# Conformité IA : AI Act & nLPD pour PME suisses

> 4 modules · 10 leçons · ~10 h d'étude · Attestation — SFM Academy (successfor-me.ch).
>
> Résumé public leçon par leçon. Le contenu pédagogique complet (hors 1re leçon gratuite) est réservé aux abonnés.

Fiche du cours : https://successfor-me.ch/academy/cours/fiche/IA-19

## Leçon 1 — Le métier de référent conformité IA : à quoi ressemblent vos semaines

**À retenir :**

- Le référent conformité IA est un traducteur-coordinateur, pas un juriste ni un ingénieur ; sa valeur est de répondre à « peut-on utiliser cet outil, pour cet usage, avec ces données ? ».
- Le métier est fait à 80 % de conversations et de documentation courte ; en PME, il est presque toujours à temps partiel et sans autorité hiérarchique — il faut convaincre, pas ordonner.
- Cinq livrables structurent le rôle : inventaire des usages, grille d'audit d'une page, charte, registre d'incidents, dossier de conformité.
- Une PME suisse peut être concernée par le cadre européen via le lien commercial (vente, données ou résultats liés à l'UE), et par la nLPD dès qu'il y a des données personnelles.
- La conformité ne rapporte pas, elle évite des pertes : le bon argument est le risque évité chiffré, pas la peur du règlement.
- On commence par l'inventaire, jamais par la charte ; et on protège les équipes au lieu de les surveiller.

**Plan de la leçon :** Un rôle né de deux vagues en même temps · Une semaine type, du lundi au vendredi · Où vous asseyez-vous dans l'organigramme · Ce que vous produisez réellement · Pourquoi une PME suisse est concernée — même hors de l'UE · Cas chiffré : l'incident évité · Les erreurs de débutant · Se positionner : interne, prestataire, tarifs et statut

_Leçon en accès libre._

### Un rôle né de deux vagues en même temps

Il y a trois ans, ce poste n'existait dans presque aucune PME romande. Aujourd'hui, une entreprise de vingt personnes peut avoir six équipes qui utilisent l'IA tous les jours — et personne pour dire si c'est légal, sûr, ou documenté. C'est exactement ce vide que vous allez apprendre à combler.

Le référent conformité IA est apparu à l'intersection de deux mouvements qui ont frappé les entreprises au même moment. D'un côté, l'adoption sauvage des outils d'IA générative : entre fin 2023 et 2025, ChatGPT, Copilot, Gemini et une dizaine d'assistants spécialisés sont entrés dans les entreprises non pas par la porte de la direction informatique, mais par celle des employés, un par un, sur leur navigateur. De l'autre, l'arrivée d'un cadre réglementaire — le règlement européen sur l'intelligence artificielle et la loi suisse révisée sur la protection des données — qui transforme cet usage spontané en risque juridique concret.

Votre métier n'est ni celui d'un juriste, ni celui d'un ingénieur. C'est un rôle de **traducteur et de coordinateur**. Vous faites le lien entre trois mondes qui, dans une PME, ne se parlent presque jamais : les équipes qui utilisent l'IA sans en mesurer les implications, la direction qui signe les contrats et porte la responsabilité, et — quand il existe — le conseil juridique externe qui raisonne en textes de loi. Votre valeur ne vient pas de votre capacité à réciter un règlement : elle vient de votre aptitude à répondre à une question très simple que personne d'autre ne sait traiter dans l'entreprise : « Est-ce qu'on peut utiliser cet outil, pour cet usage, avec ces données, sans se mettre en danger ? »

Il faut le distinguer d'un rôle voisin, celui de délégué à la protection des données (DPO). Le DPO s'occupe des données personnelles au sens large ; le référent conformité IA s'occupe des systèmes d'IA et de leurs usages, ce qui recoupe la protection des données mais va bien au-delà : fiabilité des réponses, biais, supervision humaine, traçabilité des décisions. Dans une PME, la même personne cumule souvent les deux casquettes — mais ce sont deux métiers, et les confondre est une erreur classique que nous verrons plus loin.

### Une semaine type, du lundi au vendredi

La meilleure façon de comprendre un métier, c'est de le regarder heure par heure. Voici une semaine réaliste d'un référent conformité IA à temps partiel dans une PME de services d'une cinquantaine de personnes. Rien ici n'est théorique : chaque bloc correspond à une tâche que vous produirez vraiment.

