Le 28 octobre 2026, le Conseil fédéral a présenté les premières avancées de la mise en œuvre de la Convention du Conseil de l'Europe sur l'intelligence artificielle. Deux semaines plus tôt, l'Union européenne franchissait une étape avec la norme EN 18286. Pour les entreprises suisses, ces développements posent une question concrète : comment organiser dès aujourd'hui une gouvernance de l'IA adaptée aux futures exigences ?
La Suisse précise son approche réglementaire
Le 28 octobre 2026, le Conseil fédéral a pris connaissance de l'avancement des travaux consacrés à la réglementation de l'intelligence artificielle.
Cette démarche s'inscrit dans la décision prise le 12 février 2025 de ratifier la Convention-cadre du Conseil de l'Europe sur l'intelligence artificielle, les droits humains, la démocratie et l'État de droit.
La Suisse privilégie une approche associant des dispositions légales ciblées, des mesures sectorielles et des engagements volontaires.
L'Office fédéral de la communication (OFCOM) a présenté deux premiers résultats : un rapport sur les mesures sectorielles engagées au sein de l'administration fédérale et un guide destiné aux entreprises et associations souhaitant élaborer un code de conduite en matière d'IA.
L'Office fédéral de la justice prépare parallèlement les mesures législatives nécessaires. Elles porteront notamment sur la transparence, la protection des données, la non-discrimination, la surveillance et l'évaluation des risques.
La consultation est annoncée pour le printemps 2027.
Il ne s'agit donc pas encore de nouvelles obligations générales applicables aux entreprises suisses. Cette étape confirme néanmoins l'orientation retenue par les autorités fédérales.
De la Convention internationale aux pratiques des entreprises
La Convention du Conseil de l'Europe établit un cadre international destiné à protéger les droits humains, la démocratie et l'État de droit dans les activités liées à l'intelligence artificielle.
Elle impose aux États parties de prendre des mesures adaptées à leurs systèmes juridiques et à leurs engagements internationaux.
Pour les entreprises, les conséquences dépendront notamment des dispositions nationales adoptées, de leur secteur d'activité et des systèmes d'IA concernés.
Cette distinction est importante : la Convention n'impose pas directement à chaque entreprise suisse de mettre en place un système de management certifié.
Elle contribue néanmoins à orienter les futures exigences de gouvernance, de transparence et de responsabilité.
Un nouveau guide suisse pour les engagements volontaires
L'une des nouveautés du 28 octobre est la publication par l'OFCOM d'un guide pour l'élaboration d'un code de conduite en matière d'IA.
Ce document propose des modules rédactionnels et une démarche permettant aux organisations de formaliser leurs engagements.
L'objectif est d'encourager des pratiques responsables qui puissent être appliquées, contrôlées et améliorées dans la durée.
Cette approche présente un intérêt particulier pour les PME. Elles peuvent commencer par identifier leurs systèmes d'IA, définir les responsabilités internes et adopter des règles proportionnées à leurs risques, sans attendre la finalisation de la future législation.
Un code de conduite constitue toutefois un engagement organisationnel. Sa crédibilité dépend des mesures réellement appliquées, des contrôles effectués et des éléments permettant d'en vérifier le respect.
En Europe, la norme EN 18286 franchit une étape importante
Le 14 octobre 2026, la référence de la norme EN 18286:2026 a été publiée au Journal officiel de l'Union européenne.
Il s'agit de la première norme harmonisée publiée en appui au règlement européen sur l'intelligence artificielle, l'AI Act.
Son objet est précis : définir un système de management de la qualité répondant aux exigences réglementaires applicables aux fournisseurs de systèmes d'IA à haut risque, notamment celles de l'article 17 de l'AI Act.
Sa publication ouvre une présomption de conformité pour les exigences couvertes par la norme.
Cette présomption ne s'étend pas à l'ensemble du règlement européen. Elle ne dispense pas non plus les entreprises d'identifier les autres obligations applicables à leurs systèmes.
Pour une entreprise suisse qui fournit des systèmes d'IA à haut risque sur le marché européen, cette évolution peut présenter un intérêt direct.
La norme EN 18286 concerne l'AI Act de l'Union européenne. Elle ne constitue pas une norme d'application de la Convention du Conseil de l'Europe.
Quelle articulation avec ISO/IEC 42001 ?
Les organisations qui ont déjà engagé une démarche fondée sur ISO/IEC 42001 disposent d'une base de gouvernance structurée.
Cette norme internationale définit les exigences d'un système de management de l'intelligence artificielle. Elle couvre notamment la politique IA, les responsabilités, l'évaluation des risques, les objectifs, les contrôles et l'amélioration continue.
