# AI Governance Package : IA, sécurité et protection des données

> AI Governance Package pour PME : règles IA, sécurité, protection des données et contrats en un mandat. Prix fixe convenu dès CHF 17'900 + CHF 1'550/mois.

- Source: https://www.sidd.swiss/fr/services/pack-gouvernance-ia
- Langue: fr-CH
- Mise à jour: 2026-10-17
- Éditeur: SIDD Institut pour la protection des données et la sécurité des données, une marque de Priverion GmbH, Zugerstrasse 32, 6340 Baar (ZG), Suisse

Règlement IA · ISO/IEC 42001 · LPD et RGPD

L'IA arrive par Copilot, les outils SaaS, les applications créées avec l'IA et les questions de clients européens. Plusieurs prestataires signifient plusieurs listes et aucune responsabilité globale claire. Le Package regroupe règles IA, sécurité, protection des données et contrats en un seul mandat. Vous obtenez un interlocuteur, un contrat, la liste de vos applications IA et un dépôt de preuves dans la Plateforme Priverion.

Prix fixe convenu dès CHF 17'900 + CHF 1'550/mois Gouvernance, sécurité, protection des données, contrats Gouvernance opérationnelle en 6–12 semaines

Gratuit et sans engagement · 30 minutes · confidentiel sous NDA · offre sous un jour ouvrable

**Responsable de ce mandat**

**Dr Dominic Staiger**

LL.M., Dr. iur., CIPP/E · Attorney at Law (New York) · Solicitor (UK)

L'équipe du Dr. Dominic Staiger dirige le Package. Le Dr. Staiger est titulaire d'un LL.M., d'un Dr. iur. et du CIPP/E. Il est Attorney at Law (New York) et Solicitor (UK). En tant qu'interlocuteur, il répond de la protection des données, des contrats et de la qualification juridique de chaque constat. L'AI Governance Buildup est dirigé par Mohamed Afhim, Senior Associate. L'équipe dirigée par Oliver Stutz assure le Security Architecture Review, l'audit de sécurité pour projets issus du vibe coding et l'audit de sécurité IA. Oliver Stutz est cofondateur et InfoSec & Cybersecurity Expert.

[Profil LinkedIn](https://www.linkedin.com/in/dominicstaiger/)

## Qu'est-ce que l'AI Governance Package ?

> **Définition courte**
> 
> L'AI Governance Package regroupe gouvernance de l'IA, sécurité de l'information et protection des données auprès d'un interlocuteur. Un setup unique est suivi d'un mandat à prix mensuel. Le setup produit le jeu de directives et la bibliothèque de clauses, et nous examinons vos systèmes. Le mandat couvre ensuite la protection des données, les règles IA, les contrats et les formations. Tous les modules partagent le kickoff, le contrat, le dépôt de preuves et l'inventaire IA. Chaque module reste réservable séparément.

Rôles, directives, formation et modèles de documents sont mis en place par l'[AI Governance Buildup](https://www.sidd.swiss/fr/services/mise-en-place-gouvernance-ia) (prix fixe convenu dès CHF 9'800). Votre architecture est examinée par le [Security Architecture Review](https://www.sidd.swiss/fr/services/audit-architecture-securite) pour en trouver les failles (prix fixe convenu dès CHF 6'900). Votre code est examiné par l'[audit de sécurité pour projets issus du vibe coding](https://www.sidd.swiss/fr/services/audit-securite-vibe-coding) (prix fixe convenu dès CHF 3'900). Le mandat récurrent comprend le [mandat de DPD externe](https://www.sidd.swiss/fr/services/conseiller-protection-donnees-suisse) et l'[AI Officer](https://www.sidd.swiss/fr/services/ai-officer) pour vos règles IA, chacun dès CHF 500/mois. S'il faut un délégué UE à la protection des données, le [DPO UE](https://www.sidd.swiss/fr/services/delegue-protection-donnees-rgpd) s'y ajoute dès CHF 600/mois.

État des lieux de votre usage de l'IA, l'[AI Governance Check](https://www.sidd.swiss/fr/services/audit-gouvernance-ia) reste réservable séparément. S'il existe, le Buildup reprend son inventaire et son plan de mesures. Sinon, le Buildup établit l'inventaire au cours des deux premières semaines. Dans le Package, le Check met à jour chaque année l'inventaire et la classification. Si vous visez d'emblée la certification, commencez par le [projet de mise en place ISO 42001](https://www.sidd.swiss/fr/services/iso-42001-gouvernance-ia). Le Package laisse cette voie ouverte.

## Qui devrait réserver l'AI Governance Package

Le Package se justifie lorsque plusieurs déclencheurs se cumulent et que personne n'est responsable. Sinon, un module isolé suffit généralement.