**Lundi — Inventaire.** Vous parcourez les équipes pour recenser les outils d'IA réellement utilisés — pas ceux qui ont été achetés, ceux qui tournent. Vous découvrez trois assistants dont la direction ignorait l'existence. Vous les notez dans votre registre.

**Mardi — Cadrage.** Réunion avec la responsable du service client, qui veut brancher un chatbot sur le site. Vous ne dites pas « non » : vous posez les questions qui déterminent le niveau de risque (quelles données ? quelles réponses ? quelle supervision ?) et vous cadrez ce qu'il faut vérifier avant la mise en ligne.

**Mercredi — Rédaction.** Vous mettez à jour la charte d'usage interne : une page, lisible, qui dit ce qui est permis, ce qui est interdit, et à qui poser une question en cas de doute. La version longue de vingt pages trouvée en ligne finit à la corbeille.

**Jeudi — Test.** Vous mettez volontairement en défaut l'assistant de rédaction de devis : vous lui soumettez des cas limites pour voir s'il invente des prix ou des conditions. Il en invente deux sur dix. Vous documentez, et vous ajoutez une validation humaine avant envoi.

**Vendredi — Reporting.** Trente minutes avec la direction : ce qui a été recensé, un incident évité, une décision à prendre (le chatbot du mardi). Vous parlez risque et gain de temps, jamais jargon.

📌 Ce qui frappe, quand on découvre le métier de l'intérieur, c'est qu'il est fait à **80 % de conversations et de documentation**, et à 20 % seulement de « technique ». Vous n'écrivez pas de code. Vous écoutez, vous cartographiez, vous écrivez des documents courts, et vous ramenez de la clarté là où il y avait du flou.

### Où vous asseyez-vous dans l'organigramme

Dans une grande entreprise, la conformité IA est un poste à plein temps, parfois une équipe. Dans une PME — c'est-à-dire l'immense majorité du tissu économique suisse — la réalité est différente : le rôle est presque toujours **porté à temps partiel** par quelqu'un qui a déjà un autre chapeau. Le plus souvent, c'est la personne responsable de la qualité, le ou la responsable informatique, le délégué à la protection des données, ou directement un membre de la direction dans les structures de moins de vingt personnes.

Cette position à temps partiel a une conséquence pratique que personne ne vous dira : vous n'avez presque jamais d'autorité hiérarchique sur les gens dont vous devez faire évoluer les pratiques. Vous ne pouvez pas ordonner. Vous devez convaincre. C'est pourquoi vos deux vrais interlocuteurs sont, d'un côté, la **direction** — à qui vous rapportez et qui vous donne le mandat et la légitimité — et de l'autre, les **chefs d'équipe**, qu'il faut embarquer sans les braquer.

En cas de question réglementaire pointue, vous faites appel à un conseil juridique externe : votre rôle n'est pas de trancher le droit, mais de savoir quand une question dépasse votre périmètre et mérite un avis d'avocat. 💡 Cette lucidité sur vos propres limites est une compétence, pas un aveu de faiblesse : elle protège l'entreprise et votre crédibilité.

### Ce que vous produisez réellement

Un métier se juge à ses livrables. Ceux du référent conformité IA sont peu nombreux, tangibles, et réutilisables d'une entreprise à l'autre — ce qui en fait, pour vous qui débutez, la matière première de votre futur portfolio. En voici les cinq essentiels.

- **L'inventaire des usages d'IA** — un registre vivant : quel outil, pour quelle tâche, quelles données, quel responsable. C'est le socle : on ne protège pas ce qu'on ne connaît pas.
- **La grille d'audit en une page** — l'outil de terrain qui permet, pour chaque usage, de situer le niveau de risque et de décider en quelques minutes.
- **La charte d'usage interne** — le document court qui dit aux employés ce qui est permis, interdit, et vers qui se tourner. S'il fait plus de deux pages, personne ne le lira.
- **Le registre des incidents** — la trace des ratés (une réponse fausse, une fuite de donnée évitée) et de ce qui a été corrigé. C'est votre preuve de sérieux le jour où quelqu'un demande des comptes.
- **Le dossier de conformité minimal** — le classeur qui rassemble tout : inventaire, grille, charte, incidents, décisions. Ce que vous montrez à un partenaire, un assureur ou un contrôleur.

Chacun de ces livrables sera construit pas à pas dans les leçons suivantes. Retenez dès maintenant qu'ils forment un système : l'inventaire nourrit la grille, la grille nourrit la charte, les incidents alimentent le dossier. C'est cet enchaînement, et non chaque pièce isolée, qui protège vraiment l'entreprise.

