Réglementation de l'IA : ce que votre conseil d'administration doit trancher avant 2027

État des textes au 13 septembre 2026.

En bref

• L'Europe a repoussé, pas renoncé. Les obligations de l'AI Act pour les systèmes d'IA à haut risque s'appliqueront le 2 décembre 2027 au lieu du 2 août 2026. Les interdictions, les règles sur les modèles d'IA à usage général et les obligations de transparence, elles, s'appliquent déjà.
• La Suisse n'aura pas d'AI Act, mais elle n'est pas hors champ. Une entreprise suisse dont les systèmes d'IA sont utilisés dans l'Union est concernée par le règlement européen. Et l'avant-projet suisse sur l'IA doit être mis en consultation d'ici la fin de 2026.
• Les grands blocs divergent. L'Europe encadre par le risque, les États-Unis se fragmentent, la Chine régule par couches et structure sa propre sphère de gouvernance mondiale. Un groupe international ne peut plus attendre une règle unique.
• Le sujet n'est pas juridique, il est décisionnel. Les quinze prochains mois servent à poser l'inventaire, les responsabilités et le référentiel. Pas à attendre.

Le report n'est pas un répit

Le 27 juillet 2026 est entré en vigueur le règlement (UE) 2026/1744, dit « Digital Omnibus » sur l'IA. Il modifie l'AI Act sur un point que beaucoup de directions attendaient : le calendrier.

Les systèmes d'IA à haut risque listés à l'annexe III du règlement, ceux utilisés par exemple pour le recrutement, l'évaluation de la solvabilité, l'accès à l'éducation ou à des services essentiels, devront être conformes au 2 décembre 2027, et non plus au 2 août 2026. Pour les systèmes intégrés dans des produits déjà réglementés, comme les dispositifs médicaux ou les machines, l'échéance passe du 2 août 2027 au 2 août 2028.

La raison de ce report est instructive. Les normes techniques harmonisées, celles qui doivent permettre à une entreprise de démontrer concrètement sa conformité, n'étaient pas prêtes. Le législateur a reconnu qu'on ne pouvait pas exiger une preuve dont l'instrument de mesure n'existait pas encore.

Mais le report ne touche qu'une partie du texte. Ce qui s'applique déjà :

• Les pratiques interdites, depuis le 2 février 2025 : notation sociale, manipulation exploitant les vulnérabilités des personnes, reconnaissance des émotions sur le lieu de travail ou dans les établissements d'enseignement, entre autres. L'Omnibus y ajoute, à partir du 2 décembre 2026, l'interdiction des systèmes générant des contenus intimes sans consentement ou des contenus pédocriminels.
• Les obligations des fournisseurs de modèles d'IA à usage général, depuis le 2 août 2025.
• Les obligations de transparence, depuis le 2 août 2026 : informer une personne qu'elle interagit avec une IA, signaler les contenus hypertruqués. Pour les systèmes déjà sur le marché, le marquage lisible par machine des contenus générés bénéficie d'un délai jusqu'au 2 décembre 2026.
• La maîtrise de l'IA par les équipes. L'obligation existe depuis février 2025. L'Omnibus l'a simplifiée et confie un rôle accru à la Commission et aux États membres pour la promouvoir. Pour une entreprise, soutenir la montée en compétences de ses équipes reste attendu.

Les sanctions restent dissuasives : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites.

Pour un conseil d'administration, la lecture est donc simple. Quinze mois, c'est à peu près le temps nécessaire pour inventorier ses usages, les classer, corriger ce qui doit l'être et documenter. Une organisation qui lit le report comme une pause découvrira en 2027 qu'elle n'a pas gagné de temps : elle en a perdu.

La Suisse : pas d'AI Act, mais pas de vide

La Suisse a fait un choix différent de celui de l'Union. Le 12 février 2025, le Conseil fédéral a décidé de ne pas reproduire l'AI Act, mais de ratifier la Convention-cadre du Conseil de l'Europe sur l'intelligence artificielle et d'adapter le droit suisse là où c'est nécessaire, en privilégiant une approche sectorielle. La Suisse a signé la Convention le 27 mars 2025. Le Département fédéral de justice et police doit présenter d'ici la fin de 2026 un avant-projet mis en consultation, portant notamment sur la transparence, la protection des données, la non-discrimination et la surveillance. Les observateurs n'attendent pas d'entrée en vigueur avant 2028.

Trois erreurs de lecture reviennent pourtant souvent dans les directions générales.

Première erreur : penser que l'AI Act ne concerne pas une entreprise suisse. Le règlement européen s'applique aux fournisseurs qui mettent un système d'IA sur le marché de l'Union, quel que soit leur lieu d'établissement, et aux situations où les résultats produits par un système sont utilisés dans l'Union. Une entreprise de l'arc lémanique qui vend à des clients européens un logiciel intégrant de l'IA, ou dont l'outil de recrutement évalue des candidats basés en France, est dans le champ.

