IA et Conformité : RGPD, NIS2, ISO 27001 — Matrice de Décision

L'intelligence artificielle promet des gains de productivité spectaculaires. Mais elle soulève aussi des questions réglementaires complexes que beaucoup d'entreprises préfèrent ignorer — jusqu'au jour où un audit, une fuite de données ou une plainte les rattrape. J'ai vu des projets d'IA à fort ROI être stoppés net faute d'avoir anticipé les exigences de conformité. Et j'ai vu des entreprises se noyer dans la bureaucratie réglementaire au point de ne jamais déployer quoi que ce soit.

La vérité est entre les deux : la conformité n'est ni un obstacle insurmontable, ni un détail à traiter plus tard. C'est un paramètre à intégrer dès la conception du projet, avec une approche pragmatique et structurée.

Ce guide vous propose une matrice de décision pour identifier rapidement quelles réglementations s'appliquent à votre projet d'IA, et comment vous y conformer sans paralyser votre organisation.

Le paysage réglementaire de l'IA : trois piliers

RGPD : la protection des données personnelles

Le Règlement Général sur la Protection des Données (RGPD) est en vigueur depuis mai 2018. Il s'applique à tout traitement de données personnelles dans l'Union européenne, que l'entreprise soit européenne ou non.

Pourquoi le RGPD concerne l'IA : la plupart des systèmes d'IA traitent des données personnelles — que ce soit pour l'entraînement des modèles, la personnalisation des recommandations ou l'analyse comportementale. Même un simple chatbot collecte des données personnelles dès qu'un utilisateur partage son nom ou son adresse e-mail.

Les principes clés du RGPD appliqués à l'IA :

Principe RGPD	Application à l'IA
Licéité du traitement	Base légale pour entraîner le modèle sur des données personnelles
Limitation des finalités	L'IA ne peut utiliser les données que pour l'objectif déclaré
Minimisation des données	Ne collecter que les données strictement nécessaires
Exactitude	Les données d'entraînement doivent être correctes et à jour
Limitation de conservation	Les données d'entraînement doivent être supprimées après usage
Transparence	Informer les utilisateurs qu'ils interagissent avec une IA
Droit à l'explication	Expliquer comment une décision automatisée a été prise

NIS2 : la cybersécurité des entités essentielles

La directive NIS2 (Network and Information Security 2) est entrée en application en octobre 2024. Elle élargit considérablement le périmètre de la directive NIS originale et impose des obligations de cybersécurité renforcées.

Pourquoi NIS2 concerne l'IA : les systèmes d'IA sont des vecteurs d'attaque potentiels (empoisonnement des données, adversarial attacks, exfiltration de données via les prompts). Si votre entreprise est classée « entité essentielle » ou « entité importante » au sens de NIS2, vos systèmes d'IA doivent respecter des exigences de sécurité spécifiques.

Secteurs concernés par NIS2 :

• Énergie, transports, santé, eau potable
• Infrastructure numérique, services cloud, centres de données
• Administration publique
• Banques et marchés financiers
• Agroalimentaire, fabrication, gestion des déchets
• Services postaux, recherche

ISO 27001 : le système de management de la sécurité

ISO 27001 est une norme internationale qui définit les exigences pour un système de management de la sécurité de l'information (SMSI). Contrairement au RGPD et à NIS2, c'est une certification volontaire, mais elle est de plus en plus exigée par les clients et partenaires.

Pourquoi ISO 27001 concerne l'IA : la norme exige une gestion rigoureuse des actifs informationnels, dont les modèles d'IA, les données d'entraînement et les logs d'inférence. L'annexe A de la version 2022 inclut désormais des contrôles spécifiques sur la sécurité du développement logiciel et la gestion des fournisseurs cloud — deux sujets critiques pour les projets d'IA.

La matrice de décision : quel cadre s'applique à votre projet ?

Étape 1 : Identifier votre profil

Répondez à ces quatre questions pour déterminer quelles réglementations s'appliquent à votre projet d'IA.

