Référentiel v1 · version juridique 2026-08-26
Méthodologie & cadre réglementaire
Le KarmaScore est un modèle linéaire pondéré, choisi pour son explicabilité exacte : chaque point du score global est attribuable à un indicateur précis, et la somme des 24 contributions redonne le score. Pas de boîte noire : c'est vérifié par un selftest reproductible à chaque évolution du moteur.
Formule (version α)
valeur(indicateur) = réponse ÷ 4 × 100 · score(dimension) = moyenne de ses 6 indicateurs · score global = Σ poids sectoriel × score(dimension)
Seuil du label « Swiss Ethical AI Inside » : 70/100. Une pratique interdite par l'art. 5 de l'AI Act bloque le label quel que soit le score.
Signaux critiques : ce que la moyenne ne compense jamais
Un modèle additif peut masquer une défaillance grave derrière un bon score global. Le KarmaScore répond à cette limite connue par des signaux non compensables : 8 indicateurs adossés à une obligation légale sont, s'ils sont laissés au niveau 0, signalés à côté du score, à l'écran, dans la synthèse téléchargée et dans le rapport envoyé par e-mail. Le libellé reste juridiquement prudent : nous signalons une obligation potentiellement non couverte, nous n'affirmons jamais une violation.
- Information des personnesLPD art. 19–21 · AI Act art. 50
- Droits des personnesLPD art. 25 · LPD art. 32 · RGPD art. 15–22
- Analyses d'impact (AIPD)CO art. 328b · LPD art. 22–23 · RGPD art. 35
- Applicabilité et classification AI ActAI Act art. 2, 6, 26, 50 · Convention CdE Convention-cadre IA
- Sécurité informatique de baseLPD art. 8 · LPD art. 24 · RGPD art. 32
- Supervision humaineOLT 3 art. 26 · AI Act art. 14, 26(2) · LPD art. 21
- Maîtrise des fournisseurs IALDA art. 2, 10 · LPD art. 9, 16 · AI Act art. 25
- Voies de recoursAI Act art. 26(11), 86 · LPD art. 21 al. 2 · Jurisprudence CJUE C-634/21 « SCHUFA »
Pondérations sectorielles
Les quatre dimensions sont pondérées selon la famille sectorielle : aucun axe ne dépasse 40 % (plafond anti-sur-représentation). Les poids v1 sont fixés par expertise et seront recalibrés sur les données des pilotes.
| Famille | T | C | E | S |
|---|---|---|---|---|
| Industrie & Énergie | 25% | 25% | 30% | 20% |
| Services & Finance | 25% | 35% | 15% | 25% |
| Numérique & IA | 35% | 30% | 15% | 20% |
| Autre secteur | 30% | 30% | 20% | 20% |
Pourquoi ces pondérations, profil par profil
Le point de départ est un profil équilibré (T 30 · C 30 · E 20 · S 20). Chaque famille sectorielle accentue l'axe où son impact réel est le plus fort, sans jamais dépasser le plafond de 40 % : un score ne doit jamais être dominé par une seule dimension.
- Industrie & Énergie E accentué (30 %) : l'empreinte de ces PME passe d'abord par l'énergie, les machines et le matériel — c'est là que leurs choix numériques pèsent le plus. C ramené à 25 % : leurs usages IA traitent en moyenne moins de données personnelles au quotidien que les services (processus industriels plutôt que dossiers clients) — la conformité reste essentielle, mais l'exposition relative est moindre.
- Services & Finance C accentué (35 %, proche du plafond) : les données personnelles et financières sont la matière première du métier, le secteur est le plus densément régulé (LPD, RGPD, secret professionnel), et l'Annexe III de l'AI Act le vise en premier (crédit aux personnes, assurance vie/maladie, RH). S relevé (25 %) : les décisions assistées par IA y affectent directement des personnes. E réduit (15 %) : empreinte essentiellement tertiaire, sans processus physiques lourds.
- Numérique & IA T accentué (35 %) : ces entreprises construisent ou intègrent les systèmes — sûreté, explicabilité, supervision et gestion des incidents sont le cœur de leur responsabilité, et l'art. 25 de l'AI Act peut les requalifier en fournisseurs. C reste élevé (30 %) pour la même raison. E à 15 % : l'empreinte du cloud est réelle mais inférieure, à taille égale, à celle de l'industrie physique.
- Autre secteur Profil de base sans hypothèse sectorielle : T et C à parts égales (la maîtrise technique et la conformité sont les deux socles universels), E et S à 20 %. C'est le point de départ dont les trois autres profils sont des accentuations.
