AI Governance Buildup : une gouvernance IA en 4–10 semaines
Vous savez ce qui manque encore à votre usage de l'IA. Le Buildup met votre plan de mesures en œuvre en 4–10 semaines : rôles, politiques, formation et preuves pour le quotidien. Nous convenons du prix fixe après un premier entretien de cadrage.
Prix fixe convenu dès CHF 9'800Rôles, politiques, formation avec preuveOpérationnel en 4–10 semaines selon la formule
Gratuit et sans engagement · 30 minutes · confidentiel sous NDA · offre sous 24 heures
Droit et technique réunis dans un même mandat. L'équipe qui rédige vos politiques IA a elle-même construit droits d'accès, journaux et approbations pour l'IA. Elle connaît l'obligation derrière chaque règle.
Pour les PME, les ETI et les secteurs réglementés
Dr. iur., LL.M., CIPP/E
Validation par l'équipe de Dr. Staiger
Structure selon ISO/IEC 42001
La certification reste votre choix
Conseil et audit séparés
crédible face aux organismes de certification
Responsable de ce mandat
Mohamed Afhim
Senior Associate · Droit des données et de la protection des données (LPD, RGPD, AI Act)
Mohamed Afhim dirige le Buildup et élabore avec vos métiers les politiques IA et les premières analyses d'impact. L'équipe de Dr. Dominic Staiger valide la qualification juridique et les clauses contractuelles. Mohamed Afhim vérifie les contrôles techniques avec l'équipe InfoSec autour d'Oliver Stutz, co-fondateur et responsable du centre de développement SIDD.
L'AI Governance Buildup met en pratique votre plan de mesures IA. Il couvre inventaire IA, registre des risques, fonction d'AI Officer, corpus de politiques et formation (art. 4 du règlement IA). S'y ajoutent des modèles d'analyse d'impact, une bibliothèque de clauses contractuelles et les preuves dans la Plateforme Priverion. Après 4–10 semaines, la direction réceptionne le résultat et votre AI Officer prend le relais. Le tout suit ISO/IEC 42001:2023, sans obligation de certification.
Le préalable est un état des lieux, en général l'AI Governance Check. Nous reprenons aussi un inventaire fiable issu d'une autre source. Si les deux manquent, la formule Essentials établit d'abord un inventaire compact. Le Check montre ce qui manque. Le Buildup le met en place.
Si vous visez le certificat dès le départ, choisissez le projet de mise en place ISO 42001. Le Buildup convient si vous avez d'abord besoin d'une gouvernance pour le quotidien.
Quand un AI Governance Buildup est utile
Le Buildup vaut la peine lorsque le besoin d'agir est connu et que la mise en œuvre bloque. Le règlement IA (RIA) s'applique si votre IA est commercialisée dans l'UE ou si ses sorties y sont utilisées. Sans lien avec l'UE, c'est la LPD qui s'applique. Clients de l'UE et auditeurs vous mesurent toutefois au RIA.
1
Le plan de mesures existe, mais n'est pas mis en œuvre : Votre AI Governance Check date de plusieurs mois. Il manque un projet avec un responsable, des échéances et des modèles.
2
L'IA est utilisée partout, mais sans approbation formelle : le marketing travaille avec ChatGPT. Quelqu'un a construit avec Lovable un outil contenant des données clients. Avant le premier incident, il vous faut une politique d'utilisation, un processus d'approbation et un inventaire. Au besoin, l'outil lui-même est vérifié par l'audit de sécurité pour projets issus du vibe coding.
3
Vous intégrez l'IA dans votre produit : un chatbot ou un agent IA est utilisé par des clients dans l'UE. Depuis le 02.08.2026, les utilisateurs doivent pouvoir reconnaître qu'ils ont affaire à une IA. Les systèmes génératifs commercialisés avant cette date doivent porter un marquage lisible par machine d'ici au 02.12.2026. Il faut déterminer si vous développez l'IA comme fournisseur ou l'utilisez comme déployeur (art. 3, points 3 et 4 RIA). Les clients veulent voir vos pratiques d'approbation dans la politique et le contrat.
4
Clients, auditeurs ou autorité de surveillance demandent des preuves : un client de l'UE veut voir votre politique IA et votre preuve de formation IA. Depuis le 02.08.2026, les autorités de surveillance du marché peuvent aussi l'exiger. La FINMA attend un inventaire IA central avec classification des risques et responsabilités claires.
