# Responsable IA en tant que service: votre AI Officer externe > Responsable IA externe en mandat : inventaire IA, classification AI Act, compétences IA (art. 4) et reporting à la direction. Dès CHF 500/mois. - Source: https://www.sidd.swiss/fr/services/ai-officer - Langue: fr-CH - Mise à jour: 2026-10-20 - Éditeur: SIDD Institut pour la protection des données et la sécurité des données, une marque de Priverion GmbH, Zugerstrasse 32, 6340 Baar (ZG), Suisse AI Act · règlement IA · gouvernance de l'IA Vous attribuez la responsabilité de l'IA de manière démontrable et réduisez les risques de responsabilité et d'organisation, sans poste à plein temps dédié. Nous assurons sous mandat le pilotage opérationnel continu de votre gouvernance de l'IA : inventaire, classification des risques selon l'AI Act, maîtrise de l'IA (art. 4) et reporting à la direction. La responsabilité juridique ultime demeure auprès de la direction et du conseil d'administration. dès CHF 500 / mois Mandat plutôt qu'embauche fixe secret professionnel de l'avocat (art. 321 CP) 15 min · sans engagement · gratuit · avec l'équipe de Dr Dominic Staiger **Responsable de ce mandat** **Dr Dominic Staiger** LL.M. (Bond), Dr. iur., CIPP/E · Attorney at Law (New York) · Solicitor (UK) L'équipe de Dr Dominic Staiger assure, sous sa responsabilité, la gestion opérationnelle de votre gouvernance de l'IA en tant qu'AI Officer externe. Elle associe le droit de la protection des données et le droit de l'IA à une compréhension technique et accompagne des mandats en Suisse, dans l'UE, au Royaume-Uni et aux États-Unis, en phase avec la portée extraterritoriale du règlement IA (art. 2). Dr Staiger a publié sur l'EU AI Act et le règlement IA (voir [Perspectives](https://www.sidd.swiss/fr/perspectives/ai-act-le-guide-pour-les-entreprises-suisses/)). [Profil LinkedIn](https://www.linkedin.com/in/dominicstaiger/) ## Qu'est-ce qu'un responsable IA en tant que service ? > **Définition succincte** > > Un responsable IA en tant que service (AI Officer) est une fonction externe, occupée de façon permanente, qui, dans le cadre du mandat, assure la gestion opérationnelle de votre gouvernance de l'IA ; la responsabilité juridique ultime demeure auprès de la direction et du conseil d'administration (art. 717/754 CO). Nous constituons votre inventaire IA, classons chaque système selon l'AI Act (règlement IA, règlement (UE) 2024/1689), pilotons la compétence en matière d'IA (art. 4 AI Act), les politiques, la coordination des FRIA et des AIPD, ainsi que le reporting à votre direction. Le modèle suit le principe éprouvé du [délégué à la protection des données externe](https://www.sidd.swiss/fr/services/delegue-protection-donnees-rgpd) : un point de contact désigné et compétent, sans poste à plein temps dédié. Un AI Officer n'est pas un rôle obligatoire en droit, mais relève de la gouvernance et du marché ; en pratique, c'est néanmoins le moyen le plus efficace de regrouper de manière démontrable la compétence en matière d'IA et la responsabilité de supervision. La norme ISO/IEC 42001:2023 exige une attribution claire des rôles, des responsabilités et de la supervision tout au long du cycle de vie de l'IA ; pour la direction et le conseil d'administration, l'attribution documentée de cette responsabilité fait partie d'une organisation diligente. Cela ne permet pas de garantir la conformité, mais bien une réduction des risques et une responsabilisation démontrables. (Pourquoi l'AI Act lui-même ne prescrit pas de « responsable IA », nous l'expliquons dans les questions fréquentes.) ## Avez-vous besoin d'un AI Officer externe ? De nombreuses entreprises suisses utilisent déjà largement ChatGPT, Microsoft Copilot, Claude et des outils similaires, sans qu'une personne n'en assume la responsabilité. Ces quatre éléments déclencheurs montrent qu'un AI Officer est indiqué : 1. Au sein de votre direction ou de votre conseil d'administration, la question « Qui est en fait responsable de l'IA chez nous ? » se pose, et il n'existe pas de réponse claire et désignée. 