Données, cybersécurité et IA : les règles qui s’imposent aux entreprises

Les questions de protection des données, de cybersécurité et d’intelligence artificielle ne relèvent plus de services séparés. Une entreprise qui déploie un assistant conversationnel, entraîne un algorithme ou externalise des fichiers dans le cloud prend simultanément des décisions sur la vie privée, la sécurité informatique et, de plus en plus, la conformité de ses systèmes d’IA. Une fuite de données peut ainsi devenir un incident de cybersécurité, une atteinte aux droits des personnes et un problème de gouvernance de l’intelligence artificielle.

À la date du 15 décembre 2024, le paysage réglementaire est dense et inégal selon les pays. La protection de la vie privée s’est largement imposée dans le monde, mais les règles de consentement, de sécurité, de notification et de recours ne sont pas uniformes. Pour les organisations internationales comme pour les utilisateurs, comprendre ce qui distingue ces domaines est devenu indispensable.

Trois domaines liés, mais trois objectifs différents

La protection des données personnelles encadre les informations qui permettent d’identifier directement ou indirectement une personne : nom, adresse électronique, identifiant en ligne, données de localisation, dossier de santé ou encore données relatives à un salarié. Elle répond à une question centrale : une organisation a-t-elle le droit de collecter et d’utiliser ces informations, dans quel but et avec quelles garanties ?

La cybersécurité poursuit un objectif complémentaire : empêcher qu’un système, un compte ou une donnée soit consulté, modifié, détruit ou rendu indisponible sans autorisation. Elle concerne aussi des informations qui ne sont pas personnelles, comme des secrets industriels, du code source ou des données financières. Une bonne politique de confidentialité sans protections techniques adaptées ne suffit donc pas à protéger les personnes.

L’intelligence artificielle, enfin, désigne ici les systèmes capables de produire une prédiction, une recommandation, une décision ou un contenu à partir de données et de modèles. Elle peut aider à détecter une fraude ou une intrusion. Mais elle soulève aussi ses propres questions : quelles données ont servi à son entraînement ? Ses résultats créent-ils une discrimination ? Une personne peut-elle comprendre ou contester une décision qui la concerne ?

Pourquoi la protection des données est devenue mondiale

Selon les données recensées par la Conférence des Nations unies sur le commerce et le développement, 137 pays disposent en 2024 d’une législation sur la protection des données et de la vie privée. Cette diffusion répond à une réalité simple : les activités numériques franchissent les frontières, alors que les données personnelles sont devenues un actif économique et social majeur.

Le modèle européen, porté par le Règlement général sur la protection des données, ou RGPD, est particulièrement influent. Applicable depuis 2018, il impose aux organismes qui traitent les données de personnes situées dans l’Union européenne de disposer d’une base juridique, d’expliquer leurs pratiques et de respecter plusieurs principes : finalité déterminée, minimisation des données, durée de conservation limitée, exactitude et sécurité.

Le RGPD reconnaît aussi des droits aux personnes, notamment l’accès à leurs données, leur rectification, leur effacement dans certaines situations et l’opposition à certains traitements. Son effet dépasse les frontières de l’Union européenne : une entreprise installée hors d’Europe peut être concernée dès lors qu’elle cible des personnes présentes dans l’UE ou suit leur comportement.

D’autres juridictions ont bâti des cadres différents. Aux États-Unis, il n’existe pas, en décembre 2024, de loi fédérale générale équivalente au RGPD. La Californie fait figure de référence avec le California Consumer Privacy Act, complété par le California Privacy Rights Act. Ce cadre donne notamment aux résidents californiens des droits d’information, d’accès, de suppression et d’opposition à certaines ventes ou partages de données.

Au Canada, la Loi sur la protection des renseignements personnels et les documents électroniques, souvent désignée par l’acronyme LPRPDE, encadre une partie des activités commerciales privées. Certaines provinces disposent aussi de règles propres. Le Royaume-Uni, pour sa part, conserve un cadre inspiré du RGPD, articulé avec sa législation nationale sur la protection des données.

