ISO 42001 Suisse AI Act : exporter vers l'UE sereinement

Le cadre triple qui s'impose à une PME romande

Une entreprise suisse qui vend un produit ou un service intégrant de l'intelligence artificielle sur le marché européen n'est pas dans le vide juridique. Elle croise trois textes de nature différente : le règlement européen sur l'IA, la loi fédérale sur la protection des données révisée, et une norme internationale volontaire, ISO/IEC 42001^[4]. Chacun répond à une question distincte.

L'AI Act pose des interdictions et des obligations produit. La nLPD encadre le traitement des données personnelles côté suisse. ISO/IEC 42001, publiée en décembre 2023, décrit comment structurer un SMIA capable de démontrer, preuves à l'appui, que l'organisation gouverne ses systèmes d'IA^[1].

Pour le dirigeant qui doit convaincre un acheteur allemand ou français, la norme n'est pas un luxe académique. Elle fournit la grammaire de preuves attendue par les acheteurs publics et les grands comptes qui, eux, sont directement exposés aux sanctions de l'AI Act. Le sujet est donc moins l'obligation légale que la capacité à démontrer une gouvernance IA structurée face à un client qui, lui, en a besoin.

Ce que l'AI Act exige d'un exportateur suisse

Le règlement européen s'applique aux systèmes d'IA mis sur le marché de l'UE ou dont les sorties sont utilisées dans l'UE, quel que soit le pays du fournisseur^[2]. Une société genevoise qui commercialise un moteur de scoring à Lyon entre dans le champ, indépendamment de son siège suisse.

Le calendrier européen s'étale par vagues. Selon VerifyWise (analyse de juin 2026, à recouper avec les publications officielles), les pratiques interdites et les obligations d'AI literacy s'appliquent depuis le 2 février 2025, les règles pour les modèles à usage général depuis le 2 août 2025, et les obligations pour les systèmes à haut risque autonomes deviennent pleinement applicables le 2 décembre 2027 après l'omnibus de mai 2026^[2]. Les sanctions annoncées atteignent 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques prohibées, et 15 millions ou 3 % pour les autres infractions^[2].

Le règlement classe les systèmes en quatre niveaux : risque inacceptable, haut risque, risque limité, risque minimal^[2]. Pour un exportateur suisse, la première question utile n'est pas juridique mais opérationnelle : lesquels de mes produits tombent en haut risque au sens de l'annexe III (emploi, éducation, application de la loi, infrastructures critiques) ? Une cartographie des systèmes d'IA précède toute discussion sur la conformité.

Les obligations pour un système haut risque incluent une évaluation de conformité, une documentation technique, un système de gestion des risques et une surveillance continue^[2]. Le règlement descend au niveau du détail concret : logs conservés au moins six mois, contenus documentaires prescrits, procédures d'évaluation spécifiques^[2].

Ce que couvre ISO 42001, ce que couvre l'AI Act

Les analyses convergent sur un recouvrement d'environ 40 à 50 % entre les deux textes sur les exigences de haut niveau : gestion des risques, gouvernance des données, transparence, éthique^[2]. C'est significatif, mais insuffisant. La différence de nature reste entière.

ISACA le formule ainsi : l'AI Act définit ce qui doit être atteint, ISO/IEC 42001 décrit comment faire tourner, prouver et améliorer un programme de gouvernance IA^[4]. Le règlement est le livre de règles, la norme est le système d'exploitation qui rend la conformité répétable et auditable.

Chaque texte occupe une place distincte dans la démarche d'un exportateur.

1AI Act : obligations par rôle et par classe de risque, interdictions, sanctions

2ISO 42001 : cadre PDCA, politique, appréciation des risques, contrôles, revue

3nLPD : traitement des données personnelles côté Suisse, information des personnes

Sources : ISACA, décembre 2025^[4] ; VerifyWise, juin 2026^[2].

Trois différences méritent d'être posées clairement pour un dirigeant. La force juridique d'abord : l'AI Act est contraignant avec des amendes, ISO 42001 reste volontaire^[2]. Le focus ensuite : le règlement européen encadre la sécurité produit, la norme organise le management^[2]. Le degré de prescription enfin : l'AI Act prescrit des exigences précises, la norme laisse chaque organisation calibrer ses contrôles^[2].

Autre point souvent négligé : l'AI Act prohibe certaines applications (scoring social, IA manipulatrice, identification biométrique en temps réel dans les espaces publics avec de rares exceptions)^[2]. ISO 42001 n'interdit rien par elle-même. Elle demande à l'organisation d'identifier ce que la loi interdit et de le refléter dans sa politique. Une lecture croisée des deux textes est donc indispensable, et un tableau de couverture comparée aide à repérer les trous.

Articulation avec la nLPD et le RGPD

Un dirigeant suisse n'a pas seulement l'AI Act à gérer. Dès que des données personnelles entrent dans le traitement, la nouvelle loi fédérale sur la protection des données s'applique côté suisse, et le RGPD côté européen si les personnes concernées y résident. La norme ISO/IEC 42001 s'articule avec les autres systèmes de management, notamment ISO/IEC 27001 pour la sécurité et ISO/IEC 27701 pour la vie privée^[7].

