À ce jour, la Suisse ne dispose pas d’une loi générale sur l’intelligence artificielle comparable à l’AI Act de l’Union européenne. Il serait toutefois erroné d’en déduire que l’utilisation de l’IA se déroule dans un vide juridique.
Le modèle suisse qui se dessine progressivement est plutôt celui d’une régulation par strates, construite à partir de normes déjà existantes, d’interventions des autorités sectorielles, d’instruments d’autorégulation et, à terme, des adaptations nécessaires à la mise en œuvre de la Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle.
Le premier niveau est constitué par le droit général déjà en vigueur, à commencer par la loi fédérale sur la protection des données (LPD); le deuxième est représenté par les règles et les attentes développées dans les différents secteurs réglementés.
La FINMA, par exemple, a déjà défini des attentes spécifiques en matière de surveillance concernant la gouvernance et la gestion des risques liés à l’IA dans les secteurs bancaire et assurantiel ; Swissmedic a, pour sa part, identifié des conditions-cadres pour l’utilisation de l’intelligence artificielle dans le développement des médicaments et dans les processus réglementaires, en se référant également aux normes élaborées au niveau international.
À ces instruments s’ajoutent des formes d’autorégulation et des standards professionnels, tels que les principes relatifs à l’IA élaborés par l’Association Suisse d’Assurances ainsi que les recommandations de la FMH concernant l’utilisation de modèles linguistiques génératifs dans le secteur médical.
La future mise en œuvre de la Convention du Conseil de l’Europe sur l’IA ne partira donc pas de zéro, mais s’intégrera dans un écosystème juridique et réglementaire qui présente déjà, notamment dans certains secteurs, un degré significatif de maturité.
La principale différence par rapport à l’approche européenne est d’ordre méthodologique. L’Union européenne a choisi d’adopter un cadre réglementaire horizontal, directement applicable dans différents secteurs et principalement fondé sur la classification des systèmes d’IA en fonction de leur niveau de risque.
La Suisse a, au contraire, choisi de partir du droit existant et d’introduire de nouvelles règles là où des lacunes concrètes apparaissent, en privilégiant autant que possible des solutions sectorielles et technologiquement neutres. Le Conseil fédéral a formalisé cette approche le 12 février 2025.
La Convention du Conseil de l’Europe sur l’IA comme référence pour l’évolution future du cadre réglementaire
Une étape décisive dans l’évolution du cadre suisse est représentée par la Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle et les droits de l’homme, la démocratie et l’État de droit, premier traité international juridiquement contraignant consacré à l’IA.
La Convention repose sur une approche technologiquement neutre et vise à garantir que les activités menées tout au long du cycle de vie des systèmes d’IA soient compatibles avec les droits fondamentaux, la démocratie et l’État de droit, sans entraver le progrès technologique ni l’innovation.
La Suisse a signé la Convention le 27 mars 2025 et, au 18 août 2026, la procédure interne de ratification n’est pas encore achevée.
Le Conseil fédéral a chargé le DFJP – Département fédéral de justice et police, en collaboration avec les autres départements compétents, de préparer d’ici à la fin de l’année 2026 un projet à soumettre à consultation. Ce projet devra déterminer les adaptations législatives nécessaires, notamment dans les domaines de la transparence, de la protection des données, de la non-discrimination et de la surveillance.
Parallèlement, un plan devra être élaboré pour les mesures non législatives, telles que des solutions sectorielles et des déclarations volontaires d’engagement.
Il est donc plus exact de parler non pas d’une future “loi suisse sur l’IA” calquée sur l’AI Act, mais plutôt d’un processus législatif visant à mettre en œuvre la Convention du Conseil de l’Europe, accompagné d’adaptations du droit existant, de mesures sectorielles et d’instruments de soft law.
Un système déjà réglementé secteur par secteur
Le cadre suisse peut être mieux compris à travers quelques exemples concrets.
Le cas de la FINMA, autorité fédérale indépendante chargée de la surveillance des marchés financiers, est particulièrement significatif.
Dans sa Guidance 08/2024, l’Autorité relève expressément que, même en l’absence d’une législation suisse spécifique sur l’IA, les exigences technologiquement neutres déjà existantes en matière de gouvernance et de gestion des risques financiers couvrent également les risques découlant de l’utilisation de l’intelligence artificielle.
Dans le cadre de sa surveillance, la FINMA vérifie donc notamment l’existence d’un inventaire centralisé des applications d’IA, leur classification en fonction du risque, l’attribution des responsabilités, les exigences en matière de tests, la documentation, la formation et les contrôles portant sur les prestataires externes.
L’Autorité attire également l’attention sur la qualité des données, la possibilité que les données historiques reproduisent des biais dans les prévisions futures, la robustesse et la stabilité des modèles ainsi que la nécessité de tests et d’une surveillance continue.
