# Devenir référent conformité IA

> 4 modules · 13 leçons · ~6 h · Examen + certificat — SFM Academy (successfor-me.ch).
>
> Résumé public leçon par leçon. Le contenu pédagogique complet (hors 1re leçon gratuite) est réservé aux abonnés.

Fiche du cours : https://successfor-me.ch/academy/cours/fiche/ENT-12

## Leçon 1 — Semaine type d'un référent conformité IA en PME

**À retenir :**

- Le référent conformité IA n'est ni juriste ni informaticien : c'est un traducteur et un organisateur qui sait où l'IA est utilisée, la situe sur une échelle de risque, documente, forme et sait quand escalader vers un avocat.
- Le métier est porté autant par la pression commerciale (des clients exigent une gouvernance IA documentée avant de signer) que par la peur réglementaire : bien menée, la conformité est d'abord un argument de vente.
- La semaine réelle est faite à ~60 % de terrain et de relationnel, ~30 % de documentation et ~10 % de veille : c'est un métier d'enquête et de diplomatie, pas de lecture juridique solitaire.
- On classe les USAGES dans leur CONTEXTE, jamais les outils en général : le même assistant est anodin pour corriger une faute et sensible pour trier des candidatures.
- On ne cartographie pas seulement l'officiel : la moitié des usages d'IA en PME sont informels, et on ne les fait remonter qu'en se posant en guide bienveillant (« montre-moi comment tu gagnes du temps ») plutôt qu'en inspecteur.
- Cinq livrables structurent le métier : registre des usages, fiches de classification datées, politique d'usage d'une page, plan de formation, et dossier de preuves qui ouvre des marchés.
- La crédibilité vient de la justesse et de l'honnêteté, pas de l'assurance : « je vais faire confirmer ce point » vaut mieux qu'une certitude affirmée et fausse. Toute classification est une hypothèse de travail à faire valider par un juriste aux bons endroits.

**Plan de la leçon :** Le métier que personne ne t'a présenté · La semaine type : 60 % de terrain, 30 % de documentation, 10 % de veille · Une journée détaillée : mardi chez Optiled, à Yverdon · Ce que tu produis vraiment : les livrables du métier · Le savoir-faire tacite : là où le métier se joue vraiment · Erreurs de débutant, et comment tu te lances

_Leçon en accès libre._

### Le métier que personne ne t'a présenté

Il y a trois ans, le métier que tu commences à apprendre n'existait pas dans les PME suisses. Aujourd'hui, dans une entreprise romande de vingt personnes, il y a de plus en plus souvent quelqu'un dont on dit, à la machine à café : « c'est elle qui s'occupe de l'IA ». Cette personne n'est ni juriste, ni informaticienne, ni forcément cadre. C'est le référent conformité IA. Et si tu lis cette leçon, c'est probablement toi dans quelques semaines — soit parce que ton employeur t'a désigné, soit parce que tu veux vendre cette compétence à des PME qui ne savent pas par où commencer.

Commençons par tuer le malentendu le plus coûteux : être référent conformité IA, ce n'est PAS connaître le règlement européen par cœur. Un juriste spécialisé fait ça mieux que toi, il facture CHF 250 à 400 de l'heure, et aucune PME de dix-huit salariés n'a les moyens de lui faire auditer chaque usage de ChatGPT. Ton rôle est ailleurs, et il est précieux justement parce qu'il est différent. Tu es la personne qui sait OÙ l'intelligence artificielle est utilisée dans l'entreprise, qui sait SITUER chaque usage sur une échelle de risque, qui DOCUMENTE ce qui se fait, qui écrit une politique d'usage lisible, qui FORME les collègues, et surtout qui sait reconnaître les trois questions qui méritent vraiment l'avis payant d'un avocat — au lieu des trente que tu traites toi-même.

📌 L'image juste, c'est celle du responsable qualité ou du responsable sécurité. Personne n'attend du responsable sécurité qu'il soit ingénieur en résistance des matériaux : on attend qu'il connaisse l'entreprise, qu'il repère les risques concrets, qu'il mette en place des procédures simples et qu'il appelle l'expert quand il le faut. Le référent conformité IA, c'est exactement ça, appliqué à un sujet neuf. Tu es un traducteur et un organisateur, pas un savant. Ta valeur ne vient pas de ce que tu récites, elle vient de ce que tu structures.

Pourquoi ce métier explose-t-il maintenant ? Deux forces, et il faut bien comprendre que la seconde compte souvent plus que la première. La première, c'est la peur réglementaire : le patron lit dans la presse les mots « AI Act », « amendes », « RGPD de l'intelligence artificielle », et il a peur sans savoir précisément de quoi. Le règlement européen sur l'IA a été adopté en 2024 et entre en application par paliers sur plusieurs années ; la nouvelle loi suisse sur la protection des données (nLPD) est, elle, en vigueur depuis le 1er septembre 2023 et s'applique à tout traitement de données personnelles. Une PME suisse peut être concernée par le cadre européen dès qu'elle a un lien commercial avec l'Union — nous y consacrerons toute la leçon 2. Mais retiens déjà que le patron ne t'attend pas pour une dissertation : il t'attend pour dormir tranquille.

⚠️ La seconde force est plus terre à terre, et c'est elle qui va payer ton salaire ou tes mandats : la pression commerciale. De plus en plus de donneurs d'ordre — grands comptes, collectivités, propriétaires institutionnels, clients B2B exigeants — demandent à leurs fournisseurs de PROUVER qu'ils ont une gouvernance de l'IA documentée avant de signer. Pas de dossier, pas de contrat. Le référent conformité IA ne fait donc pas que protéger l'entreprise d'un risque : il lui OUVRE des marchés. C'est un vendeur de tranquillité pour le patron, et un ouvreur de portes pour le commercial. Quand tu présentes ton rôle sous cet angle, tu cesses d'être un centre de coût et tu deviens un investissement. Garde cette phrase en tête pour toute la suite du cursus : la conformité bien menée, dans une PME, c'est d'abord un argument de vente.

Dernière chose avant d'entrer dans le concret. Ce métier a une particularité rare : il est jeune. Cela veut dire que personne, autour de toi, n'a dix ans d'expérience. Un débutant sérieux, méthodique et honnête vaut, sur ce sujet, bien plus qu'un expert autoproclamé qui affirme des certitudes que personne ne peut encore avoir. Ton meilleur atout n'est pas de tout savoir — c'est de savoir dire « je vais faire confirmer ce point » au bon moment. Nous allons voir, tout au long de cette première leçon, à quoi ressemble concrètement une semaine, une journée, et un livrable de ce métier, pour que tu puisses te projeter comme si tu y étais déjà.

### La semaine type : 60 % de terrain, 30 % de documentation, 10 % de veille

Quand on imagine un métier de la conformité, on se représente une personne seule devant des textes de loi. La réalité du référent conformité IA en PME est presque l'inverse : c'est un métier de contact. Regardons une semaine ordinaire, répartie sur cinq jours, pour que tu voies où passe réellement le temps.