Question	Oui	Non
Votre IA traite-t-elle des données personnelles ?	→ RGPD obligatoire	→ Pas de RGPD
Votre entreprise opère dans un secteur NIS2 ?	→ NIS2 obligatoire	→ Pas de NIS2
Vos clients exigent-ils une certification sécurité ?	→ ISO 27001 recommandé	→ Optionnel
Votre IA prend-elle des décisions automatisées impactant des individus ?	→ RGPD Art. 22 + AIPD	→ Pas d'AIPD

Étape 2 : La matrice croisée

Profil entreprise	RGPD	NIS2	ISO 27001	Niveau de contrainte
TPE/PME hors secteur critique, sans données perso	❌	❌	❌	Minimal
TPE/PME avec données clients (CRM, e-commerce)	✅	❌	Optionnel	Modéré
PME sous-traitante d'une entité NIS2	✅	✅ (indirect)	Recommandé	Élevé
ETI dans un secteur NIS2	✅	✅	Recommandé	Élevé
Entreprise avec décisions automatisées (crédit, RH, assurance)	✅ + AIPD	Variable	Recommandé	Très élevé
Grande entreprise / fournisseur SaaS	✅	✅	✅	Maximal

Étape 3 : Prioriser les actions

Niveau Minimal : Documenter le fonctionnement de l'IA, sécuriser les accès, sauvegarder les données. Budget : quasi nul.

Niveau Modéré : Réaliser un registre des traitements, nommer un référent RGPD, mettre en place les clauses contractuelles avec les fournisseurs d'IA (OpenAI, Google, etc.). Budget : 2 000-5 000 €.

Niveau Élevé : Conduire une AIPD (Analyse d'Impact sur la Protection des Données), mettre en place un plan de réponse aux incidents, former les équipes. Budget : 10 000-30 000 €.

Niveau Très élevé / Maximal : SMSI complet, audit externe, DPO dédié, certification ISO 27001. Budget : 30 000-100 000 €.

RGPD et IA : le guide pratique

Les bases légales pour le traitement IA

Le choix de la base légale est la décision la plus critique. Voici les options et leurs implications pour l'IA :

Base légale	Cas d'usage IA	Avantages	Inconvénients
Consentement (Art. 6.1.a)	Chatbot, personnalisation, profilage	Clair et explicite	Facilement révocable
Intérêt légitime (Art. 6.1.f)	Détection de fraude, optimisation, analytics	Flexible	Nécessite une mise en balance
Exécution du contrat (Art. 6.1.b)	IA intégrée au service vendu	Solide juridiquement	Limité au périmètre du contrat
Obligation légale (Art. 6.1.c)	Conformité LCB-FT, reporting	Incontestable	Périmètre restreint

L'Analyse d'Impact (AIPD) : quand et comment

L'AIPD est obligatoire quand :

• L'IA réalise une évaluation systématique de personnes (scoring, profilage)
• L'IA traite des données sensibles à grande échelle (santé, biométrie)
• L'IA surveille systématiquement un espace accessible au public
• L'IA prend des décisions automatisées produisant des effets juridiques

Contenu de l'AIPD pour un projet IA :

1. Description du traitement : finalité, données traitées, architecture technique du modèle
2. Nécessité et proportionnalité : pourquoi l'IA est nécessaire, pourquoi ces données sont indispensables
3. Risques pour les droits et libertés : biais algorithmiques, erreurs de classification, atteinte à la vie privée
4. Mesures d'atténuation : anonymisation, chiffrement, droit d'opposition, audit humain

Les droits des personnes face à l'IA

Droit	Obligation pour l'entreprise	Difficulté technique
Droit à l'information	Informer que l'IA est utilisée	Faible
Droit d'accès	Fournir les données utilisées par l'IA	Moyenne
Droit de rectification	Corriger les données inexactes	Moyenne
Droit à l'effacement	Supprimer les données des datasets	Élevée (modèle entraîné)
Droit d'opposition	Permettre de refuser le traitement IA	Faible
Droit à l'explication	Expliquer la décision automatisée	Très élevée (boîte noire)

Focus : le droit à l'explication et l'IA générative

L'article 22 du RGPD donne aux individus le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé. En pratique, cela signifie que toute décision IA impactant une personne (refus de crédit, rejet de candidature, tarification) doit pouvoir être expliquée et contestée.

