La loi s’applique déjà. Depuis avant l’IA.

Série « Comprendre l’IA », note 9 sur 12. Les huit précédentes expliquaient la technologie et comment on l’amène dans l’entreprise. Celle-ci explique ce que dit la loi, avec un avertissement préalable : je ne suis pas avocat, cette note n’est pas un conseil juridique, et ce qu’elle fait, c’est mettre en ordre ce que votre conseil vous confirmera. Lisez-la pour arriver à cette réunion avec les questions déjà prêtes.

Lundi, 11 h 20, une agence immobilière à Marbella. Une commerciale doit préparer un compromis de vente pour un acheteur de Genève et, pour aller vite, colle dans un compte gratuit d’un assistant d’IA le passeport scanné de l’acheteur, son numéro de compte et le contrat précédent d’un autre client comme modèle. En quarante secondes, elle a un brouillon impeccable. Trois semaines plus tard, lors d’un audit de protection des données demandé par le groupe suisse qui vient de racheter l’agence, quelqu’un demande où sont les données de ce passeport. Personne ne le sait. L’assistant était gratuit, et dans les comptes gratuits de certains fournisseurs, ce que l’on écrit peut servir à entraîner le modèle.

La scène est imaginaire. La question de l’audit, non, et c’est la première à laquelle il faut savoir répondre. Dans cette note, je vous donne les trois couches de droit qui touchent une entreprise qui utilise l’IA, en Suisse et en Espagne, avec ce que chacune exige et les dates qui vous concernent vraiment. Vous verrez que l’essentiel n’est pas nouveau : c’est la loi sur la protection des données de toujours, appliquée à un outil nouveau. Et vous verrez où il y a des nouveautés avec une date.

L’IA n’a pas créé de nouvelles obligations sur les données de vos clients. Elle a créé une façon très rapide d’enfreindre celles que vous aviez déjà.

Couche 1. La protection des données, déjà en vigueur.

En Espagne s’applique le règlement général sur la protection des données de l’Union européenne, le RGPD, depuis mai 2018. En Suisse s’applique la nouvelle loi fédérale sur la protection des données, en vigueur depuis le 1er septembre 2023, rédigée pour rester proche du RGPD. Aucune des deux ne mentionne les modèles de langage. Et les deux s’y appliquent entièrement. Le Préposé fédéral à la protection des données et à la transparence l’a écrit en mai 2025 : la loi actuelle est directement applicable au traitement de données avec l’IA, indépendamment de toute réglementation future.

Ce que ces lois exigent, traduit pour un système d’IA, tient en six points. Je les énumère avec l’obligation et avec l’exemple de l’agence immobilière.

• Finalité et base juridique. Chaque donnée personnelle est traitée pour un but précis et avec une raison que la loi admet. Les données de l’acheteur ont été recueillies pour signer une vente, pas pour alimenter un système externe à des fins inconnues. Les coller dans un compte gratuit est un nouveau traitement sans base.
• Transparence. Les personnes ont le droit de savoir ce que l’on fait de leurs données et, selon le Préposé suisse, de savoir qu’elles parlent à une machine et si ce qu’elles écrivent peut servir à améliorer le système. Un assistant sur votre site qui se fait passer pour une personne enfreint cela en Suisse aujourd’hui, et dans l’Union européenne dès août 2026 par une seconde voie, comme vous le verrez dans la couche 2.
• Décisions automatisées. Si une décision ayant des effets juridiques ou importants sur une personne est prise par une machine seule, cette personne a le droit à ce que quelqu’un la revoie. Le RGPD le prévoit à son article 22 et la loi suisse dans une règle propre. Un système qui refuse seul une demande de location, un crédit ou une candidature entre pleinement ici.
• Analyse d’impact. Quand un traitement présente un risque élevé pour les personnes, il faut l’analyser par écrit avant de commencer ; le RGPD appelle cela une analyse d’impact, article 35, et la loi suisse exige la même chose pour l’IA à haut risque. Données de santé, de mineurs, profils, surveillance : avant d’allumer, le papier.
• Sous-traitants et contrats. Le fournisseur du modèle traite des données pour le compte de votre entreprise, c’est donc un sous-traitant et il faut un contrat qui dise ce qu’il en fait, où, combien de temps et comment il les efface. L’article 28 du RGPD le détaille. Un compte gratuit n’a pas ce contrat.
• Transferts hors d’Europe et de Suisse. La plupart des grands fournisseurs de modèles sont aux États-Unis. Y envoyer des données exige une garantie reconnue, que les fournisseurs sérieux offrent dans leurs conditions pour les entreprises et qu’il faut vérifier. Demandez où vos données sont traitées et avec quelle garantie. Si le fournisseur ne sait pas répondre, c’est sa réponse.

