Les risques de l'IA en entreprise, en Suisse

Les risques liés à l'IA en entreprise ne sont pas monolithiques. Ils se répartissent en quatre familles distinctes, chacune avec ses causes, ses conséquences et ses leviers de maîtrise. Comprendre cette cartographie est la première étape avant tout déploiement.

La Suisse ne dispose pas encore d'une loi spécifique sur l'IA. L'approche retenue est celle de la neutralité technologique : les lois existantes s'appliquent. Cela signifie que trois corpus légaux encadrent directement l'usage de l'IA en entreprise.

La nouvelle Loi fédérale sur la protection des données (nLPD, entrée en vigueur en septembre 2023) est directement applicable aux traitements par IA. Elle impose transparence sur la finalité et les sources de données, analyse d'impact en cas de risques élevés, et droit à la révision humaine des décisions automatisées (art. 21 nLPD). Les sanctions peuvent atteindre 250'000 CHF et engagent la responsabilité personnelle des dirigeants.

Le Code des obligations (art. 41 CO) impose à l'entreprise utilisatrice de réparer tout dommage causé par un système IA qu'elle exploite. L'entreprise est responsable, pas le système. La Loi fédérale sur la responsabilité du fait des produits (LRFP) peut également s'appliquer si l'IA est qualifiée de composant défectueux.

L'AI Act européen, adopté en mars 2024 et entrant progressivement en application jusqu'en 2026, concerne directement les entreprises suisses qui opèrent sur le marché européen ou dont les systèmes IA sont déployés dans l'UE. Il classe les IA en quatre niveaux de risque (inacceptable, élevé, limité, minimal) et impose des obligations de documentation, d'audit et de marquage CE pour les systèmes à risque élevé.

L'IA générative produit des résultats statistiquement probables, pas nécessairement exacts. Le phénomène d'hallucination, où le modèle génère des informations fausses présentées avec assurance, est documenté dans tous les grands modèles actuels. En contexte professionnel, cela peut se traduire par des contrats mal rédigés, des analyses financières erronées, des réponses clients incorrectes ou des décisions médicales défaillantes.

La dépendance opérationnelle est un risque souvent sous-estimé. Lorsqu'un processus critique repose entièrement sur un système IA d'un fournisseur externe, une panne, une modification des conditions d'utilisation ou une augmentation tarifaire peut désorganiser l'activité. Sans plan de continuité, la vulnérabilité est structurelle.

Un modèle entraîné sur des données historiques hérite des biais de ces données. En contexte de recrutement, d'octroi de crédit, de tarification d'assurance ou d'évaluation de performance, un algorithme biaisé peut conduire à des décisions discriminatoires au sens du droit suisse et européen, même sans intention de nuire.

L'absence de contrôle humain sur ces décisions aggrave le risque : la discrimination n'est pas visible dans le processus, elle n'apparaît que dans les résultats. En Suisse, la nLPD impose que les décisions automatisées ayant des effets juridiques significatifs sur une personne soient soumises à un droit de révision humaine.

La majorité des outils IA grand public (ChatGPT, Copilot, Gemini) traitent les données sur des serveurs localisés aux États-Unis. Lorsqu'un collaborateur saisit des informations confidentielles, des données clients, des secrets commerciaux ou des données personnelles dans ces outils, ces données quittent le périmètre de l'entreprise et potentiellement la juridiction suisse et européenne.

La puissance de calcul mondiale reste très largement concentrée aux États-Unis, laissant l'Europe dans une dépendance structurelle aux hyperscalers américains. Cette réalité crée un risque de souveraineté que les entreprises suisses, notamment dans les secteurs réglementés (finance, santé, assurance, administration), ne peuvent plus ignorer.

L'hébergement des données est un critère de sécurité, pas seulement de confort. Des alternatives existent, notamment des modèles open source hébergés sur infrastructure européenne, qui permettent de traiter des données sensibles sans les transférer hors de l'UE.

De nombreuses entreprises suisses ont adopté l'IA, mais la stratégie reste souvent à la traîne. L'adoption sans gouvernance est elle-même un risque : les usages se multiplient de manière non coordonnée, les responsabilités restent floues, et aucun cadre ne définit quelles données peuvent être partagées avec quels outils.

Le lock-in fournisseur est une forme de dépendance stratégique. Lorsque les processus d'une entreprise reposent sur un outil IA propriétaire, migrer vers une alternative devient coûteux, risqué et techniquement complexe. À terme, le fournisseur dispose d'un pouvoir de marché qui érode la capacité de négociation de l'entreprise.

Le manque de compétences internes est l'un des premiers obstacles à une adoption structurée. Les PME ne peuvent généralement pas constituer seules une équipe de gouvernance IA. L'accompagnement externe, qu'il soit conseil, formation ou prestataire technique, est donc un facteur de réduction du risque, pas un luxe.

La Suisse opte pour une approche de neutralité technologique : pas de loi IA unique, mais application des lois sectorielles existantes. Concrètement, en 2025-2026, les textes suivants s'appliquent directement aux usages IA en entreprise :

Le PFPDT (autorité fédérale de protection des données) a confirmé que la nLPD est directement applicable aux traitements par IA, sans ambiguïté. L'autorité surveille notamment les cas de reconnaissance faciale, de surveillance comportementale et de traitement de données sensibles par des systèmes automatisés.

Pour les entreprises exposées à l'UE, l'AI Act s'ajoute en couche réglementaire. Les premiers interdictions (niveau de risque inacceptable) sont entrées en vigueur en février 2025. Les obligations pour systèmes à risque élevé s'appliquent progressivement jusqu'en août 2026.

La gestion des risques IA n'exige pas de tout arrêter ni de tout refaire. Elle demande une approche structurée, proportionnée à la taille et au secteur de l'organisation. Voici les étapes prioritaires identifiées par les praticiens suisses du domaine.

Pour les entreprises suisses qui souhaitent déployer des outils IA métier, portails clients, logiciels internes ou agents IA sans transférer leurs données à des hyperscalers américains, Kleap propose une approche basée sur trois principes.

Premier principe : infrastructure européenne. Les déploiements s'appuient sur Hetzner (Allemagne, certifié ISO 27001) et des modèles open source dont les données ne quittent pas l'UE et ne sont pas réutilisées pour entraîner des modèles tiers.

Deuxième principe : accompagnement. Kleap ne vend pas un outil, mais propose un résultat livré par une équipe. Trois voies sont disponibles : construction clé en main via l'agence partenaire Lionscreative, mise en relation avec un prestataire spécialisé, ou déploiement Kleap Entreprise en mode guidé.

Troisième principe : traçabilité. Les actions des systèmes IA déployés sont auditables. Les dirigeants peuvent documenter les décisions pour répondre aux exigences nLPD et préparer une conformité AI Act.