### Pourquoi une PME suisse est concernée — même hors de l'UE

C'est la question que tout dirigeant vous posera dans les cinq premières minutes : « On est en Suisse, pas dans l'Union européenne. En quoi ça nous concerne ? » La réponse tient en un mot : le **lien commercial**. Le droit ne suit pas seulement les frontières de l'entreprise, il suit celles du marché sur lequel elle agit.

Concrètement, une PME suisse peut entrer dans le champ d'un cadre européen dès lors qu'elle vend à des clients situés dans l'UE, qu'elle traite des données de personnes qui s'y trouvent, ou que le résultat produit par son système d'IA y est utilisé. Beaucoup d'entreprises romandes, précisément parce qu'elles exportent, sont dans au moins un de ces trois cas sans en avoir conscience. Et indépendamment de tout lien européen, la **loi suisse révisée sur la protection des données** (nLPD, en vigueur depuis le 1er septembre 2023) s'applique dès qu'il y a des données personnelles — ce qui est presque toujours le cas quand on branche de l'IA sur des dossiers clients ou RH.

⚠️ La portée exacte du règlement européen sur l'IA (champ d'application extraterritorial, calendrier d'entrée en vigueur échelonné, définition précise des rôles) évolue encore. Chaque affirmation réglementaire de ce cours gagne à être validée avec un juriste. Cette leçon en donne le principe général, pas le texte définitif.

Le message que vous ferez passer au dirigeant n'est pas « vous êtes en infraction ». C'est plus juste et plus efficace : « Nous sommes probablement concernés sur au moins un point, et il vaut mieux le savoir maintenant, quand cela coûte quelques heures, que le découvrir plus tard, quand cela coûte un client ou une amende. »

### Cas chiffré : l'incident évité

Prenons une agence de recrutement genevoise, douze personnes, qui a mis en place un outil d'IA pour trier les CV reçus — une pratique devenue courante. L'outil classe automatiquement les candidatures et écarte celles jugées non pertinentes. Personne, dans l'agence, n'a vérifié comment il décide.

📌 **Le risque non maîtrisé.** Un outil de tri qui écarte systématiquement certains profils sur un critère non pertinent (âge, origine du nom, trou dans le parcours) expose l'agence à une plainte pour discrimination et à la perte de la confiance de ses clients mandants. Une seule affaire médiatisée, pour une agence de cette taille, peut signifier la perte d'un ou deux comptes majeurs — soit, en ordre de grandeur, de **CHF 60'000 à 120'000** de chiffre d'affaires annuel, sans compter le coût réputationnel. *(fourchette illustrative, à ajuster au cas réel)*

📌 **Le coût du contrôle.** Cartographier l'usage, tester l'outil sur un échantillon de CV pour détecter les biais, ajouter une validation humaine sur les rejets et documenter le tout : environ **deux à trois jours de travail** de référent, soit de l'ordre de **CHF 2'000 à 3'500**. *(repère, tarif à ajuster)*

📌 **Le retour.** On ne « gagne » pas d'argent en conformité — on en évite la perte. Ici, quelques milliers de francs de contrôle protègent contre un risque à cinq chiffres et préservent l'actif le plus fragile d'une agence de recrutement : sa crédibilité. C'est ce raisonnement, et non la peur du règlement, qui fait signer un dirigeant.

### Les erreurs de débutant

Presque tous ceux qui découvrent ce métier commettent les mêmes fautes dans les premières semaines. Les connaître d'avance, c'est gagner des mois.

⚠️ **Auditer l'outil au lieu de l'usage.** Un même assistant IA est inoffensif pour reformuler un e-mail interne et dangereux pour décider d'un refus de crédit. Le risque n'est pas dans le logiciel, il est dans ce qu'on en fait. Le débutant évalue ChatGPT ; le pro évalue « ChatGPT utilisé par le service RH pour présélectionner ».

⚠️ **Écrire une charte que personne ne lit.** Vingt pages copiées d'un modèle trouvé en ligne rassurent le rédacteur et ne changent rien sur le terrain. Une page claire, affichée et expliquée en réunion vaut mille fois mieux.

⚠️ **Croire que « hors UE = hors périmètre ».** On l'a vu : c'est le lien commercial qui compte, pas l'adresse du siège. Cette illusion de sécurité est la plus coûteuse de toutes.

⚠️ **Oublier l'IA clandestine.** Les outils que les équipes utilisent en douce, sur leur compte perso, sont invisibles dans les contrats mais bien réels dans les fuites de données. Le premier travail est toujours de les débusquer, sans esprit de police.

