Référentiel v1 · version juridique 2026-08-27

Méthodologie & cadre réglementaire

Le KarmaScore est un modèle linéaire pondéré, choisi pour son explicabilité exacte : chaque point du score global est attribuable à un indicateur précis, et la somme des 24 contributions redonne le score. Pas de boîte noire : c'est vérifié par un selftest reproductible à chaque évolution du moteur.

Formule (version α)

valeur(indicateur) = réponse ÷ 4 × 100 · score(dimension) = moyenne de ses 6 indicateurs · score global = Σ poids sectoriel × score(dimension)

Seuil du label « Swiss Ethical AI Inside » : 70/100. Une pratique interdite par l'art. 5 de l'AI Act bloque le label quel que soit le score.

Le périmètre : ce que le référentiel couvre, et ce qu'il laisse dehors

Aucun référentiel ne couvre tout le droit, et prétendre le contraire serait le premier motif de s'en méfier. Ce qu'un référentiel sérieux fait, c'est délimiter son périmètre et être complet à l'intérieur. Voici le nôtre, écrit pour que l'absence d'un texte se lise comme un choix et non comme un oubli.

Dans le périmètre

Le droit qui pèse sur une PME suisse du fait qu'elle déploie des systèmes d'IA ou des outils numériques, et le traitement de données que cet usage implique.
Les obligations du déployeur, celui qui utilise un système sous sa propre autorité : c'est la situation de la quasi-totalité des PME.
Le droit suisse d'abord, le droit européen ensuite, lorsqu'un lien avec le marché de l'Union le rend applicable.
Les bonnes pratiques reconnues là où aucune obligation n'existe, signalées comme telles : c'est aujourd'hui le cas de la majeure partie de la dimension Environnement. Deux exceptions de droit dur, affichées comme telles : la fin de vie des appareils (OREA) et l'efficacité énergétique du matériel, même acquis pour son propre usage (OEEE).

Hors périmètre, délibérément

Le droit de l'entreprise en général : fiscalité, droit des sociétés, bail, contrats commerciaux. Il n'entre ici que s'il est modifié par l'usage d'IA.
Les obligations du fournisseur d'un système à haut risque (AI Act art. 8 à 25). Presque aucune PME suisse n'occupe ce rôle, et les intégrer diluerait les questions qui la concernent vraiment.
Les régimes réservés aux grandes entreprises par un seuil, dont le rapport de durabilité. Une PME de vingt personnes n'y est pas soumise : le lui signaler serait une fausse alerte.
La qualité technique et la performance des modèles utilisés. Le référentiel évalue vos pratiques, pas vos outils.

Et ce n'est pas un audit. Un questionnaire déclaratif de vingt minutes situe une maturité, il ne certifie pas une conformité. Un score élevé n'est pas une garantie juridique, et un signal critique n'est pas le constat d'une infraction : c'est une obligation potentiellement non couverte, à vérifier avec un juriste.

Ce qui manque encore, et que nous ne cachons pas : les pondérations varient déjà par famille sectorielle, mais les repères juridiques affichés, eux, sont les mêmes pour tout le monde. Ni le secteur réglementé (finance, santé, sous-traitance publique) ni les faits qui déclenchent un régime particulier (lien avec l'UE, vente d'un produit logiciel) ne les font encore varier. Ces deux couches sont en chantier ; leur absence est écrite ici plutôt que passée sous silence.

Signaux critiques : ce que la moyenne ne compense jamais

Un modèle additif peut masquer une défaillance grave derrière un bon score global. Le KarmaScore répond à cette limite connue par des signaux non compensables : 8 indicateurs adossés à une obligation légale sont, s'ils sont laissés au niveau 0, signalés à côté du score, à l'écran, dans la synthèse téléchargée et dans le rapport envoyé par e-mail. Le libellé reste juridiquement prudent : nous signalons une obligation potentiellement non couverte, nous n'affirmons jamais une violation.

