Consultation suisse sur l'IA : ce qui s'applique maintenant et ce qu'il faut vérifier

Le projet fédéral sur l'IA n'est pas encore publié, et la consultation est prévue au printemps 2027. Ce guide présente ce que les organisations suisses doivent déjà faire au titre de la LPD, ce que les cinq domaines annoncés signifient probablement en pratique et comment se préparer avant la publication du texte.

En bref

Le Conseil fédéral prévoit d'ouvrir une consultation sur des règles contraignantes en matière d'IA au printemps 2027. Elle portera sur cinq domaines : la transparence, la protection des données, la non-discrimination, la surveillance et l'évaluation des risques. Aucune loi fédérale sur l'IA n'est en vigueur aujourd'hui, mais la LPD révisée s'applique déjà aux traitements fondés sur l'IA, comme le PFPDT l'a confirmé en mai 2025. Plusieurs cantons encadrent déjà les décisions automatisées prises par leurs organes publics, si bien que les pouvoirs publics et leurs fournisseurs font face à des échéances plus proches que la plupart des entreprises privées.

Les organisations devraient établir un inventaire de leurs systèmes d'IA, vérifier les décisions automatisées au regard de l'article 21 LPD et réaliser des analyses d'impact lorsque l'article 22 s'applique. Ces documents seront nécessaires quel que soit le texte final. Tant que le projet n'est pas publié, chaque exigence suisse décrite ici reste une interprétation à vérifier sur le texte.

Quand la Suisse ouvrira-t-elle la consultation sur ses règles en matière d'IA ?

Le Conseil fédéral prévoit d'ouvrir la consultation au printemps 2027. La Chancellerie fédérale s'attend à ce que le projet atteigne le Conseil fédéral d'ici la fin de 2026, ce qui constitue l'étape interne avant l'ouverture de la consultation.

La consultation est l'étape où les cantons, les partis, les entreprises et la société civile peuvent commenter un projet avant que le Parlement ne le débatte. Chacun peut y participer, et la procédure dure au moins trois mois, avec une possibilité de prolongation.

Que devrait couvrir le projet fédéral ?

En février 2025, le gouvernement avait cité quatre domaines. En octobre 2026, il en a retenu cinq, en ajoutant l'évaluation des risques. Le texte n'étant pas publié, le tableau ci-dessous décrit ce que chaque domaine devrait traiter, et non ce que les règles exigeront.

À qui s'appliqueront les règles ?

Les organes publics sont le cas le plus clair. Les autorités fédérales et cantonales devront respecter les nouvelles obligations, et l'article 21 alinéa 4 LPD exige déjà que les organes fédéraux signalent les décisions automatisées.

Les fournisseurs subiront probablement les règles par le biais des contrats. Les acheteurs publics sont soumis à la loi fédérale sur les marchés publics (LMP) et à l'accord intercantonal sur les marchés publics (AIMP 2019), qui fixent les critères d'aptitude à l'article 27, les critères d'adjudication à l'article 29 et les spécifications techniques à l'article 30. L'article 12 LMP concerne les conditions de travail et non les critères de sélection.

Les acheteurs publics n'ont guère besoin d'une nouvelle loi sur l'IA pour poser les bonnes questions. Dans un appel d'offres, ils peuvent déjà exiger une description de l'usage prévu du modèle, de ses sources de données d'entraînement et de saisie, de ses limites connues, de l'approche de test des biais, de la journalisation, du signalement des incidents et de la répartition des responsabilités entre le fournisseur et l'acheteur. Les fournisseurs capables de produire ces preuves tôt rendront les discussions commerciales bien plus simples que ceux qui traitent l'assurance IA comme un problème à régler après la signature du contrat.

Jean Munyarugerero, formateur chez Abilene Academy

Les personnes privées constituent la question ouverte. Dans sa réponse écrite du 20 mai 2026 à l'interpellation 26.3414 (Molina), le Conseil fédéral a indiqué que le projet devrait en principe aussi imposer des obligations aux personnes privées lorsque les droits fondamentaux déploient un effet horizontal, direct ou indirect. Dans une seconde réponse, il précise que, pour les personnes privées, il s'appuie sur une combinaison de mesures contraignantes et non contraignantes. Il s'agit de la position exprimée par le Conseil fédéral, et non d'une règle rédigée.