### Se positionner : interne, prestataire, tarifs et statut

Deux chemins s'ouvrent à vous. Le premier : occuper ce rôle **en interne**, comme extension de votre poste actuel (qualité, IT, administration). C'est la voie la plus fréquente et la plus simple pour commencer, parce que vous connaissez déjà la maison. Le second : intervenir comme **prestataire externe** auprès de plusieurs PME qui n'ont pas les moyens d'un poste dédié — un marché en pleine ouverture en Suisse romande.

Si vous visez la voie externe, quelques repères de tarification, à ajuster selon votre expérience et la taille du client : un **forfait de cadrage initial** (inventaire + grille + charte) se situe couramment dans une fourchette de quelques milliers de francs ; une **journée d'audit** se facture souvent entre CHF 900 et 1'500 ; et une **veille d'abonnement** (mise à jour réglementaire, revue trimestrielle) peut prendre la forme d'un forfait mensuel modeste mais récurrent. *(ordres de grandeur illustratifs)*

Côté statut, si vous facturez en indépendant, vous relevez du régime de la raison individuelle, avec affiliation à l'AVS comme indépendant et assujettissement à la TVA une fois franchi le seuil de **CHF 100'000** de chiffre d'affaires annuel. Ces éléments sont traités en détail dans le cursus « Devenir spécialiste IA & automatisation » ; retenez ici qu'un référent conformité qui se lance doit être irréprochable sur sa propre conformité administrative — c'est la première preuve de sérieux.

◆ **Le savoir-faire que personne ne vous apprend.** Commencez toujours par l'inventaire, jamais par la charte : le débutant veut écrire des règles, le pro veut d'abord voir la réalité. Et protégez les gens au lieu de les surveiller : si les équipes vous voient comme la police de l'IA, elles cacheront leurs usages et vous perdrez toute visibilité. Positionnez-vous comme celui qui les couvre — « je suis là pour que vous puissiez utiliser ces outils sans risque » — et l'information viendra à vous.

## Leçon 2 — Pourquoi une PME suisse est concernée par un règlement européen

**À retenir :**

- Le droit économique moderne suit le marché, pas le siège : ce n'est pas l'adresse de votre entreprise qui déclenche le règlement européen sur l'IA, mais le fait de toucher des clients, des données ou un marché situés dans l'UE.
- Trois portes d'entrée : (1) vendre à des personnes situées dans l'UE, (2) traiter les données de personnes situées dans l'UE, (3) voir le résultat de votre IA utilisé dans l'UE. Une seule porte ouverte suffit à mettre le sujet sur la table.
- La localisation prime sur la nationalité : un Suisse résidant à Annemasse est une personne située dans l'UE ; un Français installé à Genève ne l'est pas du simple fait de son passeport.
- Ne jamais rassurer un client avec « vous êtes trop petit pour être concerné » : des seuils ou allègements pour PME peuvent exister, mais se vérifient au cas par cas à la source officielle.
- La nLPD suisse s'applique de toute façon dès qu'il y a des données personnelles, indépendamment de tout lien avec l'UE. Le scénario « aucune règle ne me concerne » n'existe quasiment jamais.
- Image des deux cercles : le grand cercle est le droit suisse des données (presque toujours applicable) ; le second cercle est le règlement européen sur l'IA (seulement si une porte est ouverte). Beaucoup de PME sont dans les deux.
- Face à un dirigeant sceptique : valider son intuition géographique, puis déplacer la question de « où suis-je ? » vers « qui je touche, et où sont-ils ? ». Le laisser conclure lui-même à partir de ses propres réponses.
- Posture de sécurité juridique : sur tout point de calendrier, de seuil ou de champ d'application, dire « je vérifie à la source officielle » plutôt que répondre de mémoire. L'honnêteté documentée construit la confiance et vous protège.

**Plan de la leçon :** « On est en Suisse, ça ne nous concerne pas » — la phrase qui coûte cher · Le principe qui explique tout : le droit suit le marché, pas le siège · Porte d'entrée n°1 : vous vendez à des clients situés dans l'UE · Porte d'entrée n°2 : vous traitez les données de personnes situées dans l'UE · Porte d'entrée n°3 : le résultat de votre système d'IA est utilisé dans l'UE · La nLPD s'applique de toute façon, dès qu'il y a des données personnelles · Convaincre un dirigeant sceptique : le dialogue, pas à pas

