Aller au contenu principal

IA-19 · IA & Compétences Digitales

Cours-métier IA · Attestation · Niveau intermédiaire

Conformité IA : AI Act & nLPD pour PME suisses

4 modules · 10 leçons · ~10 h d'étude · Attestation

Cours-métier IA · Attestation de compétence

Un cours de 4 modules · 10 leçons · ~10 h d’étude

Structuré en 4 modules, avec des cas suisses chiffrés et un exercice d’application. Se conclut par un quiz final (75% requis) et un livrable de portfolio, qui délivrent une attestation de compétence (validité à vie).

  1. Le métier et le périmètre · leçons 1–2
  2. Le cadre de l’AI Act · leçons 3–5
  3. Conformité suisse (nLPD) et mise en pratique · leçons 6–8
  4. Terrain et attestation · leçons 9–10
Évaluation
Quiz final · 75% requis
Exercice
Un livrable de portfolio auto-corrigé
Attestation
Validité à vie
Prêt·e ? Passez l'examen (correction serveur) pour décrocher votre attestation.Passer l'examen d'attestation →

Attestation de compétence délivrée par SFM Academy (formation privée). Distincte de la certification « niveau avancé » du cursus phare. Ne constitue pas un titre fédéral ni une certification reconnue par la Confédération suisse.

Programme détaillé

MODULE 1Le métier et le périmètre

Leçon 1 — Le métier de référent conformité IA : à quoi ressemblent vos semaines

45 min

  • Le référent conformité IA est un traducteur-coordinateur, pas un juriste ni un ingénieur ; sa valeur est de répondre à « peut-on utiliser cet outil, pour cet usage, avec ces données ? ».
  • Le métier est fait à 80 % de conversations et de documentation courte ; en PME, il est presque toujours à temps partiel et sans autorité hiérarchique — il faut convaincre, pas ordonner.
  • Cinq livrables structurent le rôle : inventaire des usages, grille d'audit d'une page, charte, registre d'incidents, dossier de conformité.
  • Une PME suisse peut être concernée par le cadre européen via le lien commercial (vente, données ou résultats liés à l'UE), et par la nLPD dès qu'il y a des données personnelles.
  • La conformité ne rapporte pas, elle évite des pertes : le bon argument est le risque évité chiffré, pas la peur du règlement.
  • On commence par l'inventaire, jamais par la charte ; et on protège les équipes au lieu de les surveiller.

Leçon 2 — Pourquoi une PME suisse est concernée par un règlement européen

45 min

  • Le droit économique moderne suit le marché, pas le siège : ce n'est pas l'adresse de votre entreprise qui déclenche le règlement européen sur l'IA, mais le fait de toucher des clients, des données ou un marché situés dans l'UE.
  • Trois portes d'entrée : (1) vendre à des personnes situées dans l'UE, (2) traiter les données de personnes situées dans l'UE, (3) voir le résultat de votre IA utilisé dans l'UE. Une seule porte ouverte suffit à mettre le sujet sur la table.
  • La localisation prime sur la nationalité : un Suisse résidant à Annemasse est une personne située dans l'UE ; un Français installé à Genève ne l'est pas du simple fait de son passeport.
  • Ne jamais rassurer un client avec « vous êtes trop petit pour être concerné » : des seuils ou allègements pour PME peuvent exister, mais se vérifient au cas par cas à la source officielle.
  • La nLPD suisse s'applique de toute façon dès qu'il y a des données personnelles, indépendamment de tout lien avec l'UE. Le scénario « aucune règle ne me concerne » n'existe quasiment jamais.
  • Image des deux cercles : le grand cercle est le droit suisse des données (presque toujours applicable) ; le second cercle est le règlement européen sur l'IA (seulement si une porte est ouverte). Beaucoup de PME sont dans les deux.
  • Face à un dirigeant sceptique : valider son intuition géographique, puis déplacer la question de « où suis-je ? » vers « qui je touche, et où sont-ils ? ». Le laisser conclure lui-même à partir de ses propres réponses.
  • Posture de sécurité juridique : sur tout point de calendrier, de seuil ou de champ d'application, dire « je vérifie à la source officielle » plutôt que répondre de mémoire. L'honnêteté documentée construit la confiance et vous protège.
MODULE 2Le cadre de l’AI Act