Qu'est-ce qui s'applique déjà au niveau fédéral ?

La LPD s'applique à l'IA depuis le 1er septembre 2023, et le PFPDT a confirmé le 8 mai 2025 qu'elle s'applique directement aux traitements fondés sur l'IA.

L'article 21 LPD vise les décisions prises exclusivement par un traitement automatisé, qui produisent des effets juridiques pour une personne ou l'affectent de manière significative. La personne doit être informée, peut exprimer son point de vue et peut demander qu'un humain réexamine la décision. Des exceptions limitées existent, par exemple lorsque la décision est directement liée à un contrat demandé par la personne ou lorsqu'elle a donné son consentement explicite.

L'article 22 LPD impose une analyse d'impact relative à la protection des données (AIPD) lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les personnes concernées. La plupart des systèmes d'IA qui évaluent, classent ou profilent des personnes atteindront probablement ce seuil, et le domaine annoncé de l'évaluation des risques devrait s'appuyer sur cette obligation. Les organisations qui réalisent déjà des AIPD peuvent les étendre aux questions que le projet fédéral devrait poser.

L'article 60 LPD prévoit des amendes pouvant atteindre 250 000 francs. Elles visent les personnes privées, et non les entreprises en tant que telles, et seulement sur plainte et en cas de violation intentionnelle, par exemple lorsqu'une personne omet sciemment d'informer conformément à l'article 21 alinéa 1. L'article 61 couvre les obligations de sécurité des données, avec les mêmes conditions de plainte et d'intention.

La première question n'est pas de savoir si un système est techniquement impressionnant, mais s'il peut affecter l'accès d'une personne au crédit, à l'assurance, à l'emploi ou à un service public. Pour chaque système de ce type, une organisation devrait pouvoir identifier le responsable, la provenance des données et du modèle, le seuil de décision, la voie de contestation humaine et les preuves conservées lorsque le système se trompe. Si ces cinq réponses ne sont pas documentées, l'organisation ne maîtrise pas encore le système : elle se contente de l'utiliser.

Henri Haenni, président et CEO, Abilene Group

La FINMA Guidance 08/2024 s'applique aux établissements assujettis. Publiée le 18 décembre 2024, elle fixe les attentes en matière de gouvernance et de gestion des risques lorsque les établissements utilisent l'IA, notamment un inventaire centralisé, une classification des risques, des tests de qualité des données et un examen indépendant.

Où en sont les cantons ?

Le droit cantonal de la protection des données est aujourd'hui ce qui se rapproche le plus de règles sur l'IA pour les organes publics, et il varie beaucoup d'un canton à l'autre. La Conférence des gouvernements cantonaux (CdC) indiquait en décembre 2025 que quatre cantons disposaient de dispositions contraignantes applicables à l'IA en vigueur : le Jura et Neuchâtel par le biais de leur accord intercantonal, Saint-Gall par une disposition relative aux essais pilotes, et Soleure par son droit fiscal. La nouvelle loi bernoise sur la protection des données, en vigueur depuis le 1er septembre 2026, en ajoute un cinquième.

Vaud et Genève

Vaud et Genève sont des marchés d'origine pour de nombreuses organisations, et les deux se dirigent vers des obligations liées aux décisions automatisées. Le projet vaudois obligerait les organes publics à informer les personnes des décisions individuelles automatisées, et ajouterait le profilage, l'analyse d'impact et un registre des activités de traitement. Des commentateurs relèvent que le projet ne crée pas de droit général à une explication des facteurs déterminants, et que les décisions assistées par un algorithme mais non entièrement automatisées échapperaient au devoir d'information. Le Conseil d'État vaudois décrivait en 2023 ses systèmes actuels comme déterministes et fondés sur des règles, avec une part minime de systèmes algorithmiques, sans publier de total. Il est judicieux de documenter dès maintenant la logique des décisions, y compris pour les systèmes fondés sur des règles.