1. **L'IA est en service et personne n'en est responsable :** la direction souhaite une directive, un client une preuve. Selon l'[étude AXA sur les PME 2026](https://www.axa.ch/de/ueber-axa/medien/medienmitteilungen/aktuelle-medienmitteilungen/2026/20260915-kmu-arbeitsmarktstudie-kuenstliche-intelligenz.html) , 35 % des PME suisses utilisent l'IA de manière ciblée. Et 39 % de plus la testent. Le Package met en place inventaire, rôles et règles et définit qui les porte.
2. **Vous développez avec l'IA ou intégrez des modèles de langage :** par exemple un agent relié aux e-mails et au CRM. Le Buildup encadre le développement et le contrôle humain. Le Security Review vérifie les droits d'accès et les secrets comme les mots de passe dans l'application. L'Architecture Review examine les trust boundaries : les points où les données quittent une zone protégée.
3. **Clients UE ou marché UE :** le règlement IA est la loi européenne sur l'intelligence artificielle. Il vise aussi les fournisseurs et déployeurs suisses dont le système ou les sorties sont utilisés dans l'UE. Depuis le 02.08.2026 s'appliquent des obligations de transparence, par exemple le marquage des contenus générés par IA. Dès le 02.12.2027 s'appliquent les obligations pour les systèmes à haut risque, par exemple pour le crédit ou le recrutement. Le Package fournit les preuves et examine les clauses des contrats avec vos clients européens.
4. **Secteur réglementé :** la FINMA attend un inventaire IA classé par risque, des responsabilités claires et des clauses pour l'IA externalisée. Dans la santé, la LPD exige souvent une AIPD : une analyse des risques avant un traitement sensible. Le Package Plus traduit cela dans l'inventaire, les directives et l'examen des fournisseurs.
5. **Les fournisseurs deviennent fournisseurs d'IA :** CRM et suite bureautique reçoivent des fonctions IA par mise à jour. De nouvelles conditions règlent alors l'entraînement, la conservation et le lieu des données. Votre contrat de sous-traitance (art. 9 LPD, art. 28 RGPD) ne le couvre souvent pas. Ce contrat règle la manière dont un prestataire traite vos données. Les revues de contrats du mandat prennent en charge ces modifications avec un contingent annuel fixe.

Ce qui nous rend uniques

## Droit, technique et IA interne dans une même équipe

Le droit et la technique relèvent d'une même équipe. **Ni un pur cabinet d'avocats ni un cabinet de conseil classique ne peuvent offrir cette combinaison.** Un cabinet d'avocats examine le contrat, mais pas la politique RLS qui se trouve derrière. Cette règle de base de données fixe qui peut voir quelles données. Elle peut contourner le contrat. Un conseil en sécurité trouve la faille mais n'évalue pas l'obligation d'annoncer à l'autorité de protection des données (PFPDT). Chez SIDD, tous les responsables de discipline travaillent sur le même inventaire IA.

### Expertise juridique approfondie

L'équipe du Dr. Dominic Staiger dirige le Package. Le Dr. Staiger est Attorney at Law (New York) et Solicitor (UK). Notre bibliothèque de clauses pour les contrats IA est issue de notre propre pratique et adaptée à chaque mandat.

### Nos propres ingénieurs logiciels

Notre [Plateforme Priverion](https://www.sidd.swiss/fr/priverion-plateforme) est issue de notre propre développement et tourne sur notre propre infrastructure suisse. L'équipe dirigée par Oliver Stutz examine votre architecture et lit votre code généré par IA. Elle connaît la configuration cloud et les droits d'accès par sa propre exploitation, pas seulement par des rapports d'audit.

### Développement IA interne

Nous développons nos propres systèmes IA comme l'IA juridique LexCommand et programmons nous-mêmes avec l'IA. C'est pourquoi nous rédigeons des directives que les ingénieurs peuvent appliquer. Pour les clauses fournisseurs, nous savons ce qu'elles recouvrent techniquement : par exemple si vos données servent à l'entraînement.

## Ce que contient le Package

Le Package comprend neuf modules et des options, chacun avec un prix et une quantité fixe par niveau. Les quantités figurent dans les forfaits.