**Lundi — veille et cadrage.** Tu commences la semaine par une demi-heure de veille : as-tu manqué une évolution majeure du cadre européen ou une prise de position du Préposé fédéral à la protection des données ? Attention, veille ne veut pas dire tout lire : ça veut dire repérer ce qui change QUELQUE CHOSE pour ton entreprise. Le reste du lundi, tu planifies. Tu regardes ton registre des usages IA — le document central du métier, on y revient — et tu décides quel service tu vas aller voir cette semaine. Un bon référent avance service par service, pas dans le désordre.

**Mardi — terrain.** C'est le cœur du métier. Tu vas t'asseoir une heure avec une équipe — le marketing, les ressources humaines, l'administration des ventes — et tu cartographies ce qu'elle fait réellement avec l'IA. Pas ce qu'elle est censée faire : ce qu'elle fait vraiment, y compris les outils qu'elle utilise « en douce » parce qu'ils font gagner du temps. Cette heure de terrain vaut dix heures de lecture. C'est là que tu découvres que la comptable colle des extraits de relevés dans un assistant pour les résumer, ou que le commercial génère ses e-mails avec un outil dont personne n'a validé les conditions.

💡 Le savoir-faire de ce mardi tient en une phrase : tu ne demandes jamais « est-ce que tu enfreins une règle ? », tu demandes « montre-moi comment tu gagnes du temps ». La première question ferme les bouches ; la seconde les ouvre. Nous y reviendrons dans la section sur le savoir-faire tacite, parce que c'est probablement la compétence la plus rentable du métier.

**Mercredi — documentation.** Le lendemain du terrain, tant que c'est frais, tu mets à jour tes documents. Tu ajoutes les usages découverts au registre, tu poses pour chacun une première hypothèse de niveau de risque, tu notes les points de protection des données à creuser. Ce n'est pas de la paperasse pour la paperasse : c'est ce document qui, le jour où un client exige ta gouvernance IA, se sort d'un tiroir et prouve en trente secondes que l'entreprise sait ce qu'elle fait. La documentation est ta mémoire et ta preuve.

**Jeudi — liaison.** Le référent n'est pas seul : il est un point de jonction. Le jeudi, tu prépares le comité (souvent un simple point de trente minutes avec la direction) et tu passes tes coups de fil de liaison. C'est le jour où tu appelles la fiduciaire pour un point de TVA lié à un outil, ou l'avocat de l'entreprise pour LA question précise que tu ne peux pas trancher seul. L'art ici, c'est de préparer une question nette : un juriste facture au temps, et « est-ce qu'on est en règle avec l'IA ? » lui coûtera cher et ne te rapportera rien, alors que « notre outil de tri de candidatures est-il à considérer comme à haut risque au sens de l'annexe, oui ou non ? » tient en un quart d'heure.

**Vendredi — transmission.** Une conformité qui vit dans un seul cerveau ne protège personne. Le vendredi, tu transmets : une mini-formation de trente minutes à une équipe, un message récapitulatif « ce qu'on a le droit de faire / ce qu'on évite », les réponses aux « est-ce que j'ai le droit de… » accumulées dans la semaine. C'est le jour où la conformité passe du classeur aux têtes.

📌 Fais le compte : sur cinq jours, tu as passé environ trois demi-journées avec des humains (terrain, liaison, transmission), une à documenter et un petit bout à faire de la veille. Le ratio, dans une PME, tourne autour de 60 % de relationnel et de terrain, 30 % de documentation, 10 % de veille. Si tu imaginais un métier solitaire de lecture juridique, corrige tout de suite l'image : c'est un métier d'enquête et de diplomatie, où le droit est un outil parmi d'autres, pas le décor permanent.

### Une journée détaillée : mardi chez Optiled, à Yverdon

Rien ne vaut une journée réelle pour comprendre un métier. Prenons une entreprise fictive mais crédible et suivons-la heure par heure. Optiled Sàrl, à Yverdon-les-Bains, importe et pose des solutions d'éclairage LED pour des commerces et des collectivités. Dix-huit salariés, un chiffre d'affaires de l'ordre de CHF 4,5 millions, pas de service informatique : on achète des outils tout faits et on branche parfois de l'IA générative grand public. Tu interviens comme référent conformité IA, soit en interne, soit en mission. Voici ton mardi.

**8 h 30 — le café et la vraie première question.** Tu n'as pas encore posé ton sac qu'un collègue de l'administration des ventes t'attrape : « Dis, j'ai mis notre liste de clients dans ChatGPT hier pour préparer un mailing, tu crois que c'est grave ? » Ta réaction ici définit tout ton métier. Le mauvais réflexe serait de blêmir et de dramatiser. Le bon réflexe : rester calme, remercier pour la franchise (il vient de te signaler tout seul un usage à risque, c'est un cadeau), poser deux questions simples — quelles données exactement, et l'outil était-il un compte professionnel encadré ou un compte gratuit personnel — et noter l'usage pour le traiter proprement. Tu ne juges pas, tu documentes. Un collègue qui se fait engueuler la première fois ne te dira plus jamais rien, et tu perdras ta seule source d'information sur les usages informels.

**9 h 00 — entretien avec la responsable ADV.** Une heure, cartographie en main. Tu passes en revue sa semaine type à elle : devis, relances, réponses aux appels d'offres, mailings. Pour chaque tâche, une question : « à quel moment une machine décide, rédige ou trie à ta place ? » Tu découvres trois usages : la génération d'e-mails commerciaux, le résumé d'appels d'offres reçus, et un petit outil qui « note » les leads entrants. Ce dernier te fait tiquer — dès qu'un système classe des personnes ou des demandes et influence une décision, il faut y regarder de plus près. Tu ne tranches rien sur le moment ; tu écris.

**10 h 30 — la personne marketing et son outil d'images.** Elle génère des visuels avec un outil d'IA et se demande si elle a le droit de les utiliser dans une brochure client. Question de droits d'usage et de transparence, que tu notes sans improviser de réponse définitive : c'est typiquement un point que tu confirmeras plus tard, éventuellement avec un juriste si l'enjeu commercial est réel.

**14 h 00 — documentation, et un usage malin de l'IA pour t'aider.** L'après-midi, tu transformes tes notes brutes en lignes propres du registre. Et là, ironie utile du métier, tu utilises toi-même un assistant IA pour gagner du temps — proprement, sur des données non sensibles. Compare deux façons de le solliciter.

Prompt de débutant (avant) : « résume mes notes sur les usages IA de l'ADV ».