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/IA-19)._

## Leçon 3 — Les niveaux de risque de l'AI Act : où tombent les usages d'une PME

**À retenir :**

- L'AI Act classe des USAGES, pas des technologies : le même modèle d'IA peut tomber dans une catégorie tranquille ou très encadrée selon ce qu'on lui fait faire.
- La pyramide comporte, selon la classification communément présentée, quatre niveaux : inacceptable/interdit (sommet, très rare), élevé, limité, minimal (socle, majorité des usages).
- Principe central : les obligations sont proportionnelles au risque. La plupart des usages d'une PME relèveraient probablement du risque minimal, avec peu ou pas d'obligations spécifiques.
- Tri de CV et scoring (crédit, leasing, paiements) relèveraient probablement du HAUT risque, car ils influencent l'accès à l'emploi ou à des ressources vitales : supervision humaine indispensable.
- Chatbot de service client et IA générative relèveraient probablement du risque LIMITÉ : l'obligation phare est la TRANSPARENCE — prévenir qu'on parle à une machine ou qu'un contenu est artificiel.
- La reconnaissance faciale se répartit sur plusieurs niveaux selon l'usage ; l'identification biométrique de personnes à leur insu touche des zones très encadrées côté AI Act ET la nLPD suisse (données sensibles).
- Double lecture obligatoire pour une PME suisse : l'AI Act (cadre UE) et la nLPD (qui s'applique à tout traitement de données personnelles en Suisse) sont deux plans distincts.
- Posture professionnelle non négociable : jamais de verdict définitif — formuler prudemment, dater la source, documenter, et escalader vers un juriste pour tout usage qui monte dans la pyramide.

**Plan de la leçon :** Pourquoi l'AI Act raisonne par niveaux de risque (et pas par technologie) · Le sommet de la pyramide : les usages qui relèveraient de l'interdiction · Le risque élevé : tri de CV, scoring, décisions qui pèsent sur les gens · Le risque limité : chatbots et IA générative, la question de la transparence · Le risque minimal : là où tombe (probablement) la majorité de vos usages · Le cas transversal de la reconnaissance faciale (et de la biométrie) · La grille mentale : situer un usage en cinq questions · Ce que ça change concrètement pour une PME suisse (et les pièges du terrain)

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/IA-19)._

## Leçon 4 — Les rôles de l'AI Act : fournisseur, déployeur, importateur, distributeur

**À retenir :**

- La première question de conformité IA n'est pas si votre outil est à haut risque, mais quel rôle vous jouez : l'AI Act répartit typiquement les obligations entre fournisseur, déployeur, importateur et distributeur — la case détermine toute la charge.
- Une PME qui utilise un outil d'IA du commerce sans l'avoir conçu, revendu ni rebrandé est le plus souvent déployeur — le rôle aux obligations les plus légères (usage conforme, transparence), mais jamais nul.
- Le fournisseur est typiquement le fabricant du système (conçu ou fait concevoir, mis sur le marché sous son nom) et porte le gros des obligations techniques ; ce rôle a un coût réel de plusieurs milliers de francs qu'on n'endosse ni ne fuit par méconnaissance.
- Un déployeur peut basculer et être requalifié fournisseur par certains gestes — rebrander un outil, le modifier substantiellement, en détourner la destination — ce qui fait sauter la charge d'obligations sans qu'aucun signal ne prévienne.
- On qualifie un système à la fois, jamais l'entreprise en bloc : la même PME peut être déployeur pour deux outils et potentiellement fournisseur pour un troisième qu'elle a rebrandé.
- La méthode des quatre questions (l'ai-je conçu ? le mets-je à disposition de tiers ? l'ai-je rebrandé ou modifié ? sinon j'utilise donc je suis déployeur) sert au triage, pas au verdict : tout point proche du fournisseur, de l'importation ou du haut risque se fait valider par un juriste.
- L'AI Act et la nLPD suisse se superposent sans se confondre : dès qu'un système traite des données personnelles, la nLPD s'applique indépendamment du rôle AI Act et même quand l'AI Act ne vous concerne pas.
- Rien de tout cela n'est un avis de droit : chaque qualification et chaque obligation doivent être formulées au conditionnel et validées par un juriste avant d'être opposées à quiconque.