5
Un système à haut risque est prévisible, et l'échéance est connue : l'IA de présélection de candidats ou d'évaluation de la solvabilité relève de l'annexe III du RIA. Les obligations s'appliquent à partir du 02.12.2027. Il reste environ 13 mois : un trimestre pour la mise en place, trois trimestres de fonctionnement démontrable.
Ce qui nous rend uniques
Droit, ingénierie et développement IA dans une équipe
Il manque souvent aux juristes la pratique des modèles d'IA, aux ingénieurs la connaissance de l'obligation derrière la règle. Nos juristes, ingénieurs et développeurs IA rédigent ensemble le corpus de politiques. Ni un pur cabinet d'avocats ni un cabinet de conseil classique ne peuvent offrir cette combinaison. Il en résulte des règles que vos équipes appliquent et que l'autorité de surveillance et les clients peuvent suivre.
01
Expertise juridique approfondie
L'équipe de Dr. Dominic Staiger valide juridiquement chaque politique et clause contractuelle. Dr. Staiger est Dr. iur., LL.M. et CIPP/E ainsi qu'Attorney at Law (New York) et Solicitor (UK). Mohamed Afhim traduit le règlement IA et la LPD en règles que vos métiers appliquent sans connaissances juridiques.
02
Nos propres ingénieurs logiciels
Notre centre de développement a lui-même construit accès aux modèles, journalisation et validations dans la Plateforme Priverion . Ces ingénieurs co-rédigent vos politiques de développement et d'exploitation de l'IA.
03
Développement IA interne
Nous développons et exploitons nos propres systèmes d'IA, comme l'IA juridique LexCommand. Quand un fournisseur change de modèle, nous adaptons nous-mêmes inventaire, registre des risques et politique.
Ce que nous mettons en place
Le Buildup comprend dix briques. À la fin, chaque brique a un responsable désigné dans votre entreprise.
Inventaire IA et registre des risques : l'inventaire recense toutes les applications d'IA, le registre leurs risques. Par application, nous saisissons responsable, finalité, flux de données, classe de risque et votre rôle de fournisseur ou de déployeur. Un processus fixe tient le registre à jour dans la Plateforme Priverion.
Rôles et RACI : le tableau RACI indique qui est responsable, qui contribue et qui est informé. L'AI Officer pilote la gouvernance et rend compte à la direction. Vous pourvoyez cette fonction en interne ou par mandat. S'y ajoutent les responsables de système, le DPD, le CISO et les circuits d'approbation et d'escalade. Un reporting régulier documente le devoir de diligence du conseil d'administration et de la direction.
Corpus de politiques : vos règles internes sur l'IA en cinq à neuf documents, selon la formule. Au sommet figure la directive de gouvernance IA (ISO/IEC 42001 chapitre 5.2). Elle fixe champ d'application, principes, rôles, appétence au risque et gates de validation avant la mise en production. Quatre politiques centrales régissent l'usage de l'IA, les achats, les données, les incidents et notifications. Dès Standard s'ajoutent : développement et MLOps, contrôle humain, transparence, gestion des modèles et des changements. Le MLOps désigne l'exploitation et la maintenance des modèles d'IA. Chaque politique est courte et nomme sa norme. La direction la met en vigueur.
Politique de développement et de MLOps : elle s'applique si vous construisez vous-même des fonctions d'IA. Chaque composant doté d'un modèle de langage nécessite un threat model, c'est-à-dire une analyse des attaques possibles. S'y ajoutent gates de test et de validation, provenance des données et environnements séparés (ISO 27001 Annexe A 8.31). La journalisation enregistre ce que fait un système. Au besoin, la conception est examinée par la revue d'architecture de sécurité. Une application générée par IA est examinée par l'audit de sécurité pour projets issus du vibe coding. Le test offensif relève de l'audit de sécurité IA.
Programme de maîtrise de l'IA selon l'art. 4 RIA : nous formons par rôle : tous les collaborateurs, power users, développement, contrôle humain et externes mandatés. Vous recevez des attestations de participation et une remise à niveau annuelle. L'art. 4 exige depuis le 02.02.2025 des mesures de maîtrise de l'IA, mais aucun certificat. Nous créons le registre des formations, qui peut servir de preuve selon la Commission (FAQ sur l'art. 4 du 27.07.2026).
