Conférence IA-RGPD-Cybersécurité du 11 juin 2026

Bruno Faure: Bonjour, bonjour à toutes et à tous. Je suis ravi de vous retrouver pour une nouvelle conférence organisée par Le Droit Pour Moi en collaboration avec le cabinet Derriennic, avec le Cercle Montesquieu et avec les éditions Lefebvre Dalloz. Vous êtes extrêmement nombreux à vous être inscrit, parce que les sujets vous passionnent, parce qu’ils font l’actualité des entreprises dans le monde. Ces sujets c’est l’IA, le RGPD, la protection des données et puis la cybersécurité. Je précise tout de suite que vous allez recevoir à la fin de cette conférence des vidéos pédagogiques en lien avec tous ces sujets et qui sont offertes par Le Droit Pour Moi. Mais avant cela et pour nous informer sur les toutes dernières évolutions, j’ai plusieurs invités autour de moi. Je salue d’abord les deux représentants du cabinet Derriennic : Sophie Duperray bonjour.

Sophie Duperray: Bonjour.

Bruno Faure : Avocat Counsel, et François-Pierre Lani, donc associé, bonjour.

François-Pierre Lani : Bonjour Bruno.

Bruno Faure : Bonjour également à Christine Grassi.

Christine Grassi : Bonjour.

Bruno Faure : Associate Partner chez Lovell Consulting et Nicolas Reymond. Bonjour.

Nicolas Reymond : Bonjour.

Bruno Faure : Directeur des risques data et intelligence artificielle à la BRED Banque Populaire. Et puis nous entendrons un peu plus tard François Camax qui est juriste senior chargé des de la protection des données personnelles chez CNP Assurances. Je précise aussi que vous pouvez encore poser vos questions via le lien qui s’affiche sur votre écran et nous y nous y répondrons pendant la conférence. Une conférence en trois parties, trois grandes thématiques. Nous parlerons tout à l’heure du RGPD, des données personnelles en lien avec les ressources humaines et en lien avec l’intelligence artificielle. Ce sont de nouvelles zones de tension dans les entreprises. Nous parlerons de la cybersécurité, de la directive NIS 2. Mais d’abord, le sujet dont tout le monde parle, y compris à l’extérieur des entreprises, l’intelligence artificielle. Comment sécuriser les usages, comment maîtriser les risques, comment saisir aussi des opportunités ? Sophie Duperray, c’est à vous d’abord. Parlons d’abord de l’AI Act, le règlement européen sur l’intelligence artificielle dont on va fêter dans 2 jours le 2e anniversaire. Quelles sont les obligations encore à anticiper et puis voilà, les zones d’incertitude qui subsistent ?

Sophie Duperray: Alors, je ne vais pas rappeler toutes les obligations du RIA (règlement IA) parce que je pense que vous les avez en tête. En revanche, effectivement, on a un certain nombre d’actualités réglementaires qu’il est important d’avoir en tête en l’occurrence et notamment au travers du règlement Omnibus puisque certaines obligations ont été repoussées et donc ce règlement, ce projet de règlement, est quasiment adopté définitivement. On a eu un accord politique dans le cadre du trilogue il y a quelques jours. Et donc on a un décalage de calendrier qui intervient notamment pour tout ce qui est mise en conformité des systèmes d’intelligence artificielle au risque. Ceux qui sont couverts notamment par l’annexe 3, donc tout ce qui va toucher notamment le secteur RH, assurance, banque et cetera. Toute cette mise en conformité n’intervient désormais qu’à partir de décembre 2027. Donc on a 1 an et demi supplémentaire pour pouvoir se mettre en conformité. Pour les systèmes à haut risque de nature produit réglementé, on a également un petit décalage puisqu’on aura jusqu’au mois d’août 2028 pour se mettre en conformité. Néanmoins, le chantier est vaste, il implique un certain nombre de modifications dans la gouvernance des entreprises, de cartographie, de gestion interne, de formation et cetera. Et ça c’est quelque chose qui doit vraiment être anticipé. Donc ne profitons pas de ce décalage là pour repousser les obligations. La cartographie est absolument indispensable.

Bruno Faure: Faire des mises à jour régulières bien sûr parce que c’est tellement évolutif.

Sophie Duperray : Exactement. Donc clairement cartographier, identifier ses obligations en qualité de fournisseur comme de déployeur, c’est indispensable. Et au travers d’omnibus, on a aussi un certain nombre de simplifications qui sont intervenues. Donc c’est vrai que c’est quelque chose qui est assez intéressant. En revanche et là ce n’est pas en lien avec Omnibus mais vraiment en lien avec le règlement d’origine. Ce qu’il faut avoir en tête c’est que tout n’est pas décalé, et on a notamment une prochaine échéance qui intervient très rapidement puisque dès début août, on a toutes les obligations de transparence qui vont rentrer en vigueur et là ça implique vraiment une mise en conformité que ça soit côté fournisseur, vraiment dans la conception des produits, dans l’information des personnes notamment, comme dans le marquage des contenus. Et également côté déployeur puisqu’on a besoin d’informer très explicitement les personnes, notamment celles qui vont lire des articles produits au moyen de l’intelligence artificielle ou des personnes qui vont être conservées par des systèmes de catégorisation d’analyse des émotions et cetera. Et pour ça on a deux outils qui viennent d’être publiés qui sont très utiles à avoir en tête : on a d’une part un code des bonnes pratiques, qui va être très concret dans les mesures à prendre et notamment dans l’étiquetage des contenus qui été publié hier de manière définitive. Il doit encore être adopté mais en tout cas on a vraiment des recommandations très explicites et un projet de ligne directrice qui a été publié en mai et qui vient un petit peu préciser les obligations de transparence.

Bruno Faure : alors j’en profite pour poser quelques questions qui nous sont qui nous ont été adressées. Comment et quelles obligations mettre en place justement pour les entreprises qui n’ont pas encore commencé?

Sophie Duperray : Alors en priorité je pense qu’il y a deux éléments à lancer. On a déjà besoin de former un petit peu son personnel et ça c’est vraiment un point absolument structurant. Toute personne qui est amenée à utiliser l’IA doit être formée sur les risques, les enjeux et les bonnes pratiques à mettre en place. Donc c’est une relation qui est très opérationnelle et qui va également sur les plans juridiques puisqu’il faut avoir conscience des obligations qui s’imposent à nous en qualité d’utilisateur professionnel ou de fournisseur. Ça c’est le premier point. Le deuxième point à lancer vraiment de manière urgente, c’est la cartographie. Qu’est-ce qu’on utilise en pratique ? Comment, quels sont mes cas d’usage pour être en mesure de déterminer si les systèmes sont ou non à haut risque ou non soumis à des obligations de transparence et pouvoir se mettre en ordre de marche puisque ça implique beaucoup de chantiers, beaucoup d’intervenants de compétences diverses et les sujets ne manquent pas.

Bruno Faure : Alors justement avoir un référent en entreprise, est-ce que c’est toujours une obligation? Quels sont les contrôles et les sanctions associés ? Bon, on a déjà largement parlé, mais si on devait résumer et répondre à cette question.

Sophie Duperray : alors on n pas besoin d’un gouverneur en tant que tel. En revanche, la mise en place d’une gouvernance, ça c’est absolument indispensable et effectivement ça fait partie des points prioritaires.

Bruno Faure : Faut-il obligatoirement rédiger une charte IA et la déposer sur le site internet de l’entreprise ?

Sophie Duperray : De la même manière, c’est vivement recommandé puisque dans le cadre d’une obligation de documentation, il est indispensable notamment côté employeur de mettre en place des moyens notamment à destination des salariés pour savoir comment utiliser l’IA et je crois qu’on y reviendra après, mais lutter aussi contre toute l’utilisation de l’IA de manière non encadrée par les salariés, tout ce qui est le Shadow AI, ça c’est vraiment des sujets absolument indispensables, et communiquer sur les bonnes pratiques.

Bruno Faure: Alors, on va entrer de plein pied dans le monde de l’entreprise, la réalité d’une entreprise avec François Camax, donc de CNP Assurances qui est chargé de la protection des données personnelles. Comment ça se passe chez CNP Assurances? On écoute cette intervention enregistrée en différé.

François Camax: Bonjour à tous. Pour rebondir sur ce qui a été est dit par les précédents intervenants, je vais vous parler un petit peu de la gestion chez CNP Assurances, de la conformité à la fois donc du coup au règlement sur l’IA, mais surtout en fait de la conformité des traitements de données à caractère personnel dans lesquels il y a de l’usage de l’intelligence artificielle. Chez CNP Assurances, la gestion du règlement sur l’IA n’est pas opérée directement au sein du service DPO dont je fais partie. C’est pour ça que mon intervention sera très orientée RGPD et données personnelles. Toutefois, les points qui sont étudiés en fait dans le cadre des analyses de conformité au RGPD des projets dans lesquels j’interviens sont très proches de certains points qui sont étudiés dans le cadre de la conformité au règlement sur l’IA. Donc dans ce contexte nous travaillons de façon extrêmement étroite et de façon très imbriquée avec le service qui est en charge de la conformité au Règlement IA et nous développons même des outils communs dans le cadre des analyses en termes de politique interne chez CNP Assurances pour l’encadrement des usages de l’IA et pour assurer leur conformité. On a tout d’abord bâti et déployé un corpus de règles d’usage de l’IA générative à destination des salariés. Ce corpus de règle d’usage, il est structuré autour d’un tronc commun qui va fixer les règles et les prescriptions générales liées à l’usage de l’IA générative à notamment alerter les salariés sur les caractéristiques des systèmes d’IA, la responsabilité des utilisateurs et également sur certains cas d’usage qui sont interdits. Ce tronc commun, il est complété d’une série d’annexes qui fixe les règles spécifiques qui sont applicables en fait outil par outil. On parle ici des outils qui sont mis à disposition de l’ensemble des salariés. Les outils qui seraient très spécifiques, qui seraient liés à une population particulière les usages seront encadrés de façon un petit peu différente. Mais ici notamment dans les annexes spécifiques, on a effectivement les règles d’usage pour les outils qui présentent des fonctionnalités particulières. Je pense par exemple à Copilot. Enfin on a également les typologies de données qui peuvent être intégrées dans ces outils et qui diffèrent enfin que sur les outils. Ce corpus de règles, il est amené à faire l’objet d’évolutions régulière. C’est aussi pour ça qu’on l’a structuré sous forme d’accord plus général et d’annexes parce que les annexes c’est plus facile à faire évoluer, notamment quand il y a des nouveaux l’ajout de nouveaux outils. En fait au côté de ces règles d’usage de l’IA générative qui sont très orientées salariés en fait c’est vraiment pour les usages au quotidien, au niveau de l’utilisateur on a effectivement un ensemble de politiques et de mode opératoire pour l’analyse de la conformité au RGPD des projets qui impliquent l’usage de l’intelligence artificielle. De manière que ces analyses soient intégrées dès la conception des projets. C’est assez classique en termes de démarche RGPD dans le cas du privacy by design mais là voilà ça prend une coloration particulière dans le cadre de l’intelligence artificielle en raison de la spécificité des analyses RGPD à mener. L’idée ce n’est évidemment pas d’aller bloquer les projets ou les ralentir excessivement mais c’est déjà d’assurer une connaissance des usages et aussi de focaliser en fait les analyses qui sont réalisées sur les cas d’usage et les outils qui vont avoir un enjeu RGPD le plus fort.