Prompt de professionnel (après) : « Tu es un assistant qui structure des notes d'audit. À partir du texte ci-dessous, produis un tableau avec les colonnes : usage (nom court), description en une phrase, données concernées, présence de données personnelles (oui/non/à préciser), première hypothèse de niveau de risque. N'invente aucune information absente du texte ; si une donnée manque, écris "à préciser". Ne conclus rien sur le plan juridique. »

La différence est le métier tout entier : le second prompt cadre le rôle, impose un format réutilisable, interdit l'invention et interdit à la machine de rendre un verdict juridique à ta place. 💡 Retiens ce principe pour tout le cursus : quand tu fais appel à un LLM dans ton travail de conformité, tu l'utilises pour METTRE EN FORME, jamais pour DÉCIDER, et tu ne lui donnes jamais de données personnelles sensibles sans cadre validé.

**16 h 30 — bilan et priorités.** Tu clôtures en rangeant tes trouvailles par priorité : l'histoire de la liste clients de 8 h 30 (transfert de données personnelles vers un outil grand public) passe en tête, pas parce qu'elle est dramatique, mais parce qu'elle est facile à corriger et qu'elle réduit un vrai risque. Le petit outil de scoring des leads passe en « à creuser ». Les images marketing, en « à confirmer ».

Parlons chiffres, puisque ce métier se vend. Le travail d'inventaire que tu viens de mener sur une matinée et une après-midi, étalé sur une PME, représente typiquement deux à trois jours répartis sur quelques semaines. Un consultant externe facturerait cette prestation d'inventaire et de première classification dans un ordre de grandeur de CHF 2 500 à 4 000 selon la taille du parc d'outils. En interne, c'est du temps de travail déjà payé, réorienté. 📌 Dans les deux cas, le calcul du patron est simple : ce coût est très inférieur à celui d'un seul appel d'offres perdu faute de dossier de gouvernance, ou d'un incident de données mal géré. C'est ce rapport-là que tu apprendras à mettre noir sur blanc en leçon 10, sur un cas chiffré complet.

### Ce que tu produis vraiment : les livrables du métier

Un métier se comprend par ce qu'il laisse sur la table à la fin. Voici les cinq livrables concrets du référent conformité IA. Aucun n'exige un diplôme de droit ; tous exigent de la méthode. Ce sont eux qui constitueront, au fil du cursus, ton portfolio de preuves.

**1. Le registre des usages IA.** C'est le document socle, et c'est un simple tableau. Une ligne par usage, des colonnes claires : nom de l'usage, description en une phrase, service concerné, données en jeu, présence de données personnelles, rôle de l'entreprise, première hypothèse de niveau de risque, points de protection des données, actions à mener, date. Rien de sophistiqué. Sa force n'est pas sa beauté, c'est son existence et sa mise à jour. Une PME qui a ce tableau à jour est déjà devant 90 % des autres, qui n'ont rien. Voici à quoi ressemble une ligne réelle, tirée de ta matinée chez Optiled :

| Usage | Service | Données | Données perso ? | Risque (hypothèse) | Action | Date |
|---|---|---|---|---|---|---|
| Génération d'e-mails commerciaux | ADV | Nom, société du prospect | Oui | Limité (à confirmer) | Cadrer l'outil, éviter les données sensibles | mardi |
| Notation des leads entrants | ADV | Coordonnées, historique | Oui | À creuser (impact décisionnel) | Analyser le fonctionnement, superviser | mardi |
| Résumé d'appels d'offres | ADV | Documents clients | Selon pièces | Minimal à limité | Vérifier la confidentialité des pièces | mardi |

Remarque comme la même colonne « risque » porte le mot « hypothèse » et la mention « à confirmer » : ce n'est pas de la timidité, c'est de la rigueur. Un registre honnête vaut mieux qu'un registre péremptoire.

**2. La fiche de classification par usage.** Pour les usages qui le méritent — ceux qui touchent des personnes, des décisions, des données sensibles — tu produis une fiche courte : quel rôle joue l'entreprise (nous verrons en leçon 4 les catégories fournisseur, déployeur, importateur, distributeur), à quel niveau de risque l'usage se situe probablement, et pourquoi. Le mot « probablement » est volontaire et tu l'écriras souvent : une classification est une hypothèse de travail datée, pas un verdict. C'est une posture, pas une faiblesse.

**3. La politique d'usage interne de l'IA.** Une à deux pages, pas quarante. Ce que les collègues ont le droit de faire, ce qu'ils évitent, quelles données ne doivent jamais entrer dans un outil grand public, à qui poser une question en cas de doute. Une politique que personne ne lit ne sert à rien : la tienne doit tenir sur une page qu'on affiche, pas dans un classeur qu'on oublie. C'est un livrable de communication autant que de conformité. Un extrait typique, volontairement simple :

- On peut utiliser un assistant IA pour reformuler, résumer ou traduire un texte qui ne contient pas de données personnelles ni d'information confidentielle client.
- On ne colle jamais dans un outil grand public : une liste de clients, un dossier RH, des données de santé ou financières, un document marqué confidentiel.
- Tout usage qui trie, note ou décide au sujet de personnes (candidatures, clients) passe par le référent avant d'être mis en place.
- En cas de doute : une question au référent avant, pas une excuse après.

Quatre règles qu'un employé retient en trente secondes valent mieux qu'un règlement que personne n'ouvre.

**4. Le plan de formation.** Une conformité qui ne vit pas dans les têtes est morte. Ton plan de formation, c'est une série de courtes sessions — trente minutes suffisent — adaptées à chaque service : le marketing n'a pas les mêmes réflexes à acquérir que les ressources humaines. Tu prépares deux ou trois messages simples par service et un moyen de répondre aux questions du quotidien.

**5. Le dossier de preuves.** C'est le livrable qui rapporte de l'argent. Quand un client B2B, une collectivité ou un grand compte demande à voir la gouvernance IA de l'entreprise avant de signer, tu sors un dossier cohérent : le registre, les classifications datées, la politique interne, la trace des formations, la documentation des points sensibles. Ce dossier transforme une exigence contractuelle intimidante en avantage concurrentiel. Beaucoup de PME perdent des appels d'offres sur ce point précis, faute d'avoir quelqu'un capable de constituer ces pièces.

⚠️ Un mot d'honnêteté sur ces livrables : aucun ne remplace un avis de droit. Ta fiche de classification, ta politique, ton dossier, tout cela est un travail de préparation prudent et sérieux, formulé au conditionnel là où il le faut, et destiné à être confirmé par un professionnel du droit sur les points qui l'exigent. Le référent qui présente ses documents comme des certitudes juridiques rend un mauvais service à son entreprise. Le référent qui les présente comme un travail structuré, honnête et à faire valider aux bons endroits, celui-là est un vrai professionnel. Nous construirons chacun de ces livrables, pas à pas, dans les leçons suivantes.

### Le savoir-faire tacite : là où le métier se joue vraiment

Il y a ce qu'on apprend dans un cours, et il y a ce qu'on n'apprend normalement que sur le terrain, après quelques erreurs. Autant te transmettre ce second savoir tout de suite : c'est lui qui sépare le référent qui rassure d'un référent qu'on évite.

