Loi sur l’IA en Suisse : où en est la réglementation ?

Non, la Suisse n’a pas encore de loi générale sur l’intelligence artificielle. Mais l’IA n’échappe pas au droit : protection des données, concurrence déloyale, droit du travail et droit pénal s’appliquent déjà. Le Conseil fédéral prépare des adaptations ciblées pour pouvoir ratifier la Convention du Conseil de l’Europe sur l’IA.

Cette page suit le dossier et sera mise à jour à chaque étape. Elle distingue ce qui est du droit en vigueur, ce que disent les autorités et ce que nous conseillons aux PME. Information générale, pas un conseil juridique.

Dernières nouvelles (30 octobre 2026)

• 28 octobre 2026. Le Conseil fédéral prend connaissance de l’avancement des travaux. La consultation sur les mesures contraignantes, préparées par l’Office fédéral de la justice, s’ouvrira au printemps 2027. En février 2025, le Conseil fédéral prévoyait un projet de consultation d’ici fin 2026. Aucun avant-projet n’est publié à ce jour.
• 28 octobre 2026. Avec ce point, l’OFCOM publie un rapport sur les mesures sectorielles et un « Guide pour l’élaboration d’un code en matière d’IA », destiné aux associations et aux entreprises qui veulent se donner des règles volontaires.
• 2 août 2026. La plupart des règles de l’AI Act européen s’appliquent, dont les obligations de transparence (art. 50). Le contrôle de l’obligation de maîtrise de l’IA (art. 4) commence.
• 27 juillet 2026. Entrée en vigueur du règlement omnibus (UE) 2026/1744 : règles sur le haut risque repoussées, art. 4 assoupli.
• À venir, 2 décembre 2026. Nouvelles interdictions dans l’UE (deepfakes sexuels non consentis et contenus pédocriminels) et échéance du marquage des contenus générés par les systèmes déjà sur le marché (art. 50, par. 2).

La stratégie du Conseil fédéral

La décision du 12 février 2025

Le Conseil fédéral a choisi une approche suisse, avec trois objectifs : renforcer la place d’innovation, protéger les droits fondamentaux, y compris la liberté économique, et renforcer la confiance de la population dans l’IA. Concrètement :

• la Suisse doit ratifier la Convention-cadre du Conseil de l’Europe sur l’IA et l’intégrer dans son droit ;
• les modifications de loi seront autant que possible sectorielles (santé, transports, etc.) ;
• une réglementation générale, valable pour tous les secteurs, ne concernera que quelques domaines touchant aux droits fondamentaux, comme la protection des données ;
• des mesures non contraignantes complètent le dispositif : dialogues de branche, lignes directrices, normes, engagements volontaires.

Le Département fédéral de justice et police (DFJP) devait présenter un projet de consultation d’ici fin 2026, avec le DETEC et le DFAE. Le Conseil fédéral a ainsi renoncé à une loi transversale calquée sur l’AI Act européen.

Le point du 28 octobre 2026

Le projet de loi fédérale porte notamment sur la transparence, la protection des données, la non-discrimination, la surveillance et l’évaluation des risques. Sa consultation est désormais prévue au printemps 2027. En parallèle :

• le rapport de l’OFCOM recense les mesures en cours ou prévues dans l’administration fédérale, dans des secteurs comme les transports, l’énergie, la santé et les médias ;
• le guide pour un code en matière d’IA propose des textes sur dix thèmes, avec trois niveaux de détail, et une démarche pour l’élaborer ;
• des dialogues de branche ont lieu avec la culture (depuis novembre 2025), l’énergie et les médias.

La Convention du Conseil de l’Europe

La Convention-cadre sur l’intelligence artificielle et les droits de l’homme, la démocratie et l’État de droit est le premier traité international contraignant sur l’IA. Elle demande aux États parties de veiller à ce que l’utilisation de systèmes d’IA respecte ces principes.

