Développez-vous en Suisse un agent conversationnel destiné également à des clients européens ? Utilisez-vous un système d’IA pour créer une campagne publicitaire visant le marché italien ? Générez-vous des deepfakes, des contenus informatifs ou utilisez-vous des outils de catégorisation biométrique lors d’événements organisés dans l’Union européenne ?
Le fait d’avoir son siège en Suisse ne suffit pas à exclure l’application de l’AI Act.
Comme c’est déjà le cas avec le RGPD, le législateur européen a prévu un champ d’application territorial susceptible de concerner également les entreprises établies dans des pays tiers. Les critères de l’AI Act sont toutefois spécifiques : la mise du système sur le marché européen, sa mise en service dans l’Union et l’utilisation dans l’UE des résultats produits par le système sont déterminantes.
Les lignes directrices publiées par la Commission européenne le 20 juillet 2026 précisent comment appliquer les obligations de transparence prévues à l’article 50, applicables à compter du 2 août 2026, en distinguant clairement le rôle du fournisseur de celui du déployeur.
Pourquoi l’AI Act peut-il s’appliquer à une société suisse
L’article 2 de l’AI Act prévoit que le règlement s’applique :
- aux fournisseurs qui mettent sur le marché ou mettent en service des systèmes d’IA dans l’Union, indépendamment de leur lieu d’établissement ;
- aux fournisseurs et aux déployeurs établis dans un pays tiers lorsque les résultats produits par le système d’IA sont utilisés dans l’Union.
L’objectif est d’éviter que la protection des personnes présentes dans l’UE puisse être contournée par le simple fait de développer ou d’utiliser le système depuis un État situé en dehors de l’Union européenne.
L’analyse ne doit donc pas se limiter au siège territorial de l’entreprise, mais doit également prendre en considération le marché visé, le public atteint, les canaux de distribution et l’utilisation concrètement prévue des résultats.
La société suisse en qualité de fournisseur
Est considérée comme fournisseur la société qui développe un système d’IA, ou le fait développer, puis le met sur le marché ou le met en service sous son propre nom ou sa propre marque. Il importe peu que le système soit fourni gratuitement ou contre rémunération.
Une société suisse sera donc soumise à l’article 50 de l’AI Act en qualité de fournisseur lorsque, par exemple, elle :
- commercialise un agent conversationnel ou un assistant virtuel auprès de clients italiens ou européens ;
- met à disposition dans l’UE une plateforme générant des images, des contenus audio, des vidéos ou des textes ;
- développe un système « Power AI » pour un groupe de sociétés et le met en service au sein d’une filiale établie dans l’Union ;
- propose directement à des utilisateurs européens une application d’IA sous son propre nom ou sa propre marque.
Dans ces cas, l’existence ou non d’une filiale européenne n’est pas déterminante : il suffit que le système soit mis sur le marché ou mis en service dans l’Union.
Quelles obligations le fournisseur suisse doit-il respecter
Le fournisseur d’un système destiné à interagir directement avec des personnes physiques doit concevoir le système de manière à ce que les utilisateurs soient informés qu’ils interagissent avec une IA, sauf lorsque la nature artificielle de l’interaction est évidente. L’information doit être intégrée au fonctionnement du système et ne peut pas être reléguée exclusivement dans les conditions générales ou dans la documentation technique.
Exemple : une entreprise de logiciels établie à Lugano propose aux entreprises italiennes un agent conversationnel destiné au service client. Le système doit se présenter clairement comme un assistant fondé sur l’IA, par exemple au début de la conversation : « Vous interagissez avec un système d’intelligence artificielle. »
Le fournisseur de systèmes générant ou manipulant des textes, des images, des contenus audio ou des vidéos doit également rendre les résultats reconnaissables au moyen de marquages lisibles par machine. Dans la mesure où cela est techniquement possible, les solutions techniques doivent être efficaces, interopérables, robustes et fiables.
Exemple : une société suisse fournit dans l’UE une plateforme permettant de générer des images publicitaires. Il ne suffit pas de permettre au client d’ajouter volontairement la mention « créé avec l’IA » : le système doit intégrer une solution technique permettant de détecter l’origine artificielle du résultat.
Lorsque l’utilisation européenne ne suffit pas
Les lignes directrices introduisent un important critère de raisonnabilité. Lorsque le système n’a été ni mis sur le marché ni mis en service dans l’UE, une utilisation européenne simplement occasionnelle, imprévisible ou non autorisée ne devrait pas, à elle seule, entraîner l’application des obligations au fournisseur établi en dehors de l’Union.
Exemple : une plateforme conçue exclusivement pour le marché suisse est utilisée par un client, sans autorisation, afin de produire des contenus destinés à l’Italie. Cette utilisation isolée ne devrait pas automatiquement rendre le fournisseur suisse responsable au titre de l’article 50. La conclusion serait différente si le fournisseur connaissait, autorisait ou organisait de manière régulière l’utilisation européenne.
La société suisse en qualité de déployeur
Est considérée comme déployeur la société qui utilise un système d’IA sous sa propre autorité, en décidant de l’utiliser, en déterminant ses finalités et en définissant les modalités d’utilisation du système et de ses résultats. Il n’est pas nécessaire qu’elle dispose d’un contrôle technique sur le logiciel.
La société demeure le déployeur même lorsque le système est concrètement utilisé par des salariés, des collaborateurs, des travailleurs indépendants ou des fournisseurs agissant pour son compte et sous sa responsabilité. En revanche, le client qui confie une activité à une agence n’est généralement pas considéré comme déployeur lorsqu’il ne décide ni du recours à l’IA ni des modalités selon lesquelles l’agence l’utilise.