Cette diversité pose une difficulté concrète aux groupes internationaux. Ils ne peuvent pas se contenter d’appliquer mécaniquement le standard le moins exigeant. Ils doivent identifier où se trouvent les personnes concernées, où les données sont hébergées, quels prestataires y accèdent et quelles obligations locales s’appliquent.

Que doit faire une organisation en cas de fuite de données ?

Une violation de données personnelles survient lorsqu’un incident compromet la confidentialité, l’intégrité ou la disponibilité de ces données. Il peut s’agir d’un piratage, mais aussi d’un fichier envoyé au mauvais destinataire, d’un ordinateur perdu, d’un mot de passe dérobé ou d’une mauvaise configuration d’un espace de stockage en ligne.

Sous le RGPD, une violation susceptible d’engendrer un risque pour les droits et libertés des personnes doit, en principe, être notifiée à l’autorité compétente dans les 72 heures après en avoir pris connaissance, lorsque cela est possible. Si le risque est élevé, les personnes concernées doivent également être informées, sauf exception prévue par le texte, par exemple lorsque les données étaient rendues illisibles par un chiffrement efficace.

La notification n’est pas une simple formalité. Elle oblige l’organisation à savoir ce qui a été touché, qui peut être affecté, quelles mesures ont déjà été prises et comment éviter une récidive. Sans inventaire précis des données et des accès, il devient très difficile de répondre vite et de manière fiable.

Les exigences de cybersécurité prennent aussi une place croissante dans les textes européens. La directive NIS2, dont le délai de transposition par les États membres était fixé au 17 octobre 2024, étend les obligations de gestion des risques et de signalement à de nombreux secteurs jugés importants ou essentiels. Elle souligne que la sécurité ne se limite plus aux infrastructures les plus critiques : fournisseurs numériques, entreprises industrielles, services de santé, transports ou gestion de l’eau sont eux aussi concernés selon leur taille et leur activité.

Les mesures concrètes ne reposent pas sur un produit unique. Elles associent généralement l’authentification multifacteur, la gestion des droits d’accès, les mises à jour de sécurité, des sauvegardes testées, le chiffrement lorsque nécessaire et la formation des équipes face à l’hameçonnage. Le facteur humain reste déterminant, car une attaque peut commencer par un message apparemment banal.

L’IA change la nature des risques de sécurité

L’intelligence artificielle joue un double rôle. Du côté défensif, elle peut analyser un volume important de journaux techniques, repérer des comportements inhabituels, prioriser des alertes ou aider les spécialistes à rechercher une menace. Ces capacités sont particulièrement utiles lorsque les équipes de sécurité doivent traiter un flot continu d’événements.

Mais les mêmes progrès peuvent servir à l’attaque. Des outils d’IA générative facilitent la rédaction de courriels d’hameçonnage plus crédibles et adaptés à plusieurs langues. L’automatisation peut aussi accélérer la recherche de failles ou la production de contenus trompeurs. Cela ne signifie pas que l’IA crée tous les cyberrisques, mais qu’elle peut modifier l’échelle et la vitesse de certaines opérations malveillantes.

L’usage d’un outil d’IA par les salariés appelle donc une vigilance particulière. Copier des informations confidentielles ou des données personnelles dans un service externe peut exposer l’organisation si les conditions de traitement, de conservation ou de réutilisation de ces données ne sont pas connues. Le sujet ne concerne pas seulement les grands modèles : un logiciel de recrutement, de notation, de surveillance ou de détection de fraude peut tout autant traiter des informations sensibles.

L’AI Act européen ajoute une couche de règles

L’Union européenne a franchi une étape majeure avec l’AI Act, entré en vigueur le 1er août 2024. Ce règlement est présenté comme le premier cadre juridique horizontal de grande ampleur consacré à l’intelligence artificielle. Son principe est de moduler les obligations selon le niveau de risque d’un système pour la sécurité, la santé et les droits fondamentaux.