François Camax : Le but est bien entendu donc du coup de concentrer les bons efforts au bon endroit. Et pour servir cet objectif, on a notamment constitué des grilles dites de préanalyse, qui permettent assez rapidement d’identifier les projets qui présentent un fort enjeu RGPD et de les distinguer des projets en fait sur lesquels il n’y a pas de gros enjeux et qui ne vont pas nécessiter des analyses très approfondies, de façon à fluidifier les process et pouvoir accompagner l’entreprise dans sa transition vers l’IA. Ces sujets d’intelligence artificielle, ils alimentent bien entendu de nombreuses réflexions au sein de l’entreprise et les outils, les politiques et les process l’objet d’un d’une démarche d’amélioration continue pour s’adapter au souhait de l’entreprise, au projet de l’entreprise mais également à l’évolution de ces technologies et des offres qui sont disponibles sur le marché puisque tout ça évolue quand même très vite. Les réflexions sont notamment en cours, pour donner un exemple, sur la manière d’encadrer l’usage des agents, notamment les agents qui peuvent être créés à l’aide de Copilot Studio. Ces sujets relèvent de politiques d’entreprise ou de discussions qui doivent avoir lieu au bon niveau et après, une fois que la politique est arrêtée, il y a effectivement une déclinaison qui sera faite dans le cadre des règles d’usage de l’IA générative dans lesquelles on viendra par exemple ajouter une annexe, qui sera spécifique à l’usage des agents.

Bruno Faure : Merci à vous François Camax. On vous retrouve un peu plus tard. Il y en a des choses à dire François-Pierre Lani, il en avait des choses à dire François Camax. Les pratiques de l’entreprise à tous les étages modifiés par l’intelligence artificielle. Manifestement chez CNP Assurances, on s’est vraiment mobilisé. Bon, on sait que certaines entreprises ne sont pas forcément à ce niveau-là encore.

François-Pierre Lani : Oui. Qu’est-ce qu’on remarque au sein du cabinet de façon rapide ? Effectivement des grands groupes, alors déjà des groupes fortement réglementés et notamment dans le domaine de la banque et des assurances qui ont pris à bras-le-corps en fait le RIA. Sensibilisation en volume comme le disait Sophie tout à l’heure, formation en volume et bien des utilisateurs de ces IA génératives et puis des PME petites entreprises pas du tout organisées, et c’est là où se trouve d’ailleurs le danger. C’est-à-dire qu’il y a une liberté sans sensibilisation et à des fins d’amélioration de la productivité. On peut comprendre et voir de la facilité dans le travail au quotidien.

Bruno Faure: Oui parce qu’il faut à la fois développer les usages parce que voilà c’est devenu incontournable mais structurer sa politique en interne et les deux ne vont pas forcément dans le même sens à court terme.

François-Pierre Lani : Oui. Exactement. Alors nous on a pris l’initiative notamment sur la gouvernance parce qu’on sait que c’est un c’est un sujet au sein des entreprises, alors des grosses entreprises immanquablement, c’est le partage d’expérience et le partage de connaissance. Donc certains de nos clients ont partagé leur vision de la nouvelle gouvernance qu’il faut mettre en œuvre au titre du RA. Et donc on a regroupé nous toutes ces partages d’expérience pour en tirer un tronc commun de gouvernance qui fait consensus en fait au sein de nos clients pour le repartager en fait avec nos clients. Ce qui permet aussi d’accélérer plus rapidement, c’est-à-dire que quand un client vient nous demander à Sophie, à moi de l’aider dans la mise en conformité au RIA, déjà le sur la gouvernance, on a on a un retour d’expérience qui est plutôt satisfaisant.

Bruno Faure : La mise en place de registres SIA, les registres des systèmes d’intelligence artificielle. Nicolas, quel retour d’expérience de votre côté chez BRED Banque Populaire ?

Nicolas Reymond : Alors oui, le registre, je pense que c’est vraiment un outil central. On a connu le registre de la protection des données qui était l’outil incontournable du DPO. Le registre du SIA, ça devient l’outil central. Sophie en a parlé un petit peu. La première chose à faire, c’est de cartographier ses systèmes. On parle d’Omnibus qui va décaler des obligations des IA au risque d’un an et demi, mais il faut avoir en tête que les IA inacceptables sont interdites depuis longtemps. Et sans cartographie de mes SIA, comment je peux démontrer que je n’ai pas de SIA à risque ? Est-ce que vous êtes sûr si vous n’avez pas fait la cartographie, vous n’avez pas dans votre système RH un système de détection des émotions dans le cadre du recrutement ? C’est impossible à démontrer si on n’a pas fait son registre. Donc le registre, c’est vraiment la pierre centrale à mon avis de l’édifice. Mais c’est un enjeu qui est quand même extrêmement complexe parce que autant faire un registre de traitement, c’est relativement simple entre guillemets, autant le SIA, il se multiplie à une vitesse exponentielle. Chaque utilisateur peut développer des dizaines de SIA dans sa journée s’il est bien outil. À quel niveau je place le curseur de ce que je mets dans mon registre et ce que je ne mets pas, comment j’encadre ces usages ? est-ce que je dois surveiller mes utilisateurs 24 heures sur 24? Et là, j’ai un problème de vie privée et de proportionnalité pour savoir si ce qu’ils font, rentre dans le cadre d’un SIA ou pas. Ce sont des enjeux qui sont effectivement extrêmement complexes.

Bruno Faure: Et ça c’est plus possible pour des systèmes style Copilot ou des choses assez répandues. Quand on est sur des instruments plus spécifiques, c’est plus difficile à contrôler.

Nicolas Reymond : c’est tout l’enjeu en fait. Il y a un sujet qui est assez intéressant avec le RIA, c’est que ce règlement a été conçu bien avant l’avènement des IA génératives. Donc il n’a pas adressé ce sujet-là. On l’a rajouté au dernier moment parce que Open Air a décidé de sortir son modèle Mais le règlement n’a pas été prévu pour ça et force est de constater qu’aujourd’hui quand on parle d’IA dans les entreprises, on parle à 95 % d’IA générative. Donc on a un gros décalage entre les attendus du règlement et la réalité du terrain. Ça c’est un premier élément important et c’est vrai que, au-delà de ça, très peu d’entreprises développent des systèmes d’IA de départ. Toutes les entreprises utilisent les grands modèles de langage. Et par ce biais-là, on arrive quand même à monitorer les usages de ce qu’on consomme réellement dans l’entreprise et du coup permettre d’industrialiser un petit peu l’alimentation de ces de ces registres par ce biais-là.

Bruno Faure : Nicolas Reymond, ça change forcément la façon de travailler dans les entreprises dans la façon de monter un projet, la méthode, comment est-ce qu’on doit organiser les différents environnements de l’entreprise ? Est-ce qu’il faut segmenter ou au contraire est-ce qu’il faut travailler encore plus ensemble ?

Nicolas Reymond : Alors, c’est vrai qu’il y a des enjeux intéressants par rapport à la méthode parce qu’on est passé d’un environnement qui était très normé avec des projets informatiques, des méthodes de projet, même si on avait des méthodes agiles auxquelles il avait fallu s’adapter, c’est des choses qu’on maîtrise là. Comme je le disais, tout un chacun devient son propre développeur et son propre fournisseur de projet. Et comment on arrive à faire rentrer tous ces gens-là dans une méthode à minima qui permet de respecter un certain nombre de standards ? je ne vais pas développer n’importe quoi dans des environnements de production, utiliser des données de production pour faire des tests. Enfin, il y a plein de choses à encadrer par rapport à des utilisateurs qui n’étaient pas forcément habitués à une méthode projet parce que c’est des utilisateurs métiers qui découvrent la puissance de l’IA et qui ont plein d’idées.

Bruno Faure : Christine Grassi, peut-être avec votre regard des retours opérationnels sur la mise en place de l’IA dans les entreprises avec lesquelles vous travaillez.

Christine Grassi : effectivement, donc, en synthèse les grands enjeux c’est la documentation et la transparence, les pratiques interdites et puis à terme les exigences sur les environnements et systèmes à haut risque. Donc ce que nous on voit dans les organisations qui se lancent dans les démarches de mise en conformité, mais c’est vrai en fait pour n’importe quelle réglementation, c’est d’aller au-delà de la simple logique de cocher des cases pour être conforme, mais de vraiment s’inscrire dans une démarche de gestion de risque et de sécurité. Cela aide beaucoup si les organisations qui ont de l’IA voient la sécurité et la mise en conformité comme un moyen de s’inscrire dans d’une façon durable et publique dans une démarche d’intégration de l’IA dans leur système. C’est-à-dire qu’elles le voient comme un avantage pour pouvoir vraiment inscrire l’IA sur le long terme et pouvoir l’utiliser comme un argument de confiance auprès des utilisateurs et de qualité. Justement pour ce soit un projet d’entreprise comme on l’a vu, il faut impliquer tout le monde, parce comme on l’a vu, on se trouve avec des utilisateurs qui ont un merveilleux terrain de jeu mais qui ne connaissent pas forcément les outils qu’on leur donne et qui ne sont, du coup, pas sensibilisés aux risques. Donc ils vont mal faire à côté, et pas par malveillance mais plutôt par inconscience, sans notion de ce que ça peut entraîner pour l’entreprise et parfois pour eux-mêmes. C’est le fait aussi pour beaucoup d’entreprises de pouvoir réutiliser ce qui existe déjà. Dire, on a eu des règlements RGP, on a eu d’autres, on a eu la LPM pour certaines organisations, il y a déjà eu des obligations sur de la gouvernance, sur de la gestion d’incidents, sur les analyses de risque. Donc plus c’est un projet d’entreprise ouvert, plus on va pouvoir faire communiquer les différents départements entre eux, réutiliser les bonnes pratiques et utiliser aussi ce que la puissance publique et les différentes associations mettent à disposition. Il y a des framework d’audit, des outils d’analyse. Puis comme on l’a vu avec Sophie aussi donc il y a tout un calendrier de mise en œuvre. Donc adapter son plan de mise en œuvre au calendrier. Ne pas vouloir sauter des étapes, ça ne sert à rien. Commençons par les différentes exigences.