Pour une société suisse, les obligations du déployeur s’appliquent lorsque le résultat est utilisé dans l’Union et que la société prévoit, dirige ou autorise cette utilisation ou cette diffusion.
La publication sur Internet peut également suffire lorsque le contenu est concrètement destiné à un public européen ou lorsqu’il est raisonnablement prévisible qu’il atteigne un tel public. En revanche, une diffusion dans l’UE par des canaux imprévisibles et échappant au contrôle de la société n’est pas pertinente.
Deepfake destiné au marché européen
Une société suisse utilise un système génératif afin de créer une vidéo dans laquelle une personnalité connue semble prononcer des propos qu’elle n’a jamais tenus. La vidéo est intégrée à une campagne publicitaire destinée également au marché italien.
La société est le déployeur, car elle détermine la finalité et les modalités d’utilisation du système et dirige la diffusion du résultat vers l’Union. Elle devra donc indiquer, de manière claire et perceptible, que la vidéo a été générée ou manipulée artificiellement.
À noter : le marquage technique intégré par le fournisseur ne remplace pas l’étiquette visible destinée au public.
Catégorisation biométrique lors d’un événement européen
Une société suisse participe à un salon professionnel à Milan et installe sur son stand une caméra fondée sur l’IA qui classe les visiteurs selon des tranches d’âge apparentes, afin de mesurer le public intéressé par ses produits.
La société doit informer toutes les personnes exposées qu’un système de catégorisation biométrique est actif dans la zone concernée. Dans ce cas, l’information doit être clairement visible au plus tard au moment de la première exposition.
Le respect de l’article 50 ne dispense pas de vérifier séparément la licéité du traitement au regard du RGPD et des autres dispositions applicables.
Texte d’intérêt public destiné à l’UE
Une société éditoriale suisse utilise l’IA pour générer une analyse portant sur les conséquences économiques d’une nouvelle réglementation européenne et la publie, sans révision humaine, sur un site également destiné à des lecteurs italiens.
Le texte est publié afin d’informer un public indéterminé sur une question d’intérêt public. La société devra donc indiquer que le contenu a été généré ou manipulé au moyen de l’IA.
L’étiquetage ne peut être omis que lorsque le texte a fait l’objet d’une révision humaine substantielle ou d’un contrôle éditorial effectif et qu’une personne physique ou morale assume la responsabilité éditoriale de sa publication.
Lorsque la société suisse exerce les deux rôles
Les catégories de fournisseur et de déployeur ne sont pas nécessairement exclusives l’une de l’autre. Une société peut exercer simultanément les deux rôles.
Exemple : une entreprise établie à Lugano développe en interne un système capable de générer des vidéos synthétiques et l’utilise pour produire une campagne destinée au marché italien. Elle sera :
- le fournisseur du système, avec l’obligation de mettre en place le marquage technique et la détectabilité des résultats ;
- le déployeur dans le cadre de la campagne, avec l’obligation d’apposer une étiquette claire et perceptible sur le deepfake.
La même organisation doit donc distinguer les obligations liées à la conception du système de celles relatives à son utilisation concrète.
Le rapport avec la législation suisse
L’application de l’AI Act n’exclut pas celle de la loi fédérale sur la protection des données. Le Préposé fédéral à la protection des données et à la transparence a précisé que la LPD, formulée de manière technologiquement neutre, s’applique directement aux traitements reposant sur l’IA.
Selon l’autorité suisse, les producteurs, les fournisseurs et les utilisateurs doivent assurer la transparence des finalités, du fonctionnement et des sources des données utilisées. Les utilisateurs doivent également pouvoir comprendre lorsqu’ils communiquent avec une machine. L’utilisation de programmes manipulant les visages, les images ou les voix de personnes identifiables doit également être clairement signalée.
Une société suisse peut donc être tenue de respecter simultanément :
- l’article 50 de l’AI Act, en raison de son lien avec le marché ou le public de l’Union ;
- la LPD suisse, lorsque des données personnelles sont traitées ;
- le RGPD, lorsque ses propres critères territoriaux sont remplis ;
- les règles relatives au droit d’auteur, au droit à l’image, au droit à la voix, au droit à la publicité et à la protection des consommateurs.
L’information sur l’origine artificielle du système ou du contenu ne rend pas licite une utilisation qui serait interdite ou dépourvue d’une base juridique appropriée.
Vérification opérationnelle pour les entreprises suisses
Avant le 2 août 2026, une société suisse devrait répondre au minimum aux questions suivantes :
- L’entreprise agit-elle en qualité de fournisseur, de déployeur ou exerce-t-elle les deux rôles?
- Le système est-il proposé, commercialisé ou mis en service dans l’Union?
- Les résultats sont-ils destinés à être utilisés ou diffusés dans l’UE, ou leur diffusion dans l’Union est-elle raisonnablement prévisible?
- L’utilisation européenne est-elle décidée, autorisée ou contrôlée par la société?
- S’agit-il d’une interaction directe, d’un contenu génératif, d’un deepfake, d’un système biométrique ou d’un texte d’intérêt public?
- L’information est-elle claire, identifiable, accessible et fournie dès la première interaction ou exposition?
Principales sources : règlement (UE) 2024/1689, articles 2, 3 et 50 ; Commission européenne, lignes directrices du 20 juillet 2026 relatives à l’article 50 ; FAQ de la Commission sur les obligations de transparence ; PFPDT, AI and Data Protection.