Modèles d'AIPD et de FRIA avec premiers cycles : l'AIPD et la FRIA sont des analyses d'impact sur la protection des données et les droits fondamentaux. Le modèle d'AIPD suit la LPD et l'art. 35 RGPD et ajoute des questions sur l'IA. Seuls certains déployeurs doivent mener une FRIA : organismes et services publics, solvabilité et assurance-vie ou maladie. Nous menons deux ou trois cycles avec vous et votre DPD externe ou interne , qui poursuit l'AIPD.
Documentation technique et journalisation : modèles de documentation technique selon l'annexe IV du RIA, avec model cards et fiches de données. Les PME et les petites entreprises à moyenne capitalisation peuvent utiliser une version simplifiée. Les exigences prévoient des journaux conservés au moins six mois. Les déployeurs y classent les informations du fournisseur pour le contrôle et l'AIPD.
Processus d'incident et de notification : un runbook relie les incidents IA à vos notifications selon l'art. 24 LPD et les art. 33 et 34 RGPD. Les incidents graves liés aux systèmes à haut risque relèvent de l'art. 73 RIA. Le délai est de 15 jours, ou de 10 jours en cas de décès. Il est de 2 jours en cas d'infraction de grande ampleur ou d'infrastructure critique. Depuis le 11.09.2026, l'art. 14 CRA s'applique aussi aux produits comportant des éléments numériques. Le runbook règle première évaluation, rôles, modèles et contacts avec les autorités. Nous l'exerçons une fois sur table.
Bibliothèque de clauses pour contrats fournisseurs et clients : côté fournisseurs, elle contient des clauses vérifiées pour les contrats de sous-traitance selon la LPD et le RGPD. Elles couvrent l'entraînement, la localisation des données et la communication à l'étranger (art. 16 et 17 LPD). S'y ajoutent responsabilité, droits d'audit, changement de modèle et sortie. Les fournisseurs de systèmes à haut risque reçoivent l'accord avec les sous-fournisseurs selon l'art. 25, par. 4 RIA. La grille de contrôle repose sur les clauses types de l'UE pour les marchés publics d'IA (MCC-AI, version du 05.03.2025). Ceux qui vendent des fonctions d'IA reçoivent des modèles pour les contrats clients. Ils couvrent rôles et finalité (art. 25, par. 1 RIA), transparence (art. 50) et support aux déployeurs (art. 13).
Preuves dans la Plateforme Priverion et alignement ISO/IEC 42001 : politiques, registres, contrats et résultats de tests sont prêts pour l'audit dans la Plateforme Priverion , hébergée en Suisse. En clôture, vous recevez une liste des écarts par rapport à l'Annexe A de la norme ISO/IEC 42001:2023. La formule Plus ajoute une ossature documentaire pour les chapitres 4 à 10 avec Statement of Applicability.
Ne sont pas inclus : la certification, l'audit interne, la revue de direction, les tests offensifs et l'exploitation courante. Seul un organisme accrédité peut certifier. Après la passation, votre responsable ou l'AI Officer externereprend l'exploitation. Nous ne garantissons pas la conformité. L'autorité de surveillance, les clients et les auditeurs peuvent suivre nos preuves.
Ce qui reste souvent ouvert après le Check
Les règles ne fonctionnent que si quelqu'un les tient à jour. Après un Check, quatre lacunes restent souvent ouvertes.
Lacunes typiques
Une politique sans processus d'approbation : les comptes IA privés sont interdits, mais personne ne peut demander officiellement un outil. Les équipes continuent donc d'utiliser leurs comptes privés. Un inventaire sans responsable : après la remise, personne ne tient à jour la liste issue du Check. Une formation sans registre : rien ne prouve qui a suivi quelle formation et quand. Des contrats sans clauses IA : le contrat de sous-traitance de 2022 avec le fournisseur cloud ne règle ni l'entraînement ni le changement de modèle.
Pourquoi les politiques seules ne suffisent pas
Trois chiffres datés sur les politiques IA et la shadow AI, c'est-à-dire l'usage de l'IA sans autorisation. Ils montrent des tendances, pas votre cas.
20 %
des organisations victimes d'une violation de données ont signalé un incident dû à la shadow AI. Là où elle était très répandue, la violation coûtait en moyenne USD 670'000 de plus. 63 % des organisations touchées n'avaient pas encore de politique IA aboutie (IBM Cost of a Data Breach Report 2025, 30.07.2025).
