Visiter le site →
← Retour au blog

Gouvernance de l'IA en Suisse : cadre légal et marche à suivre

4 novembre 2026
Gouvernance de l'IA en Suisse : cadre légal et marche à suivre

La Suisse n'a pas de loi générale sur l'IA, mais cela ne signifie pas que l'IA y soit un espace sans règles. Depuis le 1er septembre 2023, la nouvelle loi sur la protection des données (nLPD) s'applique à tout traitement de données personnelles par un outil d'IA, et les entreprises en portent la responsabilité. Gouverner l'IA, c'est donc décider qui peut utiliser quels outils, avec quelles données, sous quel contrôle et avec quelle traçabilité. Cet article fait le point sur le cadre suisse actuel, sur ce qui s'annonce, et sur les mesures concrètes qu'une PME peut mettre en place dès maintenant.

Nectos
Gardez vos données en Suisse
Nectos propose un espace de travail IA hébergé sur des serveurs suisses, avec des modèles locaux et une conformité à la nLPD.
Découvrir Nectos

En bref

  • Il n'existe pas encore de législation générale sur l'IA en Suisse, mais la nLPD, en vigueur depuis le 1er septembre 2023, s'applique déjà pleinement aux traitements de données par IA.
  • Le Conseil fédéral a chargé l'administration de préparer, d'ici fin 2026, un projet de mise en œuvre de la Convention sur l'IA, avec une préférence pour l'adaptation des lois sectorielles.
  • Une entreprise doit définir des responsabilités claires, une charte d'usage, une surveillance humaine et vérifier où vont les données saisies dans les outils.
  • Le règlement européen sur l'IA peut concerner une entreprise suisse qui met des systèmes d'IA sur le marché de l'UE ou en exploite les résultats.
  • Choisir une alternative à ChatGPT hébergée en Suisse réduit les transferts transfrontaliers et simplifie la documentation de conformité.

Table des matières

Ce que la gouvernance de l'IA signifie en Suisse

La gouvernance de l'IA désigne l'ensemble des règles, des rôles et des contrôles qui encadrent l'usage de l'intelligence artificielle. Elle a deux niveaux.

Le premier est public : l'État fixe le cadre juridique, les autorités de surveillance interprètent les lois existantes, et la Confédération définit une stratégie. Le second est interne : chaque organisation décide comment ses collaborateurs utilisent l'IA au quotidien.

Pour un particulier, la gouvernance se traduit surtout par des droits. La loi sur la protection des données donne aux utilisateurs le droit de savoir s'ils interagissent avec une machine, et les exploitants doivent être transparents sur la finalité, le fonctionnement et les sources de données, comme le rappelle le Préposé fédéral à la protection des données et à la transparence (PFPDT) dans ses recommandations sur l'usage quotidien de l'IA.

Pour une entreprise, elle se traduit par des obligations : documenter, limiter, contrôler, former. Et par une question que tout dirigeant devrait se poser : quelles données de mes clients, patients ou mandants quittent aujourd'hui mon périmètre lorsqu'un collaborateur colle un texte dans un assistant IA grand public ?

Ce que la gouvernance de l'IA signifie en Suisse

Aucune loi générale à ce jour

La Chancellerie fédérale le constate sur sa page consacrée à l'intelligence artificielle : il n'existe pas encore de législation générale spécifique à l'IA en Suisse. Le Conseil fédéral a choisi une voie différente de celle de l'Union européenne. Selon son communiqué sur la ratification de la Convention, il cherche un équilibre entre le renforcement de la place économique et le maintien d'une protection élevée des droits fondamentaux, en privilégiant l'adaptation des lois sectorielles plutôt qu'une régulation générale massive.

Le calendrier fédéral

Le 12 février 2025, le Conseil fédéral a chargé les départements concernés d'élaborer, d'ici fin 2026, un projet mettant en œuvre la Convention sur l'IA, d'après la Chancellerie fédérale. L'office fédéral de la communication (OFCOM) a par ailleurs publié un état des lieux sur la réglementation de l'IA. Il y évoque notamment l'usage possible de bacs à sable réglementaires pour soutenir l'innovation tout en maîtrisant les risques. Le même rapport relève qu'une mise en œuvre calquée sur le règlement européen faciliterait l'accès au marché de l'UE, mais entraînerait une forte densité réglementaire en Suisse.