La norme EN 18286 poursuit une finalité plus ciblée. Elle traite du système de management de la qualité attendu des fournisseurs de systèmes d'IA à haut risque dans le cadre de l'AI Act.
Les deux référentiels peuvent donc être complémentaires.
Une entreprise disposant d'un système de management ISO/IEC 42001 pourra examiner comment y intégrer les exigences spécifiques d'EN 18286 lorsque son activité le justifie.
ISO/IEC 42005:2025 apporte également des lignes directrices pour évaluer les impacts des systèmes d'IA sur les personnes et la société.
Il convient néanmoins de distinguer ces trois référentiels de leurs effets juridiques respectifs. Une certification ISO/IEC 42001 ne garantit pas automatiquement la conformité à l'AI Act ou à la future réglementation suisse.
Que devraient faire les entreprises suisses dès maintenant ?
Avant d'engager une démarche de certification, une organisation devrait disposer d'une connaissance suffisamment précise de ses activités liées à l'intelligence artificielle.
Cela implique notamment de :
- Recenser les systèmes d'IA développés, acquis ou employés dans l'entreprise, y compris les outils adoptés sans validation formelle.
- Identifier les responsables, les fournisseurs, les finalités et les données concernées.
- Déterminer les exigences juridiques et contractuelles applicables, notamment lorsque des activités concernent le marché européen.
- Évaluer les risques techniques, organisationnels et les impacts potentiels sur les personnes.
- Définir les mesures de supervision humaine, de traçabilité, de contrôle des accès et de gestion des incidents.
- Documenter les décisions et vérifier régulièrement l'efficacité des mesures retenues.
Ces travaux doivent tenir compte de la taille de l'organisation, de ses activités et du niveau de risque des systèmes concernés.
Pour une PME qui emploie des outils d'IA générative dans ses processus administratifs, les priorités ne seront pas nécessairement celles d'un fournisseur développant un système d'IA à haut risque destiné au marché européen.
La gouvernance avant la certification
Les annonces du 28 octobre ne rendent pas ISO/IEC 42001 obligatoire en Suisse.
Elles confirment toutefois que la réglementation de l'intelligence artificielle se construit progressivement autour de principes de responsabilité, de transparence et de maîtrise des risques.
La publication d'EN 18286 montre parallèlement comment certaines exigences réglementaires européennes commencent à se traduire en référentiels techniques et organisationnels vérifiables.
Pour les entreprises suisses, l'enjeu n'est donc pas de rechercher systématiquement une certification.
Il consiste d'abord à comprendre où intervient l'IA dans leurs activités, à identifier les obligations qui les concernent et à mettre en place des mesures de gouvernance adaptées.
Une organisation capable de démontrer ses responsabilités, ses évaluations de risques et l'efficacité de ses contrôles disposera d'une base solide pour s'adapter aux évolutions réglementaires.
Un nouveau guide suisse pour les engagements volontaires
L'une des nouveautés présentées le 28 octobre 2026 est le « Guide pour l'élaboration d'un code en matière d'IA », publié par l'Office fédéral de la communication (OFCOM).
Destiné aux entreprises et aux associations, ce document propose une boîte à outils pour formaliser des engagements volontaires en matière d'intelligence artificielle.
Son approche est particulièrement intéressante pour les PME. Le guide comprend des modules rédactionnels couvrant dix thèmes, proposés selon trois niveaux de détail librement combinables. Chaque organisation peut ainsi adapter ses engagements à sa taille, à ses activités, à ses ressources et aux risques associés à ses systèmes d'IA.
Cette modularité permet notamment à une petite entreprise de commencer par des règles simples, puis de renforcer progressivement leur formalisation selon ses besoins. Une organisation dont les activités présentent davantage de risques pourra retenir des dispositions plus détaillées sur les sujets concernés.
L'OFCOM propose également une démarche en plusieurs étapes, depuis la conception du code jusqu'à son amélioration continue. L'objectif est de traduire les engagements en pratiques quotidiennes, de vérifier leur application et de les adapter aux évolutions technologiques et organisationnelles.
Ce guide ne constitue ni une obligation légale supplémentaire ni une certification. Il offre néanmoins un point de départ concret pour les entreprises qui souhaitent structurer leur gouvernance de l'IA sans attendre la future réglementation suisse.
Il peut également compléter une démarche fondée sur ISO/IEC 42001, notamment pour formaliser les politiques internes et sensibiliser les collaborateurs aux règles applicables.
Seeger Consulting accompagne les organisations dans la gouvernance de l'intelligence artificielle, l'évaluation des risques et la mise en place de systèmes de management fondés sur ISO/IEC 42001.
Sources :