Société suisse, clients en Europe (voire clientèle internationale) : quelles obligations IA depuis le 2 août 2026 suivant l'art. 50 du nouvel AI Act qui est entré en vigueur ?

En gros (TL;DR) : le siège à Morges ou Bulle n'efface pas le droit du pays où vivent vos lecteurs, vos clients ou les utilisateurs de votre chatbot

Notes de cet article : pour cadres de PME, équipes admin et fondations suisses qui publient, vendent ou automatisent avec de l'IA vers l'étranger. Données datées d'août 2026. Les citations et les différents points ont été recoupés avec les textes officiels. Un cas concret (SaaS, RH, santé) se fait qualifier.

Dans votre entreprise ou fondation, vous envoyez peut-être une newsletter à des destinataires à Lyon et à Freiburg. Sur votre site, un petit assistant IA répond aux questions de tarifs ou de soumission de dossiers en ligne. Dans Claude, vous avez collé un export de contacts « pour gagner du temps ». Personne dans l'équipe n'a l'impression de « mettre un système d'IA sur le marché européen ». Pourtant, plusieurs lois regardent exactement ça : où sont les personnes, pas où est le registre du commerce.

La règle utile tient en une phrase. Le droit suit la personne visée, pas le siège de la société.

Deux couches se superposent. La protection des données (RGPD, nLPD, CCPA, PIPEDA, Loi 25 du Québec). Et les règles IA (règlement européen 2024/1689, plus quelques lois californiennes très ciblées). Une PME de quinze personnes n'a pas les mêmes devoirs qu'OpenAI. Elle n'est pas non plus hors-jeu.

Une société suisse sans bureau dans l'UE est-elle concernée par le droit européen ?

Oui, souvent, dès qu'elle offre des biens ou des services à des personnes dans l'Union, ou qu'elle observe leur comportement (cookies, publicités ciblées, analytics nominatifs). C'est l'article 3 du RGPD. Un site en français, des tarifs en euros, un formulaire « contact France », une pub Meta géolocalisée sur la Haute-Savoie : autant de signaux d'orientation. Le considérant 23 le dit clairement : le simple fait qu'un site soit accessible depuis l'Europe ne suffit pas. Il faut une orientation, même implicite.

Le règlement IA (UE 2024/1689) va plus loin encore, y compris souvent vers l'EEE. L'article 2 vise le fournisseur hors UE qui met un système sur le marché de l'Union, et le fournisseur ou le déployeur hors UE dont le résultat du système est utilisé dans l'Union. Un modèle qui tourne à Lausanne, dont le texte ou l'image est livré à un client à Lyon dans le cadre d'une prestation, peut entrer dans le champ. Un usage purement fortuit par un visiteur européen, sans offre dirigée vers l'UE, est plus discuté : faites qualifier si c'est votre seul lien.

Deux rôles, à ne pas mélanger :

Vous êtes plutôt…	Exemple de bureau	Conséquence typique
Déployeur (utilisateur professionnel)	ChatGPT / Claude pour rédiger, chatbot sur votre site, scoring interne	Transparence vis-à-vis des personnes, cadre d'usage, pas de pratiques interdites
Fournisseur	Vous vendez un outil IA (tri de CV, chatbot embarqué dans votre SaaS)	Documentation, marquage, parfois représentant dans l'UE, plus tard le régime « haut risque »

La plupart des PME romandes sont déployeurs. Les obligations « modèle de fondation » (GPAI) visent surtout ceux qui mettent le modèle sur le marché, pas ceux qui ont un abonnement Pro.

Le RGPD peut exiger un représentant dans l'UE (art. 27) si vous n'avez pas d'établissement là-bas et que vous ciblez des résidents européens. Il y a des exceptions, notamment si le traitement est occasionnel et n'inclut pas de données sensibles à grande échelle. L'AI Act impose un représentant surtout aux fournisseurs de systèmes à haut risque et de modèles GPAI hors UE (art. 22 et 54). Une agence qui utilise Claude n'est pas, de ce seul fait, un fournisseur GPAI.