2. Vos collaborateurs utilisent de manière productive des outils GPAI (modèles d'IA à usage général, p. ex. ChatGPT, Copilot, Claude), mais il manque une directive d'utilisation contraignante, et l'IA fantôme se propage de façon incontrôlée. 3. Des clients de l'UE ou des questionnaires de procurement demandent des informations sur votre gouvernance de l'IA, ou la sortie de vos systèmes d'IA est utilisée dans l'UE (art. 2, par. 1, let. c AI Act, clause de sortie). 4. Vous prenez, à l'aide de l'IA, [décisions individuelles automatisées](https://www.sidd.swiss/fr/perspectives/lia-dans-les-ressources-humaines/) ou effectuez du profilage (p. ex. scoring, présélection RH, solvabilité) et êtes ainsi directement concerné par l'art. 21 LPD et, selon l'application, par les obligations de l'annexe III de l'AI Act. Ce qui nous rend uniques ## Droit, ingénierie logicielle et développement d'IA en interne, au sein d'une même équipe Chez nous, ces trois disciplines s'imbriquent au sein d'une même équipe. **Ni un cabinet d'avocats au sens strict ni un cabinet de conseil classique ne peut offrir cette combinaison.** Voici comment nous pilotons votre gouvernance de l'IA de manière fondée et non seulement formelle : sur le plan juridique, technique et avec une véritable compréhension de l'IA. ### Une expertise juridique approfondie Des juristes titulaires d'un doctorat et des qualifications CIPP/E, Attorney at Law (NY) et Solicitor (R.-U.). Nous classifions l'IA en toute sécurité juridique selon l'AI Act, la LPD et le RGPD, sur la base de mandats en cours plutôt que de manuels. ### Nos propres ingénieurs logiciels Notre propre centre de développement et la [Plateforme Priverion](https://www.sidd.swiss/fr/priverion-plateforme). Nous savons comment les systèmes d'IA sont construits aujourd'hui et nous vérifions ce qu'un système fait réellement sur le plan technique, plutôt que de nous fier à des déclarations sur l'honneur. ### Développement d'IA en interne Nous développons et exploitons nos propres systèmes LLM et IA. Nous connaissons ainsi de première main les bonnes pratiques et les écueils, du RAG à la sécurité des prompts. ## De quoi nous chargeons-nous ? En tant qu'AI Officer externe, nous pilotons la gouvernance de l'IA en continu, non pas comme un projet ponctuel, mais comme un mandat permanent. Voici ce que vous obtenez : - **Vue d'ensemble et contrôle** sur chaque système d'IA utilisé : un inventaire IA / registre des cas d'usage tenu à jour, y compris l'IA fantôme, géré sur notre [Plateforme Priverion](https://www.sidd.swiss/fr/priverion-plateforme). - **Clarté sur votre risque** : classification du risque de chaque système selon l'AI Act, interdit (art. 5), à haut risque (art. 6 et suiv., annexe III), risque limité (transparence, art. 50) ou risque minimal, avec un besoin d'action priorisé. - **Des collaborateurs aptes à agir** : un programme de compétence en matière d'IA selon l'art. 4 AI Act, avec des formations spécifiques aux rôles et des mesures de sensibilisation. - **Des règles du jeu contraignantes** : une directive interne sur l'IA / des règles d'utilisation acceptable pour les outils GPAI, qui transposent l'IA fantôme en une utilisation encadrée et approuvée. - **Pas de doublons** : gouvernance de l'IA en responsabilité partagée avec vos rôles existants, y compris la coordination des FRIA et des AIPD ainsi que l'interface avec le [DPO](https://www.sidd.swiss/fr/services/conseiller-protection-donnees-suisse) et [RSSI](https://www.sidd.swiss/fr/services/ciso-externe). - **Une diligence démontrable envers la direction** : un reporting régulier à la direction, des processus d'escalade documentés, la gestion des fournisseurs et des prestataires (obligations des fournisseurs, contrats, notices d'utilisation, art. 26 AI Act) ainsi que la préparation aux obligations relatives au haut risque (annexe III). ## Effort et impact en un coup d'œil Constituer en interne un rôle dédié à la gouvernance de l'IA est coûteux et peu flexible ; un mandat évolue en fonction de votre utilisation réelle de l'IA. Les rôles dédiés à la gouvernance de l'IA augmentent par ailleurs nettement sur le marché (IAPP AI Governance Profession Report 2025). - **CHF 120k–180k+** Coût complet d'un poste interne d'AI Officer par an ; un mandat démarre à CHF 6'000/an. - **depuis le 02.02.2025** l'art. 5 (interdictions) et l'art. 4 (compétence en matière d'IA) de l'AI Act s'appliquent directement. - **EUR 35 millions** plafond maximal des amendes (7 % du chiffre d'affaires mondial) en cas de pratiques interdites, art. 99 AI Act. En vertu de l'art. 99 AI Act, les pratiques interdites (art. 5) sont passibles d'amendes pouvant atteindre 35 millions d'EUR / 7 % du chiffre d'affaires annuel mondial, et les violations des obligations des déployeurs (art. 26) jusqu'à 15 millions d'EUR / 3 %. Il s'agit de plafonds légaux pour les catégories les plus graves, et non d'un cas typique de déployeur. Un mandat réduit ce risque grâce à une attribution et une documentation démontrables, mais il ne constitue pas une garantie. ## Modèles de mandat Nous proposons trois niveaux de mandat, tous sur la base d'un retainer continu, avec une escalade fondée sur l'utilisation en cas de besoins accrus. Le périmètre concret (nombre de systèmes d'IA, sites, délais de réaction) est convenu dans le mandat. ### Disponibilité dès CHF 500 / mois Le point de contact désigné pour les PME ayant un recours limité à l'IA. - Fonction d'AI Officer désignée comme point de contact - Évaluation annuelle de la situation en matière d'IA ([AI Governance Check](https://www.sidd.swiss/fr/services/audit-gouvernance-ia)) - Questions ad hoc émanant de l'organisation - Accès à la plateforme Priverion Platform pour l'inventaire des systèmes d'IA - Information sur les évolutions juridiques pertinentes (AI Act, LPD) ### Gouvernance CHF 1'500–3'500 / mois Pilotage continu pour les entreprises menant un déploiement actif de GPAI. - Toutes les prestations du niveau « Disponibilité » - Tenue continue de l'inventaire des systèmes d'IA et de la classification des risques - Élaboration et tenue de la politique interne en matière d'IA - Programme de compétences en IA selon l'art. 4 AI Act - Reporting trimestriel à la direction ### Mandat complet sur demande Gouvernance complète de l'IA pour les groupes et les secteurs réglementés. - Toutes les prestations du niveau « Gouvernance » - Coordination de l'AIDF (art. 27 AI Act) et de l'AIPD (art. 35 RGPD) - Gestion des fournisseurs/prestataires et examen des contrats - Interface avec le DPO, le CISO et l'autorité de contrôle (p. ex. FINMA) - Préparation aux obligations relatives aux systèmes à haut risque de l'annexe III ## Notre façon de travailler Un AI Officer déploie ses effets dans la durée. Notre démarche s'inspire de la norme ISO/IEC 42001:2023 et s'articule en une séquence temporelle claire : ### Évaluation de la situation Au démarrage, nous recensons votre utilisation de l'IA, vos rôles (fournisseur/déployeur) et un éventuel lien avec un output dans l'UE, sur demande sous forme de [AI Governance Check](https://www.sidd.swiss/fr/services/audit-gouvernance-ia). ### Phase de mise en place (semaines 1 à 6) Nous constituons