1 sur 3
PME suisses utilisant l'IA dispose de règles claires de protection des données pour l'IA. Pour 5–9 collaborateurs, ce n'est que 23 % (étude AXA sur le marché du travail des PME 2025, 300 PME, 08.10.2025).
57 %
des salariés qui utilisent l'IA le cachent ou présentent des sorties IA comme leur propre travail. Seuls 40 % connaissent une règle interne sur l'IA générative (KPMG/University of Melbourne, Trust, attitudes and use of AI, avril 2025). L'enquête a porté sur 48'340 personnes dans 47 pays.
Formules
Vous choisissez la formule selon le nombre d'applications d'IA, le développement en propre et la réglementation. Tous les prix s'entendent hors TVA. Nous convenons du prix fixe après un premier entretien de cadrage.
Buildup Essentials
Prix fixe convenu dès CHF 9'800 jusqu'à 10 applications d'IA · 4–6 semaines
Pour les PME jusqu'à environ 50 collaborateurs qui utilisent des outils d'IA comme ChatGPT sans développement d'IA en propre. Plus de dix applications ou pas d'inventaire fiable : effort plus élevé. Cinq à six jours de conseil, validation juridique incluse.
Inventaire et plan de mesures issus du Check ou nouvel inventaire compact
Modèle de rôles avec fonction d'AI Officer, responsables de système et circuit d'escalade
Directive de gouvernance IA et quatre politiques centrales : utilisation de l'IA, achats et due diligence des fournisseurs, données et conservation, incidents et notifications
Formation d'une demi-journée avec modèle d'attestation, pré-examen des analyses d'impact (AIPD/FRIA), grille de contrôle des contrats fournisseurs
Classement des preuves dans la Plateforme Priverion, briefing de la direction
Prix fixe convenu dès CHF 16'500 recommandé · jusqu'à 25 applications d'IA · 6–8 semaines
Pour les entreprises de 50–250 collaborateurs qui construisent leurs propres fonctions d'IA ou servent des clients de l'UE. Exemple : recherche IA dans vos propres documents (RAG). Clients de l'UE et auditeurs demandent précisément ces règles, clauses et modèles. Neuf à douze jours de conseil, formations et examen juridique inclus.
Tout le contenu de Buildup Essentials
Corpus de politiques avec neuf documents. En plus : développement et exploitation des modèles d'IA, contrôle humain, transparence et marquage, gestion des modèles et des changements.
Modèles d'AIPD et de FRIA avec deux premiers cycles. S'y ajoutent des modèles de documentation technique et de journalisation.
Bibliothèque de clauses pour contrats fournisseurs et clients : sous-traitance, obligations du RIA, entraînement, localisation des données, droits sur les sorties, responsabilité, audit. Alignement sur les clauses types MCC-AI de l'UE et examen des trois contrats fournisseurs les plus importants.
Deux formations avec registre des formations : direction une demi-journée, collaborateurs une journée ou deux demi-journées. Les absents reçoivent un enregistrement.
Plateforme Priverion avec les preuves, écarts par rapport à l'Annexe A d'ISO/IEC 42001, 30 jours d'accompagnement après la passation, rapport de management
Prix fixe convenu dès CHF 26'000 secteurs réglementés et haut risque · 8–10 semaines
Pour les entreprises de 250–1'000 collaborateurs, les établissements surveillés par la FINMA et la santé. Aussi pour les groupes en Suisse, dans l'UE et au Royaume-Uni ou avec d'éventuels systèmes à haut risque. Le prix dépend du nombre de ces systèmes et de fournisseurs. Quinze à vingt jours de conseil, accompagnement juridique inclus.
Tout le contenu de Buildup Standard
Préparation au haut risque selon le rôle. Pour les fournisseurs, qui développent l'IA : gestion des risques, documentation, journalisation, contrôle humain, surveillance après commercialisation, enregistrement. Pour les déployeurs, qui utilisent l'IA : leurs obligations avec l'information des travailleurs et si applicable la FRIA. Si vous jugez un système de l'annexe III non à haut risque, nous le documentons selon l'art. 6, par. 3.
Ossature documentaire de votre système de management de l'IA selon ISO/IEC 42001, avec Statement of Applicability et effort résiduel chiffré jusqu'à la maturité de certification.
