Incidents d’agents IA en Suisse
Tous les incidents du registre liés à la Suisse : l’IA y a été conçue ou exploitée, les personnes touchées s’y trouvent, les faits s’y sont produits, ou des chercheurs sur place les ont découverts.
3 incidents 8 sources 103 dans le monde
Au 26 oct. 2026, mis à jour chaque matin.
Jours sans incident d’agent signalé en Suisse
518
Dernier signalement le 26 mai 2025Le chatbot Gomo de Salt affirme à tort que les données en itinérance sont incluses, un client reçoit une facture3 incidents
Les 103 incidents dans le monde- EEAIR-2025-014 mai 2025 Un ticket GitHub malveillant détourne des agents utilisant le serveur MCP de GitHub pour divulguer des données de dépôts privés Serveur MCP de GitHubPreuve de conceptSuisse Découvert par Invariant Labs, une société de recherche en sécurité basée à Zurich. 89 %
- EEAIR-2025-039 avr. 2025 Des descriptions d’outils MCP empoisonnées font fuiter des clés SSH et des conversations WhatsApp depuis Cursor Agent Cursor (et autres clients MCP) connecté à des serveurs MCP tiers, Anysphere (Cursor)Preuve de conceptSuisse Découvert par Invariant Labs, société de recherche en sécurité basée à Zurich. 82 %
- EEAIR-2025-037 2025 Le chatbot Gomo de Salt affirme à tort que les données en itinérance sont incluses, un client reçoit une facture Chatbot IA du service client de GomoSuisse Chatbot de la marque Gomo de l’opérateur suisse Salt ; cas rapporté par la SRF. 73 %
Les agents IA et le droit suisse
À jour en octobre 2026. Ce projet reste attendu.
La Suisse n’a pas de loi propre à l’IA. Le 12 février 2025, le Conseil fédéral a décidé de ratifier la Convention du Conseil de l’Europe sur l’IA en adaptant le droit suisse, surtout par secteur. Le DFJP doit lui soumettre un projet de consultation d’ici fin 2026.
Selon le PFPDT, la LPD révisée, en vigueur depuis le 1er septembre 2023, s’applique directement à l’IA ; toute violation de données à risque élevé doit lui être annoncée dans les meilleurs délais. La FINMA précise ses attentes sur l’IA dans sa communication 08/2024 ; les établissements surveillés lui annoncent sous 24 heures les cyberattaques importantes. Depuis le 1er avril 2025, les exploitants d’infrastructures critiques doivent signaler sous 24 heures les cyberattaques à l’Office fédéral de la cybersécurité. Les entreprises suisses qui mettent des systèmes d’IA sur le marché de l’UE, ou dont les sorties y sont utilisées, relèvent du règlement européen sur l’IA.
Sources
- OFCOM : intelligence artificielle, l’approche du Conseil fédéral
- Réponse du Conseil fédéral à l’interpellation 26.3414 (20 mai 2026, en allemand)
- PFPDT : la loi sur la protection des données s’applique directement à l’IA
- Communication FINMA sur la surveillance 08/2024
- OFCS : obligation de signaler les cyberattaques contre des infrastructures critiques
Vous déployez des agents en Suisse ?
L’EE Agent Safety Protocol, en développement, adapte garde-fous, évaluations et bac à sable à vos agents. Parler à l’équipe.