**Faire avouer les usages informels.** La moitié de l'IA dans une PME est invisible et informelle : un collaborateur qui colle des données dans un assistant pour gagner du temps, une extension de navigateur qui résume des e-mails, un module « intelligent » caché dans un logiciel métier que personne n'appelle « IA ». Si tu débarques en inspecteur, tout se referme. La bonne approche est celle du curieux bienveillant : « je ne suis pas là pour interdire, je suis là pour qu'on puisse continuer à utiliser ces outils sans se mettre en danger ». Tu reformules la conformité comme un moyen de garder les outils, pas de les confisquer. Les gens ne se cachent que de ceux qui punissent.

**Parler au patron sceptique.** Beaucoup de dirigeants jugent d'abord la démarche « purement administrative ». Ne les affronte jamais sur le terrain du droit : tu perdrais. Parle leur langue — les francs et les contrats. « Ce dossier nous permet de répondre à l'appel d'offres de la Ville sans nous faire recaler sur la case gouvernance IA. » « Cette page de règles nous évite qu'un collaborateur envoie par mégarde notre fichier clients à un outil qui l'aspire. » Un patron n'investit pas dans de la conformité abstraite ; il investit dans des marchés gagnés et des incidents évités. 💡 C'est le même geste qu'un bon vendeur : tu ne vends pas ce que tu fais, tu vends ce que ça rapporte ou ce que ça évite.

**Doser l'escalade vers le juriste.** Tu vas récolter, chaque semaine, une trentaine de questions. La compétence rare, c'est de savoir que vingt-sept d'entre elles se tranchent avec du bon sens et une politique claire, et que trois seulement méritent le temps facturé d'un avocat. Sur-escalader ruine le budget et te fait passer pour incapable de décider ; sous-escalader expose l'entreprise. La ligne de partage se ressent avec l'expérience, mais un repère simple aide : dès qu'un usage peut avoir des conséquences importantes pour une personne (un emploi refusé, un logement refusé, un crédit bloqué) ou qu'un montant de responsabilité sérieux est en jeu, tu escalades. Le reste, tu le portes.

**Ne jamais affirmer une certitude que tu n'as pas.** C'est contre-intuitif, mais dire « je vais faire confirmer ce point » construit plus de confiance qu'une réponse assurée et fausse. Le droit de l'IA est jeune et mouvant ; celui qui prétend tout savoir se disqualifie auprès des gens sérieux. Ta crédibilité ne vient pas de l'assurance, elle vient de la justesse et de l'honnêteté. Un patron intelligent préfère un référent qui sait où sont les limites de son savoir à un bavard qui affirme.

**Gérer le collègue qui « s'y connaît ».** Il y a presque toujours, dans une PME, une personne technophile qui utilise l'IA plus que les autres et qui accueille le référent avec un brin de condescendance : « je maîtrise, je n'ai pas besoin de règles ». Ne te braque pas et ne rivalise pas sur la technique — tu perdrais du temps et de l'énergie. Retourne sa compétence en atout : « justement, tu es la personne idéale pour m'aider à repérer les usages malins de l'entreprise et à rédiger des règles réalistes ». Un allié technophile bien traité devient ton meilleur relais ; humilié ou ignoré, il devient ta principale source de contournement. Le référent habile transforme les fortes têtes en co-auteurs.

📌 Résumons ce savoir-faire tacite en une image : le référent conformité IA est moins un gardien qu'un guide. Le gardien dit non et se fait contourner. Le guide dit « voilà comment on fait ça sans risque » et se fait suivre. Toute la différence de résultat, dans une PME, tient dans ce déplacement-là.

### Erreurs de débutant, et comment tu te lances

Terminons cette première leçon par les pièges classiques et par les deux façons concrètes d'exercer ce métier. Tu éviteras ainsi de perdre tes premières semaines dans des impasses que tout débutant traverse.

**Les cinq erreurs de débutant.** Un : se prendre pour un juriste et affirmer des sanctions chiffrées de mémoire — c'est le meilleur moyen de dire une bêtise et de perdre sa crédibilité ; tu cites l'existence d'un risque, tu ne joues pas au procureur. Deux : produire un pavé de quarante pages que personne ne lira ; en PME, un document vivant d'une page bat toujours un rapport mort de quarante. Trois : classer les OUTILS au lieu des USAGES ; le même assistant est anodin quand il corrige une faute d'orthographe et bien plus sensible quand il trie des candidatures — c'est le contexte qui décide, jamais l'outil en général. Quatre : oublier les usages informels et ne cartographier que ce qui est officiel ; tu manquerais alors la moitié du terrain, celle qui pose justement problème. Cinq : faire peur au lieu de rassurer et structurer ; un référent qui angoisse tout le monde est un référent qu'on cesse d'écouter, et la conformité meurt avec l'attention.

**Deux façons d'exercer.** La première, INTERNE : tu endosses ce rôle dans ton emploi actuel, souvent en plus d'une autre fonction (administration, RH, direction adjointe, qualité). C'est la porte d'entrée la plus fréquente, et ce cursus te donne exactement ce qu'il faut pour la franchir sans être juriste. La seconde, EXTERNE : tu proposes ce service en mission à des PME qui n'ont personne en interne — un inventaire, une première classification, une politique d'usage et une petite formation, livrés en quelques semaines.

Si tu vises la voie externe, un mot d'ordre de grandeur, que nous détaillerons en leçon 11 et 12 : une mission d'inventaire et de mise en route se conçoit souvent en forfait plutôt qu'en heures, parce que le client achète un résultat (un dossier utilisable) et non ton temps. Facturer en indépendant en Suisse suppose ton affiliation comme indépendant à l'AVS et, si ton activité dépasse le seuil de CHF 100 000 de chiffre d'affaires annuel, l'assujettissement à la TVA — au taux normal de 8,1 %. Nous reviendrons en détail sur ce cadre ; retiens seulement, pour l'instant, que le métier est facturable et qu'il répond à un besoin qui ne fera que croître.

**Tes trente premiers jours.** Pour ne pas rester paralysé devant l'ampleur du sujet, voici la feuille de route qu'un référent applique en arrivant. Semaine 1 : tu ne classes rien, tu écoutes. Tu fais le tour des services, tu ouvres le registre, tu poses partout la même question — « où une machine décide, rédige ou trie à ta place ? » — et tu remplis des lignes, même incomplètes. Semaine 2 : tu poses les premières hypothèses de risque et tu repères les deux ou trois usages sensibles qui méritent attention (tout ce qui touche des personnes ou des données sensibles). Semaine 3 : tu écris la politique d'usage d'une page et tu la fais valider par la direction, en la vendant comme un outil de protection et de vente, pas comme une contrainte. Semaine 4 : tu formes, tu traites en priorité le ou les usages sensibles repérés, et tu prépares le premier point de comité. À la fin du premier mois, tu n'es pas « en règle » — personne ne l'est jamais totalement, c'est un film et pas une photo — mais tu as un registre vivant, une politique lue, un plan, et un patron rassuré. C'est déjà énorme.