Due diligence des fournisseurs pour jusqu'à dix fournisseurs d'IA : questionnaire, classification des risques, sous-traitants ultérieurs. Jusqu'à cinq contrats examinés clause par clause, avec points à renégocier.
Atelier avec le conseil d'administration et la direction, avec mise en correspondance FINMA si applicable.
Un AI Governance Check de moins de six mois est déduit : CHF 1'900 pour le Check de base, CHF 2'900 pour le Check standard. Ensuite, l'AI Officer externepeut reprendre l'exploitation sur demande. Pour l'IA dans vos propres produits, le Buildup fait aussi partie de l'AI Governance Package. Lors de l'entretien initial , nous délimitons le périmètre.
Comment nous procédons
Six étapes, chacune avec un résultat réceptionné. Selon la formule, votre équipe investit trois à huit demi-journées d'atelier, les journées de formation et environ un jour par semaine. Sans responsables internes, une gouvernance ne tient pas.
Cadrage gratuit
Nous clarifions vos applications d'IA, le développement en propre, les pays concernés et les preuves à fournir. Nous convenons du prix fixe après un premier entretien de cadrage. Dans les 24 heures, vous recevez le périmètre et l'offre par écrit. Un AI Governance Check existant est directement intégré.
Kick-off et rôles
Nous reprenons l'inventaire et le plan de mesures dans la Plateforme Priverion. En atelier avec la direction, nous fixons responsable et classe de risque par application. S'y ajoutent l'approbation des nouveaux outils et le reporting. L'inventaire devient ainsi le registre des risques.
Corpus de politiques
Nous adaptons nos modèles de politiques en deux boucles avec vos métiers. L'équipe de Dr. Dominic Staiger valide juridiquement chaque règle. Avec l'équipe InfoSec, nous vérifions que les exigences techniques sont applicables.
Modèles et contrats
Nous adaptons tous les modèles à vos systèmes. En parallèle, nous examinons les principaux contrats fournisseurs pour relever les points à renégocier : trois en Standard, cinq en Plus. Les autres contrats relèvent du mandat d'AI Officer ou de l'AI Governance Package.
Formation et premiers cycles
Nous formons la direction, les collaborateurs et le développement et inscrivons chacun au registre des formations. Les premiers cycles d'AIPD et de FRIA et un exercice d'incident sur table montrent si modèles et rôles fonctionnent.
Réception et passation
Vous recevez le rapport de management et la liste des écarts. Après validation par la direction, nous transmettons à votre responsable interne ou à l'AI Officer externe. Pour un certificat, le projet de mise en place ISO 42001 prend directement le relais.
Pourquoi SIDD
Ce que cela vous apporte :
Chaque règle avec sa norme
Chaque règle nomme sa base dans le RIA, la LPD ou ISO/IEC 42001. L'équipe de Dr. Staiger la valide. Les auditeurs trouvent la référence sans devoir demander.
Règles applicables pour les développeurs
Nos ingénieurs vérifient que chaque exigence est applicable dans le code. Ce qui ne fonctionne pas est reformulé avant validation.
Un responsable pour chaque brique
Une personne désignée dans votre entreprise poursuit chaque brique. Vous connaissez d'emblée le temps interne requis. Sans responsables, la gouvernance s'essouffle.
Des preuves prêtes pour l'audit
Politiques, registres, contrats et analyses d'impact sont prêts pour l'audit dans la Plateforme Priverion en Suisse. Vous répondez ainsi en un jour aux demandes des clients et des auditeurs.
Confidentiel, documents conservés en Suisse
Nous conservons vos documents sous NDA et secret professionnel sur des systèmes en Suisse. Le conseil d'avocat relève en plus du secret professionnel de l'avocat (art. 321 CP).
Conseil et audit séparés
Le Buildup est du conseil, pas une certification. Il arrive que nous testions plus tard un système dont nous avons bâti la gouvernance. Dans l'audit de sécurité IA , nous le déclarons alors et séparons les mandats.
Check, Buildup et AI Officer comparés
Les trois offres s'enchaînent : état des lieux, mise en œuvre, conduite dans la durée.