Concrètement, vous ne devez pas attendre ce futur cadre pour agir. Les textes à venir s'ajouteront à des obligations qui existent déjà.

La nLPD, premier socle de conformité

Le PFPDT a été clair dès 2023 : la loi sur la protection des données est directement applicable à l'IA. Cela signifie que tout outil d'IA qui traite des données personnelles place l'entreprise utilisatrice dans le champ de la loi.

Ce que la nLPD impose lorsqu'un outil d'IA traite des données

La LPD s'applique dès que l'IA traite des données personnelles. Ses principes, détaillés par le PFPDT, comprennent la transparence, la proportionnalité, la finalité, la bonne foi et l'exactitude des données. Voici ce que cela change dans une organisation.

  1. Finalité : les données saisies dans un outil d'IA ne peuvent servir qu'à l'usage pour lequel elles ont été collectées. Résumer un dossier client dans un outil externe pour un autre but pose question.
  2. Proportionnalité : n'envoyez à l'outil que ce qui est nécessaire. L'anonymisation ou la pseudonymisation des prompts devient un réflexe de gouvernance.
  3. Transparence : les personnes concernées doivent pouvoir comprendre qu'une IA intervient et sur quelles données elle s'appuie.
  4. Exactitude : une sortie d'IA n'est pas un fait. Elle doit être vérifiée avant d'être utilisée dans une décision ou un document.
  5. Privacy by Design et analyse d'impact : ces exigences sont obligatoires pour les traitements à haut risque, aux articles 7 et 22 LPD, selon les lignes directrices du SBFI et le Centre national pour la cybersécurité (BACS).

Les sanctions ne sont pas théoriques. Le BACS rappelle que la LPD impose aux responsables de traitement le respect des principes de finalité, de proportionnalité et de transparence, et que toute violation peut entraîner des sanctions pénales pour les personnes responsables (BACS, 2026). En clair, la responsabilité est personnelle, pas seulement celle de la société.

Pour les métiers soumis au secret professionnel (avocats, fiduciaires, médecins, notaires), s'ajoute une exigence supplémentaire : la confidentialité des informations des mandants. Envoyer ces informations vers un service dont les serveurs et le droit applicable sont étrangers demande une analyse approfondie, voire un refus pur et simple.

Qui est responsable dans l'entreprise ?

Le principe est simple : la responsabilité ne se délègue pas à une machine. Les lignes directrices fédérales précisent que les applications d'IA susceptibles de toucher aux droits fondamentaux doivent faire l'objet d'une observation constante et de mesures de protection et de contrôle adaptées (SBFI).

Un guide pratique de gouvernance de l'IA publié par une étude d'avocats suisse recommande de définir des responsabilités claires pour le développement, la surveillance et l'usage de l'IA, d'instaurer une charte d'utilisation interdisant l'usage non autorisé de données sensibles et d'assurer une surveillance humaine effective pour chaque décision importante.

Dans une PME, on peut répartir les rôles ainsi :

RôleMission
DirectionValide la politique d'usage de l'IA et en assume la responsabilité
Responsable protection des données ou conformitéTient le registre des traitements, mène les analyses d'impact
Responsable informatiqueChoisit et configure les outils, gère les accès et les journaux
Chefs de serviceAppliquent la charte, identifient les cas d'usage sensibles
CollaborateursRespectent la charte, vérifient les résultats, signalent les incidents

Dans une très petite structure, une même personne cumule souvent plusieurs rôles. L'essentiel est que chacun soit nommé et que la décision finale reste humaine.

Six mesures pratiques pour une PME suisse

Les lignes directrices fédérales évoquent, pour les applications sensibles, une analyse d'impact, une observation constante et des mesures de protection et de contrôle adaptées (SBFI). Voici comment les traduire en actions.

