Chatbot et AI Act en Suisse : ce que doit faire une PME

Note préalable : cet article est rédigé à titre informatif et ne constitue pas un conseil juridique. Pour votre situation précise, consultez un avocat spécialisé en protection des données.

Vous avez un chatbot sur votre site, un assistant qui répond aux e-mails ou des textes rédigés avec l'aide d'une IA ? Depuis le 2 août 2026, l'article 50 du règlement européen sur l'IA (« AI Act ») fixe des règles de transparence. Une date circule beaucoup, le 2 décembre 2026, et elle est souvent mal comprise. Voici ce qui change, pour qui, et ce que vous pouvez vérifier dès cette semaine.

Ce que dit l'article 50 de l'AI Act

L'article 50 du règlement (UE) 2024/1689 contient plusieurs règles de transparence. Quatre intéressent une PME :

• Chatbot (paragraphe 1). Les systèmes d'IA destinés à interagir directement avec des personnes doivent être conçus pour que celles-ci soient informées qu'elles échangent avec une IA, sauf si c'est évident pour une personne raisonnablement informée et attentive.
• Marquage des contenus (paragraphe 2). Les fournisseurs de systèmes qui génèrent du son, de l'image, de la vidéo ou du texte doivent marquer ces contenus dans un format lisible par machine, pour qu'ils soient détectables comme générés par IA.
• Hypertrucages (paragraphe 4). Celui qui utilise une IA pour produire une image, un son ou une vidéo constituant un hypertrucage doit indiquer que le contenu a été généré ou manipulé.
• Textes d'intérêt public (paragraphe 4). Les textes générés par IA et publiés pour informer le public sur des sujets d'intérêt public doivent être signalés, sauf s'ils ont été relus par un humain ou soumis à un contrôle éditorial, avec une personne responsable de la publication.

Ces obligations s'appliquent depuis le 2 août 2026.

Le 2 décembre 2026 : une date qui ne concerne pas votre chatbot

Selon les analyses publiées après l'adoption du « Digital Omnibus », seul le paragraphe 2 (le marquage des contenus générés) bénéficie d'un délai supplémentaire jusqu'au 2 décembre 2026, et uniquement pour les fournisseurs de systèmes déjà sur le marché avant le 2 août 2026 (analyse de Vizio). L'information de l'utilisateur sur un chatbot (paragraphe 1) s'applique, elle, sans délai.

Autrement dit : si votre site propose un assistant conversationnel, ne comptez pas sur décembre pour vous mettre en règle. Le délai de décembre concerne d'abord les éditeurs des outils, pas la PME qui les utilise.

Une PME suisse est-elle concernée ?

Peut-être, et c'est la bonne nouvelle comme la mauvaise. L'article 2 de l'AI Act s'applique aussi aux fournisseurs et aux utilisateurs établis dans un pays tiers, « lorsque les résultats produits par le système d'IA sont utilisés dans l'Union ». Une PME genevoise qui sert des clients à Annemasse ou à Lyon avec un chatbot ou des contenus générés peut donc entrer dans le champ. Une PME qui n'a aucun lien avec l'UE y est moins exposée.

Côté suisse, la nLPD reste dans tous les cas la référence : le Préposé fédéral à la protection des données (PFPDT) a rappelé en novembre 2023 que la loi sur la protection des données est directement applicable aux traitements basés sur l'IA. Notre page conformité IA pour PME (nLPD et AI Act) et l'article nLPD & RGPD : héberger l'IA de votre PME en Suisse détaillent ce volet.

5 vérifications à faire sur le site de votre PME

1. Votre chatbot se présente-t-il comme une IA ?

Ouvrez votre site comme un visiteur. Dès l'ouverture du chat, une phrase simple (« Je suis un assistant IA ») doit apparaître, pas seulement dans les mentions légales. Un prénom humain et une photo sans autre précision, c'est ce qu'il faut éviter.

2. Savez-vous qui est le fournisseur de votre outil ?

L'obligation du paragraphe 1 pèse sur le fournisseur du système. Si vous utilisez un outil du marché, demandez par écrit comment il informe l'utilisateur. Si c'est une solution développée pour vous, précisez ce point dans le cahier des charges.

3. Vos formulaires et vos e-mails automatiques sont-ils clairs ?

Une réponse automatique rédigée par une IA et envoyée à un client doit rester honnête sur sa nature quand le client peut croire parler à une personne. Ajoutez une mention courte et un moyen de joindre un humain.

4. Quels contenus générés publiez-vous ?

Faites l'inventaire : images, vidéos, voix de synthèse, textes. Une image réaliste qui montre une personne ou un lieu qui n'existe pas relève du paragraphe 4 : indiquez qu'elle est générée. Pour les textes, une relecture humaine avec un responsable identifié vous protège dans le cas visé par ce paragraphe.

5. Vos données personnelles sont-elles couvertes (nLPD) ?

Un chatbot reçoit des noms, des adresses e-mail, parfois des détails sensibles. Vérifiez que votre politique de confidentialité mentionne l'outil d'IA, où les données sont traitées et qui est le sous-traitant. C'est le volet nLPD, indépendant de l'AI Act.

Pas le temps de faire cet inventaire ? Notre audit gratuit en 48h passe en revue votre site et vos outils d'IA et vous remet une liste claire de ce qui mérite d'être corrigé.

Exemple : une régie genevoise avec un assistant de réception

Prenons une régie qui a installé un assistant sur son site pour répondre aux locataires. Pour être à jour, elle vérifie que l'assistant se présente comme une IA dès la première ligne, que le locataire peut demander un humain, que les signalements de dommages (qui contiennent des données personnelles) sont traités selon la politique de confidentialité, et que les images illustratives générées sur le site sont indiquées comme telles. Quatre vérifications, aucune ne demande un projet informatique.

Questions fréquentes

Si vous voulez voir où en est votre PME, demandez votre audit gratuit en 48h ou écrivez-nous. Pour comprendre la différence entre un simple chatbot et un agent IA, lisez aussi Agent IA ou chatbot : quelle différence pour une PME ?