En pratique, les contrôles d'ISO 27001 déjà en place chez de nombreuses ETI suisses fournissent un socle pour la partie sécurité des données d'entraînement, journalisation et gestion des accès. La norme ISO/IEC 42001 ajoute ce que ce socle ne traite pas : l'analyse d'impact d'un système d'IA, la gestion du cycle de vie du modèle, la surveillance des biais et le pilotage des fournisseurs de composants d'IA^[7].

Pour le versant protection des données, la lecture croisée avec la nLPD suisse et le RGPD doit être menée séparément. La norme ne remplace ni l'analyse d'impact relative à la protection des données ni les registres de traitements. Elle organise la gouvernance IA au-dessus.

Feuille de route pragmatique pour un dirigeant

La démarche gagnante consiste rarement à empiler les projets. Les démarches observées dans le tissu romand suggèrent de séquencer en trois temps, en tirant parti des recouvrements identifiés^[2].

Premier temps, une lecture d'inventaire. Recenser les systèmes d'IA développés ou intégrés, préciser leur destination géographique, leur classe de risque au sens du règlement européen et la nature des données traitées. Sans cet inventaire, aucune priorisation crédible n'est possible. C'est le préalable de toute analyse d'écart.

Deuxième temps, la charpente ISO/IEC 42001. Politique IA, rôles et responsabilités, méthodologie de gestion des risques, appréciation par système, plan de traitement, revue de direction. La norme reprend la structure Annex SL déjà connue des équipes qualité ou sécurité, ce qui limite la surcharge^[4]. Les organisations disposant déjà d'ISO 27001 peuvent absorber les nouveaux contrôles dans leurs cycles d'audit existants^[4].

Troisième temps, l'ajustement aux prescriptions de l'AI Act pour les systèmes à haut risque : conservation des logs pendant la durée requise, contenu documentaire aligné sur les annexes du règlement, procédure d'évaluation de conformité^[2]. Cette dernière couche ne peut pas être générée par la norme seule, elle demande une lecture technique du règlement.

Trois questions à trancher avant de lancer la démarche

Question	Réponse à obtenir
Marchés visés	UE uniquement, Suisse uniquement, ou les deux
Classe de risque AI Act	Inacceptable, haut, limité ou minimal pour chaque système[2]
Rôle joué	Fournisseur, déployeur, importateur ou distributeur[4]

Sur la certification proprement dite, la Suisse dispose d'organismes accrédités. KPMG Switzerland se présente, dans sa communication de 2025, comme l'un des premiers organismes de certification accrédités en Europe pour ISO/IEC 42001^[1]. Swiss Approval revendique une accréditation IAS obtenue via sa filiale nord-américaine pour ISO 42001:2023^[7]. Ces informations sont à vérifier à la date de dernière consultation (juillet 2026) sur les registres officiels d'accréditation, la situation évoluant vite.

Pièges observés dans les démarches d'export

Le premier piège consiste à croire qu'une certification ISO/IEC 42001 vaut conformité à l'AI Act. Elle ne vaut pas conformité. Elle démontre qu'un système de management existe et fonctionne, ce qui n'est pas la même chose qu'une évaluation de conformité produit exigée pour un système à haut risque^[2]. Un acheteur européen sérieux distinguera les deux.

Deuxième piège, la sous-estimation des délais européens. Le calendrier de l'AI Act s'étale jusqu'en 2028 pour certaines dispositions^[2]. Attendre les dates finales pour lancer la démarche laisse trop peu de temps entre la rédaction de la politique, la mise en fonctionnement du SMIA et l'audit initial. Les étapes de la certification demandent typiquement plusieurs trimestres.

Troisième piège, le doublon documentaire. Les équipes créent parfois deux jeux de documents, un pour la norme et un pour le règlement, alors que 40 à 50 % des exigences se recoupent^[2]. Une seule matrice de traçabilité entre articles de l'AI Act et clauses de la norme évite cette perte.

Quatrième piège, l'oubli du contrat fournisseur. Beaucoup d'IA vendue par des PME suisses intègre un modèle tiers. La norme demande d'aligner les fournisseurs sur les politiques et principes de l'organisation^[7]. Le règlement européen, lui, distribue les obligations entre fournisseurs, déployeurs, importateurs et distributeurs^[4]. Sans clauses contractuelles claires, la responsabilité tombe sur l'entreprise la plus proche du client final. Un exportateur suisse qui revend un moteur américain sous sa marque doit contractualiser en amont la fourniture de la documentation technique exigée par le règlement.

Cinquième piège, plus discret, la traduction juridique du terme fournisseur. Ce que l'AI Act appelle provider ne recouvre pas exactement le vocabulaire commercial suisse. Une PME qui personnalise significativement un modèle tiers peut devenir provider au sens du règlement et hériter des obligations correspondantes^[4]. Cette qualification se tranche au cas par cas, avec un juriste, pas dans un tableur.

Questions fréquentes

À lire ensuite