1. Inventorier les usages réels

Avant d'écrire une politique, observez ce qui se passe. Quels outils d'IA vos équipes utilisent-elles déjà, avec quel compte, pour quelles tâches ? L'usage non déclaré d'assistants grand public est le premier risque dans la plupart des organisations.

2. Classer les données

Distinguez trois niveaux : données publiques, données internes, données personnelles ou soumises au secret professionnel. Chaque niveau reçoit une règle : autorisé, autorisé après anonymisation, interdit hors d'un environnement maîtrisé.

3. Rédiger une charte d'utilisation

Une à deux pages suffisent. Elle indique les outils autorisés, les données interdites, l'obligation de relire chaque résultat et la procédure en cas d'incident. Elle doit être signée ou acceptée par chaque collaborateur.

4. Évaluer les risques avant de déployer

Pour tout traitement à haut risque (santé, évaluation de personnes, décisions ayant des effets juridiques), menez l'analyse d'impact prévue par la LPD avant la mise en service, pas après.

5. Contrôler et tracer

Sans journaux d'audit, impossible de prouver ce qui a été fait. Exigez de l'outil des logs complets, une gestion des rôles et la possibilité d'exporter ces journaux en cas de contrôle.

6. Former

Une charte non expliquée n'est pas appliquée. Organisez une session courte, avec des exemples tirés de votre métier : ce qu'on peut coller dans un prompt, ce qu'on ne peut pas, comment relire une sortie.

Vérifier la localisation, la conservation et le partage des données

C'est le point où la gouvernance devient concrète. Selon le BACS, les entreprises doivent vérifier si les données saisies sont utilisées pour l'entraînement des modèles, privilégier des solutions d'entreprise qui garantissent contractuellement qu'elles ne le seront pas, et prévoir des mesures techniques contre les fuites de données.

Une grille de questions à poser à tout fournisseur :

  • Où les données sont-elles hébergées et traitées, et sous quel droit ?
  • Des sous-traitants étrangers y ont-ils accès ?
  • Les prompts et les documents servent-ils à entraîner des modèles ?
  • Combien de temps les données sont-elles conservées, et peut-on les supprimer ?
  • Les journaux d'audit sont-ils accessibles à l'administrateur ?
  • Le contrat est-il rédigé de manière à vous protéger, avec une clause explicite de non-entraînement ?

Sur ce dernier point, la lecture de ressources sur les garanties contractuelles des solutions d'IA d'entreprise aide à repérer les clauses à exiger avant de signer.

Le sujet est aussi celui des transferts transfrontaliers. Lorsqu'un service est exploité par une société soumise à une législation étrangère, la question de l'accès par des autorités tierces, par exemple au titre du CLOUD Act américain, doit être posée dans votre analyse de risques. Un hébergement et un traitement exclusivement en Suisse, sous droit suisse, écartent cette difficulté à la source. Nous détaillons ce point dans notre article sur la souveraineté suisse comme garantie légale.

Le règlement européen sur l'IA : une entreprise suisse est-elle concernée ?

Oui, dans certains cas. Selon le guide de gouvernance de l'IA d'une étude d'avocats suisse, le règlement européen concerne une entreprise suisse si elle commercialise des systèmes d'IA au sein de l'Union européenne, et également si elle exploite les résultats de tels systèmes sur le marché de l'UE.

Le volet transparence mérite attention : selon le portail KMU de la Confédération, les dispositions de l'EU AI Act en matière de transparence imposent depuis août 2026 de signaler les contenus générés par IA, comme les deepfakes. Une agence ou un service marketing suisse qui produit des contenus pour des clients européens devrait en tenir compte. À ce sujet, des analyses sur l'IA dans la publicité digitale illustrent bien pourquoi informer les personnes concernées par une IA devient un réflexe professionnel.

Si vous n'avez aucune activité tournée vers l'UE, ce règlement ne s'applique pas directement. Mais vos partenaires européens peuvent vous demander des garanties comparables dans leurs contrats.