**Plan de la leçon :** Pourquoi votre première question n'est pas « mon IA est-elle à risque » mais « quel est mon rôle » · Le fournisseur : celui qui développe, fait développer, ou met le système sur le marché sous son nom · Le déployeur : le rôle que joue presque toujours une PME qui utilise un outil du commerce · Importateur et distributeur : les maillons de la chaîne d'approvisionnement · La frontière qui change tout : quand un déployeur bascule et devient fournisseur · Walkthrough : déterminer mon rôle en quatre questions · Pourquoi se tromper de rôle change tout — et comment cela s'articule avec la nLPD · Synthèse et méthode : cartographier ses rôles avant de parler d'obligations

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/IA-19)._

## Leçon 5 — Sanctions et enjeux réels : ce que risque vraiment une PME

**À retenir :**

- Le plafond souvent cité — jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial — vise les très grands acteurs et ne décrit quasiment jamais la réalité d'une PME.
- Les autorités agissent par proportionnalité et gradation : elles commencent par des recommandations et mises en conformité ; la sanction lourde punit l'obstination après avertissement, pas l'erreur initiale de bonne foi.
- La taille protège contre le contrôle spontané, jamais contre une plainte fondée (client, candidat, employé) ni contre les exigences renforcées d'un usage à haut risque comme le tri de candidatures.
- Le régime suisse de la nLPD ne raisonne pas en pourcentage du chiffre d'affaires ; sa logique de sanction est d'une autre nature (montant fixe, personne responsable).
- Les coûts non réglementaires sont plus probables et plus immédiats qu'une amende : perte d'un client sensible, exclusion d'un contrat B2B faute de prouver sa conformité, atteinte à la réputation sur un marché romand étroit.
- Un incident dans une PME coûte facilement plusieurs dizaines de milliers de francs — temps interne, expertise externe, annonces, remédiation d'urgence, clients qui partent — sans qu'aucune autorité n'intervienne.
- On parle du risque à un dirigeant sans catastrophisme ni minimisation : séparer le probable, le grave et le maîtrisable ; traduire le chiffre abstrait en scénario concret ; vendre la maîtrise, jamais la peur ; dater ses sources.
- La meilleure protection d'une PME est la traçabilité : pouvoir prouver sa bonne foi (politique d'usage, registre, formations, gestion des incidents) transforme une erreur en dossier défendable et fait gagner des mandats B2B.

**Plan de la leçon :** Le plafond spectaculaire et la réalité d'une PME : deux mondes à ne pas confondre · Proportionnalité et gradation : comment une autorité sanctionne vraiment · Le régime suisse : la nLPD ne fonctionne pas comme l'amende européenne · Les coûts non réglementaires : plus probables, plus immédiats, souvent plus lourds · Anatomie chiffrée d'un incident : ce que coûte vraiment un problème · Parler du risque à un dirigeant : ni catastrophisme, ni minimisation · La traçabilité : pouvoir prouver la bonne foi, la vraie protection · Remettre chaque risque à sa place : la hiérarchie que doit tenir un dirigeant

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/IA-19)._

## Leçon 6 — nLPD 2023 et systèmes d'IA : ce qui change concrètement

**À retenir :**

- La nLPD est en vigueur depuis le 1er septembre 2023 et s'applique par défaut à toute PME suisse — elle est proche du RGPD mais distincte : être « conforme RGPD » ne suffit pas.
- Brancher de l'IA sur des noms, emails, CV ou données RH est un traitement de données personnelles : l'IA n'échappe pas à la loi, elle en amplifie les enjeux.
- Finalité et minimisation d'abord : un but clair en une phrase, et un dataset dégraissé de toute colonne inutile — surtout les champs libres, à relire ou exclure.
- Transparence : mettez à jour politique de confidentialité, points de collecte et processus RH pour signaler l'usage d'IA et les transferts à l'étranger, en langage compréhensible.
- Profilage et décisions automatisées à impact (embauche, crédit, refus de service) : gardez toujours un humain dans la boucle qui peut renverser la recommandation.
- Sous-traitants et transferts : vérifiez hébergement, contrat de traitement (DPA) et option de non-entraînement avant de signer ; tenez un registre même si vous vous croyez dispensé.
- Les 6 réflexes (finalité, dégraisser, cohérence, trajet des données, humain dans la boucle, sécuriser + écrire la règle) transforment un projet risqué en projet défendable.
- Pour toute obligation précise (seuils, profilage à risque élevé, droits opposables, transferts), faites-la valider avec un juriste ou une source officielle comme le PFPDT — cette leçon donne les réflexes, pas la certification.