Information des personnesLPD art. 19–21 · AI Act art. 50
Droits des personnesLPD art. 25 · LPD art. 25 al. 2 let. f · LPD art. 32 · RGPD art. 15–22
Analyses d'impact (AIPD)CO art. 328b · LPD art. 22–23 · RGPD art. 35
Applicabilité et classification AI ActAI Act art. 2 · AI Act art. 50 · AI Act art. 6, 26 (dès le 2 décembre 2027) · Convention CdE Convention-cadre IA
Sécurité informatique de baseLPD art. 8 · LPD art. 24 · OPDo art. 15 al. 4 · RGPD art. 32
Supervision humaineOLT 3 art. 26 · AI Act art. 14, 26(2) (dès le 2 décembre 2027) · LPD art. 21
Maîtrise des fournisseurs IALDA art. 2, 10 · LPD art. 9, 16 · AI Act art. 25 (dès le 2 décembre 2027)
Voies de recoursAI Act art. 86 · AI Act art. 26(11) (dès le 2 décembre 2027) · LPD art. 21 al. 2 · Jurisprudence CJUE C-634/21 « SCHUFA »

Pondérations sectorielles

Les quatre dimensions sont pondérées selon la famille sectorielle : aucun axe ne dépasse 40 % (plafond anti-sur-représentation). Les poids v1 sont fixés par expertise et seront recalibrés sur les données des pilotes.

Famille	T	C	E	S
Industrie & Énergie	25%	25%	30%	20%
Services & Finance	25%	35%	15%	25%
Numérique & IA	35%	30%	15%	20%
Autre secteur	30%	30%	20%	20%

Pourquoi ces pondérations, profil par profil

Le point de départ est un profil équilibré (T 30 · C 30 · E 20 · S 20). Chaque famille sectorielle accentue l'axe où son impact réel est le plus fort, sans jamais dépasser le plafond de 40 % : un score ne doit jamais être dominé par une seule dimension.

Industrie & Énergie E accentué (30 %) : l'empreinte de ces PME passe d'abord par l'énergie, les machines et le matériel — c'est là que leurs choix numériques pèsent le plus. C ramené à 25 % : leurs usages IA traitent en moyenne moins de données personnelles au quotidien que les services (processus industriels plutôt que dossiers clients) — la conformité reste essentielle, mais l'exposition relative est moindre.
Services & Finance C accentué (35 %, proche du plafond) : les données personnelles et financières sont la matière première du métier, le secteur est le plus densément régulé (LPD, RGPD, secret professionnel), et l'Annexe III de l'AI Act le vise en premier (crédit aux personnes, assurance vie/maladie, RH). S relevé (25 %) : les décisions assistées par IA y affectent directement des personnes. E réduit (15 %) : empreinte essentiellement tertiaire, sans processus physiques lourds.
Numérique & IA T accentué (35 %) : ces entreprises construisent ou intègrent les systèmes — sûreté, explicabilité, supervision et gestion des incidents sont le cœur de leur responsabilité, et l'art. 25 de l'AI Act peut les requalifier en fournisseurs. C reste élevé (30 %) pour la même raison. E à 15 % : l'empreinte du cloud est réelle mais inférieure, à taille égale, à celle de l'industrie physique.
Autre secteur Profil de base sans hypothèse sectorielle : T et C à parts égales (la maîtrise technique et la conformité sont les deux socles universels), E et S à 20 %. C'est le point de départ dont les trois autres profils sont des accentuations.

Vous contestez un poids ? C'est prévu, et souhaité : écrivez à contact@ai-karma.ch avec votre argument. Les désaccords fondés sont intégrés dans une version datée de la méthodologie et crédités au changelog. Les poids v1 seront par ailleurs recalibrés sur les données réelles des entreprises pilotes : c'est un engagement public, pas une intention.

Échéancier réglementaire

Revue du 26 août 2026 : ajout des ancrages de droit suisse hors LPD — art. 328b CO (données des travailleurs et des candidats), art. 26 OLT 3 (surveillance au poste), LEg art. 3 et Cst. art. 8 (non-discrimination à l'embauche), LCD art. 3 (indication fallacieuse) et LDA (droits sur les sorties génératives). État de l'AI Act inchangé. Calendrier arrêté après l'entrée en vigueur du « Digital Omnibus IA » : règlement (UE) 2026/1744 du 8 juillet 2026, publié au JOUE le 24 juillet 2026, en vigueur depuis le 27 juillet 2026. La Commission a publié ses lignes directrices définitives sur l'art. 50 le 20 juillet 2026 ; le code de bonne pratique sur la transparence des contenus générés par IA a été jugé adéquat par la Commission et par le Comité IA, et comptait environ 190 organisations signataires fin juillet 2026. Le 31 juillet 2026, la Commission a confirmé le début de l'application des obligations de transparence au 2 août. Prochains jalons à surveiller : fin du sursis de marquage machine au 2 décembre 2026, avant-projet de loi suisse sur l'IA attendu d'ici fin 2026, entrée en vigueur de la Convention-cadre du Conseil de l'Europe sur l'IA.

