Protection des données : ce que l’IA change dans la surveillance de conformité

Les données sensibles ne restent plus confinées dans un serveur unique. Elles circulent entre applications métiers, services cloud, postes de travail, prestataires et outils collaboratifs. Dans cet environnement mouvant, vérifier une fois par an que les règles sont respectées revient souvent à prendre une photographie alors que le décor change en permanence. C’est la raison pour laquelle la surveillance de conformité en continu, parfois présentée comme du contrôle 24/7, gagne du terrain.

L’intelligence artificielle peut contribuer à cette évolution : elle aide à trier un volume d’événements qu’aucune équipe humaine ne pourrait examiner un à un, à mettre en évidence des anomalies et à préparer des éléments utiles pour les audits. Elle n’est toutefois ni une garantie automatique de sécurité ni un certificat de conformité au Règlement général sur la protection des données, le RGPD. Son efficacité dépend des données qu’elle observe, des règles qui lui sont fixées et, surtout, de la capacité des personnes chargées de la conformité et de la sécurité à interpréter ses alertes.

De contrôles ponctuels à une responsabilité continue

La conformité recouvre le respect d’obligations légales, contractuelles et internes. En matière de données personnelles, il peut s’agir de maîtriser qui accède aux informations, de limiter leur conservation, de sécuriser les traitements ou encore de documenter les décisions prises. La cybersécurité est plus large : elle vise à protéger les systèmes et les informations contre les accès non autorisés, les pertes et les perturbations. Les deux sujets se recoupent fréquemment, sans se confondre totalement.

Les méthodes traditionnelles reposent souvent sur des questionnaires, des campagnes de vérification ou des audits à échéance fixe. Elles restent indispensables. Un audit permet par exemple de vérifier les contrats avec les sous-traitants, les procédures de suppression des données ou l’existence d’une politique de gestion des accès. Mais il peut révéler un problème longtemps après son apparition.

En août 2025, l’enjeu est donc moins de remplacer ces contrôles que de les compléter. Une surveillance continue cherche à détecter les changements entre deux audits : un compte dont les droits viennent d’être étendus, une base de données devenue publiquement accessible, un volume inhabituel de fichiers téléchargés ou une connexion qui s’écarte des habitudes observées.

Le RGPD n’ordonne pas aux organisations d’utiliser une IA, ni de surveiller chaque système à toute heure. Il leur demande en revanche de mettre en place des mesures techniques et organisationnelles appropriées au risque. Pour une entreprise qui traite de très nombreuses données ou exploite une infrastructure cloud complexe, une visibilité plus régulière peut devenir un moyen pragmatique de répondre à cette exigence.

Quels signaux une surveillance assistée par IA peut-elle observer ?

Un outil de surveillance ne lit pas nécessairement le contenu de toutes les données. Il travaille souvent à partir de journaux techniques, de métadonnées et de configurations : qui s’est connecté, à quel moment, depuis quel appareil, quels droits ont été modifiés, quelles données ont été transférées ou quel service a été activé.

L’objectif consiste à établir une vision cohérente de l’environnement numérique. Les systèmes peuvent alors rapprocher plusieurs informations, plutôt que de laisser les équipes consulter séparément les journaux de chaque application. C’est particulièrement utile lorsque données et identités sont réparties entre des infrastructures sur site, des logiciels en ligne et des applications fournies par des tiers.

La qualité de ce suivi dépend cependant de l’inventaire initial. Une entreprise qui ignore quelles applications traitent des données personnelles, quels comptes de service y accèdent ou où sont hébergés ses fichiers ne peut pas espérer une couverture complète grâce à un simple logiciel. La cartographie des traitements et des actifs numériques demeure le point de départ.

Comment l’IA repère-t-elle une anomalie ?

L’IA appliquée à la surveillance de conformité ne se résume pas à un unique algorithme. Elle peut associer des règles explicites, par exemple l’interdiction d’un stockage public, et des techniques d’apprentissage automatique. Ces dernières cherchent des régularités dans des ensembles de données puis signalent des écarts significatifs.

Un système peut ainsi relever qu’un employé télécharge soudainement un volume de documents très supérieur à ses habitudes, qu’un compte inactif recommence à accéder à des informations sensibles ou qu’une configuration s’éloigne de celle habituellement appliquée à des environnements comparables. L’intérêt est la vitesse de traitement : des milliers, voire davantage, d’événements peuvent être priorisés sans demander à un analyste de les ouvrir un par un.

Cette détection n’équivaut toutefois pas à une certitude. Un déplacement professionnel, une clôture comptable ou un projet exceptionnel peuvent générer une activité inhabituelle parfaitement légitime. À l’inverse, un comportement malveillant discret peut ressembler à une activité ordinaire. L’IA produit donc un signal de risque, non un verdict.

Pour être utile, l’alerte doit être contextualisée : quelles données sont concernées, quels utilisateurs ou systèmes sont impliqués, quelle règle a été franchie et quelle gravité potentielle faut-il attribuer à l’événement ? C’est ce travail de qualification qui permet d’éviter à la fois la fatigue liée à trop de fausses alertes et l’oubli d’un incident sérieux.

De l’alerte à la réponse : l’automatisation doit rester encadrée

La valeur d’une surveillance continue se joue aussi après la détection. Une organisation peut prévoir des réponses graduées : créer un ticket d’incident, avertir les responsables concernés, demander une vérification d’identité ou suspendre temporairement un accès à haut risque. Des mécanismes prédéfinis permettent d’agir plus vite et de manière plus homogène, y compris hors des horaires de bureau.