Un point mérite d’être séparé clairement : un compte grand public n’est pas la même chose qu’un compte entreprise. Anthropic, par exemple, documente que par défaut il n’utilise pas ce que les entreprises envoient via son API ni à ses produits commerciaux pour entraîner ses modèles, sauf si le client l’autorise ou envoie des commentaires, et que les comptes personnels relèvent d’autres conditions. D’autres fournisseurs ont des distinctions comparables. La règle pratique est simple : des données de clients, uniquement dans des comptes entreprise avec contrat. Le reste, c’est l’agence immobilière de Marbella.

Couche 2. Le règlement européen sur l’IA, avec ses dates.

Le règlement (UE) 2024/1689, connu comme règlement sur l’IA ou AI Act, est entré en vigueur le 1er août 2024 et s’applique par phases. En juillet 2026, un second règlement, l’Omnibus numérique, a repoussé certaines de ces phases. Je vous donne le calendrier tel qu’il reste, avec une précision importante : il s’applique à quiconque utilise ou met sur le marché des systèmes d’IA dans l’Union européenne, que son siège soit dedans ou dehors ; une entreprise suisse qui sert des clients en Espagne ou en Allemagne avec un système d’IA est donc concernée.

• Depuis le 2 février 2025 : les pratiques interdites, comme la notation sociale ou la manipulation subliminale, et l’article 4, l’obligation pour les personnes qui utilisent des systèmes d’IA au nom de l’entreprise d’avoir un niveau suffisant de maîtrise de l’IA. C’est déjà en vigueur. C’est la formation de l’étape 8 de la note 6.
• Depuis le 2 août 2025 : les obligations des fournisseurs des grands modèles à usage général. Elles vous touchent indirectement : ce sont elles qui vous permettent d’exiger de la documentation de votre fournisseur.
• À partir du 2 août 2026 : l’article 50, transparence. Un système d’IA qui parle à des personnes doit être conçu pour qu’elles sachent qu’elles parlent à une machine, sauf si c’est évident. Les images, sons et vidéos générés par IA qui pourraient passer pour réels doivent être marqués. Cela, c’est nouveau et cela vous concerne : l’assistant de votre site, la voix qui répond au téléphone, la photo générée de votre hôtel.
• À partir du 2 décembre 2027 (auparavant août 2026) : les systèmes à haut risque de l’annexe III, comme ceux utilisés dans le recrutement, l’évaluation de solvabilité ou l’accès aux services essentiels, avec leurs obligations de surveillance humaine, de journalisation et de documentation. L’Omnibus l’a reporté ; il ne l’a pas supprimé. Si votre entreprise utilise l’IA pour filtrer des candidatures, vous avez jusque-là pour bien le faire.
• À partir du 2 août 2028 : les systèmes à haut risque intégrés dans des produits réglementés de l’annexe I, comme les dispositifs médicaux ou les machines.

Observez le détail que l’on oublie le plus, et que j’ai déjà traité dans une note antérieure sur ce calendrier : la loi distingue le fournisseur, qui développe le système, et le déployeur, qui l’utilise. Presque toutes les entreprises se voient comme le second. Mais si une entreprise prend un modèle, le configure, y met sa marque et le propose à ses clients comme le sien, elle est peut-être en train de devenir fournisseur, avec des obligations plus lourdes. C’est une question pour votre conseil, et il vaut mieux la poser avant de mettre le logo sur l’assistant.

Couche 3. La Suisse : pas de loi sur l’IA, mais une décision prise.

La Suisse n’a pas aujourd’hui de loi spécifique sur l’intelligence artificielle, et a décidé de ne pas copier la loi européenne. Le 12 février 2025, le Conseil fédéral a opté pour une approche sectorielle : ratifier la convention du Conseil de l’Europe sur l’IA, qu’il a signée en mars 2025, et adapter les lois existantes là où c’est nécessaire, avec un avant-projet mis en consultation prévu avant la fin de 2026, centré sur la transparence, la protection des données, la non-discrimination et la surveillance. En attendant, ce qui s’applique, c’est la couche 1 : la loi sur la protection des données, que le Préposé fédéral juge suffisante pour l’essentiel, et les règles de chaque secteur, comme celles du marché financier ou de la santé.

Pour une entreprise suisse, cela a deux conséquences pratiques. La première : n’attendez pas une loi suisse sur l’IA pour mettre vos données en ordre, parce que la loi qui vous oblige existe déjà. La seconde : si vous vendez dans l’Union européenne, le calendrier de la couche 2 est le vôtre, même si votre siège est à Lugano ou à Zurich. Les deux se résolvent par le même travail.

Ce que regardent les régulateurs, sur un cas.