Bruno Faure: Sophie Duperray, on a entendu le risque faible, risque moyen et puis quand on passe à à haut risque ça peut concerner tout un tas de domaines dans l’entreprise : les outils RH, le scoring, l’automatisation des décisions. Voilà, il faut vérifier un peu l’évolution du risque.

Sophie Duperray : Et donc là, on reboucle un peu avec l’idée de registre des usages et de registre des outils pour identifier en fait très clairement ce qui est utilisé, comment et être en mesure de classifier les risques pour déterminer ses obligations. Cette classification-là, elle est foncièrement peu évidente. On a tout un corpus réglementaire qui résulte du règlement mais qui reste relativement théorique. Un outil utile à avoir en tête, c’est le projet de ligne directrice qui a été publié le mois dernier, je crois que c’était le 19 mai, pour justement donner des exemples très concrets de ce que sont les IA dans le cadre des produits réglementés. Donc ça on a un petit peu plus de temps mais surtout les IA et risques qui résultent de l’annexe 3. Donc c’est secteur par secteur, avec des cas très concrets sur est-ce qu’il y a au risque ou non, est-ce qu’on peut se prévaloir ou pas de certaines exemptions dans certains cas. Et donc là, on voit des exemples, typiquement pour le recrutement, on voit que l’appréciation de la commission est très large. Donc les outils de tri CV, de matching, de CV pour identifier les profils, le taux d’adéquation par rapport à la fiche de poste et cetera, la vérification des antécédents et également des candidats par exemple leur diplôme, ça va tomber dans du système à risque et surtout cet aspect RH doit être entendu de manière très large puisqu’en fait ça ne va pas viser que les employés mais finalement toute la main d’œuvre au sens global. Donc ça peut aussi concerner des prestataires indépendants. Typiquement toutes les plateformes qui vont préconiser des listes de prestataires vont tomber dans ces systèmes à haut risque. Donc clairement la classification c’est indispensable. On a des secteurs ou en tout cas des domaines qui sont à regarder avec plus de vigilance et ça nous permet d’avoir une vision claire des obligations à mettre en œuvre. Un petit point d’attention aussi, c’est que ce registre là comme en matière de RGPD, il faut l’entendre comme une classification de risque à un instant T, mais il faut aussi avoir conscience qu’avec l’intelligence artificielle, on est sur quelque chose de foncièrement évolutif dans les outils qui sont utilisés, dans les cas d’usage. On l’a évoqué à plusieurs reprises et notamment avec l’IA générative, chaque employé peut avoir tous les jours des nouvelles idées d’utilisation. Et puis aussi avec toute l’IA antique, cette capacité du système à agir de manière autonome. Donc un système qui, à un instant T, fonctionne correctement, mais qui, à d’autres moments, peut dériver. Et donc cette évolution-là, elle doit aussi être appréhendée dans la cartographie et surtout dans la gouvernance. Puis pour qu’indépendamment de l’utilisation et de la mise en service, on sache ce qu’il en est dans la durée pour être en conformité durablement.

Bruno Faure : on a toute une batterie de questions qui nous arrive à priori. Alors, la charte intelligence artificielle dans une entreprise doit-elle être annexée au règlement intérieur ?

Sophie Duperray : Oui. Oui. Bien sûr.

François-Pierre Lani : Bien sûr. Elle obéit à un processus immanquablement qui revient à encadrer les modalités d’organisation du travail et les modalités du travail. Donc un processus de consultation du CSE et immanquablement après avoir obtenu, consulté et obtenu l’avis du CSE, rentrer dans un processus effectivement d’annexe au règlement intérieur. Un sujet qu’il ne faut pas sous-estimer pour nos amis juristes puisque nous on le voit au quotidien, c’est la relation contractuelle qu’a un déployeur ou une entreprise utilisatrice de ces systèmes d’intelligence artificielle avec les fournisseurs. Et là, il y a tout un travail de révision des contrats puisque vos fournisseurs font évoluer leur propre produit en y intégrant des briques. Donc il y a une nécessité là encore et dans la lignée de ce que disait Sophie, qui est ce contrôle continu, cette appréhension, nécessité de revoir les contrats et surtout et bien de pas subir les contrats de fournisseur souvent étrangers qui mondiaux qui n’ont pas bien anticipé l’implication que ça peut avoir dans la fourniture de leurs produits et des contrats associés. Et là donc il y a tout un travail de clause spécifique pour les acheteurs, pour les juristes, à mettre en place.

Bruno Faure : Alors justement, on a une question sur la nécessité de la mise en place d’une gouvernance opérationnelle des tiers.

François-Pierre Lani : Alors comme je disais, cette gouvernance, elle commence à être mise en place dans les grands groupes. Donc je vous ai expliqué le partage qu’on avait fait, qu’on a mis en place au sein de notre cabinet pour que nos clients puissent savoir comment d’autres se sont organisés au niveau de la gouvernance. Et on voit d’ailleurs l’implication de la direction juridique dans cette gouvernance et notamment des juristes dit contrat puisque là vis-à-vis des acheteurs et bien ils effectuent un travail de sensibilisation des acheteurs en disant dans les contrats que vous avez l’habitude de signer avec vos fournisseurs, on y intègre désormais des clauses relatives à l’intelligence artificielle.

Bruno Faure : Autre question peut-être pour Sophie Duperray sur les outils. Est-ce qu’il y a des outils gratuits dans le domaine du droit du travail ? On parlait justement des ressources humaines et du recrutement. Est-ce qu’il y a des outils pour avoir des consultations juridiques et est-ce que les juristes en droit social utilisent eux-mêmes des outils payants ? On va faire de la pub à personne.

Sophie Duperray : bien sûr. Alors de toute façon, les outils d’intelligence artificielle sur l’aspect juridique sont très mouvants. Et donc c’est vrai que là on voit quand même un bouleversement du secteur avec de nombreux acteurs qui commencent à émerger d’outils spécialisés et donc c’est vrai que ça a l’avantage indépendamment de l’aspect protection des données et confidentialité. Quand on pose des questions, c’est toujours mieux quand c’est identifiable que ce soit dans un environnement sécurisé qui ont l’avantage d’être sourcé. Donc on a quand même plus de fiabilité juridique. Néanmoins, on peut aussi avoir accès à des outils gratuits ou relativement peu cher en tout cas au travers des IA génératives grand public qui fonctionnent quand même de mieux en mieux. Mais après, c’est toujours pareil, c’est la manière dont on les utilise, la manière dont on prompte, dont on vérifie les sources des instructions qu’on lui donne qui vont être absolument déterminantes dans l’usage, et ça n’empêche pas l’appel à un ami.

Bruno Faure : ou un avocat éventuellement. Puis Lefebvre Dalloz a mis sur le marché des outils très utiles pour les DRH ou les directeurs juridiques en droit du travail. Allez, ça fait une demi-heure qu’on parle à peu près. C’est absolument passionnant mais il est temps de passer à notre deuxième grande thématique, le RGPD, qui occupe les entreprises depuis de nombreuses années. On va retrouver François Camax dont c’est la spécialité, juriste senior chez CNP Assurances. Ce que l’IA a changé précisément pour la protection des données personnelles. Comment faire pour conserver la maîtrise des données sensibles ? On écoute une deuxième intervention enregistrée à l’avance.

François Camax : Pour compléter mon introduction précédente, je vais vous proposer de rentrer un petit peu plus dans le détail sur les analyses RGPD à réaliser dans le cadre des dispositifs d’IA, qui impliquent des traitements de données personnelles. Comme évoqué précédemment, c’est des analyses assez spécifiques et en plus de la spécificité de ces analyses, il y a une augmentation assez considérable du volume d’analyse à mener puisqu’on peut constater que dans le cadre notamment des prestations de services en SaaS, donc software as a service, il y a un développement assez considérable de fonctionnalités d’IA qui apparaît dans de plus en plus de services. Les caractéristiques des dispositifs d’IA et les usages qui sont rendus possibles grâce à l’intégration de ces dispositifs présentent de forts enjeux de liberté individuelle ainsi que des interactions très fortes avec les principes du RGPD, notamment avec le principe de minimisation, le principe d’exactitude des données, la transparence vis-à-vis des personnes concernées. Également la nécessité de mesurer l’impact des traitements de données à caractère personnel sur les personnes concernées ou encore l’identification d’une base légale valide. Cet ensemble de principes doit être respecté, que ce soit au stade de la conception des dispositifs d’IA ou encore au stade du déploiement des systèmes d’IA. Il peut s’agir notamment d’entraîner un système d’IA avec des données à caractère personnel, de traiter des données à caractère personnel en phase de déploiement du dispositif d’IA ou encore de produire des données à caractère personnel à l’aide de l’IA.