Côté Suisse, la nLPD (en vigueur depuis le 1er septembre 2023) s'applique de toute façon à votre traitement de données personnelles. Le PFPDT surveille. Il n'existe pas encore de loi fédérale suisse « horizontale » sur l'IA ; le Conseil fédéral a décidé en février 2025 de ratifier la Convention du Conseil de l'Europe et de préparer un cadre. En attendant, pour l'export vers l'UE, c'est surtout l'AI Act qui pèse.

Que faut-il faire concrètement avec l'AI Act, en août 2026 ?

Les pratiques interdites (art. 5) s'appliquent depuis le 2 février 2025 : notation sociale des personnes, certaines biométries à distance en temps réel dans l'espace public, techniques manipulatoires clairement visées. Une PME de services ne vit presque jamais là. Si vous touchez à de la reconnaissance faciale ou à un score opaque sur des personnes, arrêtez-vous et faites qualifier le cas.

Les devoirs des modèles à usage général (documentation, politique d'auteur, représentant UE pour les fournisseurs hors Union) s'appliquent depuis le 2 août 2025. Encore une fois : ChatGPT et Claude, pas votre usage interne.

Depuis le 2 août 2026, l'article 50 (transparence) est en vigueur. En langage bureau :

Si une personne discute avec un système d'IA (chatbot de site, assistant vocal), elle doit le savoir, sauf si c'est évident.
Les deepfakes et certains contenus générés ou manipulés (image, son, vidéo, et dans certains cas le texte d'intérêt public) doivent être identifiables comme tels.
Les fournisseurs de systèmes génératifs doivent marquer les sorties de façon lisible par une machine. Pour un système déjà sur le marché EEE avant le 2 août 2026, le Digital Omnibus (règlement UE 2026/1744, en vigueur le 27 juillet 2026) accorde un délai jusqu'au 2 décembre 2026 pour ce marquage machine. Les devoirs du déployeur (dire que c'est une IA, signaler un deepfake) n'ont pas été reportés.

Petite surprise de l'été : le même Omnibus a reculé le gros des obligations « haut risque » (recrutement, crédit, éducation, etc., annexe III) au 2 décembre 2027, et celles des IA embarquées dans des produits réglementés (annexe I) au 2 août 2028. Beaucoup d'articles parlent encore d'« août 2026 = tout le haut risque ». C'est faux depuis fin juillet. La transparence, elle, n'attend pas.

Exemple : un chatbot « posez votre question » sur un site suisse, lu par des prospects français. Depuis le 2 août, une phrase claire du type « Vous discutez avec un assistant automatique, relu par un humain avant tout devis » n'est plus du polish. C'est le type de geste que l'article 50 vise pour l'interaction avec une personne.

Pour une image de campagne générée : le marquage machine (filigrane, métadonnées) pèse surtout sur le fournisseur du système génératif. Le déployeur, lui, a des devoirs plus nets sur les deepfakes et quand on fait croire qu'un humain est à l'autre bout. Le dire quand même sur un visuel 100 % synthétique reste une bonne pratique, y compris hors obligation stricte.

Sanctions de l'AI Act (depuis août 2025, pour les règles déjà applicables) : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les interdictions ; jusqu'à 15 millions ou 3 % pour une grande partie des autres manquements. Les montants font peur. Pour une PME, le risque immédiat est plutôt un client institutionnel qui exige une clause, ou un formulaire de marché public français qui pose la question.

Un petit tour d'horizon international | Californie, Canada, Québec : qui s'applique vraiment à une petite société suisse ?