l'inventaire des systèmes d'IA et procédons à la première classification des risques afin de prioriser les besoins d'action. ### Ancrage Nous adoptons la politique en matière d'IA et lançons le programme de compétences. ### Exploitation courante Nous maintenons l'inventaire et la classification à jour, gérons l'IA fantôme et coordonnons l'AIDF/AIPD selon les besoins. ### Reporting et revue Nous rendons compte régulièrement à la direction et procédons aux ajustements nécessaires en cas d'évolution juridique ou technique. ## Pourquoi SIDD ? Ce que les trois disciplines présentées ci-dessus signifient concrètement pour vous dans le cadre du mandat : ### L'équivalent IA du DPO externe Le même modèle de mandat éprouvé que pour le délégué à la protection des données (DPO) externe, transposé à l'IA, en responsabilité partagée avec votre [DPO](https://www.sidd.swiss/fr/services/conseiller-protection-donnees-suisse) et [rôle de CISO](https://www.sidd.swiss/fr/services/ciso-externe). ### secret professionnel suisse Les communications et les évaluations relèvent du secret professionnel (art. 321 CP), un niveau de confidentialité que les sociétés purement de conseil ou de sécurité de l'information ne peuvent offrir. ### Démontrable plutôt qu'un PowerPoint Inventaire IA, classification des risques et reporting sous forme d'outils maintenus et auditables sur la [Plateforme Priverion](https://www.sidd.swiss/fr/priverion-plateforme), et non sous forme de diapositives ponctuelles. ### Opérationnel rapidement, sans embauche fixe État des lieux et inventaire IA fiable en quatre à six semaines, sans le recrutement, la formation et la suppléance qu'exigerait un poste interne. ### CH · UE · UK · US d'une seule source Des mandats couvrant plusieurs juridictions, adaptés à la portée extraterritoriale de l'AI Act (art. 2) et aux structures de groupe. ### Conseil et contrôle séparés Nous séparons strictement le conseil et le contrôle indépendant, ce qui rend nos évaluations crédibles auprès des autorités de contrôle et des auditeurs. ## Mandats apparentés Les mandats suivants sont des engagements en matière de protection des données et de gouvernance dont les structures de rôles, d'inventaire et de preuve se transposent directement à une gouvernance responsable de l'IA. Les deux clientes sont citées avec leur accord. Aéronautique · secteur réglementé ### Pilatus Aircraft Nous avons mis en place des structures de rôles, d'inventaire et de preuve vis-à-vis des autorités de contrôle et de la direction, la même logique de gouvernance que l'AI Act exige pour les systèmes de l'annexe III : des responsabilités claires, un registre complet et une documentation fiable. Santé · données sensibles ### Openmedical AG Dans un environnement de santé impliquant des données personnelles sensibles, nous avons mis en œuvre les exigences de gouvernance et de sécurité, le cas limite pour lequel un inventaire IA, une classification des risques et une politique d'usage acceptable fiable pour les outils GPAI doivent être conçus. Notre outil : LexCommand ## Pourquoi nous travaillons avec LexCommand, notre propre IA juridique suisse LexCommand est notre IA juridique interne, adossée à des citations, pour le droit de la Suisse, de l'Allemagne, de l'Autriche et de l'UE. Développée et exploitée de manière souveraine en Suisse par Priverion GmbH, l'entreprise derrière SIDD. Nous ne faisons pas que prôner la souveraineté des données et la traçabilité, nous les avons intégrées dans notre propre outil, en complément de la [Plateforme Priverion](https://www.sidd.swiss/fr/priverion-plateforme). ### Souverain en Suisse L'IA fonctionne en auto-hébergement sur une infrastructure suisse, sans LLM cloud externes. En tant qu'entreprise suisse