Responsabilité liée à l’intelligence artificielle : le cadre légal applicable aux entreprises suisses

Les entreprises suisses recourent de plus en plus à des outils d’intelligence artificielle (IA) pour automatiser certaines décisions opérationnelles : tri de candidatures, évaluation des risques, attribution de prestations, fixation de tarifs ou octroi de crédits. Cette évolution soulève une question juridique essentielle pour les chefs d’entreprise et les responsables de la conformité : en cas de dommage causé par un système automatisé, qui assume la responsabilité ?

Le droit suisse ne dispose pas, à ce jour, d’une législation spécifique à l’intelligence artificielle. Les outils juridiques existants restent toutefois applicables et imposent un certain nombre d’obligations. Cet article présente un état des lieux du cadre légal en vigueur, les enjeux liés au droit applicable et à la compétence des juridictions étrangères ainsi que les principales recommandations à retenir.

Sommaire

• Un cas concret pour illustrer le propos
• L’absence de législation spécifique en Suisse
• La neutralité technologique
• Le Code des obligations : la responsabilité civile extracontractuelle
• La Loi fédérale sur la responsabilité du fait des produits
• La nouvelle Loi sur la protection des données
• La question du droit applicable et du for : un enjeu stratégique souvent négligé
• Application au cas présenté précédemment
• Perspectives 2026-2027
• Cinq recommandations pratiques
• Conclusion

Un cas concret pour illustrer le propos

Considérons une situation pratique. Une compagnie d’assurance suisse, de taille moyenne, recourt à un outil d’IA acquis auprès d’un éditeur américain. Cet outil évalue automatiquement les dossiers des clients et émet des décisions sans intervention humaine. Un matin, l’algorithme refuse une demande sans information préalable adressée au client. Ce dernier saisit le préposé fédéral à la protection des données et envisage une action civile.

Plusieurs acteurs peuvent théoriquement être mis en cause : l’éditeur du logiciel, l’organe dirigeant qui a validé l’acquisition ou le collaborateur ayant configuré les paramètres. Le système d’IA ne dispose, quant à lui, d’aucune personnalité juridique. Il ne peut donc être tenu pour responsable. La répartition des responsabilités entre les parties humaines doit ainsi être tranchée à la lumière du droit positif.

L’absence de législation spécifique en Suisse

La Suisse ne dispose pas d’un équivalent au règlement européen sur l’intelligence artificielle, entré en vigueur par étapes depuis 2024. Le Conseil fédéral a arrêté sa position le 12 février 2025. La Confédération privilégie une approche réglementaire mesurée. Plutôt qu’une législation transversale, elle ratifiera la Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle, signée par le conseiller fédéral Albert Rösti le 27 mars 2025 à Strasbourg.

Cette Convention pose des principes généraux : transparence, non-discrimination, respect de la vie privée et évaluation des risques. Elle vise toutefois principalement les acteurs publics. Pour les entreprises privées, les obligations seront introduites de manière sectorielle et progressive. Un avant-projet doit être mis en consultation d’ici fin 2026, et les modifications législatives concrètes ne sont pas attendues avant 2027.

Pendant cette période transitoire, les entreprises doivent composer avec le droit existant. Les outils juridiques classiques se révèlent toutefois plus robustes qu’il n’y paraît.

La neutralité technologique

Les juristes suisses recourent fréquemment à la notion de neutralité technologique. Celle-ci implique qu’une norme ne privilégie pas une technologie par rapport à une autre, ni un support par rapport à un autre. Elle constitue une technique législative visant à traiter de manière équivalente les différentes technologies et supports disponibles. Cette notion, répond à un impératif de sécurité juridique face à l’évolution rapide des innovations.

Une erreur commise par un algorithme produit les mêmes effets juridiques qu’une erreur commise par un humain ou par un outil informatique classique.

Trois piliers juridiques encadrent ainsi les risques liés à l’IA : le Code des obligations (CO), la Loi fédérale sur la responsabilité du fait des produits (LRFP) et la nouvelle Loi sur la protection des données (nLPD), entrée en vigueur le 1^er septembre 2023.

Le Code des obligations : la responsabilité civile extracontractuelle

L’article 41 du Code des obligations constitue le socle historique de la responsabilité civile en droit suisse. Il stipule que toute personne causant illicitement un dommage à autrui, de manière intentionnelle ou par négligence, est tenue de le réparer.