- **AI Governance Buildup (1 projet) :** Dans le setup, l'[AI Governance Buildup](https://www.sidd.swiss/fr/services/mise-en-place-gouvernance-ia) transforme votre inventaire et votre plan de mesures en gouvernance pour le quotidien. Il livre les rôles, le jeu de directives, la bibliothèque de clauses, la formation et une structure de preuves. Le modèle d'AIPD contient des questions IA (art. 22 LPD, art. 35 RGPD). Le modèle de FRIA évalue l'impact sur les droits fondamentaux (art. 27 du règlement IA). Les fournisseurs de systèmes à haut risque reçoivent des modèles de documentation et de journalisation (art. 11 et 12 du règlement IA). Séparément : Prix fixe convenu dès CHF 9'800, durée 4–10 semaines.
- **Security Architecture Review (1 Check ou Review) :** Dans le setup, le [Security Architecture Review](https://www.sidd.swiss/fr/services/audit-architecture-securite) examine vos systèmes à l'aide d'un threat model, une liste des attaques possibles. Il couvre les trust boundaries, les droits d'accès, la gestion des clés et les flux vers les fournisseurs d'IA. Essentials et Standard comprennent l'Architecture Check pour un système. En cas de simple usage de l'IA, il examine votre environnement Microsoft 365 ou Google. Plus comprend l'Architecture Review pour une plateforme ou deux à trois systèmes centraux. Séparément : Prix fixe convenu dès CHF 6'900 (Check) et dès CHF 14'000 (Review).
- **Audit de sécurité pour projets issus du vibe coding (1 Review) :** Pour les apps créées avec l'IA, l'[audit de sécurité pour projets issus du vibe coding](https://www.sidd.swiss/fr/services/audit-securite-vibe-coding) examine le code, le backend et l'app en exploitation. Il se concentre sur les droits d'accès, les secrets et la protection des données. Essentials comprend le Launch Check, Standard le Go-Live Review. Plus comprend la Due Diligence pour trois à cinq apps. Séparément : Prix fixe convenu dès CHF 3'900, dès CHF 6'900 et dès CHF 10'500. Sans apps créées avec l'IA, vous l'échangez contre une deuxième formation ou davantage de revues de contrats.
- **Mandat de DPD externe (12 mois) :** [Le DPD externe](https://www.sidd.swiss/fr/services/conseiller-protection-donnees-suisse) selon l'art. 10 LPD conseille et surveille votre protection des données. Il tient le registre, accompagne les AIPD et les demandes des personnes concernées et assure le contact avec le PFPDT. Essentials et Standard comprennent le mandat Standard avec une demi-journée par trimestre, seul dès CHF 500/mois. Plus comprend le contingent Premium dès 30 heures par an, seul dès CHF 1'200/mois. Standard l'obtient moyennant supplément. Si l'art. 37 RGPD exige une désignation, le [DPO UE](https://www.sidd.swiss/fr/services/delegue-protection-donnees-rgpd) s'y ajoute dès CHF 600/mois. Il est inclus dans Plus.
- **AI Officer (12 mois) :** Après le Buildup, l'[AI Officer](https://www.sidd.swiss/fr/services/ai-officer) tient vos règles IA à jour en tant que personne externe. Essentials comprend le niveau Disponibilité comme point de contact pour les questions ponctuelles, seul dès CHF 500/mois. Vous tenez alors vous-même l'inventaire et les directives. Standard et Plus comprennent le niveau Gouvernance, seul CHF 1'500–3'500/mois. L'AI Officer tient alors l'inventaire, la classification des risques et le jeu de directives et prépare les validations. Il pilote le programme de maîtrise de l'IA et fait rapport chaque trimestre à la direction.
- **Jeu de directives (5 ou 9 documents) :** Essentials livre la politique de gouvernance IA selon la norme de management de l'IA ISO/IEC 42001, chapitre 5.2. S'y ajoutent quatre directives clés : usage de l'IA, achats, données et conservation, incidents et notifications. Standard et Plus ajoutent développement et MLOps ainsi que contrôle humain (art. 14 et 26 du règlement IA). S'ajoutent la transparence, le marquage et la gestion des modèles et des changements (art. 25, par. 1, et art. 3, point 23, du règlement IA). Plus ajoute les procédures haut risque par rôle et l'ossature documentaire de votre système de management de l'IA (AIMS).
- **Revues de contrats (4, 8 ou 16 unités par an) :** Dans le mandat, nous examinons les contrats IA nouveaux et modifiés de vos fournisseurs selon la grille ci-dessous. Le Buildup examine les principaux contrats existants. Le contingent court à partir de la remise. Si vous vendez des fonctions IA, un contrat client compte pour deux unités. Les contrats-cadres avec des groupes et l'accompagnement des négociations font l'objet d'une offre séparée. Séparément : Prix fixe convenu dès CHF 950 par contrat standard, pour les contrats complexes dès CHF 1'900.
- **Formation à la maîtrise de l'IA selon l'art. 4 du règlement IA (1 à 3 unités par an) :** Nous formons par rôle et consignons chaque participation dans le registre des formations. La Commission européenne cite cela comme preuve possible. L'art. 4 n'exige pas de certificat. Le Buildup livre les premières formations pour la direction et les collaborateurs. La première année, les unités visent les autres groupes, ensuite la remise à niveau. Séparément : Prix fixe convenu dès CHF 1'900 la demi-journée, dès CHF 2'900 la journée entière.
- **Réévaluation annuelle avec l'AI Governance Check (1 par an) :** À chaque fois, l'[AI Governance Check](https://www.sidd.swiss/fr/services/audit-gouvernance-ia) reclassifie votre inventaire IA selon le règlement IA, ISO/IEC 42001 et la LPD. Il intègre les nouvelles applications, les délais modifiés et les changements de modèle. Le rapport va au conseil d'administration et à la direction. Essentials comprend le Check Basis jusqu'à environ cinq applications, seul dès CHF 3'900. Au-delà, nous proposons la différence avec le Check Standard. Standard et Plus comprennent le Check Standard jusqu'à 15 applications, seul dès CHF 7'500.
- **Options au prix unitaire :** Par des attaques actives, l'[audit de sécurité IA](https://www.sidd.swiss/fr/services/securite-ia) teste vos systèmes d'IA pour CHF 8'000–15'000 par application. Pour l'Architecture Advisory Retainer, un prix fixe convenu dès CHF 1'900/mois s'applique. Le chemin vers la certification [ISO/IEC 42001](https://www.sidd.swiss/fr/services/iso-42001-gouvernance-ia) est disponible sur demande.