Californie, vie privée. Le CCPA (amendé par le CPRA) vise une entreprise à but lucratif qui « fait affaire » en Californie, collecte des données de résidents californiens, et franchit au moins un seuil. Depuis le 1er janvier 2025, le seuil de chiffre d'affaires annuel brut (mondial, pas seulement californien) est de 26 625 000 dollars US, selon le barème CPI de la CPPA. L'alternative : acheter, vendre ou partager les données de 100 000 consommateurs ou foyers californiens par an ; ou tirer 50 % du CA de cette vente / ce partage. Pas besoin de bureau à Los Angeles. Une TPE romande sous ces seuils n'est souvent pas un « business » CCPA. Une fondation ou association sans but lucratif sort en principe de ce régime, sauf montage mixte avec une entité commerciale. Au-dessus des seuils, droits d'accès, de suppression, d'opposition à la vente / au partage, notice, et contrats avec les prestataires.

Californie, IA. Le California AI Transparency Act (SB 942, opératoire au 2 août 2026) s'adresse aux fournisseurs de systèmes génératifs publiquement accessibles en Californie avec plus d'un million de visiteurs ou d'utilisateurs mensuels : outil de détection gratuit, provenance latente sur image / vidéo / audio, option de mention visible. Une PME qui utilise Midjourney ou ChatGPT pour une cover n'est pas ce fournisseur. Si vous construisez un générateur public qui dépasse le million d'usagers californiens, là oui, lisez le texte avec un conseil US.

Canada fédéral. Il n'y a pas de loi IA fédérale. Le projet AIDA (projet de loi C-27) est mort avec la prorogation du Parlement en janvier 2025. En 2026, le gouvernement a plutôt avancé une réforme de la vie privée (projet C-36), pas un « AI Act canadien ». Reste la PIPEDA : consentement, finalité, mesures de sécurité, pour l'activité commerciale qui touche des renseignements personnels.

Québec. La Loi 25 est le texte canadien le plus exigeant sur l'automatisation. Elle peut viser une organisation hors Québec qui exploite des renseignements de personnes au Québec. Points concrets : évaluer les facteurs relatifs à la vie privée avant certains projets techno ; informer quand une décision est prise exclusivement de façon automatisée ; permettre à la personne de présenter ses observations à un humain. Amendes pouvant aller jusqu'à 25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial. Si vous recrutez, accordez un crédit, ou refusez un dossier via un score IA pour des personnes au Québec, ce n'est plus « on verra plus tard ».

Royaume-Uni. Le UK GDPR reprend la logique du RGPD si vous ciblez des personnes au Royaume-Uni. Post-Brexit, ce n'est plus « l'UE », c'est un régime parallèle.

Ailleurs. Le Brésil (LGPD) a aussi un champ extra-territorial. La liste s'allonge. Pour une PME, le geste utile : savoir dans quels pays vous avez vraiment des personnes, puis traiter d'abord UE + Suisse, et seulement ensuite le Québec et la Californie si le CA ou le trafic le justifie.

Par où commencer sans ou avant le cabinet d'avocat ?

Cinq gestes que je vois tenir dans une après-midi, avant le rendez-vous avocat.

Cartographier les personnes. Dans quels pays sont vos clients, inscrits newsletter, utilisateurs du site, candidats, bénéficiaires ? Un tableur suffit. Sans ça, vous discutez dans le vide.
Nommer l'usage IA. Chatbot public ? Oui / non. Images ou voix générées diffusées ? Oui / non. Décision automatisée qui affecte quelqu'un (embauche, tarif, éligibilité) ? Oui / non. Outil interne type Claude sur des fichiers déjà « propres » ? Autre catégorie.
Dire l'IA là où un humain croit parler à un humain. Une ligne sur le chatbot, et, si vous publiez un visuel synthétique, une mention. La transparence en clôture d'article sur ce blog suit la même logique. L'article 50 porte surtout sur ce que la personne voit.
Cesser de coller des données nominatives dans un chat grand public. La nLPD et le RGPD s'en moquent que « ce soit juste pour un draft ». Vous restez responsable du traitement. Le sous-traitant (OpenAI, Anthropic, Microsoft) n'efface pas votre rôle. Voir aussi Peut-on utiliser Claude au travail.
Relire la page confidentialité : pays visés, outils d'analytics, newsletter, éventuel représentant UE, comment exercer les droits. Chez nous, c'est romandee.com/confidentialite. La vôtre doit raconter votre usage, pas un modèle trouvé en ligne.

