaines qui touchent les droits fondamentaux, comme la protection des données, et accompagnées de mesures non contraignantes comme des accords d’autodéclaration. Le Conseil fédéral a annoncé le projet mis en consultation pour fin 2026.

• La nLPD est neutre sur le plan technologique et s’applique directement à l’IA qui traite des données personnelles, comme l’a rappelé le PFPDT. Le responsable doit être transparent sur le traitement, mener une analyse d’impact quand le risque est élevé et, selon l’article 21, informer les personnes des décisions fondées exclusivement sur un traitement automatisé qui les affectent de manière significative et leur permettre de demander un réexamen par une personne.
• Les règles sectorielles s’appliquent à l’IA comme à toute technologie, par exemple la non-discrimination, la responsabilité du fait des produits, le droit d’auteur et le droit des marchés financiers.
• La FINMA a fixé ses attentes pour les établissements surveillés qui utilisent l’IA dans sa communication 08/2024 sur la gouvernance et la gestion des risques.

L’AI Act atteint les entreprises hors UE lorsqu’elles mettent des systèmes d’IA ou des modèles d’IA à usage général sur le marché de l’UE, ou lorsque les résultats de leur système d’IA sont utilisés dans l’UE (article 2). Un fournisseur suisse qui vend un produit d’IA à des clients européens, ou un groupe suisse dont la filiale européenne déploie de l’IA, doit le respecter pour ces cas.

Dans le module Gouvernance de l’IA d’Acuna GRC, chaque système d’IA que vous développez, achetez ou déployez a une fiche unique avec son fournisseur, son autonomie, les personnes concernées et une classification avec justification obligatoire. Les analyses d’impact, le contrôle humain, les incidents et les contestations s’y rattachent, et lier un système à ses activités de traitement dans Data Privacy garde l’AIPD à côté. Le module tient les registres que ces obligations demandent ; il ne certifie pas la conformité. Voir la Gouvernance de l’IA dans Acuna GRC.