Toutes les preuves sont réunies dans la [Plateforme Priverion](https://www.sidd.swiss/fr/priverion-plateforme), hébergée en Suisse. Elle contient l'inventaire, les directives, les attestations de formation, les revues de contrats et les constats d'audit. Pour leurs clients européens, les [fournisseurs SaaS](https://www.sidd.swiss/fr/services/saas) avec des fonctions IA y trouvent en plus une vue client. Elle contient le contrat de sous-traitance, la liste des sous-traitants ultérieurs et les informations de transparence à transmettre à leurs clients.

## Ce que couvre la revue de contrats

> **Grille d'examen**
> 
> **Côté fournisseur :** nous examinons le contrat de sous-traitance (art. 9 LPD et art. 28 RGPD) pour les saisies, les résultats et les données d'utilisation. L'entraînement sur vos données doit être exclu par écrit. Nous vérifions la conservation, la renonciation au stockage et le lieu des données avec la communication à l'étranger (art. 16 et 17 LPD). Nous vérifions aussi les sous-traitants ultérieurs, la confidentialité, les règles d'usage et les licences des modèles. S'y ajoutent les droits sur les sorties, l'indemnisation, les plafonds de responsabilité, les droits d'audit (art. 28, par. 3, let. h RGPD) et la sortie. **Chaîne de valeur pour les systèmes à haut risque (obligations de l'annexe III à partir du 02.12.2027) :** nous clarifions le rôle de fournisseur ou de déployeur. Les informations et l'assistance font l'objet d'un accord écrit (art. 25, par. 4, du règlement IA). S'y ajoutent la notice d'utilisation (art. 13) et la notification des incidents (art. 73). **Côté client, si vous vendez des fonctions IA :** nous définissons les rôles et la finalité. Un client ne peut ainsi pas requalifier votre système en système à haut risque sans devenir lui-même fournisseur. S'y ajoutent la transparence et un paquet d'assistance pour les obligations du déployeur de systèmes à haut risque. Nous examinons garantie et responsabilité au regard du CO suisse, de la directive (UE) 2024/2853 sur la responsabilité du fait des produits et du CRA. **Cadre de référence :** les clauses contractuelles types non contraignantes de l'UE pour l'IA (MCC-AI) du 05.03.2025 servent de liste de contrôle, adaptée clause par clause.

## Où les règles sur l'IA manquent souvent

Trois chiffres datés montrent que les règles sur l'IA manquent souvent. L'IA fantôme désigne des outils d'IA utilisés sans autorisation.

- **20 %** des organisations ayant subi une violation de données ont signalé un incident lié à l'IA fantôme. 63 % n'avaient aucune directive IA ou seulement une directive en préparation. Source : IBM Cost of a Data Breach Report 2025 du 30.07.2025, portant sur 600 organisations.
- **34 %** des PME suisses qui utilisent l'IA ont une règle claire de protection des données pour les applications IA. Les deux tiers n'en ont donc pas. Source : étude AXA sur le marché du travail des PME 2025 du 08.10.2025.
- **24 %** des développeurs déclarent que leur employeur dispose d'outils d'IA approuvés ou d'une directive IA officielle. En parallèle, 83 % utilisent des outils d'IA au travail. Source : Stack Overflow Developer Survey 2026 du 06.10.2026, avec plus de 30'000 répondants.