indépendante sans société mère étrangère, nous traitons vos documents dans un environnement que nous maîtrisons. ### Pas de citation, pas d'affirmation Chaque affirmation juridique renvoie à une source primaire consultable, sinon elle n'apparaît pas. Nos recommandations deviennent ainsi vérifiables et auditables, au lieu de seulement paraître plausibles. ### De l'effort au jugement LexCommand prend en charge la recherche, le recoupement et le sourcing. Cela réduit les délais et libère nos conseillers seniors pour le jugement et l'échange avec le client, sans rien céder sur la rigueur. ### Trois disciplines, une seule vue Nous examinons la protection des données, la sécurité de l'information et la sécurité de l'IA sur une base de sources partagée avec un crosswalk de référentiels. Vous voyez ainsi les obligations qui se recoupent dans une vue consolidée, au lieu de trois analyses isolées. Concrètement pour le mandat d'AI Officer : lorsque nous classons votre inventaire d'IA selon le RIA, LexCommand rattache chaque classement à l'article précis dans la version en vigueur à la date retenue et regroupe les obligations issues du RIA, d'ISO/IEC 42001 et de la LPD. Déterministe dans le temps (à la date du jour ou à toute date de référence), avec cloisonnement des juridictions (CH/DE/AT/EU) et un vérificateur de citations à la fin de chaque réponse. ## Questions fréquentes ### Combien coûte un AI Officer externe ? Le mandat débute à CHF 500/mois pour le niveau de disponibilité (point de contact désigné, état des lieux annuel, questions ponctuelles). Le niveau de gouvernance se situe généralement entre CHF 1'500 et CHF 3'500/mois. À mesure que l'usage de l'IA et les besoins de pilotage augmentent, le mandat évolue selon un modèle basé sur l'utilisation ; le périmètre concret, par exemple le nombre de systèmes d'IA couverts, est convenu au préalable. ### L'AI Act impose-t-il un responsable IA ? Non. Contrairement au RGPD avec le délégué à la protection des données (art. 37 RGPD), l'AI Act ne prévoit pas de rôle obligatoire correspondant. L'art. 4 de l'AI Act exige uniquement un niveau suffisant de maîtrise de l'IA au sein de l'entreprise. L'AI Officer n'est donc pas imposé par la loi, mais motivé par la gouvernance et le marché ; il constitue toutefois en pratique le moyen le plus efficace de regrouper de manière démontrable cette compétence et la responsabilité de supervision. ### Comment encadrer ChatGPT et Microsoft Copilot au travail ? Au moyen d'une politique IA interne contraignante (règles d'usage acceptable) pour les outils GPAI tels que ChatGPT, Copilot et Claude : quels outils sont autorisés, quelles données peuvent y être saisies, qui en porte la responsabilité. Nous identifions l'IA fantôme existante, l'évaluons et la faisons basculer vers un usage encadré et autorisé. Pour aller plus loin : notre [guide de l'AI Act pour la Suisse](https://www.sidd.swiss/fr/perspectives/ai-act-le-guide-pour-les-entreprises-suisses/) et le [modèle de politique IA pour PME](https://www.sidd.swiss/fr/perspectives/modele-de-politique-ia-pour-les-pme-suisses/). ### Sommes-nous concernés en tant que PME suisse ? Peut-être. L'AI Act a une portée extraterritoriale : il vise les entreprises suisses en tant que fournisseurs (art. 2, par. 1, let. a) et, via la clause d'output (art. 2, par. 1, let. c), lorsque l'output d'un système d'IA est utilisé dans l'UE. Indépendamment de cela, le droit suisse s'applique déjà aujourd'hui, en particulier l'art. 21 LPD pour les décisions individuelles automatisées, ainsi que les obligations de responsabilité et d'organisation prévues par le CO. ### À partir de quand s'appliquent les obligations à haut risque de l'AI Act ? L’art. 5 (interdictions) et l’art. 4 (maîtrise de