Appliqué à notre exemple, cet article peut être invoqué si l’entreprise a déployé un outil sans en vérifier la fiabilité, sans former ses collaborateurs (article 55 du Code des obligations) ou sans prévoir un mécanisme de contrôle humain. La faute ne réside pas dans l’utilisation d’une IA, mais dans son utilisation sans les précautions qu’un chef d’entreprise diligent aurait raisonnablement mises en place.

Le principe sous-jacent est clair. En droit suisse, l’IA ne constitue pas un instrument déresponsabilisant. La délégation d’une décision à un algorithme n’exonère pas l’entreprise des conséquences de cette décision. La responsabilité incombe à la personne ou à l’entreprise qui utilise l’outil, et non au système lui-même.

À l’article 41 CO s’ajoute la responsabilité contractuelle prévue aux articles 97 et suivants. Lorsqu’une entreprise s’engage envers un client à fournir un service, elle reste tenue d’exécuter cette obligation correctement. Si un agent conversationnel transmet une information erronée et que le client subit un préjudice, la responsabilité contractuelle de l’entreprise peut être engagée. Le caractère automatisé de l’origine de l’erreur ne constitue pas un motif d’exonération.

La Loi fédérale sur la responsabilité du fait des produits

Adoptée en 1993, la LRFP introduit une responsabilité objective du producteur pour les dommages causés par un défaut de son produit. La responsabilité s’établit indépendamment d’une faute du producteur. Un produit est considéré comme défectueux lorsqu’il n’offre pas le niveau de sécurité auquel on peut légitimement s’attendre.

L’application de la LRFP aux logiciels d’IA fait actuellement l’objet de débats doctrinaux. Historiquement, la loi vise les biens mobiliers. Un logiciel intégré à une machine, comme un bras robotisé utilisé en milieu industriel, entre clairement dans son champ d’application. Pour un logiciel pur, distribué sous forme de service en ligne et hébergé à l’étranger, la doctrine reste partagée.

Pour les éditeurs, cette responsabilité peut être engagée en cas de défaut, y compris pour un comportement inattendu du système. Pour les utilisateurs, la possibilité de se retourner contre l’éditeur dépend de la documentation du défaut, du dommage subi et, surtout, des clauses contractuelles applicables. La majorité des contrats de licence proposés par les principaux éditeurs internationaux comportent d’importantes clauses limitatives ou exonératoires de responsabilité. Une lecture attentive de ces clauses s’impose à toute entreprise utilisatrice.

La nouvelle Loi sur la protection des données

La nLPD, en vigueur depuis le 1^er septembre 2023, ne mentionne pas explicitement l’intelligence artificielle. Elle introduit toutefois plusieurs obligations qui s’appliquent directement aux traitements automatisés. Elle constitue, en pratique, le principal référentiel applicable à l’IA en Suisse.

L’article 21 nLPD impose une obligation d’information lorsqu’une décision est prise « exclusivement sur la base d’un traitement automatisé » et qu’elle produit des effets juridiques ou des conséquences significatives pour la personne concernée. Le tri automatisé de candidatures, le « scoring » de clients, la fixation de primes d’assurance ou l’octroi de crédits relèvent typiquement de cette définition. La personne concernée peut en outre exiger une révision humaine de la décision et faire valoir son point de vue.

La nLPD impose ainsi une architecture minimale de gouvernance pour tout système d’IA traitant des données personnelles : traçabilité, transparence, voie de contestation et intervention humaine sur demande. Ces exigences se retrouveront dans la majorité des projets de mise en conformité menés au cours des prochains mois.

Les sanctions prévues peuvent atteindre 250’000 francs suisses. À la différence du Règlement général sur la protection des données européen (RGPD), la nLPD permet de sanctionner des personnes physiques. Les directeurs, les responsables informatiques et certains collaborateurs peuvent être tenus pour responsables, notamment en cas de comportement intentionnel. L’entreprise n’est pas la seule entité exposée, ses dirigeants peuvent l’être également.

Dès qu’un traitement automatisé présente un risque élevé pour les droits des personnes concernées, la loi exige une analyse d’impact. Ce document formel cartographie les risques et décrit les mesures mises en place pour les atténuer. Pour de nombreuses petites et moyennes entreprises (PME), il s’agit aujourd’hui de la première démarche structurée de gouvernance de l’IA.