## Trois niveaux avec prix d'entrée

Tous les prix s'entendent hors TVA. Nous convenons du prix fixe après un premier entretien de cadrage. Le mandat dure douze mois dès le kickoff. Ensuite, il est résiliable avec un préavis de trois mois pour la fin d'un mois.

### Package Essentials

Prix fixe convenu dès CHF 17'900 + CHF 1'550/mois jusqu'à env. 50 collaborateurs · utilise l'IA, construit au plus un outil

Pour les PME qui utilisent Copilot ou l'IA d'outils SaaS. Setup en 6–8 semaines.

- AI Governance Buildup Essentials : rôles, politique IA, quatre directives clés, formation, screening AIPD et FRIA ainsi que preuves dans la Plateforme Priverion.
- Security Architecture Check pour un système. S'y ajoute un Launch Check vibe coding pour une app construite avec l'IA, sinon une deuxième formation ou quatre revues de contrats en plus.
- DPD externe en mandat trimestriel. AI Officer au niveau Disponibilité. Vous tenez vous-même l'inventaire et les directives.
- 4 revues de contrats et une formation d'une demi-journée par an, d'abord pour les power users et les nouveaux arrivants.
- Réévaluation annuelle avec l'AI Governance Check Basis pour jusqu'à cinq applications
- DPO UE en option pour CHF 600/mois.

### Package Standard

Prix fixe convenu dès CHF 26'500 + CHF 3'100/mois recommandé · 50–250 collaborateurs · développe avec l'IA

Pour les entreprises qui développent avec l'IA ou intègrent des modèles de langage. C'est le premier niveau qui couvre toutes les questions des clients européens et des auditeurs. Setup en 8–10 semaines.

- AI Governance Buildup Standard : neuf directives, bibliothèque de clauses, modèle d'AIPD avec deux premiers passages, modèle de FRIA et liste des écarts ISO 42001. Pour les fournisseurs d'IA à haut risque : modèles de documentation et de journalisation.
- Security Architecture Check pour un système et Go-Live Review vibe coding pour une app
- DPD externe en mandat trimestriel et AI Officer au niveau Gouvernance
- 8 revues de contrats et deux formations par an. La première année : une journée pour le développement et les power users, une demi-journée pour les personnes chargées de la supervision.
- Réévaluation annuelle avec l'AI Governance Check Standard
- En option : DPO UE pour CHF 600/mois.

### Package Plus

Prix fixe convenu dès CHF 43'900 + CHF 4'900/mois 250–1'000 collaborateurs · réglementé ou IA à haut risque

Pour les moyennes entreprises, les sociétés réglementées de finance et de santé et les groupes en Suisse, dans l'UE et au Royaume-Uni. Setup en 10–12 semaines. Comme nous dirigeons la gouvernance, un tiers mène la vérification indépendante selon le ch. 2.7 de la communication FINMA 08/2024.

- AI Governance Buildup Plus : tout le contenu de Standard plus préparation haut risque (art. 9, 11, 12, 14, 26 et 27 du règlement IA). Ossature documentaire selon ISO/IEC 42001 avec Statement of Applicability. Due diligence pour jusqu'à dix fournisseurs d'IA et atelier avec le conseil d'administration.
- Security Architecture Review pour une plateforme ou 2–3 systèmes centraux et Due Diligence vibe coding pour 3–5 apps
- DPD externe avec contingent Premium dès 30 heures par an. S'y ajoutent le DPO UE et l'AI Officer au niveau Gouvernance.
- 16 revues de contrats et trois formations par an. La première année : deux journées pour d'autres entités et le développement, une demi-journée pour les personnes chargées de la supervision.
- Réévaluation annuelle avec l'AI Governance Check Standard, Check Enterprise sur demande
- En option : Architecture Advisory Retainer (prix fixe convenu dès CHF 1'900/mois).

Hors Package : les tests d'attaque de l'[audit de sécurité IA](https://www.sidd.swiss/fr/services/securite-ia) , à CHF 8'000–15'000 par application. De même, la certification [ISO/IEC 42001](https://www.sidd.swiss/fr/services/iso-42001-gouvernance-ia) et le [test d'intrusion](https://www.sidd.swiss/fr/services/test-intrusion) classique dès CHF 1'490. Lors de l'[entretien initial](https://www.sidd.swiss/fr/contact) , nous cadrons le niveau et les échanges de modules.