**Plan de la leçon :** La nLPD, ce n'est pas le RGPD suisse — et cette nuance vous coûte cher si vous l'ignorez · Finalité et minimisation : les deux principes que l'IA malmène en silence · Transparence et devoir d'information : dire que l'IA est dans la boucle · Profilage et décisions individuelles automatisées : le terrain le plus sensible · Registre des traitements, sous-traitants et sécurité : la plomberie invisible · Walkthrough : les 6 réflexes nLPD avant de brancher une IA sur des données clients ou RH · Cas romand : la fiduciaire de Sion qui a failli automatiser son tri de candidatures

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/IA-19)._

## Leçon 7 — Cas chiffré : mettre en conformité une PME suisse qui vend en Europe

**À retenir :**

- Une PME suisse qui vend activement dans l'UE peut relever à la fois de la nLPD ET du RGPD/AI Act : le critère n'est pas le siège, mais où sont les personnes et où sont utilisés les résultats.
- Rien ne se fait sans un inventaire exhaustif des systèmes d'IA, système par système : la moitié des usages (moteur de reco, scoring) sont des « fantômes » activés sans que la direction le sache.
- Les obligations dépendent du RÔLE (fournisseur vs déployeur, voire importateur), à qualifier système par système et par écrit — modifier substantiellement un outil peut faire basculer vers le rôle, plus lourd, de fournisseur.
- On classe le risque prudemment : concentrer l'énergie sur les systèmes sensibles (tri de CV côté emploi, scoring qui bloque des commandes) plutôt que sur le chatbot qui « se voit » plus. Classifications toujours provisoires, à faire valider juridiquement.
- Faire le travail ne suffit pas : il faut le PROUVER via un dossier daté et versionné (inventaire, fiches, registre, politique de confidentialité, DPA, procédures de surveillance humaine, journal de décisions).
- Le coût se chiffre en jours-personne × tarif (repère illustratif : ~9 jours, ordre de CHF 12'000-15'000 initial + CHF 1'500-3'000/an), avec un recours juridique ciblé sur les seuls points chauds pour maîtriser la facture.
- Le ROI se démontre en confrontant ce coût borné à l'exposition — dont le risque le plus PROBABLE pour une PME suisse est commercial (perte de clients européens), pas la sanction médiatisée : un seul contrat B2B sécurisé rembourse souvent toute la démarche.
- On ne brandit jamais un montant de sanction comme une certitude et on ne promet jamais « zéro risque » : on vend un risque maîtrisé, documenté, et daté — l'honnêteté est ce qui rend le dossier crédible face à un client ou un auditeur.

**Plan de la leçon :** Le décor : une PME valaisanne prise entre deux droits · État des lieux : l'inventaire des usages, ligne par ligne · Identifier le rôle : Alpina est-elle fournisseur ou déployeur ? · Cartographier les risques : classer chaque système, prudemment · Les corrections : ce qu'on répare, dans quel ordre · Constituer le dossier : prouver, pas seulement faire · Le coût de la démarche : additionner les jours en CHF · Le ROI présenté au dirigeant : coût contre exposition

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/IA-19)._

## Leçon 8 — Documenter : constituer le dossier de conformité minimal

**À retenir :**

- Le dossier ne prouve pas que vos outils sont parfaits : il prouve que vous avez agi en bon professionnel. Documenter la bonne foi, c'est pouvoir montrer, daté, ce que vous avez fait et pourquoi.
- L'inventaire des usages est la pièce racine : un registre vivant, daté, où l'on liste des usages (pas des logiciels) et où la colonne « décision assistée ? » sépare le risque faible du risque lourd.
- On ne trace pas la sortie de l'IA, on trace la décision humaine qui l'a suivie. Les cas où l'humain a contredit la machine sont vos meilleures preuves de supervision réelle.
- Le point de contrôle humain se place juste avant l'effet irréversible. Une supervision n'existe que si le validateur peut vraiment dire non aussi facilement qu'oui.
- Un registre d'incidents bien tenu rassure ; zéro incident déclaré inquiète. On consigne aussi les petits ratés, avec une action corrective datée reliée aux autres pièces.
- La politique d'usage s'écrit en dernier et en langage clair, avec une liste noire de données interdites et une preuve de réception datée par chaque collaborateur.
- Ordre de construction : inventaire, puis traçabilité, supervision, incidents, et politique en synthèse. Une page de garde datée et des versions conservées font la crédibilité.
- Un dossier vaut par sa vie, pas par son épaisseur : trente minutes de revue par trimestre battent cent pages écrites une fois. Toute référence légale gagne à être validée avec un juriste.