Promo : un espace IA conçu pour le cadre suisse

Pour les équipes qui veulent utiliser l'IA sans exposer leurs données, Nectos propose une alternative à ChatGPT pensée pour la Suisse : chat IA privé, analyse de documents, base de connaissances privée, transcription de réunions, recherche web anonymisée, anonymisation automatique des prompts et journaux d'audit complets. L'infrastructure est hébergée exclusivement sur des serveurs suisses.

Nectos

Les abonnements se font par siège : Starter à 29.90 CHF par mois, Pro à 49.90 CHF par mois et Pro+ à 99.90 CHF par mois, avec un essai disponible. Retrouvez le détail sur la page des tarifs ou découvrez la présentation du produit.

Notre point de vue : la souveraineté comme base de la gouvernance

Nous constatons que la plupart des discussions sur la gouvernance de l'IA commencent par la charte et finissent par l'outil. Nous proposons l'ordre inverse : l'outil conditionne tout le reste.

Une politique d'usage, aussi bien rédigée soit-elle, ne protège pas un secret professionnel si les données voyagent vers des serveurs étrangers. C'est pourquoi nous avons conçu Nectos pour que les données restent et soient traitées exclusivement en Suisse, sous droit suisse, sur une infrastructure cloud suisse hébergée par Hidora, sans export ni sous-traitance à des fournisseurs étrangers.

Nous n'entraînons pas de modèles sur les données de nos clients. Notre plateforme est conçue pour la conformité à la nLPD, avec contrôle d'accès administrateur, gestion des rôles, anonymisation automatique des prompts et journaux d'audit exportables. Ce sont les outils concrets dont un responsable conformité a besoin pour démontrer sa diligence.

Pour une fiduciaire, une étude d'avocats, un cabinet médical ou un service RH, la bonne question n'est pas de savoir s'il faut utiliser l'IA, mais comment l'utiliser sans rien céder sur la confidentialité. Nous pensons qu'une alternative à ChatGPT souveraine répond précisément à cette question.

Nectos

Par où commencer cette semaine

Trois actions suffisent pour lancer la démarche, sans attendre le futur projet de loi fédéral :

  1. Demandez à vos équipes quels outils d'IA elles utilisent et pour quelles tâches.
  2. Désignez une personne responsable et fixez une règle simple sur les données interdites.
  3. Comparez vos outils actuels à la grille de questions ci-dessus : localisation, entraînement, conservation, journaux.

Le cadre fédéral évoluera, mais la logique restera la même : savoir où vont les données, qui décide, et pouvoir le prouver.

FAQ

La Suisse a-t-elle une loi sur l'IA ?

Pas de loi générale à ce jour. La Chancellerie fédérale indique que le Conseil fédéral a demandé, le 12 février 2025, un projet de mise en œuvre de la Convention sur l'IA d'ici fin 2026. En attendant, la nLPD et les lois sectorielles s'appliquent.

La nLPD s'applique-t-elle aux outils d'IA ?

Oui. Dès qu'un outil d'IA traite des données personnelles, la LPD s'applique, avec ses principes de transparence, de proportionnalité, de finalité, de bonne foi et d'exactitude. Le PFPDT l'a confirmé dès 2023, et la loi est en vigueur depuis le 1er septembre 2023.

Mon entreprise doit-elle respecter le règlement européen sur l'IA ?

Cela dépend de vos activités. Une entreprise suisse est concernée si elle commercialise des systèmes d'IA dans l'UE ou en exploite les résultats sur le marché européen. Sans lien avec l'UE, le règlement ne s'applique pas directement, mais vos clients européens peuvent exiger des garanties équivalentes.

Que mettre dans une charte d'usage de l'IA ?

Les outils autorisés, les données interdites (notamment les données sensibles et couvertes par le secret professionnel), l'obligation de relire chaque résultat, la surveillance humaine pour les décisions importantes et la procédure en cas d'incident. Une à deux pages claires valent mieux qu'un document que personne ne lit.

Sources