Ensuite seulement : avocat ou DPO externe, notamment si vous vendez un produit IA, si vous triez des données liées à des personnes (RH, crédit, admissions), si vous passez les seuils californiens, ou si un appel d'offres UE vous le demande noir sur blanc.

Le Conseil fédéral prépare encore le volet suisse. Je ne sais pas à quoi ressemblera le texte 2027. En revanche, le 2 août 2026 est déjà passé : un chatbot silencieux sur un site lu à Lyon, ça se corrige ce trimestre, pas « quand Berne aura légiféré ».

FAQ

Une société suisse doit-elle respecter le RGPD si elle n'a pas de filiale dans l'UE ?
Oui, si elle offre des biens ou services à des personnes dans l'Union, ou si elle suit leur comportement (art. 3 du RGPD). Un site seulement accessible depuis l'Europe, sans orientation, ne suffit en principe pas (considérant 23). Le siège suisse n'est pas une exemption. La nLPD s'applique en plus, pour les traitements qui déploient des effets en Suisse.

L'AI Act européen s'applique-t-il à un chatbot hébergé en Suisse ?
Il peut s'appliquer si le système est mis sur le marché de l'Union ou si son résultat est utilisé dans l'Union (art. 2). Un chatbot public lu par des prospects européens entre dans cette logique. Depuis le 2 août 2026, l'article 50 demande surtout de la transparence (la personne sait qu'elle parle à une IA).

Faut-il un représentant dans l'Union ?
Parfois, au titre du RGPD (art. 27), si vous ciblez l'UE sans établissement. Pour l'AI Act, l'obligation de représentant vise surtout les fournisseurs de systèmes à haut risque et de modèles GPAI établis hors UE, pas l'usage courant de ChatGPT ou Claude dans une PME.

Le California AI Transparency Act (SB 942) concerne-t-il une PME romande ?
Rarement. La loi vise les fournisseurs de systèmes génératifs publics avec plus d'un million d'utilisateurs mensuels accessibles en Californie. Le CCPA, lui, dépend de seuils de chiffre d'affaires ou de volume de données californiennes, pas du seul fait d'avoir un site visité depuis Los Angeles.

Le Canada a-t-il un équivalent de l'AI Act ?
Non, pas au fédéral en 2026 : AIDA n'est pas devenu loi. La PIPEDA encadre les renseignements personnels en activité commerciale. Au Québec, la Loi 25 ajoute des règles précises sur les décisions exclusivement automatisées et les évaluations d'impact.

Que change le Digital Omnibus de juillet 2026 ?
Le règlement UE 2026/1744 recule le cœur des obligations « haut risque » (annexe III) au 2 décembre 2027. Il ne recule pas, en général, l'article 50 (transparence), en vigueur depuis le 2 août 2026. Un délai jusqu'au 2 décembre 2026 existe pour le marquage machine de certains systèmes génératifs déjà sur le marché.

Bruno Constans @ Romandee.com (et ses IAs)

Sources principales
Règlement IA UE 2024/1689 · Digital Omnibus UE 2026/1744 · RGPD · nLPD / PFPDT · CCPA / CPPA · SB 942 · PIPEDA · CAI Québec, Loi 25

Si vous voulez poser le cadre chez vous (inventaire d'usages, mentions chatbot, page confidentialité, clause client UE), passez par le formulaire de contact. On part de vos vrais canaux (site, newsletter, outils), pas d'un slide « conformité IA ».

Disclaimer : Romandee n'est pas un cabinet d'avocats. Ce texte n'est pas un avis juridique et n'engage aucune responsabilité professionnelle d'avocat. Pour une situation concrète, consultez un avocat inscrit ou un DPO.

Transparence : ce texte est le fruit d'une co-création avec l'IA. Les idées, le cadrage éditorial et la validation finale sont humains.

Société suisse, clients en Europe : quelles obligations IA ?