Parce que bien souvent quand un système d’IA va traiter des données à caractère personnel entre guillemets en c’est quand il va être mis en contact avec des données personnelles. Bien souvent les outputs de l’IA, c’est ce qui va être produit par l’IA, va être des données à caractère personnel puisque ça va être attachable aux personnes sont concernées par les données qui ont été mises en contact avec l’intelligence artificielle. Ces analyses conduisent à identifier des risques donc au cas par cas, cas d’usage par cas d’usage de pour afin de proposer des solutions et des leviers de mitigation des risques qui sont adaptés à chaque cas d’usage. Certaines des caractéristiques de l’IA ont effectivement un impact assez important avec les principes du RGPD que j’ai évoqué précédemment, notamment l’effet boîte noire de certains algorithmes qui peut entraîner un défaut d’explicabilité de la manière dont ont été produits les outputs de l’intelligence artificielle. Et donc s’il s’agit de données à caractère personnel, ça ne permet pas forcément d’être en capacité de démontrer et de contrôler l’exactitude des données qui sont produites. En tout cas, à minima, ça fait appeler des leviers de m précautions particulières. Le surapprentissage qui peut intervenir dans certains systèmes d’IA peut, lorsque des données à caractère personnel sont mises en contact avec le dispositif d’IA, conduire à ce qui est une perte de contrôle sur les données qui auraient été intégrées dans le modèle. Le risque également de régurgitation lorsqu’il y a le surapprentissage, ou d’hallucination des systèmes d’IA qui peut conduire à des violations de données à caractère personnel, là encore, quand les systèmes d’IA sont déployés sur des données à caractère personnel ou entraînés avec des données à caractère personnel. Pour mener ces analyses, nous avons créé plusieurs outils qui viennent compléter la grille de préanalyse que j’ai évoqué précédemment. Donc la grille de préanalyse, c’est pour identifier quels usages en fait vont nécessiter une analyse approfondie, et aussi pour mener les analyses approfondies. Donc du coup on a des grilles d’analyses qui s’articulent autour des phases conception et déploiement avec une grille spécifique pour adresser les enjeux spécifiques à chaque phase et des modes opératoires. On met aussi à disposition de notre communauté de référents informatique et liberté pour pouvoir réaliser ces analyses.

Bruno Faure : Oui. L’impact de l’intelligence artificielle sur la protection des données dans les entreprises. Nicolas Reymond chez BRED Banque Populaire, on vient de parler de tout un tas de risques assez spécifiques aux systèmes d’IA. L’effet boîte noire dont parlait François Camax, les hallucinations, la régurgitation de données, et plus globalement la perte de maîtrise des données personnelles. C’est quelque chose que vous voyez arriver ce risque-là ?

Nicolas Reymond : alors la perte de maîtrise sur les données personnelles effectivement est un risque. Après, comme je le disais tout à l’heure, la majorité de nos cas d’usage aujourd’hui porte sur des systèmes qui sont basés sur des LLM. Ce n’est pas nous qui avons fait l’apprentissage. Donc je ne veux pas dire qu’on maîtrise la façon dont ils ont été entraînés, mais on n’en est pas directement responsable. On a malgré tout un vrai enjeu effectivement de maîtrise des données personnelles et on a la problématique aussi des biais. Je pense que on parle d’hallucination effectivement, mais juste je pense que la chose qui le message numéro 1 qu’il faut arriver à passer auprès de tous nos utilisateurs, c’est que l’IA générative n’est pas déterministe. Donc elle a une proportion de d’erreur forcément dans ce qu’elle produit. Et c’est là où l’importance d’avoir toujours un contrôle humain sur ce qu’on va ce qu’on va produire.

Bruno Faure : un cas très concret, quand vous octroyez un crédit bancaire à un particulier ou à une entreprise, comment est-ce qu’on gère ça ? Comment est-ce qu’on fait pour éviter que les données personnelles d’un particulier ou d’une entreprise soient disponibles ou en tout cas pu puisse s’évaporer ?

Nicolas Reymond : Alors l’enjeu, qui est la sécurité de la donnée, est relativement bien maîtrisée. Peu importe qu’on utilise de l’IA ou pas, on a des processus de sécurité qui sont robustes. En revanche, ce qui nous ce qui est vraiment très important de challenger, c’est enfin on a deux sujets. On a l’article 22 du RGPD qui, de longue date, nous interdit, enfin nous interdit pas, mais pose des contraintes extrêmement fortes sur la décision automatisée, et le règlement vient rajouter des éléments là-dessus. Et donc, on a ce fameux phénomène d’humain qui doit tout le temps superviser. On connaît bien ça dans la banque puisque jusqu’à très récemment on n’a jamais octroyé par exemple des crédits de manière automatique justement par rapport à ces contraintes-là. Mais la réalité de du contrôle humain, c’est un enjeu qui est complètement différent, de dire il y a un contrôle humain et de le démontrer. Et par rapport à ça, je voudrais citer les récentes recommandations de la CNIL sur l’octroi de crédit que j’invite tout le monde à lire, notamment la partie 10 sur la partie AIPD, parce que même si vous ne faites pas d’octroi de crédit, la CNIL a assez détaillé la manière de gérer le contrôle humain et la manière de le démontrer. Ce n’est pas tout de dire « J’ai un humain qui appuie sur un bouton », mais quelle est l’effectivité de ce contrôle humain ? Quel moyen on lui donne ? Est-ce qu’il a réellement la liberté de décider ? Est-ce qu’il décide souvent différemment de ce que la machine lui a proposé ? Tout ça, c’est décrit dans les recommandations de la CNIL et c’est extrêmement précieux pour mettre en œuvre un réel contrôle humain sur les décisions apportées par l’IA.

Bruno Faure : une question qui s’adresse à vous Nicolas, d’une personne qui est opérationnelle compliance bancaire qui constate que l’arrivée de l’IA crée de nouveaux défis. La cartographie des risques dont on a parlé, la documentation des contrôles, l’interaction avec les régulateurs, comment est-ce que la BRED Banque Populaire a fait évoluer ses équipes compliance pour intégrer de nouvelles compétences ?

Nicolas Reymond: Et ben alors nous on a structuré la démarche depuis déjà quelques années avec justement la création d’une direction dédiée au risque data IA qui englobe une partie data privacy sur la protection de la donnée mais qui a rajouté une composante vraiment sur la partie risque. Alors dans la banque on est organisés en ligne de défense. Traditionnellement les premières lignes de défense sont les opérationnels sur le terrain et des deuxièmes lignes de défense au niveau contrôle et risques et donc on a vraiment structuré cette démarche au niveau de la deuxième ligne de défense en termes de risque sur toute la supervision des systèmes d’IA avec des équipes dédiées et des compétences qui sont qui sont adaptées par rapport à ça.

Bruno Faure : autre question, au-delà du RGPD, quelle connaissance estimez-vous indispensable pour un DPO ou pour un juriste en protection des données ? Quelle connaissance indispensable pour une personne amenée à intervenir sur des projets d’IA ? Et surtout question très précise, quelles ressources vous recommandez pour des développer cette expertise.

François-Pierre Lani : Oui. Alors, naturellement un DPO a été formé, sensibilisé à l’impact, l’importance, la nécessité de protection d’une donnée et essentiellement d’une donnée personnelle. Et ce que l’on voit, c’est que naturellement ces personnes-là prennent une place majoritaire dans la mise en conformité de l’entreprise au fameux règlement sur l’intelligence artificielle. D’autres, notamment quand je parle de gouvernance, se sont organisées autrement. Donc une grosse direction de la conformité de la gestion des risques et certains et bien sont séparés malgré la convergence qui peut exister entre un DPO et un référent. Il y a un directeur avec toute une équipe sur l’impact de l’IA dans l’entreprise et la mise en conformité de l’entreprise. Et donc là aussi un DPO qui veut ou qui est chargé de la mise en conformité au RIA et bien doit se former doit être sensibilisé dans une granularité bien plus profonde immanquablement que celle qu’on évoquait tout à l’heure sur les utilisateurs de l’IA génératif parce que dans l’entreprise pardon même si c’est très à la mode, il n’y a pas que de l’IA générative. Voilà. Et donc il y a tous ces outils, toutes ces briques il y a utilisé dans les services informatiques des entreprises. Tous ces outils achetés par des directions des achats dans lesquels il y a ou il y a la nécessité de prendre la garantie qu’il y a ou pas des briques. Ce qui veut dire que ce fameux référent, bon parfois il a ce profil très technique d’ailleurs plus que juridique.

Bruno Faure : question pratique Sophie Duperray, comment déterminer les informations et/ou les consultations auprès du CSE voilà l’IA et le RGPD. Voilà, qu’est-ce qu’on transmet ?

Sophie Duperray : Donc très clairement l’étape d’information : consultation du CSE, elle est absolument clé. Ça vaut pour les mises à jour du règlement intérieur qu’on évoquait si la charte a vocation à être annexée au règlement. Mais de manière générale, un point d’attention c’est que indépendamment de la documentation et des chartes, toute l’adoption des outils d’intelligence artificielle doit donner lieu à information voire consultation et ça c’est un gros point d’attention et un gros point de tension en interne et côté RH côté entreprise c’est qu’on a aujourd’hui beaucoup de décisions de justice qui viennent suspendre des projets de déploiement d’intelligence artificielle y compris des choses qu’on considère comme étant communes au marché du type chat GPT copilote ou autre de l’IA générative avec beaucoup d’usages potentiel ça doit donner lieu à information consultation et là-dessus je donne peut-être une information assez concrète. On a une décision de justice et en arrêt de la cour d’appel de Paris qui est intervenue le 21 mai 2026, donc très récemment et qui vient bien rappeler que la nouvelle technologie ça concerne clairement l’intelligence artificielle, que ça a des capacités justement hors norme par rapport à un logiciel habituel que ça doit donner à la consultation parce que naturellement c’est susceptible d’avoir des impacts sur les conditions de travail, l’emploi des salariés, l’attribution des tâches et cetera et que le surtout le CSE doit être informé et consulter à chaque étape et que quand bien même on est sur des cas d’usage évolutif, il doit être consulté régulièrement. Donc ça c’est vraiment le point d’attention clair à avoir en tête. On est dans un processus continu.

Bruno Faure : puisque l’on parle des tensions occasionnées parfois dans les entreprises. François-Pierre Lani, la gestion des courriels professionnels et puis aussi les demandes d’accès à des informations des contentieux au prud’homme. Voilà comment est-ce qu’on doit gérer ça quand on est directeur juridique dans une entreprise.

