Semaine type d'un référent conformité IA en PME

Il y a trois ans, le métier que tu commences à apprendre n'existait pas dans les PME suisses. Aujourd'hui, dans une entreprise romande de vingt personnes, il y a de plus en plus souvent quelqu'un dont on dit, à la machine à café : « c'est elle qui s'occupe de l'IA ». Cette personne n'est ni juriste, ni informaticienne, ni forcément cadre. C'est le référent conformité IA. Et si tu lis cette leçon, c'est probablement toi dans quelques semaines — soit parce que ton employeur t'a désigné, soit parce que tu veux vendre cette compétence à des PME qui ne savent pas par où commencer.

Commençons par tuer le malentendu le plus coûteux : être référent conformité IA, ce n'est PAS connaître le règlement européen par cœur. Un juriste spécialisé fait ça mieux que toi, il facture CHF 250 à 400 de l'heure, et aucune PME de dix-huit salariés n'a les moyens de lui faire auditer chaque usage de ChatGPT. Ton rôle est ailleurs, et il est précieux justement parce qu'il est différent. Tu es la personne qui sait OÙ l'intelligence artificielle est utilisée dans l'entreprise, qui sait SITUER chaque usage sur une échelle de risque, qui DOCUMENTE ce qui se fait, qui écrit une politique d'usage lisible, qui FORME les collègues, et surtout qui sait reconnaître les trois questions qui méritent vraiment l'avis payant d'un avocat — au lieu des trente que tu traites toi-même.

📌 L'image juste, c'est celle du responsable qualité ou du responsable sécurité. Personne n'attend du responsable sécurité qu'il soit ingénieur en résistance des matériaux : on attend qu'il connaisse l'entreprise, qu'il repère les risques concrets, qu'il mette en place des procédures simples et qu'il appelle l'expert quand il le faut. Le référent conformité IA, c'est exactement ça, appliqué à un sujet neuf. Tu es un traducteur et un organisateur, pas un savant. Ta valeur ne vient pas de ce que tu récites, elle vient de ce que tu structures.

Pourquoi ce métier explose-t-il maintenant ? Deux forces, et il faut bien comprendre que la seconde compte souvent plus que la première. La première, c'est la peur réglementaire : le patron lit dans la presse les mots « AI Act », « amendes », « RGPD de l'intelligence artificielle », et il a peur sans savoir précisément de quoi. Le règlement européen sur l'IA a été adopté en 2024 et entre en application par paliers sur plusieurs années ; la nouvelle loi suisse sur la protection des données (nLPD) est, elle, en vigueur depuis le 1er septembre 2023 et s'applique à tout traitement de données personnelles. Une PME suisse peut être concernée par le cadre européen dès qu'elle a un lien commercial avec l'Union — nous y consacrerons toute la leçon 2. Mais retiens déjà que le patron ne t'attend pas pour une dissertation : il t'attend pour dormir tranquille.

⚠️ La seconde force est plus terre à terre, et c'est elle qui va payer ton salaire ou tes mandats : la pression commerciale. De plus en plus de donneurs d'ordre — grands comptes, collectivités, propriétaires institutionnels, clients B2B exigeants — demandent à leurs fournisseurs de PROUVER qu'ils ont une gouvernance de l'IA documentée avant de signer. Pas de dossier, pas de contrat. Le référent conformité IA ne fait donc pas que protéger l'entreprise d'un risque : il lui OUVRE des marchés. C'est un vendeur de tranquillité pour le patron, et un ouvreur de portes pour le commercial. Quand tu présentes ton rôle sous cet angle, tu cesses d'être un centre de coût et tu deviens un investissement. Garde cette phrase en tête pour toute la suite du cursus : la conformité bien menée, dans une PME, c'est d'abord un argument de vente.