## Prix unitaires des modules du Package Standard

Le tableau montre les prix d'entrée si vous réservez les modules séparément. Dans le Package, tous les modules partagent le kickoff, l'inventaire IA et le dépôt de preuves. La réévaluation annuelle remplace l'état des lieux de l'AI Officer.

| Module | Réservé séparément (prix d'entrée) | Dans le Package Standard |
| --- | --- | --- |
| AI Governance Buildup Standard | Prix fixe convenu dès CHF 16'500, en une fois | dans le setup |
| Security Architecture Check (1 système) | Prix fixe convenu dès CHF 6'900, en une fois | dans le setup |
| Audit de sécurité pour projets issus du vibe coding, Go-Live Review (1 app) | Prix fixe convenu dès CHF 6'900 | dans le setup |
| DPD externe et AI Officer niveau Gouvernance | CHF 500/mois et CHF 1'500/mois | dans le mandat |
| 8 revues de contrats par an | Prix fixe convenu dès CHF 950 par contrat standard | dans le mandat |
| 2 formations et réévaluation annuelle (Check Standard) | Formation : Prix fixe convenu dès CHF 2'900 (journée) et dès CHF 1'900 (demi-journée). Check Standard dès CHF 7'500. | dans le mandat |

La certification [ISO/IEC 42001](https://www.sidd.swiss/fr/services/iso-42001-gouvernance-ia) n'est pas incluse dans le Package.

## Déroulement : une gouvernance en place en 6 à 12 semaines

Les modules se déroulent en parallèle, ici pour Standard. Vous fournissez une personne responsable du projet et cinq à dix demi-journées d'atelier de vos départements métier. Nous avons besoin d'un accès en lecture aux documents d'architecture et au repository.

### Semaine 0 : cadrage et contrat de mandat

Lors de l'entretien initial de 30 minutes, nous clarifions l'effectif, l'usage de l'IA et le développement interne. Nous abordons aussi le lien avec l'UE et les rôles existants. Sous un jour ouvrable, vous recevez l'offre avec le niveau et les prix d'entrée. Nous convenons du prix fixe après un premier entretien de cadrage.

### Semaines 1–2 : kickoff et inventaire

Après le kickoff, nous reprenons le mandat de protection des données et créons le dépôt de preuves dans la [Plateforme Priverion](https://www.sidd.swiss/fr/priverion-plateforme) . Puis nous relevons applications IA, systèmes et contrats. Un [AI Governance Check](https://www.sidd.swiss/fr/services/audit-gouvernance-ia) existant fournit l'inventaire de départ.

### Semaines 2–6 : audits

L'équipe dirigée par Oliver Stutz conduit l'Architecture Check ou la Review ainsi que le Security Review. Nous signalons immédiatement les constats critiques. Tous entrent dans le registre des risques avec leur gravité et la mesure correspondante.

### Semaines 3–8 : directives et contrats

Mohamed Afhim élabore avec vos départements métier les rôles et le jeu de directives, à valider par la direction. Suivent les premières AIPD et la FRIA si nécessaire. En parallèle, l'équipe du Dr. Staiger examine vos principaux contrats avec des fournisseurs d'IA et valide la bibliothèque de clauses. Le contingent de contrats court à partir de la remise.

### Semaines 7–10 : formation et lancement de la gouvernance

Formations avec attestation de participation pour les collaborateurs et la direction. Les processus d'incident et de validation entrent en service. Après la réception, l'[AI Officer](https://www.sidd.swiss/fr/services/ai-officer)prend le relais. La direction reçoit un rapport sur l'inventaire, la situation de risque et les mesures en suspens.

### Dès la semaine 11 : mandat en régime courant

Le mandat de protection des données et l'AI Officer gèrent désormais la gouvernance. Vous puisez dans votre contingent de contrats. Nous formons d'autres groupes. Dès la deuxième année, des remises à niveau suivent. Une fois par an, l'[AI Governance Check](https://www.sidd.swiss/fr/services/audit-gouvernance-ia) réévalue l'inventaire et la classification des risques.

## Pourquoi SIDD

Un seul partenaire pour quatre disciplines :

### Une seule direction de mandat pour tous les modules

L'équipe du Dr. Dominic Staiger dirige le mandat et connaît l'inventaire, les constats et les contrats. Elle est votre seul interlocuteur face aux clients, aux auditeurs et au PFPDT. Tous les responsables de discipline rendent compte dans un rapport d'avancement commun. Conseil d'administration et direction gardent leur devoir de diligence et leur responsabilité (art. 716a, 717 et 754 CO). Le Package documente comment ils exercent cette diligence.

### Droit, technique et IA dans la même équipe

Juristes, ingénieurs en sécurité et notre développement IA évaluent des points liés comme un seul risque. Exemple : la clause sur l'entraînement IA, la transparence du règlement IA et les droits d'accès de votre app.