Leçon 3 — Les niveaux de risque de l'AI Act : où tombent les usages d'une PME

45 min

  • L'AI Act classe des USAGES, pas des technologies : le même modèle d'IA peut tomber dans une catégorie tranquille ou très encadrée selon ce qu'on lui fait faire.
  • La pyramide comporte, selon la classification communément présentée, quatre niveaux : inacceptable/interdit (sommet, très rare), élevé, limité, minimal (socle, majorité des usages).
  • Principe central : les obligations sont proportionnelles au risque. La plupart des usages d'une PME relèveraient probablement du risque minimal, avec peu ou pas d'obligations spécifiques.
  • Tri de CV et scoring (crédit, leasing, paiements) relèveraient probablement du HAUT risque, car ils influencent l'accès à l'emploi ou à des ressources vitales : supervision humaine indispensable.
  • Chatbot de service client et IA générative relèveraient probablement du risque LIMITÉ : l'obligation phare est la TRANSPARENCE — prévenir qu'on parle à une machine ou qu'un contenu est artificiel.
  • La reconnaissance faciale se répartit sur plusieurs niveaux selon l'usage ; l'identification biométrique de personnes à leur insu touche des zones très encadrées côté AI Act ET la nLPD suisse (données sensibles).
  • Double lecture obligatoire pour une PME suisse : l'AI Act (cadre UE) et la nLPD (qui s'applique à tout traitement de données personnelles en Suisse) sont deux plans distincts.
  • Posture professionnelle non négociable : jamais de verdict définitif — formuler prudemment, dater la source, documenter, et escalader vers un juriste pour tout usage qui monte dans la pyramide.

Leçon 4 — Les rôles de l'AI Act : fournisseur, déployeur, importateur, distributeur

45 min

  • La première question de conformité IA n'est pas si votre outil est à haut risque, mais quel rôle vous jouez : l'AI Act répartit typiquement les obligations entre fournisseur, déployeur, importateur et distributeur — la case détermine toute la charge.
  • Une PME qui utilise un outil d'IA du commerce sans l'avoir conçu, revendu ni rebrandé est le plus souvent déployeur — le rôle aux obligations les plus légères (usage conforme, transparence), mais jamais nul.
  • Le fournisseur est typiquement le fabricant du système (conçu ou fait concevoir, mis sur le marché sous son nom) et porte le gros des obligations techniques ; ce rôle a un coût réel de plusieurs milliers de francs qu'on n'endosse ni ne fuit par méconnaissance.
  • Un déployeur peut basculer et être requalifié fournisseur par certains gestes — rebrander un outil, le modifier substantiellement, en détourner la destination — ce qui fait sauter la charge d'obligations sans qu'aucun signal ne prévienne.
  • On qualifie un système à la fois, jamais l'entreprise en bloc : la même PME peut être déployeur pour deux outils et potentiellement fournisseur pour un troisième qu'elle a rebrandé.
  • La méthode des quatre questions (l'ai-je conçu ? le mets-je à disposition de tiers ? l'ai-je rebrandé ou modifié ? sinon j'utilise donc je suis déployeur) sert au triage, pas au verdict : tout point proche du fournisseur, de l'importation ou du haut risque se fait valider par un juriste.
  • L'AI Act et la nLPD suisse se superposent sans se confondre : dès qu'un système traite des données personnelles, la nLPD s'applique indépendamment du rôle AI Act et même quand l'AI Act ne vous concerne pas.
  • Rien de tout cela n'est un avis de droit : chaque qualification et chaque obligation doivent être formulées au conditionnel et validées par un juriste avant d'être opposées à quiconque.

Leçon 5 — Sanctions et enjeux réels : ce que risque vraiment une PME

45 min

  • Le plafond souvent cité — jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial — vise les très grands acteurs et ne décrit quasiment jamais la réalité d'une PME.
  • Les autorités agissent par proportionnalité et gradation : elles commencent par des recommandations et mises en conformité ; la sanction lourde punit l'obstination après avertissement, pas l'erreur initiale de bonne foi.
  • La taille protège contre le contrôle spontané, jamais contre une plainte fondée (client, candidat, employé) ni contre les exigences renforcées d'un usage à haut risque comme le tri de candidatures.
  • Le régime suisse de la nLPD ne raisonne pas en pourcentage du chiffre d'affaires ; sa logique de sanction est d'une autre nature (montant fixe, personne responsable).
  • Les coûts non réglementaires sont plus probables et plus immédiats qu'une amende : perte d'un client sensible, exclusion d'un contrat B2B faute de prouver sa conformité, atteinte à la réputation sur un marché romand étroit.
  • Un incident dans une PME coûte facilement plusieurs dizaines de milliers de francs — temps interne, expertise externe, annonces, remédiation d'urgence, clients qui partent — sans qu'aucune autorité n'intervienne.
  • On parle du risque à un dirigeant sans catastrophisme ni minimisation : séparer le probable, le grave et le maîtrisable ; traduire le chiffre abstrait en scénario concret ; vendre la maîtrise, jamais la peur ; dater ses sources.
  • La meilleure protection d'une PME est la traçabilité : pouvoir prouver sa bonne foi (politique d'usage, registre, formations, gestion des incidents) transforme une erreur en dossier défendable et fait gagner des mandats B2B.
MODULE 3Conformité suisse (nLPD) et mise en pratique