02.02.2025En vigueurUE
AI Act — pratiques interdites et maîtrise de l'IA
Art. 5 (manipulation, exploitation de vulnérabilités, social scoring, reconnaissance des émotions au travail et en éducation…) et art. 4 (maîtrise de l'IA, assouplie par l'omnibus en obligation de moyens). Sanctions jusqu'à 35 M€ / 7 % du CA mondial pour les pratiques interdites.
02.08.2025En vigueurUE
AI Act — modèles d'IA à usage général (GPAI) et gouvernance
Obligations des fournisseurs de GPAI (chap. V), mise en place des autorités et du régime national de sanctions.
02.08.2026En vigueurUE
AI Act — transparence (art. 50)
Information des personnes qui interagissent avec un chatbot, marquage des contenus générés, étiquetage des deepfakes, information en cas de reconnaissance des émotions ou catégorisation biométrique. S'applique aux fournisseurs et aux déployeurs, y compris suisses dès que l'output est utilisé dans l'UE. Sanctions jusqu'à 15 M€ / 3 % du CA mondial (art. 99(4)). Applicable depuis le 2 août 2026. Nuance : le marquage machine-readable (art. 50(2)) des systèmes génératifs mis sur le marché AVANT le 2 août 2026 bénéficie d'une transition au 2 décembre 2026 — les obligations chatbot et deepfake, elles, sont dues depuis le 2 août. Repères d'application : lignes directrices définitives de la Commission sur l'art. 50 (20 juillet 2026) et code de bonne pratique sur la transparence des contenus générés par IA, ouvert à la signature des fournisseurs comme des déployeurs soumis à l'art. 50(2), (4) et (5), quel que soit leur lieu d'établissement (environ 190 organisations signataires fin juillet 2026). Pour une PME, le plafond de sanction se lit avec l'art. 99(6) : c'est le montant le plus BAS des deux qui s'applique, et l'omnibus a étendu ce régime aux petites entreprises de taille intermédiaire en ouvrant la voie aux avertissements et mesures non pécuniaires.
02.12.2026À venirUE
AI Act — nouvelles interdictions et fin du sursis de marquage
Nouvelles interdictions art. 5 (générateurs d'images intimes non consenties, CSAM) ; fin du sursis de marquage machine-readable (art. 50(2)) pour les systèmes génératifs mis sur le marché avant le 2 août 2026.
31.12.2026À venirSuisse
Suisse — avant-projet de loi sur l'IA attendu
Mise en œuvre de la Convention-cadre du Conseil de l'Europe sur l'IA (signée en mars 2025) : transparence, protection des données, non-discrimination, surveillance. Consultation attendue d'ici fin 2026 ; premières modifications légales au plus tôt en 2027. Approche sectorielle, pas de loi transversale.
02.12.2027À venirUE
AI Act — obligations « haut risque » Annexe III (REPORTÉ par l'omnibus)
Systèmes autonomes des domaines Annexe III (recrutement et RH, crédit, tarification assurance vie/maladie, éducation, biométrie, services essentiels…) : obligations complètes des fournisseurs et des déployeurs (art. 26 : surveillance humaine compétente, contrôle des données d'entrée, logs ≥ 6 mois, information des travailleurs et des personnes concernées…). Date initiale du 2 août 2026 reportée de 16 mois.
02.08.2028À venirUE
AI Act — haut risque Annexe I (IA embarquée dans des produits réglementés)
Machines, dispositifs médicaux, jouets, etc. intégrant de l'IA soumise aux réglementations produit sectorielles.

L'applicabilité de l'AI Act à votre entreprise dépend de votre lien avec le marché UE : vérifiez-la cas d'usage par cas d'usage.

Les 24 indicateurs et leurs bases légales

Chaque indicateur est relié aux textes qui le motivent : repères d'information, pas un avis juridique. La dimension E reste pour l'essentiel volontaire : aucune loi n'impose à une PME suisse de mesurer ni de réduire son empreinte numérique. Deux obligations réelles y font exception, et le tableau les porte : la restitution et l'élimination des appareils en fin de vie (OREA) et les exigences minimales d'efficacité énergétique, qui valent aussi pour le matériel acquis pour son propre usage (OEEE art. 4 al. 2).