La question du droit applicable et du for : un enjeu stratégique souvent négligé

Au-delà du cadre matériel applicable en Suisse, la question du droit applicable et de la juridiction compétente mérite une attention particulière. Les principaux éditeurs de solutions d’intelligence artificielle utilisés par les entreprises suisses sont établis aux États-Unis ou dans des juridictions étrangères. Leurs contrats de licence prévoient, en règle générale, une clause d’élection de droit avec l’application du droit américain ou d’autres législations étrangères, ainsi qu’une clause d’élection de for qui consacre la compétence exclusive des tribunaux locaux ou un recours obligatoire à l’arbitrage commercial international.

Cette configuration produit plusieurs conséquences pratiques. Les dispositions du Code des obligations suisse, n’ont qu’une portée limitée à l’égard de l’éditeur étranger. L’entreprise suisse qui souhaiterait engager la responsabilité de cet éditeur devrait, dans la majorité des cas, agir devant des juridictions étrangères, selon des procédures coûteuses et longues, sous l’empire d’un droit qu’elle ne maîtrise rarement. Les délais de prescription, les règles de preuve et les plafonds d’indemnisation diffèrent en outre sensiblement de ceux que prévoit le droit suisse.

Concrètement, l’entreprise utilisatrice se trouve presque systématiquement en première ligne face à ses propres clients. Elle doit indemniser le préjudice subi, puis tenter, dans un second temps, de se retourner contre son fournisseur. Le succès de cette action récursoire dépend des clauses contractuelles, du droit applicable, de la juridiction compétente et de la solidité des preuves rassemblées.

Cette situation place le choix du fournisseur au rang de décision stratégique, et non plus seulement technique ou budgétaire. Plusieurs critères méritent d’être examinés en amont : la juridiction applicable, les clauses limitatives de responsabilité, les garanties contractuelles offertes, la possibilité de négocier des conditions particulières, ainsi que la localisation des serveurs et des données traitées. Les éditeurs européens, soumis au RGPD et plus accessibles juridiquement, offrent à cet égard certaines garanties que les entreprises suisses ont intérêt à intégrer dans leur grille d’analyse.

La question de la juridiction compétente et du droit applicable illustre une réalité centrale : la conformité ne se limite pas à l’application des règles internes. Elle implique également une réflexion stratégique sur le choix des partenaires technologiques.

Application au cas présenté précédemment

Pour revenir à l’exemple présenté en introduction, plusieurs fondements juridiques pourraient être invoqués simultanément. La décision automatisée prise sans information du client peut constituer une violation de l’article 21 nLPD. Une négligence dans le choix ou le paramétrage de l’outil ouvrirait la voie à une action fondée sur l’article 41 CO. Une violation des engagements contractuels pourrait également être retenue.

L’entreprise reste juridiquement exposée, même lorsque la cause du dommage trouve son origine dans le logiciel d’un tiers. Les éventuelles actions récursoires contre l’éditeur, dépendantes du droit applicable et de la juridiction compétente et des clauses contractuelles, n’interviennent qu’à un second stade.

Perspectives 2026-2027

L’avant-projet de législation attendu pour la fin 2026 devrait privilégier une approche sectorielle. Plutôt qu’un texte général sur l’intelligence artificielle, des ajustements ciblés sont envisagés dans des secteurs spécifiques : santé, finance, transports, administration publique. Seuls les sujets communs à tous les secteurs, comme la protection des données, pourraient faire l’objet d’une régulation horizontale.

Pour les entreprises suisses, cette orientation implique de continuer à composer avec le cadre actuel, légèrement consolidé par de nouvelles dispositions ciblées. Le règlement européen sur l’intelligence artificielle exerce par ailleurs une pression indirecte concrète. Les entreprises qui commercialisent leurs produits dans l’Union européenne ou utilisent des systèmes conçus dans l’UE doivent se conformer à ses exigences.

Cinq recommandations pratiques

Plusieurs mesures concrètes peuvent être mises en place dès maintenant, sans attendre l’adoption de nouvelles dispositions législatives.

Cartographier les usages. Un inventaire des outils d’IA utilisés au sein de l’entreprise constitue le point de départ de toute démarche de conformité. Agents conversationnels, outils de recrutement, analyses de données clients ou générateurs de contenus marketing. Ces solutions sont parfois nombreuses et déployées sans validation centralisée. Cette analyse permet de cartographier les risques et de prioriser les actions à mener.

Documenter les décisions. Toute décision prise par un système automatisé et ayant un impact sur une personne doit faire l’objet d’une trace écrite. Cette documentation constitue le socle de la conformité à la nLPD et représente, en cas de litige, la principale ligne de défense de l’entreprise.