Voilà ta première journée dans la peau d'un référent conformité IA. Tu as vu que ce n'est pas un métier de savant reclus, mais un métier d'enquête, de documentation et de diplomatie, où le bon sens structuré vaut plus que la récitation, et où l'honnêteté sur les limites de son savoir est une force. Dans la leçon 2, nous répondrons à la question que tout patron de PME suisse pose en premier : « Mais pourquoi serais-je concerné par un règlement européen, moi qui suis à Yverdon ? » — et tu verras que la réponse tient moins au siège de l'entreprise qu'au marché qu'elle touche.

## Leçon 2 — Pourquoi une PME suisse est concernée par un règlement européen

**À retenir :**

- En matière de protection des personnes et de régulation des produits, le droit moderne suit le MARCHÉ que l'on touche, pas le SIÈGE de l'entreprise : ce qui déclenche un cadre, c'est la localisation des personnes concernées, pas l'adresse de la société.
- Le cadre européen peut entrer chez une PME suisse par trois portes : vendre ou cibler des clients situés dans l'Union, traiter des données de personnes situées dans l'Union, ou utiliser des résultats d'IA produisant des effets sur des personnes situées dans l'Union.
- On ne raisonne jamais « l'entreprise est concernée ou non » en bloc : les portes ne s'ouvrent que pour la PARTIE d'activité concernée, usage par usage et flux par flux.
- « Je suis en Suisse donc je ne suis pas concerné » est une croyance à démonter par le business, pas par le droit : la vraie question est « veut-on continuer à vendre à l'Union ? » — si oui, le sujet est déjà sur la table.
- Double lecture permanente : le cadre européen s'applique à géométrie variable selon le lien commercial avec l'Union, tandis que la nLPD suisse (en vigueur depuis le 1er septembre 2023) s'applique à tout traitement de données personnelles, même sans aucun client à l'étranger.
- Aucune PME n'est « hors de tout cadre » : le cadre suisse est le sol permanent sous les pieds, le cadre européen le plafond qui descend là où l'on touche le marché de l'Union.
- Le référent repère et documente au conditionnel (« relèverait probablement, selon la qualification »), sans jamais citer de montant de sanction, et fait valider les points durs par un juriste : cette prudence est la marque du professionnel dans un droit jeune et mouvant.
- Ni affoler ni endormir : le référent crédible tient dans la même phrase les deux vérités — oui une PME suisse peut être concernée par un cadre européen, non cela ne l'écrase pas d'obligations pour toute son activité.

**Plan de la leçon :** Le droit suit le marché, pas le siège · Les trois portes d'entrée du règlement européen · Alpina Cosmetics à Genève : une matinée à ouvrir les portes · Démonter « je suis en Suisse, donc je ne suis pas concerné » · La double lecture : cadre européen et cadre suisse · Ce que ça change concrètement, et vers les niveaux de risque

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/ENT-12)._

## Leçon 3 — Niveaux de risque de l'AI Act et où tombent les usages courants d'une PME

**À retenir :**

- Le règlement européen sur l'IA repose sur une pyramide à quatre étages : risque inacceptable (interdit), haut risque (autorisé mais très encadré), risque limité (obligations de transparence) et risque minimal (base immense, presque aucune obligation spécifique au titre de l'IA).
- Dans une PME ordinaire, l'écrasante majorité des usages vit dans les deux étages du bas ; les usages dangereux sont rares, mais le rôle du référent est justement de repérer les rares qui montent plus haut qu'on ne le croit.
- On ne classe jamais un OUTIL, on classe un USAGE dans son CONTEXTE : le même assistant est minimal pour corriger un e-mail et relèverait probablement du haut risque pour trier des candidatures. Trois questions tranchent : objet, décision, conséquence.
- Deux zones font grimper une PME banale vers le haut risque : le recrutement (tri automatisé de CV, accès à l'emploi) et le scoring de personnes (noter des individus pour décider à leur sujet).
- Le réflexe de prudence : dans le doute, on classe prudemment vers le haut, on documente, et on redescend plus tard sur preuve — se tromper vers le haut coûte du travail, se tromper vers le bas expose l'entreprise. Mais on ne surclasse pas tout par panique : la prudence s'exerce à la frontière du doute.
- Risque minimal ne veut pas dire sans règles : la protection des données (nLPD, en vigueur depuis le 1er septembre 2023) s'applique par-dessus, indépendamment de l'étage IA.
- Toute classification s'énonce au conditionnel (« relèverait probablement », « se classerait typiquement ») : c'est une hypothèse de travail datée à faire valider par un juriste sur les cas durs, jamais un verdict définitif — le droit de l'IA se précise encore par paliers.
- Le raccourci du professionnel : « si la machine se trompe, qu'est-ce qu'une personne réelle peut perdre ? » Rien de sérieux, on est en bas ; un emploi, un service, un accès, on monte et on documente.

**Plan de la leçon :** La pyramide des risques : l'idée qui rend tout le reste lisible · Le sommet dangereux : usages interdits et usages à haut risque · La large base rassurante : risque limité et risque minimal · Le réflexe central : on classe des usages, pas des outils · Cas pratique : classer les usages de Boréal Outdoor SA · Erreurs de débutant, et comment tu appliques la pyramide au quotidien

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/ENT-12)._

## Leçon 4 — Les rôles : fournisseur, déployeur, importateur, distributeur — identifier le sien

**À retenir :**

- Le rôle se qualifie usage par usage, jamais entreprise par entreprise : une même PME peut être déployeur d'un outil et, pour un autre usage, basculer vers fournisseur le même jour.
- Quatre rôles à connaître : le fournisseur répond du système (charge la plus lourde), l'importateur et le distributeur le font circuler avec un devoir de vigilance, le déployeur s'en sert (charge réelle mais allégée).
- Une PME qui achète et branche un outil du marché pour son propre compte est, dans l'immense majorité des cas, déployeur : usage conforme, supervision humaine réelle, attention renforcée quand l'usage touche des personnes.
- On peut devenir fournisseur sans écrire une ligne de code : en rebrandant un outil tiers sous sa marque, en le modifiant substantiellement, ou en le détournant vers une finalité à haut risque. Le geste déclencheur est souvent commercial, pas technique.
- Rôle et niveau de risque se croisent : le rôle donne la longueur de la liste d'obligations, le niveau de risque en donne l'intensité. C'est ce croisement qui situe chaque usage sur la carte des obligations.
- La méthode tient en cinq questions datées par usage : qui a conçu et sous quel nom, l'entreprise rebrande-t-elle, a-t-elle modifié substantiellement, la finalité a-t-elle été détournée, où se situe le risque.
- Le référent repère la bascule de rôle et la signale à temps, mais ne tranche pas : toute qualification de rôle est une hypothèse de travail à faire valider par un juriste sur les cas qui comptent.
- Un LLM sert à mettre en forme les faits (qui, sous quel nom, quelle finalité), jamais à décider du rôle : la machine range, l'humain qualifie, le juriste confirme les cas durs.