Dernière chose avant d'entrer dans le concret. Ce métier a une particularité rare : il est jeune. Cela veut dire que personne, autour de toi, n'a dix ans d'expérience. Un débutant sérieux, méthodique et honnête vaut, sur ce sujet, bien plus qu'un expert autoproclamé qui affirme des certitudes que personne ne peut encore avoir. Ton meilleur atout n'est pas de tout savoir — c'est de savoir dire « je vais faire confirmer ce point » au bon moment. Nous allons voir, tout au long de cette première leçon, à quoi ressemble concrètement une semaine, une journée, et un livrable de ce métier, pour que tu puisses te projeter comme si tu y étais déjà.

Quand on imagine un métier de la conformité, on se représente une personne seule devant des textes de loi. La réalité du référent conformité IA en PME est presque l'inverse : c'est un métier de contact. Regardons une semaine ordinaire, répartie sur cinq jours, pour que tu voies où passe réellement le temps.

Lundi — veille et cadrage. Tu commences la semaine par une demi-heure de veille : as-tu manqué une évolution majeure du cadre européen ou une prise de position du Préposé fédéral à la protection des données ? Attention, veille ne veut pas dire tout lire : ça veut dire repérer ce qui change QUELQUE CHOSE pour ton entreprise. Le reste du lundi, tu planifies. Tu regardes ton registre des usages IA — le document central du métier, on y revient — et tu décides quel service tu vas aller voir cette semaine. Un bon référent avance service par service, pas dans le désordre.

Mardi — terrain. C'est le cœur du métier. Tu vas t'asseoir une heure avec une équipe — le marketing, les ressources humaines, l'administration des ventes — et tu cartographies ce qu'elle fait réellement avec l'IA. Pas ce qu'elle est censée faire : ce qu'elle fait vraiment, y compris les outils qu'elle utilise « en douce » parce qu'ils font gagner du temps. Cette heure de terrain vaut dix heures de lecture. C'est là que tu découvres que la comptable colle des extraits de relevés dans un assistant pour les résumer, ou que le commercial génère ses e-mails avec un outil dont personne n'a validé les conditions.

💡 Le savoir-faire de ce mardi tient en une phrase : tu ne demandes jamais « est-ce que tu enfreins une règle ? », tu demandes « montre-moi comment tu gagnes du temps ». La première question ferme les bouches ; la seconde les ouvre. Nous y reviendrons dans la section sur le savoir-faire tacite, parce que c'est probablement la compétence la plus rentable du métier.

Mercredi — documentation. Le lendemain du terrain, tant que c'est frais, tu mets à jour tes documents. Tu ajoutes les usages découverts au registre, tu poses pour chacun une première hypothèse de niveau de risque, tu notes les points de protection des données à creuser. Ce n'est pas de la paperasse pour la paperasse : c'est ce document qui, le jour où un client exige ta gouvernance IA, se sort d'un tiroir et prouve en trente secondes que l'entreprise sait ce qu'elle fait. La documentation est ta mémoire et ta preuve.

Jeudi — liaison. Le référent n'est pas seul : il est un point de jonction. Le jeudi, tu prépares le comité (souvent un simple point de trente minutes avec la direction) et tu passes tes coups de fil de liaison. C'est le jour où tu appelles la fiduciaire pour un point de TVA lié à un outil, ou l'avocat de l'entreprise pour LA question précise que tu ne peux pas trancher seul. L'art ici, c'est de préparer une question nette : un juriste facture au temps, et « est-ce qu'on est en règle avec l'IA ? » lui coûtera cher et ne te rapportera rien, alors que « notre outil de tri de candidatures est-il à considérer comme à haut risque au sens de l'annexe, oui ou non ? » tient en un quart d'heure.

Vendredi — transmission. Une conformité qui vit dans un seul cerveau ne protège personne. Le vendredi, tu transmets : une mini-formation de trente minutes à une équipe, un message récapitulatif « ce qu'on a le droit de faire / ce qu'on évite », les réponses aux « est-ce que j'ai le droit de… » accumulées dans la semaine. C'est le jour où la conformité passe du classeur aux têtes.

📌 Fais le compte : sur cinq jours, tu as passé environ trois demi-journées avec des humains (terrain, liaison, transmission), une à documenter et un petit bout à faire de la veille. Le ratio, dans une PME, tourne autour de 60 % de relationnel et de terrain, 30 % de documentation, 10 % de veille. Si tu imaginais un métier solitaire de lecture juridique, corrige tout de suite l'image : c'est un métier d'enquête et de diplomatie, où le droit est un outil parmi d'autres, pas le décor permanent.