AI Governance Check
AI Governance Buildup
AI Officer
Objet : état des lieux avec inventaire, classification et plan de mesures
Objet : mise en œuvre du plan de mesures en projet avec réception
Objet : gouvernance IA continue en mandat externe
Résultat : rapport, plan de mesures, synthèse pour le CA et la direction
Résultat : rôles, corpus de politiques, registre des formations, modèles, bibliothèque de clauses, preuves dans la Plateforme Priverion
Résultat : inventaire tenu à jour, rapports à la direction, interlocuteur désigné
Durée : 3–5 semaines
Durée : 4–10 semaines selon la formule, puis passation
Durée : continue, préavis de trois mois
Prix : dès CHF 3'900 (base), dès CHF 7'500 (standard), Enterprise sur demande
Prix fixe convenu dès CHF 9'800 (Essentials), dès CHF 16'500 (Standard), dès CHF 26'000 (Plus)
Prix : disponibilité dès CHF 500/mois, gouvernance CHF 1'500–3'500/mois, mandat complet sur demande
Quand c'est utile : vous avez besoin d'un état des lieux
Quand c'est utile : vous connaissez les lacunes et voulez les combler
Quand c'est utile : quelqu'un doit conduire la gouvernance pour vous dans la durée
Charge interne : entretiens et documents
Charge interne : 3–8 demi-journées d'atelier, environ un jour de coordination par semaine, responsables, validations
Charge interne : interlocuteurs par domaine, validations
Suite : Buildup, mandat d'AI Officer ou mise en œuvre interne
Suite : AI Officer interne ou externe, en option projet de mise en place ISO 42001
Suite : reprend les résultats du Buildup et les poursuit
Pourquoi nous travaillons avec LexCommand, notre propre IA juridique suisse
LexCommand est notre IA juridique interne, adossée à des citations, pour le droit de la Suisse, de l'Allemagne, de l'Autriche et de l'UE. Développée et exploitée de manière souveraine en Suisse par Priverion GmbH, l'entreprise derrière SIDD. Nous ne faisons pas que prôner la souveraineté des données et la traçabilité, nous les avons intégrées dans notre propre outil, en complément de la Plateforme Priverion.
01
Souverain en Suisse
L'IA fonctionne en auto-hébergement sur une infrastructure suisse, sans LLM cloud externes. En tant qu'entreprise suisse indépendante sans société mère étrangère, nous traitons vos documents dans un environnement que nous maîtrisons.
02
Pas de citation, pas d'affirmation
Chaque affirmation juridique renvoie à une source primaire consultable, sinon elle n'apparaît pas. Nos recommandations deviennent ainsi vérifiables et auditables, au lieu de seulement paraître plausibles.
03
De l'effort au jugement
LexCommand prend en charge la recherche, le recoupement et le sourcing. Cela réduit les délais et libère nos conseillers seniors pour le jugement et l'échange avec le client, sans rien céder sur la rigueur.
04
Trois disciplines, une seule vue
Nous examinons la protection des données, la sécurité de l'information et la sécurité de l'IA sur une base de sources partagée avec un crosswalk de référentiels. Vous voyez ainsi les obligations qui se recoupent dans une vue consolidée, au lieu de trois analyses isolées.
Dans le Buildup, LexCommand cite la référence de chaque politique et clause : règlement IA, LPD ou Annexe A d'ISO/IEC 42001. Il met en regard les obligations communes à plusieurs référentiels.
Déterministe dans le temps (à la date du jour ou à toute date de référence), avec cloisonnement des juridictions (CH/DE/AT/EU) et un vérificateur de citations à la fin de chaque réponse.
Questions fréquentes
Combien coûte le Buildup et combien de temps dure-t-il ?
Essentials : prix fixe convenu dès CHF 9'800 en 4–6 semaines. Standard : prix fixe convenu dès CHF 16'500 en 6–8 semaines. Plus : prix fixe convenu dès CHF 26'000 en 8–10 semaines. Tous les prix s'entendent hors TVA. Nous convenons du prix fixe après un premier entretien de cadrage. Votre équipe fournit trois à huit demi-journées d'atelier, environ un jour de coordination par semaine et un responsable par brique.
Devons-nous d'abord passer par l'AI Governance Check ?
Pas obligatoirement : un inventaire fiable d'une autre source convient aussi. Passer d'abord par l'AI Governance Check est en général plus court et pas plus cher. Le Check livre dès CHF 3'900 en 3–5 semaines l'inventaire, la classification et le plan de mesures. S'il date de six mois au plus, nous déduisons CHF 1'900 (Check de base) ou CHF 2'900 (Check standard).
Qu'est-ce qui distingue le Buildup du projet de mise en place ISO 42001 ?