La LIPAD révisée genevoise impose à l'institution d'informer les personnes d'une décision fondée exclusivement sur un traitement automatisé et, sur demande, d'en communiquer la logique et les critères. La personne peut déposer une réclamation dans les 30 jours suivant la notification, et la décision sur cette réclamation ne peut elle-même être automatisée. C'est le Conseil d'État qui fixe l'entrée en vigueur, et cette date n'a pas été annoncée dans les sources consultées pour ce guide.

Zurich et Berne

La révision de l'IDG zurichoise va le plus loin parmi les cantons ayant adopté des règles. Le Parlement cantonal a adopté la révision totale le 23 mars 2026 par 153 voix contre 24, sous réserve d'un référendum facultatif. Elle impose aux organes publics de tenir un registre accessible au public des systèmes de décision algorithmique susceptibles d'affecter les droits fondamentaux, et introduit une analyse d'impact sur les droits fondamentaux. Les obligations ne concernent que les organes publics, si bien qu'une entreprise privée n'est pas directement concernée.

La loi bernoise sur la protection des données est en vigueur depuis le 1er septembre 2026. Les autorités doivent signaler les décisions fondées exclusivement sur un traitement automatisé, et les personnes peuvent demander un réexamen humain. Les directives bernoises sur l'IA pour l'administration cantonale précisent également que les responsabilités entre le fournisseur et l'acheteur doivent figurer dans le contrat, ce qui constitue un point de départ utile pour tout appel d'offres public.

Police et biométrie

La police est le domaine le plus disputé. Le Parlement zurichois a rejeté les interdictions générales de la reconnaissance faciale biométrique et, fin 2025, il a permis au gouvernement d'autoriser des essais pilotes biométriques dans le cadre de la loi révisée. À Bâle-Ville, la commission parlementaire a abandonné, dans son rapport de 2022 sur la révision de l'IDG, une disposition proposée sur les données policières. Le profilage requiert donc une base légale formelle spécifique, et il n'en existe aucune à ce jour.

Qu'est-ce qui s'applique déjà dans les secteurs clés ?

Banque et assurance

La FINMA Guidance 08/2024 s'applique à tous les établissements assujettis, y compris les assureurs. Elle couvre la gouvernance, l'inventaire et la classification des risques, la qualité des données, les tests et le suivi, la documentation, l'explicabilité et l'examen indépendant. La FINMA indique que la Suisse ne dispose d'aucune législation propre à l'IA, de sorte que ses règles existantes, neutres sur le plan technologique, s'appliquent. Son enquête d'avril 2025 a révélé qu'environ la moitié des établissements interrogés utilisent déjà l'IA au quotidien. Pour les assureurs, l'évaluation des risques en assurance vie et santé repose sur des données personnelles sensibles et nécessite une base légale solide ainsi qu'une AIPD. Les modèles de tarification et de sinistres en assurance dommages relèvent des attentes de la FINMA en matière de risque de modèle, et de l'article 21 LPD lorsqu'un sinistre est décidé automatiquement.

Recrutement et RH

Un tri automatisé de candidatures qui aboutit à un refus sans évaluation humaine déclenche l'article 21 LPD, de sorte que le candidat doit être informé et peut demander un réexamen humain. Par ailleurs, l'article 26 de l'ordonnance 3 relative à la loi sur le travail (OLT 3) encadre les systèmes de surveillance conçus pour observer le comportement des salariés. L'IA dans l'emploi est aussi un usage à haut risque au titre de l'AI Act, avec des obligations applicables à partir du 2 décembre 2027.

Santé

Qu'un système d'IA soit un dispositif médical dépend de sa finalité médicale, si bien que chaque produit doit être classé selon les règles suisses sur les dispositifs, qui suivent de près le cadre européen. L'enregistrement des dispositifs dans la base de données swissdamed est obligatoire depuis le 1er juillet 2026. Une période transitoire jusqu'au 31 décembre 2026 s'applique à certains dispositifs, mais il n'existe aucune transition pour les déclarations d'incidents graves, les mesures correctives de sécurité et les rapports de tendance. Les données de santé sont par ailleurs sensibles au sens de la LPD.