François-Pierre Lani : Alors, ce n’est pas facile. Clairement, ce n’est pas facile parce qu’il y avait au-delà du texte du règlement sur la protection des données personnelles, une conception très extensive en fait sur ce sur ce droit d’accès. Conception et bien à la fois par des positions assez claires des autorités européenne, et notamment de la Cour de justice. Une position quand même de la CNIL en 2022 qui était de dire que voilà, un document n’était pas une donnée une donnée personnelle en tant que tel. Mais cours de justice, un arrêt qui a permis d’ailleurs cette communication de l’ensemble des documents sollicités par un salarié était de considérer donc un arrêt du 4 mai 2023, bien connu qu’on a déjà qu’on a déjà évoqué lors de ces conférences où la Cour de justice considérait que un extrait de document, voir un document dans son entier et voilà pourrait être devait être communiqué au titre du droit d’accès de la personne concernée et considérant que si elle était indispensable au à l’exercice de droit de la personne, le CEPD avait pris position ainsi que la Chambre sociale de la Cour de cassation. Donc on avait quand même un tronc très puissant dans lesquels se sont engouffrés effectivement les personnes les personnes concernées, donc essentiellement des salariés. Et qu’est-ce que l’on voit maintenant ? Une résistance de cours d’appel notamment française. Alors, l’analyse n’a pas été poussée sur les cours les cours européennes et je rappelle d’ailleurs que même la Cour de justice un an après en 2024 avait même considéré que cette communication devait se faire même lorsque la demande est motivée par un autre but que celui de prendre connaissance de la licéité. Donc quelque chose de puissant. Et donc cette année puisque c’est tout de même des nouveautés. Alors quand je dis cette année, c’était plutôt fin d’année 2025, on a la cour d’appel de Paris à deux reprises qui prend quelque part l’axe inverse de considérer ce qui paraît tout de même assez légitime que voilà un mail ou des échanges des échanges du salarié avec sa hiérarchie, ses collègues, ne peut être systématiquement qualifié de données personnelles et donc ne peut permettre d’exercer ce droit d’accès. Là aussi la cour d’appel a frappé.

Elle prend aussi position là en février 2026 éléments forts. Pas de nécessité d’accéder aux emails dont la personne concernée est émettrice ou destinataire au regard des éléments communiqués par l’employeur puisque l’employeur avait déjà communiqué le dossier individuel professionnel et concernant la demande de courriel professionnel et bien elle considère que ça portait atteinte notamment au droit au droits des tiers. Donc on a une sorte de virage qui s’amorce et qui risque d’ailleurs de devenir une ligne droite puisque dans la directive Omnibus, c’est une tendance, j’y reviendrai tout à l’heure, qui va s’affirmer.

Bruno Faure: Intense actualité juridique autour de ce sujet du droit d’accès. Nicolas Reymond, dans votre entreprise, vous observez une augmentation importante des demandes dans ce domaine ?

Nicolas Reymond : Tout à fait. C’est un c’est un sujet qu’on vit au quotidien. 2025, c’était 60 % d’augmentation des demandes d’accès par rapport à l’année précédente. Là, depuis le début de l’année, on est à 100 %, on a doublé et au-delà du nombre on est à 90 % sur du contentieux très clairement. Et je refais le lien avec notre sujet du jour qui est fait maintenant trois pages là où elles en faisaient une et demi auparavant, et on voit qu’elles ont majoritairement été rédigées par l’IA. Moi, je me suis amusé à faire l’exercice vous prenez n’importe quel agent conversationnel sur le net, vous lui dites « J’ai un problème avec ma banque, qu’est-ce qu’il faut que je fasse ? » en première ou deuxième position, exercez vos droits. Voici la lettre à envoyer au DPO. Et ça c’est un peu terrible pour nous parce que nous on n’a encore pas d’IA pour répondre à toutes ces demandes. Donc c’est assez compliqué effectivement. Et au-delà de ça, on voit des demandes extrêmement extensives. Je dis souvent nos clients confondent un petit peu l’article 15 et un service d’archivage. J’ai perdu mes contrats, ben allez-y, on va demander au DPO. J’ai besoin de mes relevés de compte, on va les demander au DPO. Enfin voilà, ça c’est un petit peu ça qui se profile. Et puis ben comme le dit comme on le disait, ce sujet d’accès aux emails qui revient de manière permanente, y compris de manière extensive au-delà des courriels c’est tous les messages internes échangés me concernant. Enfin, c’est un truc de dingue quoi.

Nicolas Reymond : Donc là, pour l’instant, on n’est pas dans phase de répondre à ce genre de demande, mais on voit qu’il y a une tendance vraiment forte là-dessus.

François-Pierre Lani : Alors, il y a une autre limite, qui est effectivement l’intention abusive. Et là aussi, la Cour de justice viendra le rappeler dernièrement puisque c’est dans une décision du 19 mars 2026. La Cour de justice part du principe que c’est au responsable de traitement de d’établir l’intention abusive de la personne concernée. Et donc c’est à la charge du responsable de traitement de démontrer que cette demande est abusive. Et puis là aussi de justifier que le but qui est de vérifier la licéité du traitement est détourné.

Bruno Faure : Christine Grassi, peut-être un commentaire. Est-ce que dans les organisations et dans les entreprises avec qui vous travaillez, vous sentez monter aussi cette question et ces tensions entre guillemets autour des données et du droit d’accès aux données.

Christine Grassi : Oui, tout à fait effectivement mais c’est le reflet de plus en plus de demandes de meilleur outillage. Pour faire ces demandes on essaie de remettre les utilisateurs, les citoyens de plus en plus en responsabilité de ce qu’ils font avec leurs données, de comment elles sont protégées. Donc quelque part, on peut se dire que c’est le reflet d’un mouvement vertueux, d’une prise de conscience de ses droits. Mais ça ne dédouane pas de tout, dès qu’on a des devoirs et que justement voilà, si je ne me protège pas, si je ne conserve pas mes données, je ne peux pas estimer effectivement que c’est à la tierce partie de devoir le faire pour moi. Donc je pense que ça va aussi dans un deuxième temps peut-être renforcer au niveau des engagements contractuels, une clarification en amont de ce qui est attendu de part et d’autre au regard des contre-réactions qu’on voit de plus en plus.

Bruno Faure: Ça va faire des petits alinéas supplémentaires dans les contrats. On l’a dit François Pierre Lani, ça bouge et ça continue de bouger. Est-ce qu’il faut simplifier encore ? Est-ce que la perspective d’un RGPD 2 est susceptible d’amener davantage de clarification et de simplification dans les relations ?

François-Pierre Lani : Oui. Alors attention et d’ailleurs cette seconde étape est une étape pas aussi évidente que ça, effectivement il y il y a des résistances. Des autorités au niveau européen y participent. On a une commission alors certes pas les pieds ancrés dans la réalité du quotidien, mais qui agit avec une vision très ouverte dans un écosystème international et donc qui fait attention désormais entre la protection des intérêts des individus sur le territoire européen et comment les pays fonctionnent dans l’écosystème et donc la tendance à alléger le RGPD. Quelque chose d’assez sensible niveau de la Commission comme du Parlement européen mais dont on sait qu’il a un pouvoir législatif très relatif et des autorités qui sont mises en place et qui sont là effectivement pour protéger des acquis juridiques qui ont été obtenus tout de même très difficilement. Et donc ce digital Omnibus donc qui a vocation à la fois à alléger, améliorer, rendre plus fluide. D’ailleurs, on ne parle pas d’accentuer la sécurité en tant que telle des personnes concernées. Et bien vient là aussi s’ouvrir des perspectives nouvelles sur la définition de données personnelles où on a vu effectivement une volonté française de considérer que les données de santé pseudonymisées devaient être considérées comme des données personnelles. Et donc là, on a une ouverture qui se fait sur la définition de données personnelles de considérer que s’il y a des mesures techniques et organisationnelles qui sont prises, et bien les données pseudonymisées pourraient ne pas être considérées comme des données personnelles. Donc une sorte d’ouverture, les délais de notification et là ça va être plutôt à prouver, rallonger voilà, les règles en matière de cookies, donc intégrer la problématique des cookies dans ce nouveau règlement, ce qui est plutôt le bienvenu avec ce nouvel article dédié, mais ne pas systématiser le consentement. Pareil pour l’information de la personne concernée, considérer que dans certaines conditions et notamment dans une relation très étroite entre le responsable de traitement et la personne concernée, que cette information n’aurait plus à être délivrée. Donc on voit bien qu’il y a une sorte de libéralisation qui se prépare mais ce n’est pas acquis, clairement. Il y a un donc point de vigilance pour ceux qui considéreraient désormais que c’est la tendance forte. Attention au revers de bâton. Rien n’est acquis sur le sujet.

Bruno Faure : Il y a encore pas mal de questions mais d’abord je voudrais qu’on écoute une troisième fois François Camax pour CNP assurances, chargé de la protection des données personnelles qui prend un exemple assez intéressant. On écoute et on regarde.

François Camax : Le développement de l’IA dans les outils qui sont utilisés par les salariés entraînent de très forts enjeux RGPD qui nous conduisent à mener ces analyses spécifiques de façon très régulière sur des outils qui sont utilisés par les salariés. À titre d’exemple, on peut par exemple évoquer les outils qui sont utilisés dans les centres de relation clients et qui sont disponibles sur le marché, qui impliquent de plus en plus de fonctionnalités d’IA. C’est typiquement le genre d’outil qui nécessite de réaliser des analyses RGPD assez approfondies puisque tant du point de vue des données des salariés sur lesquelles il y a un enjeu de minimisation notamment pour éviter qu’on puisse avoir un risque de qualification de surveillance systématique du salarié lorsque l’outil embarque en fait des fonctionnalités qui vont permettre de qualifier ce qui a été fait par le conseiller, ce qui a été dit, ce qui aurait dû être dit et cetera dans le cadre par exemple de dispositif de management de la qualité du service. Les analyses sur ce genre d’outils sont également à mener du point de vue des données des clients puisque c’est des outils et qui vont bien souvent traiter des données également des clients ou des interlocuteurs des conseillers, notamment les voies et également les informations qui sont délivrées lors des échanges. Et ces outils peuvent embarquer des fonctionnalités qui permettent d’augmenter le conseiller, par exemple en conseillant le conseiller en temps réel sur la manière de mener l’échange avec son interlocuteur et ou également par exemple en préparant des projets de réponse à des demandes écrites de clients. Tous ces cas d’usage nécessitent effectivement de mener des analyses et de couvrir les risques liés à ces nouvelles fonctionnalités.