Pour les modèles de type « boîte noire » (réseaux de neurones profonds, LLM), cela pose un défi technique majeur. Les solutions pratiques incluent l'utilisation de modèles explicables (SHAP, LIME) en complément, la conservation des logs de décision et la mise en place d'un processus de revue humaine.

NIS2 et IA : les obligations de cybersécurité

Les 10 mesures de gestion des risques NIS2

NIS2 impose aux entités concernées de mettre en place des mesures de gestion des risques « appropriées et proportionnées ». Voici comment elles s'appliquent aux systèmes d'IA :

Mesure NIS2	Application à l'IA
Politiques d'analyse des risques	Évaluation des risques spécifiques IA (empoisonnement, adversarial)
Gestion des incidents	Plan de réponse aux incidents IA (hallucinations, fuites de données)
Continuité des activités	Plan de bascule si le modèle IA est indisponible
Sécurité de la chaîne d'approvisionnement	Audit des fournisseurs d'IA (OpenAI, Anthropic, Google)
Sécurité dans l'acquisition et le développement	Sécurité du pipeline ML (MLSecOps)
Évaluation de l'efficacité des mesures	Tests de pénétration sur les API IA
Pratiques de cyberhygiène et formation	Formation des utilisateurs aux risques IA
Politiques de chiffrement	Chiffrement des données d'entraînement et d'inférence
Sécurité des ressources humaines	Contrôle d'accès aux modèles et datasets
Authentification multifacteur	MFA sur tous les accès aux plateformes IA

Les risques cyber spécifiques à l'IA

Empoisonnement des données (Data Poisoning) : un attaquant injecte des données corrompues dans le dataset d'entraînement pour biaiser les résultats du modèle. Contre-mesure : validation et audit systématique des données d'entraînement.

Attaques adversariales : des entrées spécialement conçues pour tromper le modèle (par exemple, modifier légèrement une image pour changer la classification). Contre-mesure : tests de robustesse adversariale, monitoring des entrées inhabituelles.

Extraction de modèle (Model Stealing) : un attaquant reconstitue le modèle en multipliant les requêtes à l'API. Contre-mesure : limitation du débit, watermarking des réponses.

Injection de prompt : dans les LLM, un utilisateur malveillant contourne les instructions du système par des prompts manipulés. Contre-mesure : filtrage des entrées, guardrails, monitoring.

Obligations de notification

NIS2 impose des délais stricts de notification en cas d'incident :

• 24 heures : alerte préliminaire à l'autorité compétente (ANSSI en France)
• 72 heures : notification complète avec évaluation de l'impact
• 1 mois : rapport final détaillé

Pour un incident IA (fuite de données d'entraînement, hallucination massive, décision erronée à grande échelle), les mêmes délais s'appliquent.

ISO 27001 et IA : le cadre de management

Les contrôles ISO 27001:2022 applicables à l'IA

La version 2022 de la norme restructure les contrôles en 4 thèmes. Voici les contrôles les plus pertinents pour les projets d'IA :

Contrôle	Référence	Application IA
Classification de l'information	A.5.12	Classifier les données d'entraînement selon leur sensibilité
Gestion des actifs	A.5.9	Inventaire des modèles, datasets, API
Contrôle d'accès	A.5.15	Accès restreint aux modèles et données d'entraînement
Chiffrement	A.8.24	Chiffrement des données en transit et au repos
Développement sécurisé	A.8.25	Intégration de la sécurité dans le pipeline ML
Tests de sécurité	A.8.29	Tests de pénétration sur les API et interfaces IA
Relations fournisseurs	A.5.19	Évaluation de sécurité des fournisseurs d'IA
Gestion des changements	A.8.32	Processus de validation avant mise en production d'un modèle

Intégrer l'IA dans le périmètre du SMSI

Si votre entreprise est déjà certifiée ISO 27001, l'intégration de l'IA dans le périmètre du SMSI nécessite les actions suivantes :