Rien ne vaut une journée réelle pour comprendre un métier. Prenons une entreprise fictive mais crédible et suivons-la heure par heure. Optiled Sàrl, à Yverdon-les-Bains, importe et pose des solutions d'éclairage LED pour des commerces et des collectivités. Dix-huit salariés, un chiffre d'affaires de l'ordre de CHF 4,5 millions, pas de service informatique : on achète des outils tout faits et on branche parfois de l'IA générative grand public. Tu interviens comme référent conformité IA, soit en interne, soit en mission. Voici ton mardi.

8 h 30 — le café et la vraie première question. Tu n'as pas encore posé ton sac qu'un collègue de l'administration des ventes t'attrape : « Dis, j'ai mis notre liste de clients dans ChatGPT hier pour préparer un mailing, tu crois que c'est grave ? » Ta réaction ici définit tout ton métier. Le mauvais réflexe serait de blêmir et de dramatiser. Le bon réflexe : rester calme, remercier pour la franchise (il vient de te signaler tout seul un usage à risque, c'est un cadeau), poser deux questions simples — quelles données exactement, et l'outil était-il un compte professionnel encadré ou un compte gratuit personnel — et noter l'usage pour le traiter proprement. Tu ne juges pas, tu documentes. Un collègue qui se fait engueuler la première fois ne te dira plus jamais rien, et tu perdras ta seule source d'information sur les usages informels.

9 h 00 — entretien avec la responsable ADV. Une heure, cartographie en main. Tu passes en revue sa semaine type à elle : devis, relances, réponses aux appels d'offres, mailings. Pour chaque tâche, une question : « à quel moment une machine décide, rédige ou trie à ta place ? » Tu découvres trois usages : la génération d'e-mails commerciaux, le résumé d'appels d'offres reçus, et un petit outil qui « note » les leads entrants. Ce dernier te fait tiquer — dès qu'un système classe des personnes ou des demandes et influence une décision, il faut y regarder de plus près. Tu ne tranches rien sur le moment ; tu écris.

10 h 30 — la personne marketing et son outil d'images. Elle génère des visuels avec un outil d'IA et se demande si elle a le droit de les utiliser dans une brochure client. Question de droits d'usage et de transparence, que tu notes sans improviser de réponse définitive : c'est typiquement un point que tu confirmeras plus tard, éventuellement avec un juriste si l'enjeu commercial est réel.

14 h 00 — documentation, et un usage malin de l'IA pour t'aider. L'après-midi, tu transformes tes notes brutes en lignes propres du registre. Et là, ironie utile du métier, tu utilises toi-même un assistant IA pour gagner du temps — proprement, sur des données non sensibles. Compare deux façons de le solliciter.

Prompt de débutant (avant) : « résume mes notes sur les usages IA de l'ADV ».

Prompt de professionnel (après) : « Tu es un assistant qui structure des notes d'audit. À partir du texte ci-dessous, produis un tableau avec les colonnes : usage (nom court), description en une phrase, données concernées, présence de données personnelles (oui/non/à préciser), première hypothèse de niveau de risque. N'invente aucune information absente du texte ; si une donnée manque, écris "à préciser". Ne conclus rien sur le plan juridique. »

La différence est le métier tout entier : le second prompt cadre le rôle, impose un format réutilisable, interdit l'invention et interdit à la machine de rendre un verdict juridique à ta place. 💡 Retiens ce principe pour tout le cursus : quand tu fais appel à un LLM dans ton travail de conformité, tu l'utilises pour METTRE EN FORME, jamais pour DÉCIDER, et tu ne lui donnes jamais de données personnelles sensibles sans cadre validé.

16 h 30 — bilan et priorités. Tu clôtures en rangeant tes trouvailles par priorité : l'histoire de la liste clients de 8 h 30 (transfert de données personnelles vers un outil grand public) passe en tête, pas parce qu'elle est dramatique, mais parce qu'elle est facile à corriger et qu'elle réduit un vrai risque. Le petit outil de scoring des leads passe en « à creuser ». Les images marketing, en « à confirmer ».