T · Technologique

Indicateur	Repères juridiques	ISO/IEC 42001
Inventaire des systèmes IA et numériques	AI Act art. 26 (dès le 2 décembre 2027) · Bonne pratique ISO/IEC 42001connaître ses systèmes est le préalable des devoirs de déployeur · inventaire des systèmes d'IA	A.4 — ressources des systèmes d'IA
Explicabilité des décisions automatisées	LPD art. 25 al. 2 let. f · AI Act art. 13, 26 (dès le 2 décembre 2027) · LPD art. 21 · Jurisprudence CJUE C-634/21 « SCHUFA »droit d'obtenir « la logique sur laquelle se base la décision » : le seul droit à l'explication qui s'applique en Suisse aujourd'hui, sans condition de lien avec l'UE · notice et compréhension du système · décision individuelle automatisée : information et position de la personne · si le RGPD s'applique : un score suivi par un tiers est déjà une décision automatisée ; sa logique doit être expliquée de façon compréhensible (C-203/22)	A.8 — information des parties intéressées
Sécurité informatique de base	LPD art. 8 · LPD art. 24 · OPDo art. 15 al. 4 · RGPD art. 32sécurité proportionnée au risque ; la violation des exigences minimales est pénalement sanctionnée jusqu'à 250 000 CHF contre la personne physique responsable (art. 61) · annonce des violations au PFPDT « dans les meilleurs délais » en cas de risque élevé · documenter TOUTES les violations, y compris celles qui ne sont pas annoncées, et conserver la documentation deux ans · si le RGPD s'applique	§6 — planification (avec ISO/IEC 27001)
Gouvernance des données	CO art. 328b · LPD art. 6, 8 · AI Act art. 26(4) (dès le 2 décembre 2027)données des travailleurs et des candidats : uniquement l'aptitude à remplir l'emploi ou ce qui est nécessaire à l'exécution du contrat · exactitude et sécurité · contrôle des données d'entrée (déployeur haut risque)	A.7 — données des systèmes d'IA
Supervision humaine	OLT 3 art. 26 · AI Act art. 14, 26(2) (dès le 2 décembre 2027) · LPD art. 21interdiction des systèmes DESTINÉS à surveiller le comportement des travailleurs au poste ; la surveillance pour d'autres motifs reste possible si elle est proportionnée · surveillance humaine par personnes compétentes · droit d'obtenir une intervention humaine	A.9 — usage responsable
Maîtrise des fournisseurs IA	LDA art. 2, 10 · LPD art. 9, 16 · AI Act art. 25 (dès le 2 décembre 2027)usages génératifs : vérifier dans les conditions du fournisseur qui détient les droits sur les sorties et sur ce qui est versé en entrée · sous-traitance et communication de données à l'étranger · rebrander ou modifier substantiellement un système IA rend fournisseur	A.10 — relations avec les tiers

C · Conformité

Indicateur	Repères juridiques	ISO/IEC 42001
Registre des traitements	LPD art. 12 al. 5 · OPDo art. 24 · RGPD art. 30exemption < 250 collaborateurs, sauf traitements à risque élevé · précise l'exemption : moins de 250 collaborateurs ET risque limité d'atteinte à la personnalité · exemption bien plus étroite si le RGPD s'applique	§7.5 — informations documentées
Information des personnes	LPD art. 19–21 · AI Act art. 50mention des interactions IA — depuis le 2 août 2026	A.8 — information des parties intéressées
Analyses d'impact (AIPD)	CO art. 328b · LPD art. 22–23 · RGPD art. 35en contexte RH, la licéité du traitement se juge d'abord ici, avant l'analyse d'impact · AIPD si risque élevé ; consultation du PFPDT · si le RGPD s'applique	A.5 — analyses d'impact
Applicabilité et classification AI Act	AI Act art. 2 · AI Act art. 50 · AI Act art. 6, 26 (dès le 2 décembre 2027) · Convention CdE Convention-cadre IAchamp d'application territorial : sans lien avec le marché de l'Union, le règlement ne s'applique pas · transparence : chatbots, contenus générés, hypertrucages · classification du haut risque et devoirs du déployeur · future base du droit suisse (avant-projet fin 2026)	§4 — contexte · A.2 — politique IA
Droits des personnes	LPD art. 25 · LPD art. 25 al. 2 let. f · LPD art. 32 · RGPD art. 15–22droit d'accès ; délai usuel de 30 jours · la réponse doit mentionner l'existence d'une décision individuelle automatisée et la logique sur laquelle elle se base · rectification, effacement et autres prétentions · si le RGPD s'applique	A.8 — information des parties intéressées
Formation du personnel	AI Act art. 4 · LPD art. 8maîtrise de l'IA — obligation de moyens depuis fév. 2025 · mesures organisationnelles	§7.2 — compétences

