En mai, l'UE a reporté de jusqu'à 16 mois les délais pour l'IA à haut risque. Pour les PME suisses, cela ressemble à un répit. En réalité, c'est le dernier temps de préparation propre avant que les règles ne deviennent contraignantes.
Sous la pression de l’industrie européenne, le Conseil et le Parlement de l’UE se sont accordés ce mois-ci sur le « paquet Omnibus ». Comme le montre une analyse récente de Steiger Legal, les règles pour les systèmes d’IA à haut risque autonomes ne s’appliqueront désormais qu’à partir de décembre 2027. Les systèmes intégrés à des produits bénéficient même d’un délai jusqu’en août 2028. De plus, les petites et moyennes entreprises sont délibérément allégées en matière d’amendes et d’audits externes. Les privilèges valent désormais aussi pour les « small mid-caps » réalisant jusqu’à 200 millions d’euros de chiffre d’affaires. Cela ressemble à un soulagement. C’en est un, mais seulement si vous utilisez ce temps.
L’EU AI Act suit le principe du lieu de marché. Dès que votre PME distribue, propose ou déploie un système d’IA dans l’UE, vous tombez sous le règlement. La Suisse elle-même n’a pas encore de loi sur l’IA. Le Conseil fédéral veut livrer d’ici fin 2026 un projet mis en consultation qui s’aligne de fait sur l’AI Act. Qui attend une solution suisse particulière planifie contre la réalité.
Le répit n’arrive pas par hasard. La situation des PME suisses est de toute façon tendue. Le PMI PME actuel de Raiffeisen montre que l’activité commerciale croît encore, mais que l’élan faiblit nettement. Plus de deux tiers des PME interrogées signalent des prix d’achat en hausse, sans pouvoir les répercuter sur le marché.
En même temps, l’analyse de Moneycab de l’étude PME 2026 d’OBT montre qu’une large majorité des PME suisses a désormais explicitement l’IA à son agenda. Elles investissent donc déjà dans des applications dont les règles du jeu se définissent précisément maintenant. C’est justement pourquoi ce délai n’est pas une pause, mais une préparation.
Le Conseil fédéral s’est fait présenter ce mois-ci l’état de mise en œuvre de la stratégie nationale de cybersécurité. Comme l’écrit le DEFR dans son communiqué, il s’agit explicitement aussi de la gestion des risques liés à l’IA. La plateforme spécialisée SwissCybersecurity.net fait état d’environ 222 incidents signalés depuis l’introduction de l’obligation de notification pour les infrastructures critiques. Les PME sont concernées dans quatre cas sur dix. Conformité en matière d’IA et cybersécurité ne peuvent plus être proprement séparées. Qui introduit l’IA exploite par là même un traitement de données aux conséquences engageant la responsabilité.
Premièrement, un inventaire IA. Recensez par écrit quels systèmes d’IA sont en usage productif dans votre entreprise. Y compris le shadow IT et les outils que des équipes ont réservés de leur propre initiative. Sans inventaire, pas de profil de risque.
Deuxièmement, une gouvernance légère. Vous n’avez pas besoin d’un service de conformité propre. Vous avez besoin d’une responsabilité claire au niveau de la direction, d’une directive interne d’une page et d’une revue semestrielle. Pour la plupart des PME, cela suffit comme fondement.
Troisièmement, vérifier la chaîne d’approvisionnement. Vos fournisseurs de logiciels utilisent l’IA dans leurs produits. Clarifiez contractuellement qui joue quel rôle : fournisseur, utilisateur ou importateur. Sinon, vous endossez sans le savoir les obligations d’autrui.
L’UE vous offre 16 mois. Traitez ce délai comme un budget de projet. Qui met en ordre dès maintenant inventaire, gouvernance et chaînes d’approvisionnement ne sera pas surpris en décembre 2027, mais prêt.
Sources
Articles complémentaires