La Suisse l’a signée le 27 mars 2025 à Strasbourg, par l’intermédiaire du conseiller fédéral Albert Rösti. Elle ne l’a pas encore ratifiée : elle veut d’abord adapter son droit, ce qui passera par le Parlement. La Convention n’entre en vigueur qu’après cinq ratifications, dont au moins trois par des États membres du Conseil de l’Europe ; l’état des ratifications est publié sur le site du Conseil de l’Europe.

Le droit suisse qui s’applique déjà

Protection des données

Pour le PFPDT (position du 9 novembre 2023, mise à jour le 8 mai 2025), la loi sur la protection des données (LPD), en vigueur depuis le 1er septembre 2023, s’applique directement aux traitements basés sur l’IA. Le Préposé rappelle notamment :

• la transparence sur la finalité, le fonctionnement et les sources de données ;
• le droit de savoir si l’on échange avec une machine, et si ses données servent à améliorer le système ;
• le droit de faire revoir par une personne une décision individuelle automatisée (art. 21 LPD) ;
• l’analyse d’impact en cas de risque élevé (art. 22 LPD) ;
• l’interdiction, sous l’angle de la protection des données, d’applications comme la reconnaissance faciale en temps réel à grande échelle ou le « social scoring ».

Les obligations concrètes pour ChatGPT et les outils similaires (contrat de sous-traitance, transferts à l’étranger, secret professionnel) sont détaillées dans notre guide ChatGPT en entreprise et nLPD.

Concurrence déloyale

La loi contre la concurrence déloyale (LCD) interdit les indications inexactes ou fallacieuses sur ses propres prestations (art. 3 al. 1 let. b). Elle vaut aussi pour ce que vous dites de l’IA dans votre marketing. Et la prospection par e-mails de masse sans consentement préalable reste interdite (art. 3 al. 1 let. o), même si les messages sont rédigés par une IA.

Responsabilité civile

Le Code des obligations s’applique aux contrats et aux dommages causés avec l’aide de l’IA, comme ailleurs. La loi sur la responsabilité du fait des produits peut s’appliquer lorsqu’un produit défectueux intégrant de l’IA cause un dommage ; son application à un logiciel seul reste discutée.

Droit d’auteur

Le droit d’auteur protège les créations de l’esprit qui ont un caractère individuel. Un contenu produit par une IA sans apport créatif humain n’est donc en principe pas protégé, selon l’avis dominant. Côté utilisation des œuvres par les fournisseurs d’IA, le Parlement a adopté le 11 décembre 2025 la motion 24.4596, dans une version modifiée par le Conseil national. Le Conseil fédéral doit créer les conditions pour que les contenus journalistiques et les autres œuvres protégées le soient pleinement lorsqu’ils sont utilisés par des fournisseurs d’IA, sans affaiblir la place d’innovation suisse. La version adoptée ne fixe pas encore de modalités concrètes.

Droit pénal

Il n’existe pas d’infraction propre à l’IA, mais les infractions existantes s’appliquent. Par exemple, l’usurpation d’identité (art. 179decies CP, en vigueur depuis le 1er septembre 2023) peut viser un deepfake, et la violation du secret professionnel (art. 321 CP) peut s’appliquer lorsque des secrets de clients sont saisis dans un outil d’IA.

Droit du travail

L’employeur ne peut traiter des données sur un collaborateur que si elles portent sur ses aptitudes à remplir son emploi ou sont nécessaires à l’exécution du contrat (art. 328b CO). Et les systèmes destinés à surveiller le comportement des travailleurs à leur poste sont interdits (art. 26 OLT 3). Un outil d’IA qui évalue ou surveille le personnel doit respecter ces limites.

Règles sectorielles

Dans la finance, la communication FINMA sur la surveillance 08/2024 du 18 décembre 2024 décrit les attentes de l’autorité envers les établissements surveillés : identifier, évaluer, gérer et surveiller les risques liés à l’IA, qu’il s’agisse de risques de modèle, de données, de cybersécurité, de dépendance envers des tiers ou de risques juridiques. D’autres secteurs, comme la santé ou les transports, adaptent leurs règles au cas par cas.

