L'auto-évaluation « IA responsable » des PME : enseignements d'un moteur opérationnel suisse

Pourquoi cette note

Ce texte est la version publique d'une note de contribution adressée aux services fédéraux qui préparent l'encadrement suisse de l'intelligence artificielle. Elle est volontaire, non sollicitée, et n'engage que son auteur — qui déclare d'emblée son intérêt : AI-Karma développe et exploite commercialement le moteur d'auto-évaluation décrit ici.

Sa thèse tient en trois phrases. Les PME suisses sont déjà exposées aux obligations de transparence du règlement européen sur l'IA, sans fonction conformité ni référentiel pour se situer. Un moteur d'auto-évaluation opérationnel nourrit depuis 2026 des enseignements d'exploitation — issus de démonstrations et d'échanges avec des PME et des prescripteurs, sans collecte des réponses, par conception. Ces enseignements peuvent servir les instruments juridiquement non contraignants qu'étudie la Confédération.

Le contexte, vu d'une PME

Le calendrier réglementaire s'est matérialisé : les pratiques interdites du règlement européen (art. 5) s'appliquent depuis le 2 février 2025, et les obligations de transparence (art. 50) depuis le 2 août 2026 — échéance maintenue par le « Digital Omnibus IA », qui a maintenu cette échéance tout en reportant le régime des systèmes à haut risque de l'Annexe III, désormais attendu au 2 décembre 2027. Par son champ territorial (art. 2), le règlement atteint les PME suisses qui servent des clients dans l'Union européenne ou s'intègrent à des chaînes de valeur européennes.

Côté suisse, le Conseil fédéral a fixé le cap le 12 février 2025 : ratification de la Convention-cadre du Conseil de l'Europe sur l'IA, signée par la Suisse le 27 mars 2025 ; avant-projet de mise en œuvre confié au DFJP pour fin 2026 ; et plan de mesures juridiquement non contraignantes — autodéclaration, accords sectoriels, standards — confié au DETEC pour la même échéance.

Entre les deux, les PME sont seules : trop petites pour une fonction conformité, un conseil spécialisé souvent hors de budget, une information contradictoire. C'est ce vide que notre travail documente.

Le moteur, en bref

Le KarmaScore mesure la maturité « IA responsable » d'une organisation sur 24 indicateurs répartis en quatre dimensions — technologique, conformité, environnementale, sociétale — notés sur une échelle de 0 (inexistant) à 4 (systématique). Les pondérations sectorielles sont plafonnées à 40 % par axe, et le score global sur 100 est à décomposition exacte : chaque point est attribuable à un indicateur précis, propriété vérifiée par un test automatisé reproductible. La méthode complète est publiée (/methodologie).

Un classificateur AI Act couvre l'applicabilité territoriale (art. 2), la requalification des rôles (art. 25), les pratiques interdites (art. 5), le haut risque (Annexe III et dérogation de l'art. 6, par. 3) et la transparence (art. 50), avec un versionnage juridique : chaque évaluation cite l'état du droit à sa date (/aiact).

Limites déclarées : le comparatif inter-entreprises repose encore sur un panel synthétique, et le label associé est en version alpha, avec une gouvernance documentée, dont l'essentiel est restitué publiquement sur ai-karma.ch/methodologie, et qui énonce ce qu'il n'atteste pas. Cette transparence sur les limites fait partie de la méthode.

Cinq enseignements de terrain

Premier enseignement : la première question d'une PME n'est pas « comment me conformer », mais « suis-je concernée, et en quel rôle ». Le point le plus systématiquement ignoré est la requalification de l'art. 25 — une PME qui personnalise ou rebaptise un système d'IA tiers peut devenir juridiquement fournisseur sans le savoir. Tout instrument destiné aux PME devrait commencer par cette localisation, avant toute liste d'obligations.

Deuxième enseignement : la transparence est le point d'entrée le plus actionnable. Les obligations de l'art. 50 se comprennent en quelques minutes et se mettent en œuvre sans conseil externe. Un instrument suisse non contraignant qui commencerait par la transparence obtiendrait des résultats visibles rapidement — et installerait l'habitude de l'auto-évaluation.

Troisième enseignement : un score n'est crédible que totalement explicable. Si une entreprise ne peut pas retracer chaque point de son score à une réponse précise, l'auto-évaluation devient une boîte noire — et la boîte noire produit du « conformité-washing ». L'explicabilité exacte est une exigence d'architecture, pas un raffinement.

Quatrième enseignement : la sectorisation est indispensable, mais doit être bornée. Les risques d'un cabinet de santé et d'un commerce en ligne n'ont pas la même structure ; non plafonnées, les pondérations sectorielles deviennent toutefois une voie d'optimisation du score. Notre plafond de 40 % par axe est un choix discutable — l'existence d'un plafond ne l'est pas.

Cinquième enseignement : une autodéclaration ne vaut que datée et versionnée. Sans référentiel public versionné ni mention de l'état du droit applicable, deux attestations ne sont pas comparables et l'instrument se dévalue avec le temps.

Ce que cela suggère pour un instrument non contraignant suisse

Si la Confédération retient l'autodéclaration ou la labellisation parmi ses mesures non contraignantes, le terrain suggère cinq critères de fonctionnement : un référentiel public et versionné ; une explicabilité exacte du résultat ; une entrée gratuite et légère, à moins de deux heures pour une PME ; un alignement sur les principes de la Convention du Conseil de l'Europe — transparence, contrôle humain, non-discrimination, responsabilité ; et un référentiel national de comparaison.

Ce dernier critère désigne le chaînon manquant : il n'existe aujourd'hui aucun référentiel public de maturité IA des PME suisses — les enquêtes disponibles mesurent l'adoption et la perception, pas la maturité sur des indicateurs vérifiables. Sans mesure de terrain, un instrument national se calibrera à l'aveugle.

Proposition ouverte : un panel de référence de 30 PME

Nous proposons de constituer un panel de 30 PME suisses, sectoriellement diversifiées, évaluées selon un protocole publié, avec restitution publique de résultats anonymisés. Ce panel produirait le premier référentiel suisse de maturité « IA responsable » des PME — une base empirique directement utile aux travaux du DFJP et du DETEC, pour un coût modeste.

AI-Karma est disposé à co-concevoir ce panel avec un service fédéral ou un partenaire qu'il désignerait, à en publier la méthode et à en partager les résultats. Le moteur étant public, une démonstration se fait en trente minutes (/contact).

Questions fréquentes