**Plan de la leçon :** La question qui commande toutes les autres · Les quatre rôles, expliqués simplement · La PME qui achète et branche : presque toujours déployeur · Le piège du rôle qui glisse : Métraux Agencement SA, à Bulle · Méthode : qualifier le rôle usage par usage · Erreurs de débutant et savoir-faire tacite

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/ENT-12)._

## Leçon 5 — Sanctions et exposition au risque

**À retenir :**

- La règle d'or de la leçon : on ne brandit pas de chiffres pour faire peur, on structure et on rassure. Un référent qui manie la sanction pour impressionner n'a pas compris son métier.
- On ne cite jamais un montant d'amende de mémoire : on dit que des sanctions existent, avec des plafonds pensés pour de très grands acteurs, et que tout montant applicable à un cas précis est à établir à jour avec un juriste.
- L'exposition au risque a quatre portes, pas une : sanction administrative, responsabilité civile, risque commercial et risque réputationnel — l'amende n'est ni la seule ni, pour une PME, la plus probable.
- Pour une PME suisse, le vrai risque est côté données (nLPD, déjà en vigueur) et côté contrats perdus, pas côté amende européenne spectaculaire pensée pour les très grands acteurs.
- Le risque commercial est le plus fréquent et le plus coûteux : un appel d'offres perdu faute de dossier de gouvernance IA, comme chez Helvéco Distribution à Sierre — mais bien préparé, il devient un avantage de vente.
- On ne minimise pas jusqu'à nier : la bonne posture n'est ni « c'est terrible » ni « ce n'est rien », mais « voici où est notre exposition réelle » — on déplace l'attention, on ne l'éteint pas.
- Le référent est un médecin de famille, pas un procureur : il nomme le risque sans dramatiser, associe toujours un remède, et n'escalade au juriste que les points durs. La peur tarit l'information ; la juste mesure l'entretient.
- Le LLM met en forme, il ne décide jamais du juridique et surtout pas d'un montant : on lui interdit explicitement de produire le moindre chiffre de sanction et on formule toute classification comme une hypothèse de travail à faire valider.

**Plan de la leçon :** La leçon la plus dangereuse à mal enseigner · Les quatre types d'exposition : bien plus que l'amende · Helvéco Distribution SA, à Sierre : l'exposition réelle d'une PME · Le vrai risque d'une PME : les données et les contrats, pas l'amende spectaculaire · En parler sans jouer au procureur : le savoir-faire de la juste mesure · Erreurs de débutant, et la note d'exposition que tu produis

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/ENT-12)._

## Leçon 6 — nLPD / LPD 2023 : données personnelles et systèmes IA

**À retenir :**

- La nLPD, en vigueur depuis le 1er septembre 2023, s'applique en principe à toute entreprise suisse dès qu'elle traite des données personnelles — indépendamment du règlement européen sur l'IA. Elle attrape ce que l'échelle de risque de l'AI Act laisse filer.
- « Donnée personnelle » ne signifie pas « donnée secrète » : un simple nom, un e-mail ou un CV en est une. Dès qu'un usage d'IA touche un élément identifiant une personne, la loi sur les données entre probablement en jeu.
- Tout traitement doit avoir une finalité claire et rester proportionné ; les personnes doivent en principe être informées de la collecte et des usages, y compris des traitements assistés par IA quand ils sont significatifs.
- Une décision exclusivement automatisée ayant des effets importants pour une personne ouvre en principe un droit à un réexamen humain ; le référent traque la fausse supervision, où un humain entérine sans jamais contredire la machine.
- Noter ou scorer des personnes est du profilage ; croiser de nombreuses données pour apprécier la personnalité peut relever du profilage à risque élevé — une hypothèse de travail à faire valider par un juriste.
- L'analyse d'impact (AIPD) s'anticipe avant de lancer un usage à risque élevé ; le référent en prépare toute la matière (description, risques, mesures) et laisse la qualification et la validation au juriste.
- La communication de données à l'étranger est en pratique le point le plus exposé : la plupart des outils d'IA hébergent hors de Suisse. On vérifie l'hébergement, l'accord de traitement des données et les garanties de transfert, et on limite ce qu'on injecte tant que ce n'est pas clair.
- Sécurité, contrat de sous-traitance et registre des traitements complètent le tableau : le registre des usages IA de la leçon 1 recoupe largement le registre attendu côté données personnelles.

**Plan de la leçon :** La loi que tout le monde oublie de regarder · Base, finalité, et le devoir d'informer · Décision automatisée et profilage : le cœur du sujet RH · L'analyse d'impact : anticiper plutôt que subir · Transfert à l'étranger, sous-traitance, sécurité, registre · Une visite au Cabinet Girardin, et les pièges à éviter

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/ENT-12)._

## Leçon 7 — Transparence, supervision humaine et traçabilité

**À retenir :**

- Trois obligations opérationnelles forment le socle concret du métier : la transparence (regarde vers l'extérieur), la supervision humaine (regarde vers l'intérieur) et la traçabilité (regarde vers le futur). Une PME de quinze personnes peut et doit les tenir.
- Transparence : une personne a le droit de savoir qu'elle parle à une machine et qu'un contenu a été généré. Le chatbot affiche sa nature dès le premier message et renvoie vers un humain hors de son périmètre — cela protège l'entreprise autant que le patient.
- « Un humain valide » ne suffit jamais : une validation qui suit la machine quatre-vingt-quinze fois sur cent est une signature automatique, pas une supervision. Le référent démasque la supervision cosmétique.
- Une supervision réelle réunit quatre conditions : comprendre l'outil, disposer de l'information, avoir le temps, et avoir l'autorité de dire non. Si l'une manque, la supervision est cosmétique quel que soit le nombre d'humains dans la boucle.
- Traçabilité : journaliser, dater et conserver de façon ciblée les décisions et les supervisions — pour pouvoir prouver. On trace les décisions et le dispositif, jamais les personnes ; ce qui n'est pas documenté n'a, en pratique, pas eu lieu.
- Les trois obligations s'assemblent en un seul dossier de preuves daté qui protège l'entreprise et ouvre des marchés ; elles peuvent se contredire (trop tracer, trop superviser) et demandent donc un équilibre, jamais un excès.
- Quand le référent utilise un LLM pour bâtir son dossier, c'est pour METTRE EN FORME, jamais pour rendre un verdict juridique, et sans jamais y coller de données de patients.
- Selon la qualification de l'usage, ces exigences recouperaient probablement le cadre européen sur l'IA et la protection des données (nLPD depuis le 1er septembre 2023) ; l'existence de sanctions est réelle mais leurs montants sont à établir avec un juriste. Tes choix restent des hypothèses de travail à faire valider.