L’AI Act européen et les entreprises suisses

Quand une PME suisse est concernée

Le règlement (UE) 2024/1689, ou AI Act, vise notamment (art. 2, par. 1) :

• les fournisseurs qui mettent un système d’IA sur le marché ou en service dans l’UE, où qu’ils soient établis ;
• les fournisseurs et les déployeurs établis hors de l’UE, lorsque les résultats produits par le système sont utilisés dans l’UE.

Une PME suisse peut donc être concernée si elle vend un produit avec de l’IA dans l’UE, propose un chatbot à des clients européens ou livre à des clients dans l’UE des résultats produits par l’IA. La plupart des PME sont des « déployeurs » : elles utilisent des outils d’IA dans un cadre professionnel. Leurs obligations portent surtout sur la maîtrise de l’IA (art. 4) et la transparence (art. 50), par exemple signaler un deepfake. Les obligations sur le haut risque ne s’appliquent qu’à certains usages, comme le recrutement.

Le calendrier de l’AI Act

L’omnibus numérique sur l’IA

Proposé par la Commission le 19 novembre 2025 et ayant fait l’objet d’un accord politique le 7 mai 2026, le règlement (UE) 2026/1744 du 8 juillet 2026 a été publié le 24 juillet et est en vigueur depuis le 27 juillet 2026. Pour une PME, trois points comptent :

• Haut risque repoussé : 2 décembre 2027 pour l’annexe III, 2 août 2028 pour l’annexe I, au lieu d’août 2026 et d’août 2027.
• Art. 4 assoupli : fournisseurs et déployeurs doivent prendre des mesures pour « favoriser le développement de la maîtrise de l’IA » de leur personnel. Le texte précise que cette obligation ne les contraint pas à garantir un niveau spécifique par personne.
• Contrôle dès le 2 août 2026 : selon la Commission, la maîtrise de l’IA reste une obligation, contrôlée par les autorités nationales. Aucun certificat n’est exigé : la Commission suggère de garder une trace interne des formations.

Ce qu’une PME suisse peut faire dès maintenant

Notre conseil, en six étapes, sans attendre la loi suisse :

1. Inventaire. Listez les outils d’IA utilisés, par qui, pour quelles tâches et avec quelles données. Notez ceux dont les résultats partent vers des clients dans l’UE.
2. Charte IA. Fixez par écrit les outils autorisés, les données interdites et la relecture humaine. Notre modèle de charte IA vous donne une base.
3. Formation. Expliquez les bases, les risques et vos règles, puis gardez une trace : date, contenu, participants. Notre atelier d’équipe d’une demi-journée couvre ces points.
4. Transparence. Mettez à jour votre déclaration de confidentialité, signalez vos chatbots et indiquez les contenus générés quand c’est nécessaire.
5. Contrats. Signez un contrat de sous-traitance avec chaque fournisseur, vérifiez les pays de traitement et désactivez l’entraînement sur vos données.
6. Exposition à l’UE. Si vos outils d’IA servent des clients dans l’UE, identifiez votre rôle (fournisseur ou déployeur) et les obligations qui en découlent.

Dans tous les cas, gardez une personne dans la boucle pour les décisions qui touchent des clients ou des collaborateurs.

Ce qu’il faut surveiller

• Printemps 2027 : ouverture de la consultation sur l’avant-projet suisse. Nous mettrons cette page à jour le jour même.
• Ensuite : message du Conseil fédéral au Parlement, puis ratification de la Convention. Le calendrier n’est pas encore fixé.
• Droit d’auteur : la mise en œuvre de la motion 24.4596.
• Codes de branche : les associations qui adopteront un code en matière d’IA, avec le guide de l’OFCOM.
• UE, 2 décembre 2026 : nouvelles interdictions et marquage des contenus générés.
• UE, 2 décembre 2027 : règles sur le haut risque, et les normes techniques qui les accompagnent.
• PFPDT et FINMA : nouvelles lignes directrices et pratique de surveillance.

Calendrier

Vous voulez faire le point sur vos usages actuels ? Commencez par un audit IA gratuit.