E · Environnemental

Indicateur	Repères juridiques	ISO/IEC 42001
Hébergement à faible empreinte	Bonne pratique sobriété numérique	—
Mesure de l'empreinte numérique	Bonne pratique bilan carbone numériqueaucune obligation directe pour une PME ; demandé de plus en plus souvent par les grands donneurs d'ordre soumis au rapport climatique	—
Cycle de vie du matériel	OREA art. 5 · OREA art. 9 al. 3 · OREA art. 8 · Bonne pratique économie circulaire ITobligation de restituer tout appareil dont on se défait à un commerçant, un fabricant ou une entreprise d'élimination ; la reprise est gratuite (art. 6) · ce qui ne peut être remis doit être éliminé aux frais du détenteur, selon les exigences de l'art. 10 · les supports de données remis restent soumis à la LPD : la fin de vie du matériel est aussi une question de protection des données	—
Sobriété des usages	Bonne pratique sobriété numérique	—
Achats IT responsables	OEEE art. 4 al. 2 · Bonne pratique achats responsablesles exigences minimales d'efficacité s'appliquent aussi aux appareils « acquis pour un usage personnel dans un cadre professionnel » : la PME qui importe elle-même son matériel n'y échappe pas	—
Objectifs de réduction	Bonne pratique objectifs climat suiviscadre national : objectif net zéro 2050 (loi climat et innovation) ; aucune obligation d'objectif chiffré pour une PME	—

S · Sociétal

Indicateur	Repères juridiques	ISO/IEC 42001
Accessibilité numérique	Bonne pratique WCAG 2.1 AAobligatoire pour certains secteurs UE (European Accessibility Act)	A.9 — usage responsable
Prévention des biais	AI Act art. 10, 26 (dès le 2 décembre 2027) · LEg art. 3 · Cst. art. 8 · Convention CdE non-discriminationgouvernance des données et surveillance (haut risque) · interdiction de discriminer à l'embauche, notamment à raison du sexe — s'applique au tri automatisé de candidatures · égalité et interdiction de discrimination	A.5 / A.7 — impact et données (biais)
Transparence sur l'usage de l'IA	AI Act art. 50 · LCD art. 3 al. 1 let. b · LPD art. 19chatbots, contenus générés, deepfakes — depuis le 2 août 2026 · droit suisse : laisser croire à un interlocuteur humain, ou vanter une IA de façon inexacte, relève de l'indication fallacieuse · transparence des traitements	A.8 — information des parties intéressées
Impact sur l'emploi et compétences	CO art. 328b · OLT 3 art. 26 · AI Act art. 26(7) (dès le 2 décembre 2027) · AI Act art. 4limite du traitement des données des travailleurs et des candidats · systèmes de surveillance du comportement au poste · information préalable des travailleurs et de leurs représentants (haut risque) · maîtrise de l'IA du personnel	§7.2 — compétences · A.3 — rôles
Inclusion et diversité	Convention CdE égalité et non-discrimination	A.5 — analyses d'impact
Voies de recours	AI Act art. 86 · AI Act art. 26(11) (dès le 2 décembre 2027) · LPD art. 21 al. 2 · Jurisprudence CJUE C-634/21 « SCHUFA »droit à l'explication d'une décision individuelle fondée sur un système de l'annexe III · information des personnes soumises à une décision assistée par le système · droit de faire valoir son point de vue et d'exiger une revue humaine · si le RGPD s'applique : le scoring lui-même peut constituer la décision	A.8 / A.9 — information et usage responsable

Limites assumées de la version α

Benchmark synthétique le panel de 30 PME est fictif, à valeurs figées et documentées ; il sera remplacé par les données réelles des pilotes.
Auto-déclaration le score reflète les réponses données. Le niveau « Audité » du label (audit de sincérité par un tiers) est décrit dans la gouvernance du label.
Pondérations v1 fixées par expertise pas encore calibrées sur données : la structure linéaire rend cette calibration future transparente et auditable.
Repères juridiques indicatifs version juridique 2026-08-27, mise à jour à chaque jalon (fin du sursis de marquage machine au 2 décembre 2026, avant-projet suisse fin 2026, entrée en vigueur de la Convention du Conseil de l'Europe).

Le détail complet (justification scientifique, invariants du selftest, gouvernance des poids et du label) est consigné dans des documents versionnés avec le code (METHODOLOGY.md, LABEL_GOVERNANCE.md), non publics à ce jour : cette page en restitue l'essentiel.