Parlons chiffres, puisque ce métier se vend. Le travail d'inventaire que tu viens de mener sur une matinée et une après-midi, étalé sur une PME, représente typiquement deux à trois jours répartis sur quelques semaines. Un consultant externe facturerait cette prestation d'inventaire et de première classification dans un ordre de grandeur de CHF 2 500 à 4 000 selon la taille du parc d'outils. En interne, c'est du temps de travail déjà payé, réorienté. 📌 Dans les deux cas, le calcul du patron est simple : ce coût est très inférieur à celui d'un seul appel d'offres perdu faute de dossier de gouvernance, ou d'un incident de données mal géré. C'est ce rapport-là que tu apprendras à mettre noir sur blanc en leçon 10, sur un cas chiffré complet.

Un métier se comprend par ce qu'il laisse sur la table à la fin. Voici les cinq livrables concrets du référent conformité IA. Aucun n'exige un diplôme de droit ; tous exigent de la méthode. Ce sont eux qui constitueront, au fil du cursus, ton portfolio de preuves.

1. Le registre des usages IA. C'est le document socle, et c'est un simple tableau. Une ligne par usage, des colonnes claires : nom de l'usage, description en une phrase, service concerné, données en jeu, présence de données personnelles, rôle de l'entreprise, première hypothèse de niveau de risque, points de protection des données, actions à mener, date. Rien de sophistiqué. Sa force n'est pas sa beauté, c'est son existence et sa mise à jour. Une PME qui a ce tableau à jour est déjà devant 90 % des autres, qui n'ont rien. Voici à quoi ressemble une ligne réelle, tirée de ta matinée chez Optiled :

Remarque comme la même colonne « risque » porte le mot « hypothèse » et la mention « à confirmer » : ce n'est pas de la timidité, c'est de la rigueur. Un registre honnête vaut mieux qu'un registre péremptoire.

2. La fiche de classification par usage. Pour les usages qui le méritent — ceux qui touchent des personnes, des décisions, des données sensibles — tu produis une fiche courte : quel rôle joue l'entreprise (nous verrons en leçon 4 les catégories fournisseur, déployeur, importateur, distributeur), à quel niveau de risque l'usage se situe probablement, et pourquoi. Le mot « probablement » est volontaire et tu l'écriras souvent : une classification est une hypothèse de travail datée, pas un verdict. C'est une posture, pas une faiblesse.

3. La politique d'usage interne de l'IA. Une à deux pages, pas quarante. Ce que les collègues ont le droit de faire, ce qu'ils évitent, quelles données ne doivent jamais entrer dans un outil grand public, à qui poser une question en cas de doute. Une politique que personne ne lit ne sert à rien : la tienne doit tenir sur une page qu'on affiche, pas dans un classeur qu'on oublie. C'est un livrable de communication autant que de conformité. Un extrait typique, volontairement simple :

Quatre règles qu'un employé retient en trente secondes valent mieux qu'un règlement que personne n'ouvre.

4. Le plan de formation. Une conformité qui ne vit pas dans les têtes est morte. Ton plan de formation, c'est une série de courtes sessions — trente minutes suffisent — adaptées à chaque service : le marketing n'a pas les mêmes réflexes à acquérir que les ressources humaines. Tu prépares deux ou trois messages simples par service et un moyen de répondre aux questions du quotidien.

5. Le dossier de preuves. C'est le livrable qui rapporte de l'argent. Quand un client B2B, une collectivité ou un grand compte demande à voir la gouvernance IA de l'entreprise avant de signer, tu sors un dossier cohérent : le registre, les classifications datées, la politique interne, la trace des formations, la documentation des points sensibles. Ce dossier transforme une exigence contractuelle intimidante en avantage concurrentiel. Beaucoup de PME perdent des appels d'offres sur ce point précis, faute d'avoir quelqu'un capable de constituer ces pièces.