La réponse automatique doit néanmoins être proportionnée. Bloquer un compte privilégié peut freiner une intrusion, mais aussi interrompre une activité essentielle si l’alerte est erronée. Isoler une machine, empêcher un export ou révoquer une clé d’accès sont des mesures puissantes qui nécessitent des scénarios testés, des responsabilités clairement établies et une possibilité d’intervention humaine.

En matière de données personnelles, il faut aussi distinguer l’alerte technique de la violation de données. Une violation peut correspondre à une perte, une destruction, une altération, une divulgation non autorisée ou un accès non autorisé. Toutes les anomalies ne remplissent pas cette définition, et toutes les violations ne doivent pas être notifiées de la même manière.

Lorsqu’une violation est susceptible d’engendrer un risque pour les droits et libertés des personnes, le RGPD prévoit une notification à l’autorité de contrôle, lorsque cela est possible, dans un délai de 72 heures après en avoir pris connaissance. Une surveillance réactive peut donc faciliter la chronologie de l’incident et la collecte des informations nécessaires, mais elle ne dispense pas de l’analyse juridique et factuelle.

Le cloud et le cycle de vie des données, deux points de vigilance

Les environnements cloud illustrent l’intérêt d’une surveillance régulière. Leur souplesse permet de créer rapidement des espaces de stockage, des comptes, des copies de sauvegarde ou de nouvelles connexions entre services. Cette agilité peut aussi produire des écarts : une règle de partage trop large, une ressource oubliée après un test ou des droits hérités qui ne correspondent plus aux fonctions réelles d’un collaborateur.

Une approche utile consiste à suivre le cycle de vie complet des données. Il commence avec la collecte, se poursuit par l’utilisation, le partage et l’archivage, puis se termine par la suppression ou l’anonymisation lorsque cela est prévu. À chacune de ces étapes, les règles à appliquer peuvent varier selon la nature des données et la finalité du traitement.

Des plateformes d’automatisation de la conformité, comme Thoropass, cité parmi les outils pouvant accompagner ce travail, peuvent aider à centraliser des contrôles et des preuves. Elles ne remplacent pas la décision de savoir quelles données sont nécessaires, combien de temps elles doivent être conservées ou à quelles personnes elles peuvent être communiquées. Ces choix relèvent de la gouvernance de l’organisation.

Des rapports plus rapides, mais des preuves à vérifier

Les audits et les demandes de contrôle imposent souvent de retrouver des éléments dispersés : politiques internes, historiques de configuration, validations d’accès, résultats de tests ou détails d’un incident. La collecte automatique de ces éléments peut réduire une part importante de la charge administrative et faciliter la production d’une piste d’audit.

Un tableau de bord en temps réel n’est cependant utile que s’il est fiable. Les journaux doivent être complets, horodatés et protégés contre les modifications non autorisées. Les responsables doivent aussi pouvoir comprendre l’origine d’une alerte et retrouver la décision prise. Sans ces garanties, l’automatisation risque de créer une impression de maîtrise sans fournir de preuve solide lors d’un audit ou après un incident.

Les rapports générés par des outils d’IA doivent enfin être relus. Une synthèse automatique peut classer les événements par priorité et accélérer la préparation d’un dossier, mais elle peut mal interpréter un contexte métier ou omettre une nuance essentielle. La responsabilité de la conformité reste portée par l’organisation, pas par le logiciel.

L’IA de conformité a aussi ses limites et ses propres risques

Déployer une IA de surveillance implique de traiter les risques de l’outil lui-même. Un modèle mal réglé peut multiplier les faux positifs et détourner les équipes des alertes importantes. Des données d’apprentissage ou des règles inadaptées peuvent conduire à négliger certains profils d’usage. Une couverture incomplète, parce qu’une application échappe au dispositif, crée quant à elle un angle mort.

La surveillance peut également concerner l’activité des salariés. Elle doit alors être conçue avec une attention particulière à la proportionnalité, à l’information des personnes concernées et aux règles applicables dans l’organisation. Chercher à tout observer n’est pas synonyme de meilleure protection des données.

Avant d’automatiser une réponse sensible, plusieurs questions doivent être tranchées : qui reçoit l’alerte, qui peut suspendre un accès, comment contester une décision erronée, combien de temps les journaux sont-ils conservés, et comment vérifier que le système reste performant après une évolution technique ? Pour les traitements susceptibles d’engendrer un risque élevé pour les personnes, une analyse d’impact relative à la protection des données peut être nécessaire.

Ce qu’il faut surveiller pour une conformité réellement utile

Une stratégie crédible associe l’IA à des fondations plus classiques : inventaire des données, gestion rigoureuse des identités et des droits, mises à jour, sauvegardes, procédures d’incident, sensibilisation des équipes et contrôle des sous-traitants. La technologie rend ces pratiques plus observables et plus rapides à piloter, elle ne les remplace pas.

Les organisations ont intérêt à commencer par des cas concrets et mesurables. Une priorité peut être la détection des stockages cloud mal configurés, la revue des comptes à privilèges ou le suivi des exports de données sensibles. Il faut ensuite mesurer le nombre d’alertes pertinentes, le délai de qualification, les incidents évités et la charge réellement réduite pour les équipes.

La promesse de la surveillance 24/7 est celle d’une conformité moins administrative et plus attentive aux risques réels. Son résultat dépendra moins du mot IA que de la qualité de la gouvernance : des règles claires, des données maîtrisées, une traçabilité solide et des humains capables d’agir au bon moment.