Le 18 décembre 2024, le Comité européen de la protection des données, qui réunit les autorités de tous les pays de l’Union, a publié un avis sur les modèles d’IA à la demande de l’autorité irlandaise. Trois idées de ce texte vous servent même si vous n’entraînerez jamais de modèle. Première : un modèle entraîné avec des données personnelles n’est pas anonyme du seul fait d’être un modèle ; il faut démontrer, cas par cas, que personne ne peut être identifié ni ses données extraites par des questions. Deuxième : l’intérêt légitime peut servir de base juridique pour développer et utiliser des modèles, mais seulement après un test en trois étapes et en tenant compte des attentes raisonnables des personnes. Troisième : si un modèle a été construit avec des données traitées illégalement, cela peut affecter la légalité de son utilisation. Traduit : la provenance des données de votre fournisseur est aussi votre problème, et il est légitime de l’interroger à ce sujet.

Ce qu’il faut faire avant d’appeler votre avocat.

Aucune de ces choses n’exige de connaissances juridiques, et toutes rendent la consultation de votre conseil plus courte et moins chère.

• L’inventaire. Quels systèmes d’IA l’entreprise utilise, y compris ceux que les gens utilisent de leur côté, avec quelles données et de quel fournisseur. Sans inventaire, pas de conformité possible, seulement de la chance.
• Les contrats. Pour chaque fournisseur, le contrat de sous-traitance : où il traite, s’il entraîne avec vos données, combien de temps il conserve, comment il efface, quelle garantie il utilise pour sortir des données d’Europe ou de Suisse. S’il n’existe pas, compte entreprise avec contrat ou rien.
• La règle de deux lignes. Quelles données ne se collent jamais dans un assistant autre que celui de l’entreprise : données de clients, d’employés, de santé, financières, contrats de tiers. Écrite, signée, répétée.
• La machine dit qu’elle est une machine. Dans tout assistant qui parle à des clients, dès la première phrase. En Suisse, c’est déjà une attente du Préposé ; dans l’Union européenne, c’est une obligation dès août 2026.
• Personne ne décide seul. Toute décision ayant des effets sur une personne, un refus, un tarif, une sélection, passe par quelqu’un qui a un nom et qui peut la changer. C’est la loi et c’est la note 2.
• Le papier avant le risque. Avant d’utiliser l’IA avec des données de santé, de mineurs, avec des profils ou des candidatures, une analyse d’impact écrite. Et pour les candidatures, le calendrier de décembre 2027 déjà dans l’agenda.
• Les images, marquées. Dès août 2026, ce qui est généré par IA et pourrait passer pour réel est signalé. Une politique d’une ligne pour le marketing règle 90 % des cas.
• La formation, consignée. Qui a reçu quelle formation sur les systèmes qu’il utilise. L’article 4 ne demande pas de certificat ; il demande de pouvoir démontrer que cela a été fait.

1. Cette semaine

   Faites l’inventaire avec amnistie

   Demandez à chaque équipe quels assistants elle utilise et avec quelles données, sans conséquences. Notez le fournisseur et le type de compte.

2. Cette semaine

   Fermez les comptes gratuits contenant des données de clients

   Et remplacez-les par des comptes entreprise avec contrat. C’est la seule action urgente de cette note.

3. Ce mois-ci

   Demandez les contrats et les trois réponses

   Où ils traitent, s’ils entraînent, comment ils effacent. Conservez les réponses avec une date.

4. Avant août 2026

   Revoyez l’assistant de votre site et les images générées

   Qu’il dise qu’il est une machine et que ce qui est généré soit marqué. Deux petits changements à date fixe.

5. Avec tout ce qui précède

   Allez voir votre conseil avec l’inventaire en main

   La consultation passe de « que devons-nous faire avec l’IA ? » à « est-ce que c’est bien ? ». C’est une autre facture.

Comment je l’aborde.

Les systèmes que je construis utilisent des modèles via des comptes entreprise avec contrat, les données des clients ne sortent pas du flux convenu, l’assistant dit qu’il est une machine dès sa première phrase et dans les six langues, et les images générées sont déclarées en légende. L’inventaire et la règle de deux lignes font partie de la livraison. Et la revue juridique, c’est votre avocat qui la fait, avec ma documentation sous les yeux, parce que chacun fait son travail.

Un test sans avocat. Demandez demain à trois personnes de votre équipe, de services différents, si elles ont déjà collé un document d’un client dans un assistant d’IA. Demandez-le sans reproche dans la voix, sinon on ne vous dira pas la vérité.

Les réponses vous en diront plus sur votre situation réelle que n’importe quelle lecture du règlement. Et elles ouvrent une question plus inconfortable : quelqu’un dans votre entreprise a-t-il décidé que c’était permis, ou personne n’a-t-il simplement dit non ?

Note suivante : la sécurité. Les dix risques qu’une organisation d’experts en sécurité a catalogués pour les systèmes à modèles de langage, expliqués avec la lettre d’un escroc, et les trois cas publics qui en apprennent plus que n’importe quel manuel.