Deuxième erreur : croire qu'en attendant la loi suisse, rien ne s'applique. Le Préposé fédéral à la protection des données et à la transparence l'a rappelé dès novembre 2023 : la loi sur la protection des données, en vigueur depuis le 1er septembre 2023, est directement applicable aux traitements fondés sur l'IA. Elle impose notamment d'informer les personnes lorsqu'une décision les concernant est prise de manière exclusivement automatisée et produit des effets juridiques ou les affecte de manière significative. Dans le secteur financier, la FINMA a publié en décembre 2024 ses attentes en matière de gouvernance et de gestion des risques liés à l'IA pour les établissements qu'elle surveille.

Troisième erreur : considérer la Convention du Conseil de l'Europe comme un texte lointain. L'Union européenne l'a ratifiée le 15 mai 2026. Elle n'est pas encore en vigueur, il faut pour cela cinq ratifications dont celles de trois États membres du Conseil de l'Europe, mais elle fixe dès maintenant la direction que prendra le droit suisse.

Pour une entreprise suisse active en Europe, la conclusion est pragmatique : l'AI Act sera, dans les faits, sa référence la plus exigeante. Autant bâtir la gouvernance à ce niveau, et traiter le droit suisse comme une déclinaison.

Europe, États-Unis, Chine : des logiques qui divergent

Au-delà de l'Europe, la carte réglementaire se fragmente.

Aux États-Unis, la fragmentation domine. Il n'existe toujours pas de loi fédérale sur l'IA. Un décret présidentiel du 11 décembre 2025 organise la contestation des lois des États, qui légifèrent puis se ravisent : le Colorado a abrogé en mai 2026, avant même son entrée en vigueur, la loi sur l'IA qu'il avait votée en 2024.

En Chine, la régulation avance par couches, et elle change d'échelle. Sous l'autorité de l'Administration du cyberespace, les textes se succèdent : IA générative depuis 2023, étiquetage obligatoire des contenus générés par IA depuis septembre 2025, orientations sur les agents d'IA en mai 2026, règles sur les IA « compagnons » depuis le 15 juillet 2026, qui interdisent notamment de proposer aux mineurs des relations virtuelles intimes. En mai 2026, le plan législatif du Conseil des affaires d'État a inscrit, pour la première fois, l'accélération d'une loi complète sur l'IA.

Surtout, la Chine ne se contente plus de réguler chez elle. Le 16 juillet 2026, 29 pays, dont la Russie, le Brésil et l'Indonésie, ont signé à Shanghai l'accord fondant l'Organisation mondiale de coopération sur l'intelligence artificielle. Orientée vers les pays du Sud, elle installe un second pôle de gouvernance mondiale de l'IA. Pour une entreprise suisse présente sur ces marchés, ce ne sont plus seulement des règles différentes : ce sont des références concurrentes.

Le reste de l'Asie suit le mouvement : la Corée du Sud, Taïwan et le Vietnam appliquent désormais leurs propres lois sur l'IA.

En Europe, un règlement unique fondé sur le risque, désormais recalibré pour tenir compte de la réalité des normes et des capacités de mise en œuvre.

Pour un groupe qui opère entre ces blocs, attendre une harmonisation mondiale n'est pas une stratégie. La seule approche tenable consiste à construire un socle de gouvernance commun, suffisamment exigeant pour satisfaire la juridiction la plus stricte, puis à gérer les variantes locales comme des adaptations, et non comme des stratégies concurrentes.

Pendant que la loi attend ses normes

Le report européen rappelle une réalité souvent sous-estimée : ceux qui écrivent les normes techniques écrivent une partie des règles. Les normes harmonisées européennes sont élaborées dans des comités de normalisation où les grands acteurs industriels sont présents et actifs. Le jour où elles seront publiées, elles définiront concrètement ce que « conforme » veut dire.

En attendant, deux référentiels offrent déjà une ossature solide :

• ISO/IEC 42001:2023, la norme internationale de système de management de l'IA. Elle est certifiable et construite sur le modèle des normes ISO de management que les organisations connaissent déjà, en qualité ou en sécurité de l'information.
• Le NIST AI Risk Management Framework, publié en 2023 par l'institut américain des normes et de la technologie. Il structure la gestion des risques autour de quatre fonctions : gouverner, cartographier, mesurer, gérer.

Aucun de ces deux référentiels ne vaut, à lui seul, présomption de conformité à l'AI Act. Mais une organisation qui s'appuie sur l'un d'eux aura déjà fait l'essentiel du travail de fond : inventaire, rôles, évaluation des risques, documentation, suivi. C'est précisément ce que les régulateurs, européens comme suisses, lui demanderont.