Pour un certificat dès le départ, le projet de mise en place ISO 42001 est la voie directe. Il mène votre système de management de l'IA à la maturité de certification, avec audit interne (chapitre 9.2) et revue de direction (9.3). Le Buildup construit la gouvernance pour le quotidien et couvre plus large : règles d'utilisation, contrats, formation, développement. Buildup Plus livre l'ossature documentaire avec Statement of Applicability et chiffre l'effort résiduel jusqu'à la maturité de certification.
Qui fait vivre la gouvernance après la passation ?
Après la réception par la direction, nous passons le relais à une personne désignée dans votre entreprise. Cela comprend un rythme de reporting, un processus de maintenance et un responsable par brique. Si la capacité ou l'expertise manque en interne, l'AI Officer externe assure la conduite continue et tient vos règles à jour. Dans l'AI Governance Package le Buildup est la brique de mise en place, avec un interlocuteur unique pour gouvernance, audits de sécurité, protection des données et contrats.
Nous n'avons pas de clients dans l'UE. Pourquoi mettre cela en place ?
Pour des obligations qui s'appliquent déjà : l'art. 21 LPD sur les décisions individuelles automatisées et l'art. 22 LPD sur l'analyse d'impact relative à la protection des données. S'y ajoute le devoir de diligence des organes dirigeants (art. 717 ou 812 CO). Le RIA s'applique déjà lorsque les résultats de votre IA sont utilisés dans l'UE (art. 2, par. 1, point c). Le Buildup rattache chaque règle à sa base légale, afin que les obligations futures trouvent aussi place dans des rôles et registres existants.
Notre politique IA vient d'un modèle. Qu'apporte le Buildup ?
Un modèle fixe les interdits, mais pas les approbations, les données personnelles ni les outils sur comptes privés. Le Buildup ajoute le processus d'approbation, l'inventaire avec responsables, le registre des formations selon l'art. 4 RIA et les clauses IA pour fournisseurs. Selon l'étude AXA sur le marché du travail des PME 2025 seul un tiers des PME suisses utilisant l'IA a une règle claire de protection des données pour l'IA. Essentials aligne votre politique sur le RIA et la LPD et construit les processus autour d'elle en 4–6 semaines.
Nous avons des candidats à haut risque selon l'annexe III. Le Buildup suffit-il ?
Pour la préparation, oui : la formule Plus couvre les obligations de votre rôle de fournisseur ou de déployeur. Auparavant, l'AI Governance Checkclarifie si un système est effectivement à haut risque. Les obligations de l'annexe III s'appliquent dès le 02.12.2027, celles pour l'IA intégrée à des produits (annexe I) dès le 02.08.2028. Faute de norme harmonisée au Journal officiel de l'UE au 21.07.2026, même ISO/IEC 42001 ne vaut pas présomption de conformité.
Nous sommes assujettis à la FINMA. Le Buildup couvre-t-il les attentes de l'autorité de surveillance ?
Les dix briques correspondent à la communication FINMA sur la surveillance 08/2024, de la gouvernance (ch. 2.1) à l'explicabilité (ch. 2.6). Dans la formule Plus, nous mappons chaque brique sur ces chiffres et sur la Circ.-FINMA 2023/01 (risques opérationnels). Nous ancrons la surveillance continue (ch. 2.4) dans la gestion des modèles et des changements et dans le reporting à la direction. Nous ne réalisons pas nous-mêmes la vérification indépendante (ch. 2.7), car nous avons mis en place la gouvernance.
Comment le Buildup s'articule-t-il avec notre mandat de DPD ?
Votre DPD externe ou interne conseille et surveille selon l'art. 10 LPD. Le Buildup ajoute des modèles d'AIPD et de FRIA pour l'IA, des règles sur les décisions automatisées et des clauses IA de sous-traitance. Le modèle de rôles règle les décisions communes avec l'AI Officer, par exemple pour de nouveaux outils d'IA traitant des données personnelles. Si nous sommes déjà votre DPD externe dès CHF 500/mois, le cadrage est plus court.
Cette page ne remplace pas un conseil juridique au cas par cas.
Mettre en place une gouvernance IA que vos équipes appliquent
30 minutes avec Mohamed Afhim : vous saurez quelle formule convient. Nous convenons du prix fixe après un premier entretien de cadrage. L'offre suit sous 24 heures.