Les pratiques jugées incompatibles avec les valeurs européennes sont interdites. Les systèmes dits à haut risque, par exemple certains usages dans l’emploi, l’éducation, l’accès à des services essentiels ou les infrastructures critiques, devront satisfaire à des exigences renforcées : gestion des risques, qualité des données, documentation, traçabilité, transparence, surveillance humaine, robustesse et cybersécurité.

Le calendrier est progressif. À la date de publication de cet article, toutes les règles ne sont pas encore applicables. Les premières interdictions et les obligations relatives à la culture de l’IA doivent s’appliquer à partir du 2 février 2025. Les dispositions concernant les modèles d’IA à usage général sont prévues pour le 2 août 2025, tandis qu’une large part des obligations relatives aux systèmes à haut risque doit s’appliquer ultérieurement.

L’AI Act ne remplace pas le RGPD. Un système d’IA qui traite des données personnelles doit respecter les deux cadres lorsque leurs champs d’application se recoupent. Une entreprise ne peut donc pas considérer qu’une évaluation au titre de l’AI Act l’exonère de déterminer la base légale de ses traitements de données, ni de sécuriser les informations utilisées.

Comment se préparer sans freiner l’innovation ?

La meilleure approche consiste à intégrer les exigences dès la conception d’un projet, plutôt que d’essayer de les corriger lorsqu’un outil est déjà déployé. Cette logique est souvent désignée par l’expression « protection des données dès la conception ». Elle exige surtout des choix opérationnels simples et vérifiables.

Une organisation qui envisage un projet d’IA peut suivre plusieurs étapes :

• recenser les données utilisées, leur provenance, leur sensibilité et les personnes qui y accèdent ;
• définir précisément la finalité du système et vérifier qu’elle justifie les données mobilisées ;
• évaluer les risques de sécurité, d’erreur, de biais et d’atteinte aux droits des personnes ;
• encadrer les prestataires par des contrats et des contrôles de sécurité adaptés ;
• conserver une supervision humaine proportionnée lorsque le système peut affecter un individu ;
• organiser une procédure d’incident permettant de suspendre, corriger ou retirer un outil si nécessaire.

Cette méthode ne garantit pas l’absence de risque. Elle permet en revanche de rendre les décisions plus compréhensibles, de démontrer les précautions prises et de réagir plus rapidement lorsqu’un problème survient. Elle aide aussi à éviter un écueil fréquent : déployer un outil performant techniquement mais incapable d’expliquer quelles données il utilise et pourquoi.

Ce qu’il faut surveiller en 2025

L’année 2025 doit marquer le passage d’une réflexion générale sur l’IA à la mise en œuvre concrète de plusieurs obligations européennes. Les entreprises devront notamment suivre les premières échéances de l’AI Act, l’application nationale des règles européennes de cybersécurité et l’évolution des décisions des autorités chargées de la protection des données.

À l’échelle internationale, l’harmonisation complète reste peu probable à court terme. Les grands principes, comme la transparence, la sécurité et la responsabilité, se retrouvent dans de nombreux débats. Toutefois, les droits accordés aux individus, les exigences sectorielles et les modalités de contrôle continuent de varier fortement d’une juridiction à l’autre.

L’enjeu n’est donc pas d’opposer innovation et protection. L’IA peut améliorer la sécurité, faciliter certains services et contribuer à la recherche, y compris dans des domaines comme les prévisions météorologiques et climatiques. Mais ses bénéfices dépendent de données correctement gouvernées, de systèmes résistants aux attaques et de règles capables de protéger les citoyens sans rendre les responsabilités invisibles. Pour les organisations, la conformité devient ainsi une condition de confiance, et non un obstacle périphérique au développement numérique.