⚠️ Un mot d'honnêteté sur ces livrables : aucun ne remplace un avis de droit. Ta fiche de classification, ta politique, ton dossier, tout cela est un travail de préparation prudent et sérieux, formulé au conditionnel là où il le faut, et destiné à être confirmé par un professionnel du droit sur les points qui l'exigent. Le référent qui présente ses documents comme des certitudes juridiques rend un mauvais service à son entreprise. Le référent qui les présente comme un travail structuré, honnête et à faire valider aux bons endroits, celui-là est un vrai professionnel. Nous construirons chacun de ces livrables, pas à pas, dans les leçons suivantes.

Il y a ce qu'on apprend dans un cours, et il y a ce qu'on n'apprend normalement que sur le terrain, après quelques erreurs. Autant te transmettre ce second savoir tout de suite : c'est lui qui sépare le référent qui rassure d'un référent qu'on évite.

Faire avouer les usages informels. La moitié de l'IA dans une PME est invisible et informelle : un collaborateur qui colle des données dans un assistant pour gagner du temps, une extension de navigateur qui résume des e-mails, un module « intelligent » caché dans un logiciel métier que personne n'appelle « IA ». Si tu débarques en inspecteur, tout se referme. La bonne approche est celle du curieux bienveillant : « je ne suis pas là pour interdire, je suis là pour qu'on puisse continuer à utiliser ces outils sans se mettre en danger ». Tu reformules la conformité comme un moyen de garder les outils, pas de les confisquer. Les gens ne se cachent que de ceux qui punissent.

Parler au patron sceptique. Beaucoup de dirigeants jugent d'abord la démarche « purement administrative ». Ne les affronte jamais sur le terrain du droit : tu perdrais. Parle leur langue — les francs et les contrats. « Ce dossier nous permet de répondre à l'appel d'offres de la Ville sans nous faire recaler sur la case gouvernance IA. » « Cette page de règles nous évite qu'un collaborateur envoie par mégarde notre fichier clients à un outil qui l'aspire. » Un patron n'investit pas dans de la conformité abstraite ; il investit dans des marchés gagnés et des incidents évités. 💡 C'est le même geste qu'un bon vendeur : tu ne vends pas ce que tu fais, tu vends ce que ça rapporte ou ce que ça évite.

Doser l'escalade vers le juriste. Tu vas récolter, chaque semaine, une trentaine de questions. La compétence rare, c'est de savoir que vingt-sept d'entre elles se tranchent avec du bon sens et une politique claire, et que trois seulement méritent le temps facturé d'un avocat. Sur-escalader ruine le budget et te fait passer pour incapable de décider ; sous-escalader expose l'entreprise. La ligne de partage se ressent avec l'expérience, mais un repère simple aide : dès qu'un usage peut avoir des conséquences importantes pour une personne (un emploi refusé, un logement refusé, un crédit bloqué) ou qu'un montant de responsabilité sérieux est en jeu, tu escalades. Le reste, tu le portes.

Ne jamais affirmer une certitude que tu n'as pas. C'est contre-intuitif, mais dire « je vais faire confirmer ce point » construit plus de confiance qu'une réponse assurée et fausse. Le droit de l'IA est jeune et mouvant ; celui qui prétend tout savoir se disqualifie auprès des gens sérieux. Ta crédibilité ne vient pas de l'assurance, elle vient de la justesse et de l'honnêteté. Un patron intelligent préfère un référent qui sait où sont les limites de son savoir à un bavard qui affirme.

Gérer le collègue qui « s'y connaît ». Il y a presque toujours, dans une PME, une personne technophile qui utilise l'IA plus que les autres et qui accueille le référent avec un brin de condescendance : « je maîtrise, je n'ai pas besoin de règles ». Ne te braque pas et ne rivalise pas sur la technique — tu perdrais du temps et de l'énergie. Retourne sa compétence en atout : « justement, tu es la personne idéale pour m'aider à repérer les usages malins de l'entreprise et à rédiger des règles réalistes ». Un allié technophile bien traité devient ton meilleur relais ; humilié ou ignoré, il devient ta principale source de contournement. Le référent habile transforme les fortes têtes en co-auteurs.