**Plan de la leçon :** Documenter la bonne foi : le seul réflexe qui protège vraiment · L'inventaire des usages : le registre vivant qui tient tout le reste · La traçabilité des décisions : garder la trace de qui a tranché, et pourquoi · La supervision humaine : placer le point de contrôle au bon endroit · Le registre des incidents : ce que vous consignez le jour où ça dérape · La politique d'usage : les règles du jeu écrites une fois pour toutes · Constituer le dossier pas à pas : l'ordre, le classeur, les erreurs à éviter

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/IA-19)._

## Leçon 9 — Les erreurs qui coûtent cher au référent conformité

**À retenir :**

- Le risque IA vient de l'usage — quelles données, quelle décision, quel impact — jamais de la marque de l'outil : cartographiez des usages, pas des logiciels.
- Une charte se mesure au nombre de personnes capables de la citer, pas à son épaisseur : séparez la politique de référence des trois règles opérationnelles à retenir.
- Hors UE n'égale pas hors périmètre : dès qu'un système touche des personnes ou vise un marché hors de Suisse, le périmètre se déplace et mérite un avis daté.
- L'IA clandestine se combat par la lumière et l'amnistie déclarative, pas par l'interdiction : un canal rapide et bienveillant vaut mieux qu'un mur qui pousse au contournement.
- Conformité IA et protection des données sont deux examens distincts : ajoutez toujours la grille IA (décision, explicabilité, biais, contrôle humain) à la grille données.
- La conformité est un film, pas une photo : remplacez l'audit ponctuel par un rituel trimestriel léger et des déclencheurs accrochés aux routines existantes.
- On signale à un allié, on cache à un juge : la posture de protecteur ferme fait remonter l'information dont dépend toute la conformité réelle.
- Presque toutes ces erreurs confondent le formalisme avec la réalité : le bon référent surveille ce qui se passe, pas ce qui est écrit.

**Plan de la leçon :** Le métier de référent : là où on se trompe vraiment · Erreur 1 — Auditer l'outil au lieu de l'usage · Erreur 2 — La charte de vingt pages que personne ne lit · Erreur 3 — Croire que hors UE égale hors périmètre · Erreur 4 — Oublier l'IA clandestine qui circule dans les équipes · Erreur 5 — Confondre conformité IA et protection des données · Erreur 6 — Faire de la conformité un audit ponctuel · Erreur 7 — Se poser en police plutôt qu'en protecteur

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/IA-19)._

## Leçon 10 — Atelier : la checklist de conformité IA appliquée à un cas

**À retenir :**

- Le livrable de l'atelier est UNE checklist de conformité IA remplie : recensement des usages, rôle, niveau de risque, points nLPD, corrections et dossier minimal — la pièce qui rejoint ton portfolio et prépare l'attestation.
- On suit toujours le même ordre : recenser et situer le rôle, puis évaluer le risque, puis repérer les points nLPD, puis lister les corrections et constituer le dossier. Cet ordre n'est pas négociable.
- On classe l'USAGE dans son CONTEXTE, jamais l'outil en général : le même modèle est minimal pour rédiger une annonce et à haut risque pour trier des candidatures.
- Une PME qui achète et branche des outils est presque toujours déployeur — mais une modification substantielle ou un rebadge peut la faire glisser vers le rôle de fournisseur, à surveiller usage par usage.
- « Un humain valide toujours » ne déclasse pas un usage à haut risque si la supervision est cosmétique : la supervision doit être réelle, formée et capable de contredire la machine.
- En Suisse, la nLPD attrape souvent ce que l'échelle de risque IA laisse filer : décision automatisée, profilage, analyse d'impact et surtout transfert de données à l'étranger sont les pièges concrets.
- Chaque classification de risque ou de rôle est une hypothèse de travail à faire valider par un juriste et à dater : la date de classification, la date de revue et l'avis juridique sont les fusibles qui empêchent le dossier de mentir avec le temps.
- Une correction est un verbe d'action avec responsable et échéance, priorisée par gravité et effort, et pointant vers une pièce concrète du dossier minimal — pas un simple constat.

**Plan de la leçon :** Pourquoi cet atelier, et ce que tu vas produire · Le cas Néova Sàrl : une PME romande et ses cinq usages d'IA · Étape 1 — Recenser les usages et situer ton rôle · Étape 2 — Évaluer le niveau de risque de chaque usage · Étape 3 — Repérer les points nLPD · Étape 4 — Lister les corrections et constituer le dossier minimal · La trame de la checklist (à copier et réutiliser) · Le corrigé commenté : ce qu'un bon travail contient (et les pièges)

_Contenu complet réservé aux abonnés — [suivre ce cours](https://successfor-me.ch/academy/cours/fiche/IA-19)._