Bruno Faure  : Oui, compliqué la relation client. Sophie Duperray un conseil ? Les données, la protection des données est particulièrement importante et stratégique et donc est à protéger.

Sophie Duperray : Oui, je pense qu’on a relativement abordé le sujet en l’occurrence la protection des données à l’essentiel. On a abordé le conseiller augmenté. Il y a peut-être un point d’attention à avoir en lien avec le sujet global RH du jour, c’est qu’on a aussi la multiplication d’un certain nombre de d’outils qui ont vocation à effectuer de manière directe ou indirecte une surveillance des salariés, soit des de la ponctualité, de la réactivité des réponses ce genre de choses. Ça, on a aussi un risque au risque. donc c’est un point d’attention de manière globale à avoir.

Bruno Faure: question au regard du développement de l’IA dans le recrutement, estimez-vous que le RGPD demeure un cadre adapté pour protéger efficacement les individus ?

François-Pierre Lani : oui, il y a là le sujet qui a été évoqué par François Camax. Nous sommes sollicités à deux occasions, dans le monde de l’assurance et dans le monde de la télévente. Effectivement, l’intention objective de l’employeur est de permettre au conseiller d’améliorer sa relation client ou d’améliorer la relation client de l’entreprise avec le client final et donc de mettre en place ces outils qui sont souvent d’ailleurs développés avec des briques d’IA puisque derrière comme le disait François tout à l’heure il y a un compte-rendu, il y a une analyse de la conversation, des préconisations qui sont données. On a été saisi sur deux thèmes. Le premier, quelle est la qualification de cette solution ? Est-elle à risque ou pas ? Et le deuxième thème, lié au RGPD, voilà. Quelle est la démarche à mettre en place? Nécessité d’une étude d’impact ou pas ? Comment on comment on gère la minimisation des données dans la mise en place de tels outils? Donc oui, le RGPD protège.

Bruno Faure : il y a une question aussi sur les biais algorithmiques qui peuvent effectivement démultiplier la portée de l’intelligence artificielle et affecter des groupes entiers de personnes. Est-ce que les droits individuels prévus par le RGPD sont suffisants ?

François-Pierre Lani: Oui, pour moi, enfin alors sur les biais, le sujet est large en tant que tel. Alors les biais, le risque immanquablement c’est à la fois au titre des données personnelles, voilà, d’avoir des personnes concernées qui sont exclues en tant que tel de facto du fait de l’entraînement qui a été mise en place et donc créer des biais. Alors là, le RGPD n’aide pas véritablement mais en toute la cause le RIA va aider. On a vu nous des systèmes qui nous ont été qui nous ont été proposés, des systèmes venus de venus de l’étranger entraîné avec des données étrangères qui ne prenaient pas en considération bien le l’européen de base et donc le système créait des biais. Il ne reconnaissait pas une certaine catégorie de personnes et notamment sur des outils qui étaient là pour faire de la sécurité dans les véhicules autonomes. Donc ça paraissait quand même assez paradoxal.

Bruno Faure : Tout à fait. On a énormément de d’autres questions. On n’aura pas le temps d’y répondre lors de cette conférence parce qu’on je voudrais qu’on passe à notre 3è thème consacré à la cybersécurité qui nous préoccupe toutes et tous. Christine Grassi vous accompagnez des entreprises, où en sont-elles aujourd’hui face à cette ces cyberattaques qui se qui se multiplient ? Bon la question est un peu générale mais c’est la réalité des entreprises privées mais aussi des organismes publics.

Christine Grassi: Malheureusement l’actualité nous rappelle à ça et nous rappelle effectivement que les organismes publics sont une cible, je ne dirais pas de privilège dont on entend beaucoup parler malheureusement en ce moment. Énormément de réglementation, après ce n’est pas nouveau. Donc on a parlé RGP des Rac, on a NIS 2, on a eu Dora, on a on a eu la LPM et c’est différentes versions. Puis on a eu on peut remonter encore un petit peu plus loin. Donc bon, les travaux autour de la cybersécurité n’ont pas attendu la mise en place de normes et de et de réglementation. Mais effectivement c’est assez compliqué. On voit qu’il y a eu de à chaque fois les organisations essayent de créer de nouvelles fonctions. Donc on renforce les lignes de défense, on crée des référents pour adresser différents types de problématiques. Il y a un avantage, c’est que ça permet de faire émerger ces sujets. Il y a un inconvénient, c’est que ça peut aussi diluer. Alors des fois déporter les responsabilités sur une personne. Avant c’était le RSSI qui était responsable de tout. On était content quand on n’entendait pas parler de lui et puis dès qu’il y avait un problème, tout le monde lui tomber dans le raccourci facile en disant mais qu’as-tu fait pendant ce temps-là? Alors que on le voit à chaque fois, ce sont des projets et des responsabilités d’entreprise globale. Donc c’est toujours un peu compliqué pour les organisations. Il y a des problèmes de ressources, de compétences. On a mis longtemps à ce que le marché forme des professionnels dans le monde de la cyber.

Bruno Faure : Il y a un retard dans la transposition chez nous en France vous trouvez.

Christine Grassi : alors moi j’ai eu l’opportunité de travailler au Canada pendant une dizaine d’années dans le monde de la cyber et puis de travailler en France. J’ai vu effectivement des différences d’approche parfois un côté très pragmatique en disant bon on va de l’avant et puis on verra bien après comment on rattrape par rapport à une réglementation avec parfois une culture un petit peu plus attentiste. Ça cache souvent en fait des difficultés de ressources, de moyens, de priorité. Ce fait de dire attendons que soit transposé comme on peut le voir dans NIS 2 effectivement qui est une où la transposition énormément de retard puisqu’elle était attendue de mémoire en octobre 2024, transposition dans le droit de tous les pays européens de cette de cette directive et on n’y est pas encore. Ce sera 2025-2026 des premiers contrôles 2026-2027. Donc voilà, on dit ce n’est pas transposé, attendons, on ne voudrait pas faire une erreur. Alors qu’en fait si on regarde les textes, on peut voir tout de suite que l’esprit de la loi, l’esprit des exigences, ils sont là. Il peut manquer dans la transposition des finalités opérationnelles concrètement quel va être l’organisme qu’on doit contacter dans quel cas quel est peut-être le délai maximum.

Bruno Faure: si vous pouvez prendre un exemple voilà de d’un de vos clients qui a été confronté à à cette difficulté sans forcément citer le nom de la société mais voilà donner un exemple d’une réaction suite à une attaque subie par une entreprise ou par une organisation.

Christine Grassi : ce qu’on voit souvent dans le cas des attaques, c’est que les organisations n’ont pas attendu là encore les exigences pour mettre en place des processus de gestion de crise, des processus de détection des incidents, une gouvernance sur les cellules de gestion de crise, des exercices pour se préparer à ça. Mais c’est vrai que ce qu’on voit, c’est que ce qui est le plus difficile à appréhender, c’est le côté multifacette d’une crise. Et un peu ce dont on parlait à un moment donné de cet effet domino, c’est-à-dire que un incident sur un système d’IA qui a des données personnelles qui sont soumis donc à une un une exigence réglementaire qui montre au grand public des pratiques qui sont totalement légales mais peut-être on communique mal et il y a peut-être un a priori négatif. Tout ça crée un système qui font qu’on a des entreprises effectivement qui doivent être sur tous les fronts. Elles doivent essayer de comprendre déjà ce qui se passe. Elles doivent arrêter l’incident d’un point de vue très technique. Elles doivent communiquer à l’extérieur et on voit qu’avec tous les réseaux sociaux et avec justement cette volonté du grand public de s’approprier ces sujets et de se sentir concerné par les données, mais en fait l’information, la propagation se fait énormément avec là aussi peut-être une déformation…

Bruno Faure : avec des deep fake aussi et puis les attaques sont de plus en plus élaborées. Donc effectivement, on a parfois du mal. Les systèmes sont opaques. La dépendance avec les fournisseurs qui fournissent les systèmes d’IA est fort. Donc là encore, les cellules de crise doivent être vraiment multidimensionnelles, appeler tous les intervenants. Ce n’est pas juste de l’IA, ce n’est pas juste de la com et on doit effectivement appréhender. Nous ce qu’on voit chez nos clients, c’est qu’ils nous sollicitent de plus en plus pour s’entraîner, avoir des exercices de gestion de crise qui multiplient les incidents. Avant, c’est juste « Ah, on a un problème comme ça, on a là, c’est maintenant, on nous donne vraiment des scénarios qui soient de plus en plus élaborés et qu’il faut venir de plus en plus différents acteurs.

Bruno Faure: vous faites ça chez BRED Banque Populaire Nicolas Reymond.

Nicolas Reymond : Oui. L’exercice de crise quelque chose qui est effectivement une pratique de longue date et récurrente. J’ai déjà organisé des exercices de gestion de crise sur des aspects violation de données il y a déjà plus de 10 ans en arrière. C’est c’est des choses qu’on pratique très régulièrement effectivement. Oui.

Bruno Faure : est-ce que le l’IA permet de réduire des risques aujourd’hui. Est-ce que ça permet de réduire le coût d’une attaque ? Voilà, on sait en tout cas que ça demande des moyens aussi pour être déployé. Mais est-ce que c’est rentable de d’utiliser l’IA pour faire face à la cybersécurité ?

François-Pierre Lani: Immanquablement. Notamment dans la détection de la source de la faille. On voit d’ailleurs que les cabinets qui interviennent, donc hautement spécialisés, qui interviennent dans ces cyberattaques se sont équipées aujourd’hui d’outils IA qui permettent effectivement de scanner beaucoup plus vite, de bénéficier des sources d’information sur des attaques identiques ou quasi similaires. Et donc on voit une identification et une remédiation beaucoup plus rapide et une remédiation beaucoup plus rapide. Ce n’est pas la panacée, ce n’est pas tout le monde qui s’équipe de ces outils-là. Et encore là, nous en PME, donc plutôt de taille plus de 400 salariés, jamais entraînée à une cyberattaque et qui était totalement démuni sur même le fait de monter une cellule de crise en fait. Donc voilà. Donc nous un directeur juridique nous a appelle en disant qu’est-ce qu’il faut faire notamment au niveau de la preuve ou conservation de la preuve. Mais la cellule de crise n’était pas n’était pas installée et l’appel à des tiers qui étaient plutôt j’avais compris le prestataire informatique n’était pas disponible ça le samedi vous voyez donc des gens totalement démunis parce que pas entraînés et sûrement pas conscients des risques encourus.