Leçon 6 — nLPD 2023 et systèmes d'IA : ce qui change concrètement

45 min

  • La nLPD est en vigueur depuis le 1er septembre 2023 et s'applique par défaut à toute PME suisse — elle est proche du RGPD mais distincte : être « conforme RGPD » ne suffit pas.
  • Brancher de l'IA sur des noms, emails, CV ou données RH est un traitement de données personnelles : l'IA n'échappe pas à la loi, elle en amplifie les enjeux.
  • Finalité et minimisation d'abord : un but clair en une phrase, et un dataset dégraissé de toute colonne inutile — surtout les champs libres, à relire ou exclure.
  • Transparence : mettez à jour politique de confidentialité, points de collecte et processus RH pour signaler l'usage d'IA et les transferts à l'étranger, en langage compréhensible.
  • Profilage et décisions automatisées à impact (embauche, crédit, refus de service) : gardez toujours un humain dans la boucle qui peut renverser la recommandation.
  • Sous-traitants et transferts : vérifiez hébergement, contrat de traitement (DPA) et option de non-entraînement avant de signer ; tenez un registre même si vous vous croyez dispensé.
  • Les 6 réflexes (finalité, dégraisser, cohérence, trajet des données, humain dans la boucle, sécuriser + écrire la règle) transforment un projet risqué en projet défendable.
  • Pour toute obligation précise (seuils, profilage à risque élevé, droits opposables, transferts), faites-la valider avec un juriste ou une source officielle comme le PFPDT — cette leçon donne les réflexes, pas la certification.

Leçon 7 — Cas chiffré : mettre en conformité une PME suisse qui vend en Europe

45 min

  • Une PME suisse qui vend activement dans l'UE peut relever à la fois de la nLPD ET du RGPD/AI Act : le critère n'est pas le siège, mais où sont les personnes et où sont utilisés les résultats.
  • Rien ne se fait sans un inventaire exhaustif des systèmes d'IA, système par système : la moitié des usages (moteur de reco, scoring) sont des « fantômes » activés sans que la direction le sache.
  • Les obligations dépendent du RÔLE (fournisseur vs déployeur, voire importateur), à qualifier système par système et par écrit — modifier substantiellement un outil peut faire basculer vers le rôle, plus lourd, de fournisseur.
  • On classe le risque prudemment : concentrer l'énergie sur les systèmes sensibles (tri de CV côté emploi, scoring qui bloque des commandes) plutôt que sur le chatbot qui « se voit » plus. Classifications toujours provisoires, à faire valider juridiquement.
  • Faire le travail ne suffit pas : il faut le PROUVER via un dossier daté et versionné (inventaire, fiches, registre, politique de confidentialité, DPA, procédures de surveillance humaine, journal de décisions).
  • Le coût se chiffre en jours-personne × tarif (repère illustratif : ~9 jours, ordre de CHF 12'000-15'000 initial + CHF 1'500-3'000/an), avec un recours juridique ciblé sur les seuls points chauds pour maîtriser la facture.
  • Le ROI se démontre en confrontant ce coût borné à l'exposition — dont le risque le plus PROBABLE pour une PME suisse est commercial (perte de clients européens), pas la sanction médiatisée : un seul contrat B2B sécurisé rembourse souvent toute la démarche.
  • On ne brandit jamais un montant de sanction comme une certitude et on ne promet jamais « zéro risque » : on vend un risque maîtrisé, documenté, et daté — l'honnêteté est ce qui rend le dossier crédible face à un client ou un auditeur.