Vous contestez un poids ? C'est prévu, et souhaité : écrivez à contact@ai-karma.ch avec votre argument. Les désaccords fondés sont intégrés dans une version datée de la méthodologie et crédités au changelog. Les poids v1 seront par ailleurs recalibrés sur les données réelles des entreprises pilotes : c'est un engagement public, pas une intention.
Échéancier réglementaire
Revue du 26 août 2026 : ajout des ancrages de droit suisse hors LPD — art. 328b CO (données des travailleurs et des candidats), art. 26 OLT 3 (surveillance au poste), LEg art. 3 et Cst. art. 8 (non-discrimination à l'embauche), LCD art. 3 (indication fallacieuse) et LDA (droits sur les sorties génératives). État de l'AI Act inchangé. Calendrier arrêté après l'entrée en vigueur du « Digital Omnibus IA » : règlement (UE) 2026/1744 du 8 juillet 2026, publié au JOUE le 24 juillet 2026, en vigueur depuis le 27 juillet 2026. La Commission a publié ses lignes directrices définitives sur l'art. 50 le 20 juillet 2026 ; le code de bonne pratique sur la transparence des contenus générés par IA a été jugé adéquat par la Commission et par le Comité IA, et comptait environ 190 organisations signataires fin juillet 2026. Le 31 juillet 2026, la Commission a confirmé le début de l'application des obligations de transparence au 2 août. Prochains jalons à surveiller : fin du sursis de marquage machine au 2 décembre 2026, avant-projet de loi suisse sur l'IA attendu d'ici fin 2026, entrée en vigueur de la Convention-cadre du Conseil de l'Europe sur l'IA.
- 02.02.2025En vigueurUE
AI Act — pratiques interdites et maîtrise de l'IA
Art. 5 (manipulation, exploitation de vulnérabilités, social scoring, reconnaissance des émotions au travail et en éducation…) et art. 4 (maîtrise de l'IA, assouplie par l'omnibus en obligation de moyens). Sanctions jusqu'à 35 M€ / 7 % du CA mondial pour les pratiques interdites.
- 02.08.2025En vigueurUE
AI Act — modèles d'IA à usage général (GPAI) et gouvernance
Obligations des fournisseurs de GPAI (chap. V), mise en place des autorités et du régime national de sanctions.
- 02.08.2026En vigueurUE
AI Act — transparence (art. 50)
Information des personnes qui interagissent avec un chatbot, marquage des contenus générés, étiquetage des deepfakes, information en cas de reconnaissance des émotions ou catégorisation biométrique. S'applique aux fournisseurs et aux déployeurs, y compris suisses dès que l'output est utilisé dans l'UE. Sanctions jusqu'à 15 M€ / 3 % du CA mondial (art. 99(4)). Applicable depuis le 2 août 2026. Nuance : le marquage machine-readable (art. 50(2)) des systèmes génératifs mis sur le marché AVANT le 2 août 2026 bénéficie d'une transition au 2 décembre 2026 — les obligations chatbot et deepfake, elles, sont dues depuis le 2 août. Repères d'application : lignes directrices définitives de la Commission sur l'art. 50 (20 juillet 2026) et code de bonne pratique sur la transparence des contenus générés par IA, ouvert à la signature des fournisseurs comme des déployeurs soumis à l'art. 50(2), (4) et (5), quel que soit leur lieu d'établissement (environ 190 organisations signataires fin juillet 2026). Pour une PME, le plafond de sanction se lit avec l'art. 99(6) : c'est le montant le plus BAS des deux qui s'applique, et l'omnibus a étendu ce régime aux petites entreprises de taille intermédiaire en ouvrant la voie aux avertissements et mesures non pécuniaires.
- 02.12.2026À venirUE
AI Act — nouvelles interdictions et fin du sursis de marquage
Nouvelles interdictions art. 5 (générateurs d'images intimes non consenties, CSAM) ; fin du sursis de marquage machine-readable (art. 50(2)) pour les systèmes génératifs mis sur le marché avant le 2 août 2026.
- 31.12.2026À venirSuisse
Suisse — avant-projet de loi sur l'IA attendu
Mise en œuvre de la Convention-cadre du Conseil de l'Europe sur l'IA (signée en mars 2025) : transparence, protection des données, non-discrimination, surveillance. Consultation attendue d'ici fin 2026 ; premières modifications légales au plus tôt en 2027. Approche sectorielle, pas de loi transversale.