Bruno Faure: ouais si je peux me permettre pour compléter ce qu’on voit c’est une disparité là encore. Donc effectivement cela va favoriser des deux côtés, du côté de l’attaquant et du côté du défenseur. En revanche, la différence est que du côté de l’attaquant, ça va être beaucoup plus simple et souvent moins coûteux d’utiliser l’IA. Alors que du côté de la défense, nous on mène très régulièrement des activités de veille pour faire une cartographie des outils d’IA qui viennent renforcer ce qu’on appellerait la boîte à outils du RSSI et il y en a vraiment pleins. Comment est-ce qu’on introduit de nouveaux outils dans les organisations ? ce n’est pas simple de rajouter un nouvel outil surtout plus l’entreprise est grande, plus il y a énormément de jalons de validation, de formation, il y a un budget donc il y a une vraie disparité. Donc en fait l’IA aide énormément les attaquants et pour le moment, elle peut aider mais elle n’est pas encore assez bien utilisée par les entreprises pour tout un ensemble de freins assez logique. Donc on est encore toujours à essayer de rattraper un certain retard. Sophie Duperray voilà ce retard, vous le ressentez aussi dans vos conversations avec vos clients, cet aspect d’être parfois d’être un peu démuni face à des situations qui échappent.

Sophie Duperray : Oui, totalement. Parce que comme on l’a évoqué, on a aussi un foisonnement réglementaire qui fait que pour notamment des PME, c’est très difficile de s’y retrouver et de traduire ça de manière opérationnelle. Et donc on prend un peu le parti de la du retard de transposition et notamment dans NIS 2 pour considérer que finalement on peut un petit peu gagner du temps. Et donc là le conseil quand même à un moment, indépendamment des préparations, c’est vraiment s’emparer des ressources que mettent à disposition notamment l’ANSSI. On a beaucoup de choses et notamment pour anticiper cette mise en conformité NIS 2 sur notamment des mesures concrètes, que mettre en place en priorité. On a aussi tout un système de normalisation qui existe déjà. On sait qu’on a beaucoup d’entités, alors peut-être plus les grandes mais qui sont normées ISO 27001 où on a des règles de sécurité qui pour le coup sont traduites de manière beaucoup plus opérationnelle. Quand on sait qu’on est certifié ISO 27001, on est déjà conforme à 70 % grosso modo à NIS 2. C’est aussi une première démarche qui est utile. Donc on a des choses et le retard, il est certes constaté. On a beaucoup de disparité selon les entités mais on peut y remédier.

Bruno Faure : François-Pierre Lani, l’évolution entre NIS 1 et NIS 2, qu’est-ce que ça change concrètement en termes d’obligation et en termes de protection ?

François-Pierre Lani : Alors déjà, je crains le retard de transposition, notamment de notre pays qui est sous le coût d’une sanction quand même. Donc le dossier a été ouvert par la commission nous fasse à l’arrivé de NIS 3.

Bruno Faure : on n’aura pas le temps d’appliquer NIS 2.

François-Pierre Lani : Voilà, c’est un peu ça. Alors, NIS 1, le l’esprit c’était on n’est pas concerné, sauf les grosses organisations. C’était ce thème- là voilà. Et dans ces grosses organisations, sincèrement, nous ce qu’on a vu au moment de NIS, que ces grosses organisations, elles étaient déjà préparées, organisées et le meilleur exemple parce que je pense que ce sont les bons élèves et les meilleurs élèves : le domaine bancaire et assurantiel pour le coup était bien armé quand NIS 2 est arrivé notamment dans la vulgarisation que nous avons faite de du NIS 2, le périmètre est étendu, le nombre d’entreprises est étendu, les collectivités territoriales rentrent dans le périmètre. Alors au-delà du fait de dire est-ce que je suis concerné ou pas compte tenu du nombre de salariés, compte tenu du chiffre d’affaires que je fais compte tenu de l’activité que je gère, surtout pour les entreprises qui ont une multi activité, ce qu’on a vu nous dans des mises en conformité NIS 2 au niveau européen où on voit des entreprises qui ont plusieurs activités mais on a vu cette prise de conscience qui était parallèle d’ailleurs à l’augmentation de ces fameuses cyberattaques et donc je rappelle que dans le rapport de la CNIL, dans le rapport d’activité de la CNIL, plus de la moitié des failles viennent de cyberattaques. Donc c’est quand même très inquiétant. Quoi qu’il en soit, la prise de conscience est là. Donc plutôt bon point de NIS 2 avec ce cas particulier tout de même de la France notamment pour les entités qui n’ont pas de dimension européenne de dire tant que ce n’est pas transposé je ne m’en occupe pas. C’est vraiment et les collectivités c’est encore pire parce que c’est ce n’est pas transposé et on n’a pas les moyens. Donc voilà la tendance des DSI. Alors, d’aucun n’ont pas eu d’autre choix puisqu’ils ont fait l’objet de cyberattaques, notamment des collectivités, quelle que soit la taille, mais un manque de moyens incroyable.

Bruno Faure : Christine Grassi, il y a une autre question qui préoccupe les entreprises, c’est les produits numériques que ces entreprises se procurent. Voilà, comment faire que la pour que la cybersécurité soit une propriété intrinsèque aux produits que l’on achète ?

Christine Grassi : I y a une nouvelle obligation, le Cyber Resilience Act qui est entrée en vigueur en décembre 2024 et là on est sur une mise en œuvre de juin 2026, donc dans le cœur de l’actualité jusqu’à fin 2027 et c’est vraiment un changement de paradigme important. Donc ça va imposer effectivement que la sécurité soit une propriété intrinsèque des produits qui sont mis à disposition des clients, donc des produits numériques, avec une obligation de suivre l’évolution de ces produits tout le long de leur vie parce qu’il y a des mises à jour, une traçabilité…et de produire ces mises à jour et communiquer ces mises à jour, notifier aussi les failles exploitées. Donc au niveau des entreprises qui fournissent ces produits et ces logiciels, ça va vraiment avoir un double impact. Déjà ce qu’on appelle donc pouvoir mettre en place le security by design, c’est-à-dire que la sécurité soit vraiment dans la conception même et pas un ajout marketing ou une option facultative. Ce qu’on appelle dans le monde du développement le DevOps donc l’intégration opérationnelle de la sécurité dans la chaîne de développement et de production, va devenir une obligation. Donc toutes les entreprises qui vont devoir la renforcer, standardiser les pratiques, ce qui est loin d’être le cas. Et puis encore beaucoup d’entreprises qui n’ont pas cette bonne pratique et ce process d’intégration de sécurité dans leur développement qui vont devoir s’y mettre. Et puis un deuxième impact fort pour les organisations, c’est tout ce qui va être la traçabilité logicielle. C’est-à-dire qu’en fait, on ne développe jamais tout par soi-même. On va aller parfois chercher des briques à droite à gauche.

Bruno Faure: on a des logiciels payants et puis on a aussi de l’open source sur son bureau. Voilà. Et avec de l’interaction parfois entre les différents logiciels.

Christine Grassi : Et quand une entreprise va produire un package, on va dire quelque part, c’est ça sous-jacent, c’un package avec différentes briques, mais qu’elle va être garante unitairement de pouvoir assurer la mise en conformité et de produire des correctifs falloir qu’elle-même elle soit capable de savoir comment tout ça se décompose, où elle-même elle doit aller le chercher. Donc toute la traçabilité logicielle va être très importante et donc les entreprises qui s’y prennent trop tard en se disant décembre 2027, j’ai le temps, peut-être qu’elles vont découvrir trop tard, qu’elles vont devoir peut-être changer des pratiques industrielles des manières qu’elles ont de construire leurs produits parce que justement le cyber résilience va leur mettre beaucoup trop de pression et d’obligation. Cette capacité à avoir une vue à 360 de toutes les différentes briques qu’elles intègrent.

Bruno Faure : Nicolas Reymond, vous n’êtes pas au service des achats à la BRED Banque Populaire, mais est-ce que voilà quand on se procure un logiciel X Y ou Z, voilà, est-ce que ça fait partie maintenant clairement des préoccupations de vérifier qu’il est conforme aux exigences de cybersécurité ?

Nicolas Reymond : Ah ça oui, c’est quelque chose qu’on fait depuis de longues dates qui a été encore renforcé avec l’arrivée effectivement de Dora. On a des exigences de sécurité très fortes que ce soit sur les logiciels ou même sur la fourniture de services parce qu’on a beaucoup de logiciels qui sont également en SAS. Donc là, on a la double composante mais effectivement les exigences sont très fortes en la matière sur la cybersécurité de des logiciels achetés.

Bruno Faure: une question peut-être pour vous Sophie Duperray. Voilà, faisons un peu de prospective. Quelles seront selon vous les principales obligations dans 3 ans, auxquelles les directions juridiques et de conformité devront faire face en matière de cybersécurité ? Voilà. Vaste question.

Sophie Duperray : Tout à fait. Très clairement en fait côté juridique, je pense qu’un des points essentiels, indépendamment des aspects de gouvernance et cetera qu’on a évoqué et qui vont impliquer en fait d’autres services notamment DSI et RSSI, le point ça va être la gestion de la chaîne de sous-traitance. Ça va être comment on intègre notamment dans les contrats ces obligations de sécurité puisqu’elles concernent l’ensemble des sous-traitants, des fournisseurs et cetera. Donc on aura clairement un chantier contractuel à gérer avec ces prestataires. La mise à jour de la charte fournisseur sécurité et l’opposabilité de cette charte pour s’assurer que vraiment on est l’ensemble de la chaîne qui respecte les obligations en tant que tel. Donc le chantier de contractualisation à mon sens sera important, indépendamment de l’aspect conformité en tant que tel qui on en a un peu plus l’habitude mais ça nécessite vraiment une charge de travail forte implique de la documentation puisque quand on aura demain des contrôles, il sera nécessaire d’établir que oui, on s’est mis en ordre de marche pour respecter et documenter ces obligations.