Maintenir l’humain dans la boucle. L’intervention humaine en bout de chaîne, lorsque la décision présente un caractère sensible, n’entrave généralement pas la productivité. Elle protège l’entreprise sur le plan juridique et contribue à la qualité de la décision finale.

Réviser les contrats. Une relecture systématique s’impose à plusieurs niveaux : contrats clients (clauses adaptées à l’usage de l’IA), contrats fournisseurs (garanties offertes par l’éditeur, for et droit applicable) et clause de responsabilité civile (couverture des dommages causés par un système automatisé). Les assureurs suisses commencent à proposer des extensions dédiées aux risques cyber et IA. Le marché évolue rapidement.

Former les collaborateurs. La responsabilité de l’employeur, au sens de l’article 55 CO, comprend également la formation des collaborateurs amenés à utiliser ces outils. Une session de sensibilisation, ciblée et adaptée aux usages, représente un investissement modeste au regard des conséquences potentielles d’un usage non maîtrisé.

Conclusion

Contrairement à une perception parfois répandue, le droit suisse n’est pas démuni face aux risques juridiques liés à l’intelligence artificielle. Le Code des obligations, la Loi fédérale sur la responsabilité du fait des produits et la nouvelle Loi sur la protection des données couvrent déjà une part significative des situations susceptibles de se présenter. La principale source d’incertitude réside moins dans l’absence de règles que dans l’inégale maturité des entreprises face à ces règles.

La Suisse a opté pour une évolution progressive, dans le sillage de la Convention du Conseil de l’Europe. Cette approche prolonge la tradition réglementaire helvétique. Elle place toutefois sur les chefs d’entreprise une responsabilité importante : organiser la gouvernance interne, documenter les décisions, contrôler les outils déployés et anticiper les évolutions du cadre légal.

À cet ensemble s’ajoute la dimension du for et du droit applicable, dont la portée stratégique ne doit pas être sous-estimée. Le choix d’un éditeur logiciel ne relève pas uniquement de critères techniques ou financiers. Il engage la capacité de l’entreprise à faire valoir ses droits en cas de difficulté.

Dans l’attente des adaptations législatives prévues pour 2027, les algorithmes continuent de produire des décisions et les tribunaux continuent de juger sur la base du droit en vigueur. La meilleure stratégie consiste, pour les entreprises, à se préparer dès maintenant.

Sources :

• Secrétariat général DETEC. (2025). La Suisse signe la convention du Conseil de l’Europe sur l’IA. Confédération suisse. www.news.admin.ch/fr/nsb?id=104646
• Koller, R. et Dakic, D. (2025). La Suisse signe la Convention sur l’IA du Conseil de l’Europe. ICTjournal. https://www.ictjournal.ch/news/2025-03-27/mise-a-jour-la-suisse-signe-la-convention-sur-lia-du-conseil-de-leurope Winkler, S., Drukarch, S. et Winkler, M. (2025). Switzerland Sets Its Course on AI Legislation: Federal Council Outlines a Lean Regulatory Approach. Pestalozzi. https://pestalozzilaw.com/en/insights/news/legal-insights/switzerland-sets-its-course-on-ai-legislation-federal-council-out-lines-a-lean-regulatory-approach/
• Office fédéral de la justice. Service d’information. (2025). Intelligence artificielle. Confédération suisse. https://www.sem.admin.ch/bj/fr/home/staat/gesetzgebung/kuenstliche-intelligenz.html
• Préposé fédéral à la protection des données et à la transparence (PFPDT). (2025). IA et protection des données. Confédération suisse.  https://www.edoeb.admin.ch/fr/ia-et-protection-des-donnees
• Jaun, R. (2025). Comment la LPD s’applique-t-elle à l’IA en Suisse ? ICTjournal. https://www.ictjournal.ch/news/2025-05-12/comment-la-lpd-sapplique-t-elle-a-lia-en-suisse Confédération suisse. (2010, mise à jour). Loi fédérale sur la responsabilité du fait des produits (LRFP). Fedlex.  https://www.fedlex.admin.ch/eli/cc/1993/3122_3122_3122/fr
• Justis. (2025). L’intelligence artificielle au quotidien – Vos droits et obligations. Justis. https://www.justis.ch/fr/renseignements_juridiques/artikel/finances/l-intelligence-artificielle-au-quotidien-quels-sont-mes-droits Gilliéron, P. (2025). Réglementation suisse de l’IA 2025 : le pragmatisme prévaut. Gilliéron Avocat. www.gillieronavocat.ch