Commerce de détail et service client

Le PFPDT indique que les utilisateurs doivent savoir s'ils parlent à un humain ou à une machine, et si leurs données servent à entraîner une IA. Les entreprises qui servent des clients dans l'UE sont également soumises aux obligations de transparence de l'article 50 de l'AI Act, applicables depuis le 2 août 2026.

Comment le droit suisse se compare-t-il à l'AI Act ?

Le règlement (UE) 2026/1744 est daté du 8 juillet 2026, a été publié au Journal officiel le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Pour savoir si ce texte vise une entreprise suisse, lisez notre réponse dédiée. Pour le calendrier complet des obligations à haut risque, lisez le guide de conformité à l'AI Act.

La norme ISO/IEC 42001 est une norme de système de management de l'IA. Elle ne confère aucune présomption légale de conformité en Suisse ou dans l'UE. Pour la mise en place du système de management, consultez le guide de mise en œuvre de l'ISO 42001.

Exemple A : un assureur zurichois avec des clients dans l'UE

Un assureur zurichois utilise l'IA pour trier les sinistres automobiles et habitation et pour signaler les fraudes possibles. Il assure aussi certains clients domiciliés dans l'UE. Les obligations ci-dessous s'appliquent dès aujourd'hui.

• Si un signalement de fraude peut seul refuser ou retarder un sinistre de manière significative, l'article 21 LPD s'applique. L'assureur doit informer le client, lui permettre de faire valoir son point de vue et prévoir un réexamen humain.
• Le modèle de détection de fraude nécessitera très probablement une AIPD au titre de l'article 22 LPD, car il profile des personnes.
• En tant qu'établissement assujetti, l'assureur devrait s'aligner sur la FINMA Guidance 08/2024.
• Pour ses clients dans l'UE, l'assureur doit d'abord déterminer s'il est fournisseur ou déployeur, car la réponse change les obligations applicables. Voir fournisseur ou déployeur au sens de l'AI Act. L'évaluation des risques et la tarification en assurance vie et santé relèvent de l'annexe III, alors que de nombreux usages en assurance dommages n'y figurent pas.
• Si les clients interagissent avec un chatbot, les obligations de transparence de l'article 50 peuvent s'appliquer dans l'UE.

Des obligations pourraient suivre une fois le projet fédéral publié, notamment en matière de transparence, de tests de non-discrimination et de surveillance nommée. L'IDG zurichoise imposerait un registre public aux seuls organes publics, et n'atteint donc pas directement un assureur privé. L'assureur devrait néanmoins s'attendre à des questions sur le fait que ses signalements de fraude touchent de manière disproportionnée certains groupes. Pour l'analyse d'impact que le droit de l'UE impose à certains systèmes, voir l'analyse d'impact sur les droits fondamentaux au titre de l'AI Act.

Exemple B : un éditeur suisse d'IA au service des pouvoirs publics

Un éditeur suisse fournit un outil d'analyse de documents à un office fédéral et à une police cantonale. L'office fédéral est un organe fédéral et doit respecter la LPD, y compris l'obligation de signalement de l'article 21 alinéa 4. La police cantonale relève du droit cantonal de la protection des données, et l'éditeur doit vérifier les règles canton par canton. Si la police se trouve à Bâle-Ville, l'éditeur doit confirmer qu'une base légale formelle spécifique existe avant d'utiliser un outil de profilage ou fondé sur un algorithme.

Modèle de maturité : cinq niveaux

Quels outils conservent les registres que ces obligations exigeront ?

Un tableur peut contenir un premier inventaire, même si nous ne le recommandons pas pour un suivi complet. Il devient difficile à tenir dès qu'un registre doit gérer des responsables, des étapes d'approbation, des réexamens programmés et des preuves qu'un auditeur peut retracer. Une plateforme GRC conserve ces éléments au même endroit. Selon notre expérience et les retours des professionnels qui suivent nos formations, la meilleure plateforme GRC que nous recommandons pour ce type de travail est Acuna GRC

Acuna GRC est une plateforme native de l'IA. Son module AI Governance est un module complémentaire qu'Acuna GRC active pour chaque organisation. Il couvre un registre des systèmes d'IA, les analyses d'impact avec une étape d'approbation, et les registres de supervision humaine et de contestation. Son module Data Privacy regroupe les flux de travail d'AIPD et les registres de traitements, et la plateforme prend aussi en charge les évaluations de fournisseurs et les accusés de réception des politiques.