**Plan de la leçon :** Les trois obligations que le référent installe vraiment · Transparence : dire qu'on parle à une machine · Supervision humaine : « un humain valide » ne suffit pas · Traçabilité : journaliser, dater, garder la preuve · Faire tenir le triangle ensemble : le dossier et l'usage de l'IA · Ce que tu retiens, et ce que tu fais dès demain

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/ENT-12)._

## Leçon 8 — Inventaire des usages IA, y compris les outils utilisés en douce

**À retenir :**

- L'inventaire des usages IA est le premier geste opérationnel de la mise en conformité : on ne peut ni classer, ni cadrer, ni prouver ce qu'on n'a pas d'abord rendu visible.
- La moitié des usages d'IA en PME sont informels — le shadow AI : outils adoptés en douce, non déclarés, souvent les plus risqués parce que jamais cadrés. Un inventaire qui ne recense que l'officiel rate la moitié du terrain.
- La question qui double la liste : « où quelqu'un demande-t-il à une machine de DÉCIDER, RÉDIGER ou TRIER à sa place ? ». Elle vise le geste, pas le mot « IA », et fait remonter tous les usages que personne n'aurait étiquetés comme tels.
- On procède service par service, en déroulant le quotidien tâche par tâche, et on capture pour chaque usage cinq informations minimales : nom, description, finalité, données en entrée / sortie, présence de données personnelles.
- On classe les USAGES dans leur contexte, jamais les outils : le même assistant mérite plusieurs lignes distinctes. Et on récolte d'abord, on juge à froid ensuite — trancher le risque devant la personne tanche la source.
- Un LLM aide à STRUCTURER les notes (mise en forme, format à cinq colonnes), jamais à DÉCIDER du risque ou du droit : un bon prompt cadre le rôle, impose le format, interdit d'inventer et interdit tout verdict juridique.
- Le shadow AI ne sort de l'ombre que dans un climat de confiance : guide et non inspecteur, remercier toute confidence, garantir l'absence de sanction pour ce qui est déclaré, traiter le technophile en allié. Rassurer la personne sans jamais nier le risque de l'usage.
- Un inventaire est un film et non une photo : daté, vivant, régulièrement mis à jour. Toute classification reste une hypothèse de travail à faire valider par un juriste sur les points durs (usages touchant des personnes ou des documents confidentiels).

**Plan de la leçon :** Pourquoi l'inventaire est le premier geste, et le plus sous-estimé · La question qui double la liste : « où quelqu'un demande-t-il à une machine de décider, rédiger ou trier à sa place ? » · Walkthrough : l'inventaire de Serval, service par service · Du brouillon au registre : structurer ses notes, avec un prompt avant/après · Le climat de confiance : faire sortir le shadow AI de l'ombre · Erreurs de débutant, tarification, et ce que tu emportes

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/ENT-12)._

## Leçon 9 — Walkthrough : la checklist de conformité appliquée à une PME vendant en UE

**À retenir :**

- La checklist de conformité se déroule en cinq étapes toujours identiques : recenser et situer le rôle de l'entreprise, évaluer le risque par usage, repérer les points nLPD, lister les corrections, constituer le dossier minimal.
- On remplit la checklist en colonnes et non en lignes : traiter tous les usages sur un même critère à la fois oblige à les comparer et évite de surclasser le premier venu.
- Rôle et risque sont deux axes indépendants : une PME peut être déployeur (utilisateur) sur tous ses usages et voir pourtant ces usages s'étaler du risque limité au haut risque probable.
- Chez Terravita, cinq usages très différents : chatbot et génération de contenu (risque limité), scoring clients (à examiner), tri des candidatures (probablement haut risque), transcription de réunions (forte alerte données) — deux lignes concentrent l'essentiel du risque.
- La nLPD, en vigueur depuis le 1er septembre 2023, s'applique à tout traitement de données personnelles, indépendamment du cadre européen : les lignes qui cumulent données sensibles et stockage à l'étranger remontent en tête des priorités.
- La meilleure première correction est souvent la plus simple et gratuite : pour une transcription de réunions sensibles stockée à l'étranger, cesser de transcrire ce type de réunion avant tout montage compliqué.
- Le dossier minimal (registre daté, fiches des usages sensibles, politique d'une page, liste des corrections ordonnées, note des points renvoyés au juriste) n'est pas un certificat mais une preuve de gouvernance qui débloque des marchés.
- Chaque classification est prudente, au conditionnel et datée : c'est une hypothèse de travail à faire valider par un juriste, et cette honnêteté est une force professionnelle, pas une faiblesse.

**Plan de la leçon :** Le cas Terravita, et la checklist qu'on va dérouler jusqu'au bout · Étape 1 — Recenser et situer le rôle de l'entreprise, usage par usage · Étape 2 — Évaluer le niveau de risque probable de chaque usage · Étape 3 — Repérer les points de protection des données (nLPD) · Étape 4 et 5 — Lister les corrections, puis constituer le dossier minimal · Erreurs de débutant, tacite du métier, et ce qui vient ensuite

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/ENT-12)._

## Leçon 10 — Cas chiffré : le coût de la démarche face à l'exposition au risque

**À retenir :**

- Le tableau coût contre exposition est le document d'une page qui débloque le budget : il inverse l'asymétrie « coût précis contre risque vague » en rendant la valeur aussi concrète que le coût.
- On chiffre le coût avec sûreté — jours de travail interne valorisés au coût horaire chargé (repère : CHF 500 à 700 par jour), ou mission externe au forfait (repère : CHF 2 500 à 4 000 pour un inventaire) — et on l'assume comme quelques milliers de francs, en grande partie ponctuels.
- On pose l'exposition sans inventer aucun chiffre : on chiffre le chiffre d'affaires d'un appel d'offres réel qui serait perdu, on décrit sans montant le coût d'un incident de données, et on assume comme non chiffrable la sérénité.
- Trois interdits absolus dans la colonne valeur : aucun montant d'amende inventé, aucune probabilité inventée, aucun pourcentage de marchés perdus fabriqué. Une seule ligne inventée détruit la crédibilité de tout le tableau.
- Chez Garage Morand SA à Payerne, une démarche de l'ordre de CHF 3 000 à 8 000 rend accessible un mandat de flotte de plusieurs centaines de milliers de francs : le rapport d'échelle emporte la décision sans qu'on ait besoin de dramatiser.
- Le tableau garantit l'éligibilité (passer le filtre administratif de la gouvernance IA), pas le gain du marché : un référent honnête ne survend jamais son livrable, ce qui renforce sa crédibilité.
- Sans appel d'offres immédiat, on vend une capacité de réaction et une assurance — pas une peur : « le dossier prêt d'avance permet de répondre quand l'occasion arrive, au lieu de passer son tour ».
- Toute l'exposition reste au conditionnel et renvoie au juriste sur les points durs : le tableau est un outil de décision économique, jamais un avis de droit.