Bruno Faure : Justement Christine Grassi, autre question, quels indicateurs présentés au comité de direction, quand on met le service spécialisé, quels indicateurs pour démontrer le niveau réel de risque et puis pour démontrer aussi son niveau de protection ?

Christine Grassi: les fameux indicateurs sécurité. Il y a deux natures d’indicateurs en fait. Déjà est-ce qu’il y a une stratégie en termes d’approche, dire est-ce qu’on est dans une logique de conformité ? Il y a des règlements, il y a des politiques internes aussi et est-ce que j’y suis conforme ou pas ? Donc c’est une première manière parce que c’est important, c’est ce qu’un ce qu’un conseil de direction veut savoir, c’est un quel est mon niveau de risque. Est-ce que l’argent que j’ai investi à ma protection sécurité, j’ai un bon retour d’investissement, c’est logique. Est-ce que ça me permet effectivement d’améliorer ? Donc les indicateurs, c’est effectivement de pouvoir démontrer la conformité, mais au-delà de pouvoir démontrer cette capacité à garder le risque sous contrôle, sous maîtrise. Le risque zéro n’existe pas, pas plus en informatique que dans tous les autres domaines. Et puis toutes les entreprises n’ont pas la même appétence au risque. Et ça, c’est important de le désigner aussi. C’est peut-être aussi parfois pour ça que la conformité est peut-être plus difficile à mettre en œuvre dans certains secteurs, comme les secteurs plus industriels où on n’a pas du tout le même rapport au risque. On sait que c’est une donnée qu’on doit intégrer. Il faut juste le connaître et se dire j’ai un plafond, un plancher et je dois naviguer autour de ça. Mais on s’estime moins menacé quand on n’a pas le même rapport. Finalement ce qui est ce qui est très compliqué dans toutes ces questions, c’est que le risque c’est quelque chose d’intrinsèquement personnel, on le sait tous qu’on doit prendre une assurance. Est-ce que je prends telle option ? Est-ce que je ne prends pas telle option ? Est-ce que vraiment je vais être en danger ou pas ? La conformité en fait, c’est une très bonne manière d’aider les entreprises à se responsabiliser et à objectiver une gestion et un rapport au risque qui est très personnel et donc hautement subjectif, heureusement, malheureusement et qui est très valable. Donc finalement, les KPI reflètent un petit peu ça, ses indicateurs, c’est pouvoir démontrer à son board que son niveau d’appétence au risque déjà est pris en considération et traité. En termes de conformité, on ne se met pas en danger parce que par exemple faut voir dans NIS 2 qu’une des évolutions c’est que maintenant la direction est nommément explicitement responsable c’est-à-dire que la direction doit valider les mesures de sécurité qui sont mises en œuvre. Elle doit s’assurer qu’elles sont effectivement mises en œuvre. Ce n’est pas juste une déclaration de façade de se former au risque cyber et elle doit accepter en cas de défaillance d’être responsable. Donc les indicateurs doivent pouvoir démontrer que toutes ces bonnes mesures ont été mises en place en terme de conformité pour pouvoir se protéger.

Bruno Faure: Alors il nous reste encore trois petites minutes pour conclure. Je vous pose encore deux questions qui nous qui nous sont arrivées. Une question peut-être un peu technique mais voilà je suis sûr qu’on va trouver quelqu’un pour y répondre. Comment concilier recherche élargie ou deep search par l’intelligence artificielle? Comment concilier ça avec le principe de minimisation du RGPD?

François-Pierre Lani : Là aussi, on voit notamment dans la démarche Omnibus que la problématique des données personnelles dans le cadre de réalisation, développement, entraînement de système d’IA va être allégée. Et donc on attend quelque chose là-dessus malgré les réticences que j’ai expliqué des institutions de contrôle européen et bien une évolution pour la rendre plus fluide alors là aussi avec tout de même un encadrement mais la possibilité effectivement de mettre pas de côté mais de relativiser le principe de minimisation, notamment dans ces activités de développement, entraînement des systèmes des systèmes d’IA.

Bruno Faure : est-ce que les outils de legal tech qui incorporent des modules d’IA générative ou agentique utilisés de manière ponctuelle, est-ce qu’ils doivent être soumis au même régime du règlement sur l’intelligence artificielle et cartographié ?

François-Pierre Lani : Alors cartographié, pourquoi pas. Après, en termes de est-ce que ce sont des outils qui tombent dans la réglementation ? Ça c’est un vrai sujet. A priori, moi je ne vois pas pourquoi ça tomberait dans la réglementation. On rappelle quand même, Sophie l’a dit mais elle l’a très bien dit : le RIA a vocation à protéger certains outils ou à encadrer certains outils susceptibles de d’engendrer des risques. Voilà. Et donc on sort de cette réglementation les outils qui ne sont pas censés engendrer un risque notamment pour les personnes.

Bruno Faure: Allez, il nous reste 3 minutes à peu près. On va faire un dernier tour de table pour que vous nous disiez si vous y retrouvez voilà dans cette forêt de réglementation et avec ces risques qui s’accumulent mais aussi ces prises de conscience qui sont de plus en plus fortes. Voilà comment vous faites en tant que en tant que professionnel dans vos entreprises respectives Nicolas Reymond.

Nicolas Reymond : Alors la réglementation dans le domaine bancaire on là on la connaît bien donc ce n’est pas un sujet et on connaît bien les risques aussi parce que la banque au départ c’est juste une centrale de gestion de risque. Notre métier c’est de gérer le risque. Donc on a simplement intégré le risque cyber.

Bruno Faure: c’est ce que disait Christine Grassi. Il y a des secteurs d’activité où c’est plus naturel.

Nicolas Reymond : Voilà c’est ça. On est câblé de base sur la gestion des risques. Donc c’est quelque chose qui est naturel. Après, je reviens sur le sujet de départ de l’IA, on a l’émergence de nouveaux risques qu’on maîtrise encore pas très bien aujourd’hui et qui ouvre comme quand même pas mal de perspectives en terme de gestion de risque. Juste, je voudrais citer un exemple très rapidement, mais sur par exemple les agents autonomes qui commencent à se développer ça tire énormément de problématiques. L’agent va avoir un comportement qui lui est propre sur un réseau d’une entreprise. Est-ce qu’il est vu comme un collaborateur ? De plus, il va avoir des comportements qui ne sont pas humains. Comment on va faire la distinction entre les comportements légitimes d’un agent et les comportements illégitimes d’un attaquant, ça va être très compliqué. L’agent a une capacité d’action énorme. Donc quand on gérait du risque en se disant je limite le risque par rapport à l’accès à la donnée parce que cette donnée est accessible sur un écran de consultation avec des données unitaires. J’oublie l’agent, il a un écran de consultation unitaire, il sort la base de données en 3 minutes. Toute cette approche fait émerger des nouveaux risques qui sont vraiment gigantesques et qu’on est en train à peine de découvrir.

Bruno Faure : Sophie Duperray, on va peut-être répéter le conseil que vous avez donné tout à l’heure. L’urgence là vraiment c’est transparence.

Sophie Duperray : effectivement transparence, cartographie et multiplication des compétences parce que ce qu’on a vu c’est qu’il y a beaucoup de réglementation, il y a beaucoup de risques et en fait pour ça on a aussi besoin de personnes avec des compétences variées. Ça vaut pour le juridique. Au sein du juridique, tout le monde ne peut pas être compétent sur l’ensemble des réglementations. Donc ne pas hésiter à multiplier aussi les compétences internes et externes et surtout travailler avec les équipes opérationnelles parce que c’est ça qui permet d’avoir une vision claire sur le risque et de prioriser ses actions parce que les chantiers sont quand même nombreux.

Bruno Faure: Christine Grassi peut-être se faire aider par un consultant aussi.

Christine Grassi : par exemple. C’est vrai que sur les cabinets de conseil, il y a une forte pression à proposer une offre vraiment multidimensionnelle. Donc chez Lovell, on a un cabinet dédié en cyber mais on a des personnes qui ont des formations de juriste, des personnes qui ont des formations plus sur de la gestion de projet, d’autres qui savent approcher la conformité, être en capacité donc de proposer cette formation multifacette et d’aider surtout les organisations face à ce 1000 feuilles réglementaires, identifier comment en une action on peut essayer d’adresser différents points. Donc il y a de la priorisation puis il y a vraiment de la rationalisation surtout pour des organisations qui ont des budgets malheureusement contraints.

Bruno Faure: tout à fait. François-Pierre Lani le mot de la fin c’est bientôt l’heure de déjeuner ; le 1000 feuilles réglementaire.

François-Pierre Lani : Oui. Il est terrible. En fait chaque jour, chaque semaine vient s’ajouter de la règlementation et surtout de la mise à jour de la réglementation. Donc j tout ceci a besoin immanquablement d’être coordonné. Pour moi, enfin il y a pas mal de solutions, c’est effectivement des spécialistes des domaines, de bons élèves, pardon, mais je le répète parce qu’effectivement depuis des années, voir des décennies, ils ont géré le risque digital et le risque informatique. Donc c’est-à-dire que toutes les entreprises doivent tendre vers la démarche engagée de façon volontaire. Ce qui veut dire qu’une direction de la conformité en termes de gouvernance qui va gérer ses priorités avec des spécialistes alors externes ou internes pour gérer les priorités et tendre voilà vers une sécurisation des données, des systèmes d’information à la hauteur de ce que je considère comme un vrai référentiel des banques et des assurances.

Bruno Faure: Merci. Merci à toutes et à tous. François Pierre Lani, avocat associé chez Derriennic, Sophie Duperray, avocat Counsel chez Derriennic également. Christine Grassi, associé de partenaire, Lovell Consulting, Nicolas Reymond directeur des risques Data chez BRED Banque Populaire et François Camax que qu’on que l’on a donc suivi à distance, juriste senior chargé de la protection des données personnelles chez CNP Assurances.

Merci à tous nos partenaires. Le Droit Pour Moi en collaboration avec le cabinet Derriennic, avec le Cercle Montesquieu et avec Lefebvre Dalloz, Le Droit Pour Moi qui met à disposition pour vous et gratuitement des vidéos pédagogiques sur tous les sujets que l’on vient de traiter. À très bientôt pour une nouvelle conférence digitale.