Acuna GRC ne rend pas une organisation conforme au droit suisse, cantonal ou européen. Elle conserve les preuves que ces obligations exigeront, et l'organisation doit toujours prendre et documenter ses décisions.

Quel que soit l'outil retenu, vérifiez ces points avant l'achat :

• Peut-il tenir un registre des systèmes d'IA avec un responsable, une finalité, un lien vers les données personnelles et une date de réexamen pour chaque entrée ?
• Peut-il bloquer l'approbation d'un système tant que son analyse d'impact n'est pas achevée ?
• Enregistre-t-il les interventions humaines et les décisions contestées avec une piste d'audit ?
• Peut-il relier chaque système d'IA à son AIPD et à ses preuves fournisseur ?
• Quels modules sont activés pour votre organisation, et lesquels sont des modules complémentaires ?

Un registre d'IA n'est utile que s'il recense les décisions qu'un système peut influencer, et pas seulement la licence logicielle. Pour chaque entrée, notez la décision métier, les catégories de données personnelles, les juridictions concernées, le fournisseur et la version du modèle, le déclencheur de réexamen humain, l'indicateur de suivi et la date de réexamen. Une obligation abstraite devient ainsi un contrôle vérifiable : lorsqu'un régulateur, un client ou un auditeur demande comment une décision a été prise, l'organisation peut répondre à partir de preuves plutôt que par reconstitution.

Alexis Hirschhorn, CEO, Acuna GRC

Liste de contrôle des décisions

Un conseil d'administration ne devrait pas demander si l'organisation utilise l'IA, mais quelles décisions assistées par l'IA pourraient nuire à des clients, des salariés ou des citoyens, qui en répond pour chacune, et quelles preuves montreraient que les contrôles fonctionnent. Un rapport trimestriel concis couvrant les systèmes à fort impact, les incidents ouverts, les revues humaines échouées ou retardées, les changements importants de modèles et les constats non résolus sur les biais ou la qualité des données donne aux administrateurs l'information utile, sans les noyer dans les détails techniques.

Géraldine Rayet, formatrice chez Abilene Academy

Que faire maintenant

1. Établissez un inventaire de l'IA, y compris les fonctions d'IA intégrées à d'autres logiciels.
2. Évaluez chaque système au regard de l'article 21 LPD et documentez la voie de réexamen humain.
3. Réalisez des AIPD lorsque l'article 22 s'applique, en utilisant une structure réutilisable pour l'évaluation des risques annoncée.
4. Demandez à vos fournisseurs d'IA d'où proviennent leurs modèles et leurs données, et comment ils soutiennent les droits de réexamen et le signalement des incidents.
5. Désignez, pour chaque système, une personne dotée du pouvoir de le corriger ou de l'arrêter.
6. Si vous travaillez avec un canton, vérifiez ses règles actuelles, y compris toute obligation de registre ou de signalement déjà en vigueur.
7. Vérifiez si l'AI Act atteint certains de vos résultats, et préparez-vous aux échéances de 2027 et 2028 pour les systèmes à haut risque. Lisez le guide de conformité à l'AI Act.
8. Suivez la consultation dès son ouverture. Chacun peut y participer, et les organisations peuvent soumettre une réponse écrite.

Les services d'Abilene

Abilene Academy propose deux formations ISO/IEC 42001 qui couvrent le système de management auquel beaucoup de ces obligations se rattachent. La formation ISO 42001 Lead Implementer se concentre sur la mise en place du système, et la formation ISO 42001 Lead Auditor sur la planification et la conduite des audits. La formation Lead AI Risk Manager couvre l'identification et le traitement des risques liés à l'IA, et la formation Certified EU AI Governance Professional porte sur la gouvernance tout au long du cycle de vie de l'IA, avec la conformité à l'AI Act en ligne de mire. Aucune formation ne prépare quiconque à une future loi suisse, et aucune ne garantit la conformité à celle-ci.