Cinq décisions à prendre maintenant

La conformité se construit dans les équipes. Mais cinq décisions ne peuvent être prises qu'au niveau de la direction générale et du conseil.

1. Décider de ce que nous devons connaître. Où utilisons-nous réellement de l'IA ? L'inventaire doit inclure les systèmes intégrés dans les logiciels achetés et ceux que les collaborateurs utilisent en dehors de tout cadre officiel. Sans inventaire, aucune autre décision n'est possible.

2. Décider du risque que nous acceptons. Quels usages sommes-nous prêts à assumer ? Ceux qui touchent au recrutement, au crédit, à l'accès à des services essentiels ou à des infrastructures critiques sont les candidats naturels au statut de haut risque. Ils appellent un arbitrage explicite, pas une tolérance par défaut.

3. Décider de notre responsabilité. Sommes-nous fournisseur, déployeur, importateur ou distributeur au sens de l'AI Act ? Les obligations ne sont pas les mêmes, et une modification substantielle d'un système acheté peut faire passer une entreprise du statut de déployeur à celui de fournisseur.

4. Décider qui répond de l'IA. Qui porte réellement la responsabilité au niveau exécutif ? Il faut une responsabilité nommée au comité exécutif, et un point de supervision régulier au conseil d'administration. Tant que la gouvernance de l'IA reste répartie entre la direction informatique, le juridique et les métiers, elle n'est portée par personne.

5. Décider selon quel référentiel. Quel socle commun adoptons-nous ? ISO/IEC 42001 ou NIST AI RMF, appliqué à toutes les juridictions. C'est ce choix qui évite de reconstruire la gouvernance à chaque nouveau texte.

C'est précisément là que commence Decision Architecture™ : non pas ajouter une couche de processus à la gouvernance, mais rendre explicites les décisions qui doivent être prises, par qui, selon quels critères et à partir de quels signaux.

La vraie question

La question « sommes-nous conformes ? » a une date d'expiration : celle du prochain texte. La question qui compte pour un conseil d'administration est différente : notre manière de décider sur l'IA tient-elle quand les règles changent ?

L'Omnibus européen vient de montrer que même le législateur ajuste son calendrier. La Suisse prépare sa réponse. Les États-Unis et la Chine avancent selon d'autres logiques. Dans ce paysage mouvant, l'avantage ne va pas à l'organisation qui connaît le mieux les textes, mais à celle qui a structuré ses décisions pour absorber leurs évolutions.

C'est une question de discernement avant d'être une question de conformité.

Sources

Textes et sources officielles

• Union européenne, Règlement (UE) 2026/1744 (Digital Omnibus sur l'IA), EUR-Lex, juillet 2026
• Commission européenne, AI Omnibus enters into force, juillet 2026
• Conseil fédéral, Réglementation de l'IA : le Conseil fédéral veut ratifier la convention du Conseil de l'Europe, février 2025
• Conseil fédéral, La Suisse signe la convention du Conseil de l'Europe sur l'IA, mars 2025
• Chancellerie fédérale, Intelligence artificielle
• Préposé fédéral à la protection des données et à la transparence, La loi actuelle sur la protection des données est directement applicable à l'IA, novembre 2023
• FINMA, Guidance 08/2024 on governance and risk management when using artificial intelligence, décembre 2024
• Conseil de l'Europe, European Union ratifies the Framework Convention on Artificial Intelligence, mai 2026
• Maison-Blanche, Ensuring a National Policy Framework for Artificial Intelligence, décembre 2025
• Colorado General Assembly, SB26-189, Automated Decision-Making Technology, mai 2026
• Administration du cyberespace de Chine, Mesures provisoires sur les services d'interaction anthropomorphe par IA, en chinois, avril 2026
• Administration du cyberespace de Chine, Avis de mise en œuvre sur les agents d'IA, en chinois, mai 2026
• Gouvernement chinois, Plan législatif 2026 du Conseil des affaires d'État, en chinois, mai 2026
• Xinhua, 29 countries sign agreement on establishing World AI Cooperation Organization, juillet 2026
• ISO, ISO/IEC 42001:2023
• NIST, AI Risk Management Framework

Analyses

• Cooley, Digital AI Omnibus Delays Key Deadlines, Introduces New Rules
• Gibson Dunn, EU AI Act Omnibus Agreement
• CMS, China's AI Content Labeling Rules
• Cooley, South Korea's AI Basic Act: Overview and Key Takeaways
• Library of Congress, Taiwan: New Law Establishes Basic Framework on Artificial Intelligence
• Law.asia, AI governance in Asia