📌 Résumons ce savoir-faire tacite en une image : le référent conformité IA est moins un gardien qu'un guide. Le gardien dit non et se fait contourner. Le guide dit « voilà comment on fait ça sans risque » et se fait suivre. Toute la différence de résultat, dans une PME, tient dans ce déplacement-là.

Terminons cette première leçon par les pièges classiques et par les deux façons concrètes d'exercer ce métier. Tu éviteras ainsi de perdre tes premières semaines dans des impasses que tout débutant traverse.

Les cinq erreurs de débutant. Un : se prendre pour un juriste et affirmer des sanctions chiffrées de mémoire — c'est le meilleur moyen de dire une bêtise et de perdre sa crédibilité ; tu cites l'existence d'un risque, tu ne joues pas au procureur. Deux : produire un pavé de quarante pages que personne ne lira ; en PME, un document vivant d'une page bat toujours un rapport mort de quarante. Trois : classer les OUTILS au lieu des USAGES ; le même assistant est anodin quand il corrige une faute d'orthographe et bien plus sensible quand il trie des candidatures — c'est le contexte qui décide, jamais l'outil en général. Quatre : oublier les usages informels et ne cartographier que ce qui est officiel ; tu manquerais alors la moitié du terrain, celle qui pose justement problème. Cinq : faire peur au lieu de rassurer et structurer ; un référent qui angoisse tout le monde est un référent qu'on cesse d'écouter, et la conformité meurt avec l'attention.

Deux façons d'exercer. La première, INTERNE : tu endosses ce rôle dans ton emploi actuel, souvent en plus d'une autre fonction (administration, RH, direction adjointe, qualité). C'est la porte d'entrée la plus fréquente, et ce cursus te donne exactement ce qu'il faut pour la franchir sans être juriste. La seconde, EXTERNE : tu proposes ce service en mission à des PME qui n'ont personne en interne — un inventaire, une première classification, une politique d'usage et une petite formation, livrés en quelques semaines.

Si tu vises la voie externe, un mot d'ordre de grandeur, que nous détaillerons en leçon 11 et 12 : une mission d'inventaire et de mise en route se conçoit souvent en forfait plutôt qu'en heures, parce que le client achète un résultat (un dossier utilisable) et non ton temps. Facturer en indépendant en Suisse suppose ton affiliation comme indépendant à l'AVS et, si ton activité dépasse le seuil de CHF 100 000 de chiffre d'affaires annuel, l'assujettissement à la TVA — au taux normal de 8,1 %. Nous reviendrons en détail sur ce cadre ; retiens seulement, pour l'instant, que le métier est facturable et qu'il répond à un besoin qui ne fera que croître.

Tes trente premiers jours. Pour ne pas rester paralysé devant l'ampleur du sujet, voici la feuille de route qu'un référent applique en arrivant. Semaine 1 : tu ne classes rien, tu écoutes. Tu fais le tour des services, tu ouvres le registre, tu poses partout la même question — « où une machine décide, rédige ou trie à ta place ? » — et tu remplis des lignes, même incomplètes. Semaine 2 : tu poses les premières hypothèses de risque et tu repères les deux ou trois usages sensibles qui méritent attention (tout ce qui touche des personnes ou des données sensibles). Semaine 3 : tu écris la politique d'usage d'une page et tu la fais valider par la direction, en la vendant comme un outil de protection et de vente, pas comme une contrainte. Semaine 4 : tu formes, tu traites en priorité le ou les usages sensibles repérés, et tu prépares le premier point de comité. À la fin du premier mois, tu n'es pas « en règle » — personne ne l'est jamais totalement, c'est un film et pas une photo — mais tu as un registre vivant, une politique lue, un plan, et un patron rassuré. C'est déjà énorme.