Swissmedic, autorité suisse compétente pour l’autorisation et la surveillance des produits thérapeutiques, suit une logique similaire. L’Autorité souligne les problématiques liées à la qualité des données, à la transparence des modèles, au contrôle de la qualité et aux biais. Lorsqu’elle évalue des éléments produits à l’aide de l’IA, elle tient compte des orientations élaborées par des organisations et autorités internationales telles que l’OMS, l’ICH, l’IMDRF, l’EMA et la FDA.
Le rôle central de la loi fédérale sur la protection des données
Parmi les réglementations horizontales déjà applicables, la LPD, entrée en vigueur le 1er septembre 2023, joue un rôle particulièrement important.
Le Préposé fédéral à la protection des données et à la transparence (PFPDT) a expressément précisé que la LPD est formulée de manière technologiquement neutre et s’applique donc aussi aux traitements de données personnelles réalisés au moyen de systèmes d’intelligence artificielle.
Ce principe entraîne des conséquences opérationnelles importantes. Selon le PFPDT, les producteurs, fournisseurs et utilisateurs de systèmes d’IA doivent assurer la transparence quant à la finalité du traitement, au fonctionnement de l’application et aux sources des données utilisées.
Lorsqu’un modèle linguistique interagit directement avec une personne, l’utilisateur doit également être en mesure de savoir qu’il communique avec une machine et doit être informé lorsque les données qu’il fournit sont utilisées pour améliorer des systèmes auto-apprenants ou à d’autres fins.
Le PFPDT traite également de la question des contenus synthétiques, en indiquant que l’utilisation de programmes permettant de falsifier des visages, des images ou des messages vocaux attribuables à des personnes identifiables doit être clairement signalée.
Contrairement à l’AI Act, la règle n’impose pas de technologie spécifique de marquage. Des instruments tels que les filigranes, les métadonnées ou d’autres techniques d’identification peuvent constituer des solutions opérationnelles possibles, mais ce qui importe d’un point de vue juridique est la transparence à l’égard de la personne concernée.
Lorsque des traitements sont susceptibles d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées, l’analyse d’impact relative à la protection des données (AIPD) prévue par la LPD entre également en jeu.
Le PFPDT souligne que les traitements à haut risque reposant sur l’IA peuvent eux aussi être licites, à condition qu’ils soient accompagnés de mesures de protection appropriées et de l’évaluation préalable des impacts exigée par la loi.
Une autre garantie concerne les décisions individuelles automatisées. Dans ce cas, la LPD reconnaît aux personnes concernées des garanties spécifiques lorsqu’une décision produisant des effets juridiques ou ayant des conséquences significatives est prise exclusivement au moyen d’un traitement automatisé.
Dans les cas prévus par la loi, la personne concernée a le droit d’exprimer son point de vue et de demander que la décision soit réexaminée par une personne physique.
Un exemple: le scoring de crédit fondé sur l’IA dans une banque suisse
Imaginons qu’une banque suisse introduise un système d’IA destiné à calculer le credit score d’un client et à soutenir, voire à prendre automatiquement, une décision concernant l’octroi d’un financement.
La banque ne pourrait pas se contenter d’affirmer: “L’AI Act ne s’applique pas en Suisse, nous attendons donc la future législation.”
Les exigences de conformité existent déjà aujourd’hui. La LPD s’applique au traitement des données personnelles, à la transparence, au profilage, aux éventuelles décisions automatisées et, lorsque le risque est élevé, à la nécessité de réaliser une AIPD.
Parallèlement, la FINMA Guidance 08/2024 impose de traiter la question sous l’angle de la gouvernance, du risque lié aux modèles, de la qualité des données, des biais, des tests, de l’explicabilité et du contrôle des fournisseurs tiers.
Cet exemple illustre bien la logique du système suisse: la régulation de l’IA peut résulter de l’interaction de plusieurs réglementations et autorités, sans être nécessairement concentrée dans un seul texte législatif spécifiquement consacré à l’intelligence artificielle.
Geneva AI Summit 2027: innovation et confiance
Le positionnement politique de la Suisse ressort également de la préparation du Geneva AI Summit 2027, qui se tiendra à Genève les 21 et 22 juin 2027.
Le 12 août 2026, le Conseil fédéral en a défini l’orientation stratégique et l’organisation, en nommant Fabiola Gianotti, ancienne directrice générale du CERN, déléguée du Conseil fédéral pour le Sommet.
Le slogan choisi, “Bridging Innovation and Trust”, résume efficacement l’approche suisse. Les deux axes identifiés par le Conseil fédéral sont, d’une part, l’utilisation de l’IA comme moteur d’innovation, de prospérité et de progrès social et, d’autre part, la création des conditions nécessaires à un développement et à une utilisation fiable et responsable de l’intelligence artificielle.