Pour une lecture complémentaire sur les normes, consultez nos articles sur ISO/IEC 27090:2026 pour la sécurité de l'IA et EN 18286:2026 et l'AI Act.

Limites de cet article

Ce guide repose sur des intentions annoncées, sur le droit en vigueur et sur les règles cantonales telles qu'elles étaient rapportées à la date de vérification. Il ne s'appuie pas sur un texte de projet fédéral, qui n'existe pas encore. Plusieurs détails cantonaux proviennent de comptes rendus secondaires ou de réponses gouvernementales antérieures à leurs projets de loi. Les règles évolueront après la consultation, pendant le débat parlementaire et au fil de l'entrée en vigueur des révisions cantonales.

Sources

• Communiqué du Conseil fédéral et de l'OFCOM du 28 octobre 2026 (primaire) : https://www.bakom.admin.ch/de/newnsb/s2TQiUUjrA5D
• Page de régulation de la Chancellerie fédérale (primaire) : https://www.bk.admin.ch/de/regulierung
• PFPDT, IA et protection des données (primaire) : https://www.edoeb.admin.ch/de/ki-und-datenschutz
• Loi fédérale sur la protection des données, RS 235.1 (primaire) : https://www.fedlex.admin.ch
• Loi fédérale sur les marchés publics (LMP), RS 172.056.1, et AIMP 2019 (primaire) : https://www.bpuk.ch
• Interpellation 26.3414 (Molina), réponse du Conseil fédéral du 20 mai 2026 (primaire) : https://www.parlament.ch/de/ratsbetrieb/suche-curia-vista/geschaeft?AffairId=20263414
• Rapport de la CdC sur la régulation de l'IA dans les cantons, 19 décembre 2025 (primaire) : https://kdk.ch/themen/aktuelle-geschaefte
• Loi bernoise sur la protection des données, BSG 152.04 (primaire) : https://www.belex.sites.be.ch
• Révision de la LIPAD genevoise, loi L 13347 (primaire) : https://ge.ch/grandconseil/data/odj/030201/L13347.pdf
• Projet de révision de la LPrD vaudoise, communiqué du Conseil d'État du 5 mars 2026 (primaire) : https://www.vd.ch/actualites/communiques-de-presse-de-letat-de-vaud/detail/communique/revision-des-dispositions-cantonales-sur-la-protection-des-donnees-personnelles
• Réponse du Conseil d'État vaudois 23_REP_170, 1er novembre 2023 (primaire) : https://sieldocs.vd.ch/ecm/app18/service/siel/getContent?ID=2204993
• FINMA Guidance 08/2024 et communiqué de presse du 24 avril 2025 (primaire) : https://www.finma.ch
• Règlement (UE) 2026/1744 (primaire) : https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=OJ:L_202601744
• Règlement (UE) 2024/1689, AI Act (primaire) : https://eur-lex.europa.eu/eli/reg/2024/1689/oj
• Notice de Swissmedic sur l'enregistrement dans swissdamed (primaire) : https://www.swissmedic.ch/swissmedic/en/home/news/mitteilungen/swissdamed-registrierungspflicht.html
• Convention-cadre du Conseil de l'Europe sur l'IA, STCE 225 (primaire) : https://www.coe.int
• ISO/IEC 42001 (norme) : https://www.iso.org/standard/81230.html
• Commentaire de Sylvain Métille sur la révision vaudoise (secondaire) : https://smetille.ch/2026/05/12/revision-lprd-vaud/
• Commentaire de publicsector.ch sur l'IDG zurichoise (secondaire) : https://publicsector.ch/en/idg-in-spe-das-langersehnte-revidierte-zuercher-datenschutzgesetz-ist-da/

Journal des mises à jour

• 3 novembre 2026 : première version complète pour relecture éditoriale, avec la couche cantonale et sectorielle, les vérifications de sources, les citations d'experts et les liens vers les formations et l'équipe.
• La prochaine mise à jour suivra la publication du texte fédéral.