État au 6 octobre 2026. Cette page informe ; elle ne remplace pas un avis juridique.
Vos équipes utilisent déjà l’IA. Nous écrivons les règles qui décrivent cet usage et le tiennent en droit suisse, européen et américain.
Vos équipes ont déjà tranché
Vos équipes utilisent l’IA aujourd’hui. Une partie de cet usage est passée par l’informatique. La plus grande partie est passée par un onglet, sur un compte personnel, avec un document de l’entreprise collé dedans. Les gains qui sont derrière sont réels, département par département : c’est pour cela que l’usage s’est installé aussi vite, et qu’il reste. La décision s’est prise service par service, sans séance, et elle tient. Ce qui reste ouvert, ce sont les conditions.
La première opération est donc un relevé, pas une règle : quels outils, sur quelles données, pour quelles décisions, dans quelles équipes. Nommés, et écrits.
Le mail interne partait du bon réflexe
« Le premier geste est presque toujours un message de la direction : attention à ce que vous collez. Le réflexe est juste, et il s’arrête à la porte de la vraie question. Un mail demande de faire attention. Une guideline dit ce qui est permis, avec quel outil, sur quelle classe de données, ce qui doit être vérifié avant que quoi que ce soit sorte de l’entreprise, et qui décide quand le cas est nouveau. L’écart entre les deux, c’est le travail.
Bloquer les sites appartient à la même famille. L’usage se déplace vers le téléphone dans la poche, où il se poursuit hors de votre vue.
Une règle que l’on peut appliquer est une règle que l’on peut contrôler.
Quel texte s’applique en Suisse aujourd’hui
La LPD révisée, en vigueur depuis le 1er septembre 2023 : information et transparence, décision individuelle automatisée, sous-traitance, transferts à l’étranger, registre des activités de traitement, analyses d’impact – autant de points que l’usage ordinaire de l’IA touche chaque jour. La Suisse a choisi la voie sectorielle, tranchée par le Conseil fédéral le 12 février 2025, et a signé la Convention du Conseil de l’Europe sur l’IA en mars 2025. Un projet de modifications légales en vue de sa ratification doit être mis en consultation d’ici fin 2026.
Fournisseur ou déployeur
Le règlement européen atteint une entreprise suisse par l’usage plutôt que par l’adresse : mettre un système ou un modèle sur le marché de l’UE, ou voir le résultat produit par ce système utilisé là-bas. La plupart des entreprises suisses sont des déployeurs plutôt que des fournisseurs – elles utilisent des systèmes construits par d’autres – et les obligations des uns et des autres diffèrent. Établir lequel vous êtes est la première ligne du cadre.
Applicables aujourd’hui
Le règlement (UE) 2024/1689 a été modifié par le règlement (UE) 2026/1744, dit « omnibus numérique », en vigueur depuis le 27 juillet 2026. S’appliquent aujourd’hui :
– les pratiques interdites de l’art. 5, depuis février 2025 ;
– la littératie IA de l’art. 4, depuis février 2025. Depuis l’omnibus, l’obligation consiste à prendre des mesures pour la soutenir ;
– les obligations sur les modèles à usage général, art. 51 à 56, depuis août 2025 ;
– la transparence de l’art. 50, depuis le 2 août 2026 : dire à une personne qu’elle s’adresse à une machine, signaler les contenus générés. Les systèmes mis sur le marché avant cette date ont jusqu’au 2 décembre 2026 pour le marquage technique.
Les obligations à haut risque sont reportées au 2 décembre 2027 pour l’annexe III et au 2 août 2028 pour l’annexe I. Les pratiques interdites exposent jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial.
Trier par ce qui est en jeu
Trois questions trient les usages : quelles données entrent, quelle décision sort, qui est concerné par elle. Résumer un communiqué publié et présélectionner des candidatures peuvent tourner sur le même outil et n’ont rien d’autre en commun. Le tri laisse en accès libre l’essentiel des usages quotidiens, et place sous condition nommée les quelques-uns qui touchent des données personnelles, des secrets clients ou des décisions sur des personnes.
Ce que nous écrivons
Les documents que l’entreprise porte en son nom.
Périmètre Entités, départements, mandataires externes, systèmes couverts.
Rôles Qui décide, qui arbitre une exception, qui répond à la question d’un client, qui tient le registre.
Outils admis Une liste nominative, chacun avec son type de compte et son régime contractuel.
Règles par type de donnée Données personnelles, données clients couvertes par le secret professionnel ou bancaire, données salariales et RH, chiffres non publiés, code source, matériel de tiers.
Validation humaine Quels résultats sortent tels quels, lesquels portent le visa d’une personne nommée avant de quitter l’entreprise.
Marquage des contenus A l’interne comme à l’externe, conformément à l’art. 50.
Registre des usages L’inventaire vivant qui permet de répondre à un audit, à la question d’un client ou à une analyse d’impact.
Procédure d’exception Le chemin d’un usage légitime resté hors du cadre, avec une décision et une trace.
Cycle de révision La date, le responsable, les événements déclencheurs.
Écrit pour les personnes qui l’appliquent, dans la langue de votre maison, et remis en version modifiable : la plume reste chez vous. Chaque règle s’écrit devant une scène : une personne pressée, un outil ouvert, un document qu’elle aimerait y coller. Une règle qui répond à cet instant-là est une règle suivie. C’est l’épreuve que nous faisons passer à chaque ligne. »
Pourquoi une politique porte une date
Le terrain bouge dans plusieurs directions à la fois. L’omnibus a repoussé les échéances du haut risque. Aux États-Unis, il n’existe pas de loi fédérale générale : chaque État avance à son rythme. Le Colorado, par exemple, a recentré sa loi sur les décisions automatisées, applicable au 1er janvier 2027. Un décret présidentiel de décembre 2025 pousse à contester certaines lois d’État, mais aucune loi fédérale ne les a écartées à ce jour. Deux référentiels volontaires donnent à tout cela une langue commune : le NIST AI Risk Management Framework et l’ISO/IEC 42001.
Une politique porte donc une date, un responsable nommé et un point de révision, et la révision fait partie de la première version. Attendre un texte stabilisé produit un document qui arrive après l’usage qu’il devait cadrer.
Par où commencer
Toute prestation nuclai commence par un diagnostic payant. Une première conversation, à distance et sans frais, délimite le périmètre et débouche sur une offre : périmètre, durée et prix fixés ; le diagnostic commence à la signature. Forfait fixe, déduit intégralement du mandat si vous donnez suite. La lecture cartographie l’usage en place, le régime qui s’y applique et la distance entre les deux. Elle peut aussi conclure que vos règles actuelles couvrent déjà l’usage en cours. Quand c’est ce que dit la lecture, nous l’écrivons, avec les éléments à l’appui.
La gouvernance appartient au socle Foundations, à côté de la formation en entreprise – qui porte l’obligation de littératie IA de l’AI Act (art. 4) – et des applications sur mesure. Là où une règle touche les chiffres ou le message, nuclai / finance et nuclai / comms la prolongent.
Sources
Règlement (UE) 2024/1689 et règlement (UE) 2026/1744, Journal officiel de l’UE ; décision du Conseil fédéral du 12 février 2025 ; Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle (STCE n° 225).
Prenez le premier rendez-vous.
À distance, sans frais, et il se conclut par un périmètre.