### Un registre commun

Vos preuves sont regroupées dans la [Plateforme Priverion](https://www.sidd.swiss/fr/priverion-plateforme), hébergée en Suisse. Cela comprend l'inventaire, les directives, les constats d'audit et les analyses de risques AIPD et FRIA. Si un client européen vous interroge sur votre gouvernance de l'IA, vous exportez l'état actuel.

### LexCommand documente chaque clause

Notre IA juridique suisse cite pour chaque directive et clause l'article du règlement IA, de la LPD ou du RGPD. Son crosswalk montre quelle mesure satisfait aussi à ISO/IEC 42001 ou à ISO 27001. Vos revues de contrats restent ainsi rapides et rigoureuses.

### Confidentiel, documents conservés en Suisse

Tous les documents et votre code restent sous NDA, sans copie chez des fournisseurs cloud tiers. La qualification juridique par le Dr. Staiger relève en plus du secret professionnel de l'avocat (art. 321 CP).

### Conseil et audit séparés

Le Buildup, les directives, le mandat de protection des données et les revues de contrats relèvent du conseil. L'Architecture Review, le Review vibe coding et l'audit de sécurité IA sont des audits. Nous rapportons aussi de manière autonome les constats sur nos propres directives. Si un tiers certifie ou teste ensuite un système, nous nommons notre rôle et séparons les mandats.

Notre outil : LexCommand

## Pourquoi nous travaillons avec LexCommand, notre propre IA juridique suisse

LexCommand est notre IA juridique interne, adossée à des citations, pour le droit de la Suisse, de l'Allemagne, de l'Autriche et de l'UE. Développée et exploitée de manière souveraine en Suisse par Priverion GmbH, l'entreprise derrière SIDD. Nous ne faisons pas que prôner la souveraineté des données et la traçabilité, nous les avons intégrées dans notre propre outil, en complément de la [Plateforme Priverion](https://www.sidd.swiss/fr/priverion-plateforme).

### Souverain en Suisse

L'IA fonctionne en auto-hébergement sur une infrastructure suisse, sans LLM cloud externes. En tant qu'entreprise suisse indépendante sans société mère étrangère, nous traitons vos documents dans un environnement que nous maîtrisons.

### Pas de citation, pas d'affirmation

Chaque affirmation juridique renvoie à une source primaire consultable, sinon elle n'apparaît pas. Nos recommandations deviennent ainsi vérifiables et auditables, au lieu de seulement paraître plausibles.

### De l'effort au jugement

LexCommand prend en charge la recherche, le recoupement et le sourcing. Cela réduit les délais et libère nos conseillers seniors pour le jugement et l'échange avec le client, sans rien céder sur la rigueur.

### Trois disciplines, une seule vue

Nous examinons la protection des données, la sécurité de l'information et la sécurité de l'IA sur une base de sources partagée avec un crosswalk de référentiels. Vous voyez ainsi les obligations qui se recoupent dans une vue consolidée, au lieu de trois analyses isolées.

LexCommand rattache chaque directive, clause et qualification juridique à la disposition exacte de la loi ou de la norme. Une mise en regard montre où une mesure satisfait à plusieurs obligations.

Déterministe dans le temps (à la date du jour ou à toute date de référence), avec cloisonnement des juridictions (CH/DE/AT/EU) et un vérificateur de citations à la fin de chaque réponse.

## Questions fréquentes

### Combien coûte l'AI Governance Package, et que comprend-il ?

Package Essentials : Prix fixe convenu dès CHF 17'900 + CHF 1'550/mois. Package Standard : Prix fixe convenu dès CHF 26'500 + CHF 3'100/mois. Package Plus : Prix fixe convenu dès CHF 43'900 + CHF 4'900/mois, toujours hors TVA. Nous convenons du prix fixe après un premier entretien de cadrage. Le setup ponctuel comprend le Buildup, le Security Architecture Review et l'audit de sécurité pour projets issus du vibe coding. Le mandat courant comprend conseil en protection des données, AI Officer, contingent de revues de contrats, formations et réévaluation annuelle.

### Pouvons-nous échanger ou supprimer des modules, par exemple un audit de sécurité ?

Sans applications IA, échangez l'audit de sécurité pour projets issus du vibe coding contre une deuxième formation ou plus de revues de contrats. Avec un Architecture Review récent, l'Architecture Advisory Retainer ou un avoir au prorata remplace l'Architecture Check. Le Buildup et l'AI Officer sont fixes, car ils assurent l'interlocuteur responsable. Restent en option les tests [AI Security](https://www.sidd.swiss/fr/services/securite-ia) ainsi que le [test d'intrusion](https://www.sidd.swiss/fr/services/test-intrusion), volontairement au prix unitaire. Ils restent ainsi crédibles en tant qu'audits indépendants.