l’IA) s’appliquent depuis le 02.02.2025. Les obligations GPAI (art. 53, 55) s’appliquent depuis le 02.08.2025 pour les modèles nouvellement mis sur le marché ; pour les modèles existants, une période transitoire court jusqu’au 02.08.2027. Les obligations de transparence de l’art. 50 s’appliquent depuis le 02.08.2026 ; les systèmes génératifs mis sur le marché avant cette date doivent intégrer le marquage lisible par machine d’ici au 02.12.2026. Les obligations relatives aux systèmes à haut risque ont été reportées de manière contraignante par le « Digital Omnibus on AI » (règlement (UE) 2026/1744, publié au Journal officiel de l’UE le 24.07.2026, en vigueur depuis le 27.07.2026) : pour les systèmes de l’annexe III, elles s’appliquent à partir du 02.12.2027, pour les systèmes intégrés à des produits de l’annexe I à partir du 02.08.2028. Ces délais sont définitifs. Le délai plus long est un avantage, pas un feu vert. ### Pour quelle durée nous engageons-nous, et comment résilier ? Le mandat fonctionne sous forme de forfait mensuel avec un préavis de résiliation de trois mois, sans engagement annuel. Les conditions concrètes sont convenues dans le contrat de mandat. ### À quelle vitesse sommes-nous opérationnels, et quel effort interne cela représente-t-il ? Le premier état des lieux et un inventaire IA fiable sont généralement disponibles en quatre à six semaines. L'effort interne se limite pour l'essentiel à l'accès à vos listes de systèmes et d'outils ainsi qu'à un ou deux ateliers. ### Où sont stockées nos données sur la plateforme Priverion ? La plateforme Priverion est hébergée en Suisse ou dans l'UE ; la configuration standard pour les mandats suisses est un hébergement en Suisse. Vos données d'inventaire et de gouvernance sont en outre couvertes par le secret professionnel de l'avocat (art. 321 CP). Nous précisons le lieu de stockage exact dans le mandat. ### Quelle est la relation entre l'AI Officer et notre DPO et CISO ? Complémentaire. L'AI Officer travaille en responsabilité partagée avec votre [DPO existant](https://www.sidd.swiss/fr/services/conseiller-protection-donnees-suisse) et [rôle de CISO](https://www.sidd.swiss/fr/services/ciso-externe) : il coordonne l'AIDF (analyse d'impact sur les droits fondamentaux, art. 27 AI Act) parallèlement à l'AIPD (analyse d'impact relative à la protection des données, art. 35 RGPD) et pilote la gouvernance spécifique à l'IA sans dupliquer les responsabilités existantes. Nous pouvons aussi assurer les deux rôles depuis une même maison. ### Cela réduit-il la responsabilité de la direction ? Une responsabilité IA désignée et documentée est un élément démontrable du devoir de diligence et d'organisation (art. 717/754 CO) ; elle réduit le risque organisationnel et de responsabilité, mais ne remplace pas un examen de la responsabilité au cas par cas. La responsabilité juridique ultime incombe à la direction et au conseil d'administration et ne peut être transférée à un mandat externe. Nous ne pouvons promettre ni une conformité garantie ni une exclusion de responsabilité ; l'objectif est une réduction démontrable du risque et la responsabilisation. ### S'agit-il d'un conseil juridique au cas par cas ? Cette page ne constitue pas un conseil juridique au cas par cas. Dans le cadre du mandat, nous fournissons un conseil concret et adapté à votre organisation, sous secret professionnel suisse (art. 321 CP). *Cette page ne remplace pas un conseil juridique au cas par cas.* Sur cette page - Définition - En avez-vous besoin ? - Pourquoi seul SIDD - Services - Effort et impact - Modèles de mandat - Démarche - Pourquoi SIDD - Mandats apparentés - LexCommand - FAQ --- Ce document est la version Markdown de la page liée ci-dessus. Merci de citer l'URL HTML.