Voilà ta première journée dans la peau d'un référent conformité IA. Tu as vu que ce n'est pas un métier de savant reclus, mais un métier d'enquête, de documentation et de diplomatie, où le bon sens structuré vaut plus que la récitation, et où l'honnêteté sur les limites de son savoir est une force. Dans la leçon 2, nous répondrons à la question que tout patron de PME suisse pose en premier : « Mais pourquoi serais-je concerné par un règlement européen, moi qui suis à Yverdon ? » — et tu verras que la réponse tient moins au siège de l'entreprise qu'au marché qu'elle touche.

Le référent conformité IA n'est ni juriste ni informaticien : c'est un traducteur et un organisateur qui sait où l'IA est utilisée, la situe sur une échelle de risque, documente, forme et sait quand escalader vers un avocat.

Le métier est porté autant par la pression commerciale (des clients exigent une gouvernance IA documentée avant de signer) que par la peur réglementaire : bien menée, la conformité est d'abord un argument de vente.

La semaine réelle est faite à ~60 % de terrain et de relationnel, ~30 % de documentation et ~10 % de veille : c'est un métier d'enquête et de diplomatie, pas de lecture juridique solitaire.

On classe les USAGES dans leur CONTEXTE, jamais les outils en général : le même assistant est anodin pour corriger une faute et sensible pour trier des candidatures.

On ne cartographie pas seulement l'officiel : la moitié des usages d'IA en PME sont informels, et on ne les fait remonter qu'en se posant en guide bienveillant (« montre-moi comment tu gagnes du temps ») plutôt qu'en inspecteur.

Cinq livrables structurent le métier : registre des usages, fiches de classification datées, politique d'usage d'une page, plan de formation, et dossier de preuves qui ouvre des marchés.

La crédibilité vient de la justesse et de l'honnêteté, pas de l'assurance : « je vais faire confirmer ce point » vaut mieux qu'une certitude affirmée et fausse. Toute classification est une hypothèse de travail à faire valider par un juriste aux bons endroits.

DIALOGUE AVEC PROF SFM

PROF SFM

Quelle description correspond le mieux au rôle d'un référent conformité IA en PME ?

INITIÉ SFM

Un juriste spécialisé qui connaît le règlement européen par cœur et rend des avis de droitAUn traducteur et organisateur interne qui recense les usages, les situe sur une échelle de risque, documente, forme, et escalade au juriste les rares points qui l'exigentBUn informaticien qui développe et sécurise les systèmes d'IA de l'entrepriseCUn auditeur externe qui contrôle une fois par an et sanctionne les écartsD

PROF SFM

Un collègue t'annonce spontanément qu'il a collé la liste des clients dans un assistant IA grand public. Quel est le bon premier réflexe du référent ?

PROF SFM

Pourquoi vaut-il mieux classer les USAGES plutôt que les OUTILS ?

PROF SFM

Face à un patron qui juge la démarche « purement administrative », quelle approche est la plus efficace ?

PROF SFM

Sur environ trente questions par semaine, comment un bon référent gère-t-il l'escalade vers l'avocat ?

CAS PRATIQUE — MISE EN SITUATION

PROF SFM

CAS PRATIQUETu es référent conformité IA chez Optiled, à Yverdon. En fin de journée, la responsable des ressources humaines te confie, gênée : « Pour trier les candidatures du dernier poste, j'ai utilisé un petit outil en ligne qui note les CV et les classe. Ça m'a fait gagner un temps fou. Mais je viens de réaliser que je ne sais pas du tout ce que cet outil fait de nos données ni comment il note. J'ai un peu peur de t'en parler, dis-moi que ce n'est rien. »

Comment réagis-tu ?

INITIÉ SFM

Tu la rassures aussitôt : « Ne t'inquiète pas, tout le monde fait ça, ce n'est rien. » Tu tournes la page pour ne pas la braquer.Tu la remercies d'en parler, tu la rassures sur le fait qu'elle a bien fait de le signaler, tu documentes l'usage, tu expliques simplement pourquoi trier des candidatures est un usage sensible, et tu proposes de le classer prudemment et de faire confirmer le point délicat.Tu lui dis sèchement qu'elle n'aurait jamais dû faire ça sans autorisation, et tu lui interdits d'utiliser le moindre outil d'IA jusqu'à nouvel ordre.