Le Sommet n’introduit évidemment aucune nouvelle obligation juridique. Il constitue toutefois un signal politique significatif : la Suisse entend se positionner comme un lieu où l’innovation technologique et la confiance ne sont pas considérées comme des objectifs opposés, mais comme des éléments à construire conjointement.
Entreprises suisses et AI Act européen : quand il faut regarder au-delà des frontières
Pour les entreprises suisses, il est utile de distinguer deux situations.
Entreprise exerçant exclusivement ses activités en Suisse
Le cadre juridique de référence est constitué en premier lieu par la LPD et par les autres réglementations suisses applicables: réglementation sectorielle, droit du travail, règles antidiscriminatoires, protection des consommateurs et autres dispositions pertinentes selon les circonstances concrètes.
À cela s’ajouteront, à l’avenir, les adaptations nécessaires à la mise en œuvre de la Convention du Conseil de l’Europe.
Il n’est donc pas nécessaire d’appliquer volontairement toutes les dispositions de l’AI Act européen comme s’il s’agissait du droit suisse. Il convient plutôt d’identifier précisément quelles obligations découlent déjà du droit national et des règles applicables au secteur dans lequel l’organisation exerce ses activités.
Entreprise suisse exerçant également des activités dans l’Union européenne
La situation change lorsqu’il existe un lien pertinent avec le marché européen.
Dans ce cas, il convient d’effectuer une évaluation du champ d’application de l’AI Act, car le règlement européen prévoit expressément certaines hypothèses d’application à des entités établies dans des pays tiers.
Cela peut être le cas, par exemple, lorsqu’un fournisseur met sur le marché ou met en service un système d’IA dans l’Union européenne ou, dans certaines circonstances, lorsque des fournisseurs ou déployeurs établis dans un pays tiers utilisent des systèmes dont les résultats sont utilisés dans l’UE.
Le fait d’être une entreprise suisse ne signifie donc pas être automatiquement exclu du champ d’application de l’AI Act.
Il s’agit d’une problématique conceptuellement similaire à celle déjà connue concernant l’application territoriale du RGPD: le siège de l’entreprise n’est que l’un des éléments à examiner ; il convient d’analyser concrètement l’activité exercée, le marché concerné, le rôle assumé à l’égard du système d’IA et le lieu où le système ou ses résultats sont utilisés.
Comment construire aujourd’hui une gouvernance de l’IA pour une entreprise suisse
D’un point de vue opérationnel, il serait peu efficace de construire une « conformité IA suisse » totalement séparée de la conformité européenne.
Pour les organisations actives dans des contextes internationaux, il est préférable d’adopter un cadre modulaire de gouvernance de l’IA, capable de s’adapter aux différents systèmes juridiques.
Un premier niveau peut être défini comme la Base suisse et comprend la LPD, la transparence, la protection des données dès la conception (privacy by design), les décisions automatisées, la sécurité, l’AIPD lorsqu’elle est nécessaire ainsi que la réglementation sectorielle applicable.
Un deuxième niveau peut être constitué par l’Overlay UE : lorsqu’il existe un lien pertinent avec l’Union européenne, le cadre est complété par la classification et les obligations découlant de l’AI Act, du RGPD et des éventuelles réglementations sectorielles européennes.
Le troisième niveau peut être qualifié de Future Proofing et intègre dès aujourd’hui les principes appelés à prendre une importance croissante dans la mise en œuvre de la Convention du Conseil de l’Europe: protection des droits fondamentaux, transparence, responsabilité, non-discrimination, surveillance ainsi que l’évaluation des risques et des impacts.
La Convention est en effet délibérément formulée en termes technologiquement neutres afin de pouvoir accompagner l’évolution future des systèmes d’IA.
Conclusions
Le cas suisse démontre que réglementer l’intelligence artificielle ne signifie pas nécessairement adopter une loi générale unique spécifiquement consacrée à l’IA.
La Suisse suit une voie différente de celle de l’Union européenne: droit technologiquement neutre, rôle important des autorités sectorielles, autorégulation et interventions législatives ciblées, auxquels viendra s’ajouter la mise en œuvre de la Convention du Conseil de l’Europe.
Pour les entreprises, la conséquence pratique est qu’il n’est correct ni d’appliquer automatiquement l’AI Act européen à toutes les activités exercées en Suisse, ni d’attendre passivement une future “AI Law” suisse.
La conformité en matière d’IA est donc déjà une réalité aujourd’hui. Il convient de partir de la LPD et de la réglementation sectorielle applicable, d’évaluer l’éventuelle portée extraterritoriale de l’AI Act et de construire des systèmes de gouvernance capables de s’adapter progressivement à l’évolution du cadre réglementaire.
La véritable particularité du modèle suisse pourrait être résumée ainsi: non pas une réglementation unique de l’intelligence artificielle, mais une gouvernance de l’IA construite progressivement par le droit en vigueur, la surveillance sectorielle, la responsabilité organisationnelle et la confiance.