- 02.12.2027À venirUE
AI Act — obligations « haut risque » Annexe III (REPORTÉ par l'omnibus)
Systèmes autonomes des domaines Annexe III (recrutement et RH, crédit, tarification assurance vie/maladie, éducation, biométrie, services essentiels…) : obligations complètes des fournisseurs et des déployeurs (art. 26 : surveillance humaine compétente, contrôle des données d'entrée, logs ≥ 6 mois, information des travailleurs et des personnes concernées…). Date initiale du 2 août 2026 reportée de 16 mois.
- 02.08.2028À venirUE
AI Act — haut risque Annexe I (IA embarquée dans des produits réglementés)
Machines, dispositifs médicaux, jouets, etc. intégrant de l'IA soumise aux réglementations produit sectorielles.
L'applicabilité de l'AI Act à votre entreprise dépend de votre lien avec le marché UE : vérifiez-la cas d'usage par cas d'usage.
Les 24 indicateurs et leurs bases légales
Chaque indicateur est relié aux textes qui le motivent : repères d'information, pas un avis juridique. La dimension E relève d'une démarche volontaire, aucune obligation environnementale contraignante générale ne pesant à ce jour sur une PME suisse pour son numérique.
T · Technologique
| Indicateur | Repères juridiques | ISO/IEC 42001 |
|---|---|---|
| Inventaire des systèmes IA et numériques | AI Act art. 26 · Bonne pratique ISO/IEC 42001connaître ses systèmes est le préalable des devoirs de déployeur · inventaire des systèmes d'IA | A.4 — ressources des systèmes d'IA |
| Explicabilité des décisions automatisées | AI Act art. 13, 26 · LPD art. 21 · Jurisprudence CJUE C-634/21 « SCHUFA »notice et compréhension du système (si haut risque, dès déc. 2027) · décision individuelle automatisée : information et position de la personne · si le RGPD s'applique : un score suivi par un tiers est déjà une décision automatisée ; sa logique doit être expliquée de façon compréhensible (C-203/22) | A.8 — information des parties intéressées |
| Sécurité informatique de base | LPD art. 8 · LPD art. 24 · RGPD art. 32sécurité proportionnée au risque ; la violation des exigences minimales est pénalement sanctionnée jusqu'à 250 000 CHF contre la personne physique responsable (art. 61) · annonce des violations au PFPDT « dans les meilleurs délais » en cas de risque élevé · si le RGPD s'applique | §6 — planification (avec ISO/IEC 27001) |
| Gouvernance des données | CO art. 328b · LPD art. 6, 8 · AI Act art. 26(4)données des travailleurs et des candidats : uniquement l'aptitude à remplir l'emploi ou ce qui est nécessaire à l'exécution du contrat · exactitude et sécurité · contrôle des données d'entrée (déployeur haut risque) | A.7 — données des systèmes d'IA |
| Supervision humaine | OLT 3 art. 26 · AI Act art. 14, 26(2) · LPD art. 21interdiction des systèmes DESTINÉS à surveiller le comportement des travailleurs au poste ; la surveillance pour d'autres motifs reste possible si elle est proportionnée · surveillance humaine par personnes compétentes · droit d'obtenir une intervention humaine | A.9 — usage responsable |
| Maîtrise des fournisseurs IA | LDA art. 2, 10 · LPD art. 9, 16 · AI Act art. 25usages génératifs : vérifier dans les conditions du fournisseur qui détient les droits sur les sorties et sur ce qui est versé en entrée · sous-traitance et communication de données à l'étranger · rebrander ou modifier substantiellement un système IA rend fournisseur | A.10 — relations avec les tiers |
C · Conformité
| Indicateur | Repères juridiques | ISO/IEC 42001 |
|---|---|---|
| Registre des traitements | LPD art. 12 al. 5 · OPDo art. 24 · RGPD art. 30exemption < 250 collaborateurs, sauf traitements à risque élevé · précise l'exemption : moins de 250 collaborateurs ET risque limité d'atteinte à la personnalité · exemption bien plus étroite si le RGPD s'applique | §7.5 — informations documentées |
| Information des personnes | LPD art. 19–21 · AI Act art. 50mention des interactions IA — depuis le 2 août 2026 | A.8 — information des parties intéressées |
| Analyses d'impact (AIPD) | CO art. 328b · LPD art. 22–23 · RGPD art. 35en contexte RH, la licéité du traitement se juge d'abord ici, avant l'analyse d'impact · AIPD si risque élevé ; consultation du PFPDT · si le RGPD s'applique | A.5 — analyses d'impact |