Leçon 8 — Documenter : constituer le dossier de conformité minimal

45 min

  • Le dossier ne prouve pas que vos outils sont parfaits : il prouve que vous avez agi en bon professionnel. Documenter la bonne foi, c'est pouvoir montrer, daté, ce que vous avez fait et pourquoi.
  • L'inventaire des usages est la pièce racine : un registre vivant, daté, où l'on liste des usages (pas des logiciels) et où la colonne « décision assistée ? » sépare le risque faible du risque lourd.
  • On ne trace pas la sortie de l'IA, on trace la décision humaine qui l'a suivie. Les cas où l'humain a contredit la machine sont vos meilleures preuves de supervision réelle.
  • Le point de contrôle humain se place juste avant l'effet irréversible. Une supervision n'existe que si le validateur peut vraiment dire non aussi facilement qu'oui.
  • Un registre d'incidents bien tenu rassure ; zéro incident déclaré inquiète. On consigne aussi les petits ratés, avec une action corrective datée reliée aux autres pièces.
  • La politique d'usage s'écrit en dernier et en langage clair, avec une liste noire de données interdites et une preuve de réception datée par chaque collaborateur.
  • Ordre de construction : inventaire, puis traçabilité, supervision, incidents, et politique en synthèse. Une page de garde datée et des versions conservées font la crédibilité.
  • Un dossier vaut par sa vie, pas par son épaisseur : trente minutes de revue par trimestre battent cent pages écrites une fois. Toute référence légale gagne à être validée avec un juriste.
MODULE 4Terrain et attestation

Leçon 9 — Les erreurs qui coûtent cher au référent conformité

45 min

  • Le risque IA vient de l'usage — quelles données, quelle décision, quel impact — jamais de la marque de l'outil : cartographiez des usages, pas des logiciels.
  • Une charte se mesure au nombre de personnes capables de la citer, pas à son épaisseur : séparez la politique de référence des trois règles opérationnelles à retenir.
  • Hors UE n'égale pas hors périmètre : dès qu'un système touche des personnes ou vise un marché hors de Suisse, le périmètre se déplace et mérite un avis daté.
  • L'IA clandestine se combat par la lumière et l'amnistie déclarative, pas par l'interdiction : un canal rapide et bienveillant vaut mieux qu'un mur qui pousse au contournement.
  • Conformité IA et protection des données sont deux examens distincts : ajoutez toujours la grille IA (décision, explicabilité, biais, contrôle humain) à la grille données.
  • La conformité est un film, pas une photo : remplacez l'audit ponctuel par un rituel trimestriel léger et des déclencheurs accrochés aux routines existantes.
  • On signale à un allié, on cache à un juge : la posture de protecteur ferme fait remonter l'information dont dépend toute la conformité réelle.
  • Presque toutes ces erreurs confondent le formalisme avec la réalité : le bon référent surveille ce qui se passe, pas ce qui est écrit.

Leçon 10 — Atelier : la checklist de conformité IA appliquée à un cas

45 min

  • Le livrable de l'atelier est UNE checklist de conformité IA remplie : recensement des usages, rôle, niveau de risque, points nLPD, corrections et dossier minimal — la pièce qui rejoint ton portfolio et prépare l'attestation.
  • On suit toujours le même ordre : recenser et situer le rôle, puis évaluer le risque, puis repérer les points nLPD, puis lister les corrections et constituer le dossier. Cet ordre n'est pas négociable.
  • On classe l'USAGE dans son CONTEXTE, jamais l'outil en général : le même modèle est minimal pour rédiger une annonce et à haut risque pour trier des candidatures.
  • Une PME qui achète et branche des outils est presque toujours déployeur — mais une modification substantielle ou un rebadge peut la faire glisser vers le rôle de fournisseur, à surveiller usage par usage.
  • « Un humain valide toujours » ne déclasse pas un usage à haut risque si la supervision est cosmétique : la supervision doit être réelle, formée et capable de contredire la machine.
  • En Suisse, la nLPD attrape souvent ce que l'échelle de risque IA laisse filer : décision automatisée, profilage, analyse d'impact et surtout transfert de données à l'étranger sont les pièges concrets.
  • Chaque classification de risque ou de rôle est une hypothèse de travail à faire valider par un juriste et à dater : la date de classification, la date de revue et l'avis juridique sont les fusibles qui empêchent le dossier de mentir avec le temps.
  • Une correction est un verbe d'action avec responsable et échéance, priorisée par gravité et effort, et pointant vers une pièce concrète du dossier minimal — pas un simple constat.

Accédez à ce cours et à toute l'Academy

CHF 0 aujourd'hui · Annulable en 1 clic avant le 1er débit

Démarrer mon essai

Aller plus loin