**Plan de la leçon :** Le tableau qui fait dire oui à une direction · Le cas Garage Morand SA : une concession face à un mandat de flotte · Chiffrer le coût : le temps interne et la mission externe · Poser l'exposition en face, sans inventer un seul chiffre · Le tableau complet et le calcul du retour · Adapter le tableau, éviter les pièges, et vendre l'invisible

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/ENT-12)._

## Leçon 11 — Politique d'usage interne de l'IA et formation des équipes

**À retenir :**

- La conformité réelle ne vit pas dans tes documents mais dans les réflexes de tes collègues au moment où ils ouvrent un outil : la politique qu'on affiche vaut mieux que le règlement qu'on classe.
- Une bonne politique d'usage tient sur UNE page et répond à quatre questions seulement : ce qu'on peut faire, ce qu'on ne colle jamais dans un outil grand public, ce qui passe par le référent, et qui contacter en cas de doute.
- On écrit en gestes concrets, pas en principes abstraits : « ne colle jamais un CV dans un outil grand public » change un comportement, « respecter la confidentialité » n'en change aucun.
- On commence toujours par autoriser franchement les usages sûrs avant d'énoncer les interdits : une politique qui ne liste que des interdictions pousse les gens à contourner en douce.
- On ne forme pas tout le monde pareil : des sessions de trente minutes par service, avec deux ou trois messages clés tirés du quotidien de chaque métier (marketing, RH, compta, architectes ne courent pas les mêmes risques).
- Un canal de questions simple et sans jugement est le nerf de la démarche : le jour où un collègue demande AVANT le geste, la conformité est passée dans les réflexes.
- Politique et formation vont ensemble et se maintiennent dans le temps (accueil des nouveaux, rappels deux fois par an, révision datée) : la conformité est un entretien, pas un livrable qu'on coche.
- Tout ce travail est une préparation prudente et sérieuse, pas un avis de droit : les points sensibles (droits des images publiées, outils qui décident du sort d'une personne) se font valider par un juriste.

**Plan de la leçon :** Ancrer la conformité dans les têtes, pas dans un classeur · Anatomie d'une politique d'usage qui tient sur une page · Le modèle concret : une politique d'usage prête à adapter · Construire le plan de formation : trente minutes par service · Faire vivre la démarche : lancement, rythme et pièges · Récapitulatif, erreurs à éviter et ce qui t'attend en L12

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/ENT-12)._

## Leçon 12 — Dialogue : convaincre une direction qui juge la démarche « purement administrative »

**À retenir :**

- Le référent conformité IA est un vendeur interne : une analyse juste mais mal vendue produit le même résultat que pas d'analyse du tout, c'est-à-dire rien. La qualité du dossier ne dispense jamais de le faire adopter.
- On parle au décideur dans SA langue — les francs et les contrats (appels d'offres débloqués, incidents évités) — jamais dans celle des articles et des annexes : un patron n'achète pas de la conformité, il achète des marchés gagnés et de la tranquillité.
- La vente se gagne dans la préparation : un fait tiré de la maison du patron, un enjeu commercial daté et nommé, et une demande claire et bornée valent mieux que tout exposé improvisé.
- On borne son temps d'entrée (« dix minutes, pas plus ») et on borne sa demande (« une demi-journée par mois pendant trois mois ») : un coût limité rassure, un engagement flou fait fuir.
- On ne brandit jamais de montant de sanction pour faire peur : la peur chiffrée est invérifiable, malhonnête et se retourne contre le débutant. On parle d'exposition et de risque, jamais d'amende.
- Chaque objection classique — « on est trop petits », « ça va ralentir les équipes », « personne ne s'est jamais plaint » — se retourne en bénéfice concret, jamais en duel frontal : l'objection est une porte sur ce qui inquiète le patron.
- Refuser de survendre est un pivot de confiance : « je ne prétendrai jamais qu'on est blindés » crédibilise plus que dix arguments. On vend de la réduction de risque, au conditionnel, à faire valider par un juriste sur les points durs.
- L'objectif d'un entretien n'est pas le grand oui, mais le prochain petit pas daté (« je te montre ça dans trois semaines ») : un petit oui tenu à la lettre vaut mille grands oui oubliés.

**Plan de la leçon :** La compétence qu'on n'ose pas nommer : vendre la conformité en interne · Le décor : Menuiserie Bellani & Fils SA, et la préparation avant le bureau · Le dialogue complet, réplique par réplique · Débrief du dialogue : ce qui a marché, et pourquoi · La boîte à réponses : objections classiques et pièges du débutant · Après le oui : ancrer la démarche et facturer si tu es externe

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/ENT-12)._

## Leçon 13 — Erreurs de débutant, savoir-faire tacite et préparation de l'examen

**À retenir :**

- Tout le métier tient dans un raisonnement unique en six questions : quel usage précis et dans quel contexte, quelles données (personnelles ?), quel rôle de l'entreprise, quel niveau de risque au conditionnel, quelle action concrète, et à trancher seul ou à faire valider par un juriste.
- Les six erreurs de débutant se sentent venir : se prendre pour un juriste, produire un pavé illisible, classer les outils au lieu des usages, oublier le shadow AI, faire peur au lieu de rassurer, et sous- ou sur-escalader.
- Le savoir-faire tacite consolidé : faire avouer les usages en curieux bienveillant, parler au patron en francs et en contrats, doser l'escalade avec une question nette, ne jamais affirmer une certitude qu'on n'a pas, et transformer le collègue technophile en co-auteur.
- Cinq livrables forment un ensemble cohérent qui converge vers le dossier de preuves : registre des usages, fiches de classification datées, politique d'usage d'une page, plan de formation, et dossier de preuves qui ouvre des marchés.
- Aucun livrable ne remplace un avis de droit : on les présente comme un travail structuré et prudent, formulé au conditionnel et à faire valider par un juriste aux endroits qui l'exigent — cette honnêteté est ce qui les rend crédibles.
- L'examen teste le raisonnement, pas la récitation : la forme prudente de la réponse (hypothèse au conditionnel, action, escalade ciblée) compte autant que l'étiquette ; le seuil de réussite est de 80 %.
- On ne cite jamais un montant de sanction de mémoire : on parle d'une exposition au risque et on renvoie la quantification à un juriste, sans avancer de chiffre.
- Le portfolio — version anonymisée des cinq livrables sur des cas fictifs — prouve qu'on sait faire, pas seulement qu'on a suivi un cours ; c'est lui qui débloque un rôle interne ou signe une mission externe (souvent au forfait, cadre indépendant AVS et TVA à 8,1 % au-delà de CHF 100 000).

**Plan de la leçon :** La leçon qui ramasse tout : à quoi sert une synthèse · Les erreurs de débutant, revues en profondeur · Le savoir-faire tacite, consolidé · Récapitulatif : tes livrables et ton dossier de preuves · Préparer l'examen final : le raisonnement, pas la récitation · De la formation à la preuve : ton portfolio

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/ENT-12)._