| Applicabilité et classification AI Act | AI Act art. 2, 6, 26, 50 · Convention CdE Convention-cadre IAapplicabilité territoriale puis classification du risque · future base du droit suisse (avant-projet fin 2026) | §4 — contexte · A.2 — politique IA |
| Droits des personnes | LPD art. 25 · LPD art. 32 · RGPD art. 15–22droit d'accès ; délai usuel de 30 jours · rectification, effacement et autres prétentions · si le RGPD s'applique | A.8 — information des parties intéressées |
| Formation du personnel | AI Act art. 4 · LPD art. 8maîtrise de l'IA — obligation de moyens depuis fév. 2025 · mesures organisationnelles | §7.2 — compétences |
E · Environnemental
| Indicateur | Repères juridiques | ISO/IEC 42001 |
|---|---|---|
| Hébergement à faible empreinte | Bonne pratique sobriété numérique | — |
| Mesure de l'empreinte numérique | Bonne pratique bilan carbone numériqueaucune obligation directe pour une PME ; demandé de plus en plus souvent par les grands donneurs d'ordre soumis au rapport climatique | — |
| Cycle de vie du matériel | Bonne pratique économie circulaire IT | — |
| Sobriété des usages | Bonne pratique sobriété numérique | — |
| Achats IT responsables | Bonne pratique achats responsables | — |
| Objectifs de réduction | Bonne pratique objectifs climat suiviscadre national : objectif net zéro 2050 (loi climat et innovation) ; aucune obligation d'objectif chiffré pour une PME | — |
S · Sociétal
| Indicateur | Repères juridiques | ISO/IEC 42001 |
|---|---|---|
| Accessibilité numérique | Bonne pratique WCAG 2.1 AAobligatoire pour certains secteurs UE (European Accessibility Act) | A.9 — usage responsable |
| Prévention des biais | AI Act art. 10, 26 · LEg art. 3 · Cst. art. 8 · Convention CdE non-discriminationgouvernance des données et surveillance (haut risque) · interdiction de discriminer à l'embauche, notamment à raison du sexe — s'applique au tri automatisé de candidatures · égalité et interdiction de discrimination | A.5 / A.7 — impact et données (biais) |
| Transparence sur l'usage de l'IA | AI Act art. 50 · LCD art. 3 al. 1 let. b · LPD art. 19chatbots, contenus générés, deepfakes — depuis le 2 août 2026 · droit suisse : laisser croire à un interlocuteur humain, ou vanter une IA de façon inexacte, relève de l'indication fallacieuse · transparence des traitements | A.8 — information des parties intéressées |
| Impact sur l'emploi et compétences | CO art. 328b · OLT 3 art. 26 · AI Act art. 26(7) · AI Act art. 4limite du traitement des données des travailleurs et des candidats · systèmes de surveillance du comportement au poste · information préalable des travailleurs et de leurs représentants (haut risque) · maîtrise de l'IA du personnel | §7.2 — compétences · A.3 — rôles |
| Inclusion et diversité | Convention CdE égalité et non-discrimination | A.5 — analyses d'impact |
| Voies de recours | AI Act art. 26(11), 86 · LPD art. 21 al. 2 · Jurisprudence CJUE C-634/21 « SCHUFA »information des personnes et explication des décisions (haut risque) · droit de faire valoir son point de vue et d'exiger une revue humaine · si le RGPD s'applique : le scoring lui-même peut constituer la décision | A.8 / A.9 — information et usage responsable |
Limites assumées de la version α
- Benchmark synthétique le panel de 30 PME est fictif, à valeurs figées et documentées ; il sera remplacé par les données réelles des pilotes.
- Auto-déclaration le score reflète les réponses données. Le niveau « Audité » du label (audit de sincérité par un tiers) est décrit dans la gouvernance du label.
- Pondérations v1 fixées par expertise pas encore calibrées sur données : la structure linéaire rend cette calibration future transparente et auditable.
- Repères juridiques indicatifs version juridique 2026-08-26, mise à jour à chaque jalon (fin du sursis de marquage machine au 2 décembre 2026, avant-projet suisse fin 2026, entrée en vigueur de la Convention du Conseil de l'Europe).
Le détail complet (justification scientifique, invariants du selftest, gouvernance des poids et du label) est consigné dans des documents versionnés avec le code (METHODOLOGY.md, LABEL_GOVERNANCE.md), non publics à ce jour : cette page en restitue l'essentiel.