### Comment sont réglés le début, la durée minimale et la résiliation du mandat ?

Le mandat débute avec le kickoff et reprend la gouvernance après la réception du Buildup. Il court douze mois et peut ensuite être résilié dans son ensemble avec un préavis de trois mois pour la fin du mois. Nous ajustons les modules lors de la réévaluation annuelle, par exemple avec plus de revues de contrats. Si vous ne gardez après la première année que le mandat de DPD ou l'AI Officer, le prix unitaire correspondant s'applique.

### Quelle charge de travail cela représente-t-il pour nous en interne ?

Pour le setup, il faut une personne responsable du projet quelques heures par semaine et cinq à dix demi-journées d'atelier selon le niveau. Pour les audits, nous avons besoin d'un accès en lecture aux documents d'architecture et au repository. La direction décide du modèle de rôles et du jeu de directives sur l'IA. Dans le mandat vous validez, déposez les nouveaux contrats et participez aux formations et à la réévaluation.

### Quand choisir le Package, et quand le mandat d'AI Officer ?

Si votre gouvernance fonctionne et que seul le rôle manque, choisissez le [mandat d'AI Officer](https://www.sidd.swiss/fr/services/ai-officer) au niveau Gouvernance pour CHF 1'500–3'500/mois. Pour bâtir votre gouvernance ou regrouper plusieurs prestataires, choisissez le Package avec le Buildup comme socle. Pour une entreprise de 20 personnes qui n'utilise que Copilot, le Package est généralement trop grand. La porte d'entrée adaptée est alors l'[AI Governance Check Basis](https://www.sidd.swiss/fr/services/audit-gouvernance-ia) dès CHF 3'900 ou le niveau Disponibilité de l'AI Officer dès CHF 500/mois.

### Nous avons déjà un ou une DPD. Que se passe-t-il alors ?

Le mandat de DPD est alors supprimé et votre prix mensuel baisse d'environ CHF 430/mois (Plus : environ CHF 1'000/mois). Nous coordonnons avec votre DPD les modèles d'AIPD et de FRIA, les contrats de sous-traitance des fournisseurs d'IA et le processus de notification. De même, nous nous coordonnons avec votre CISO ou RSSI et livrons constats et directives dans le vocabulaire de votre [SMSI](https://www.sidd.swiss/fr/services/iso-27001-smsi). Le Package n'inclut pas de [CISO externe](https://www.sidd.swiss/fr/services/ciso-externe) de SIDD.

### Combien de revues de contrats sont incluses et en quel délai ?

Une unité est un contrat SaaS ou API avec clauses IA : Essentials en comprend 4 par an, Standard 8 et Plus 16. Après le dépôt dans la Plateforme Priverion, vous recevez dans le délai convenu une redline et une évaluation du risque pour la direction. Pour les contrats-cadres avec des groupes et l'accompagnement des négociations, un prix fixe convenu dès CHF 1'900 s'applique séparément. Pour les [fournisseurs SaaS](https://www.sidd.swiss/fr/services/saas-protection-donnees-sous-traitant-dpa) , nous constituons aussi votre documentation de sous-traitant dans le Buildup.

### Le Package couvre-t-il le droit suisse ou seulement le règlement IA ?

Les deux, car la Suisse n'a pas de loi spécifique à l'IA. Le PFPDT précise que la LPD s'applique aux traitements de données personnelles par l'IA, notamment ses art. 6 à 8 et 21 à 24. Le règlement IA atteint les entreprises suisses par l'art. 2 par. 1 let. a et c, avec les échéances du règlement (UE) 2026/1744. Il n'existe pas de conformité garantie, mais des mesures documentées et des preuves.

### Le Package mène-t-il à la certification ISO/IEC 42001 ?

Pas à lui seul : un organisme accrédité délivre le certificat, pas SIDD. Le Package Standard livre une liste d'écarts selon ISO/IEC 42001 Annexe A, le Package Plus une ossature documentaire avec Statement of Applicability. Le reste du chemin passe par le [projet de mise en place ISO 42001](https://www.sidd.swiss/fr/services/iso-42001-gouvernance-ia). Un SMSI existant selon [ISO 27001](https://www.sidd.swiss/fr/services/iso-27001-smsi) raccourcit ce chemin, car les deux normes partagent la même structure de base.

*Cette page ne remplace pas un conseil juridique au cas par cas.*

Sur cette page

- Le Package en bref
- Pour qui ?
- Pourquoi uniquement SIDD
- Ce qui est inclus
- Revue de contrats
- Chiffres et sources
- Forfaits et prix
- Séparément vs Package
- Démarche
- Pourquoi SIDD
- LexCommand
- FAQ

---

Ce document est la version Markdown de la page liée ci-dessus. Merci de citer l'URL HTML.