1. Mise à jour de la déclaration d'applicabilité (SoA) : ajouter les actifs IA (modèles, datasets, API, logs)
2. Analyse des risques spécifiques : identifier les menaces propres à l'IA (biais, empoisonnement, injection)
3. Mise à jour des procédures : intégrer les processus de validation des modèles, de monitoring et de rollback
4. Formation des auditeurs internes : les auditeurs doivent comprendre les risques spécifiques de l'IA

Checklist de conformité IA : les 20 points essentiels

RGPD (8 points)

• Base légale identifiée et documentée pour chaque traitement IA
• Registre des traitements mis à jour avec les traitements IA
• AIPD réalisée si le traitement présente un risque élevé
• Information des personnes sur l'utilisation de l'IA
• Mécanisme de droit d'opposition fonctionnel
• Procédure d'explication des décisions automatisées
• Clauses contractuelles avec les fournisseurs d'IA (DPA)
• Durée de conservation des données d'entraînement définie

NIS2 (6 points)

• Classification de l'entité (essentielle / importante / hors périmètre)
• Analyse des risques cyber spécifiques aux systèmes IA
• Plan de réponse aux incidents IA
• Audit de sécurité de la chaîne d'approvisionnement IA
• Formation cybersécurité IA pour les équipes
• Procédure de notification des incidents (24h / 72h / 1 mois)

ISO 27001 (6 points)

• Inventaire des actifs IA (modèles, données, API)
• Contrôle d'accès aux modèles et données d'entraînement
• Processus de validation avant mise en production des modèles
• Tests de sécurité réguliers sur les interfaces IA
• Surveillance continue des performances et dérives du modèle
• Procédure de rollback en cas de dysfonctionnement

Cas pratiques : trois scénarios concrets

Scénario 1 : PME e-commerce avec chatbot IA

Contexte : PME de 25 salariés, vente en ligne, chatbot IA pour le support client.

Réglementations applicables : RGPD uniquement (hors secteur NIS2, pas de certification exigée).

Actions à mener :

• Informer les visiteurs de l'utilisation d'un chatbot IA (bandeau + mentions légales)
• Ajouter le traitement au registre
• Signer un DPA avec le fournisseur du chatbot
• Permettre aux utilisateurs de demander un humain à tout moment
• Budget : 1 000-3 000 €

Scénario 2 : ETI industrielle avec maintenance prédictive IA

Contexte : ETI de 500 salariés dans l'industrie manufacturière, IA pour la maintenance prédictive des équipements.

Réglementations applicables : RGPD (données des techniciens), NIS2 (secteur fabrication), ISO 27001 (exigée par les clients grands comptes).

Actions à mener :

• AIPD sur le traitement des données des techniciens
• Intégration du système IA dans le périmètre SMSI
• Plan de continuité si le modèle est indisponible
• Audit de sécurité du fournisseur IA
• Formation NIS2 de l'équipe IT
• Budget : 30 000-60 000 €

Scénario 3 : Fintech avec scoring crédit IA

Contexte : Startup fintech, 80 salariés, IA de scoring crédit pour l'octroi de prêts.

Réglementations applicables : RGPD (Art. 22 décisions automatisées), NIS2 (secteur bancaire), ISO 27001 (exigée par les partenaires), AI Act (système à haut risque).

Actions à mener :

• AIPD complète avec évaluation des biais algorithmiques
• Processus d'explication individuelle de chaque décision de scoring
• Audit indépendant du modèle (biais, discrimination)
• Certification ISO 27001 du SMSI incluant le scoring IA
• Conformité NIS2 complète avec notification d'incidents
• Préparation à la conformité AI Act (système à haut risque)
• Budget : 80 000-150 000 €

L'AI Act européen : la couche supplémentaire

Le Règlement européen sur l'Intelligence Artificielle (AI Act) ajoute une couche réglementaire spécifique. Entré en vigueur progressivement, il classe les systèmes d'IA par niveaux de risque :

Niveau de risque	Exemples	Obligations
Inacceptable	Scoring social, manipulation subliminale	Interdit
Haut risque	Recrutement IA, scoring crédit, diagnostic médical	Conformité stricte, audit, transparence
Risque limité	Chatbots, deepfakes	Obligation de transparence
Risque minimal	Filtres anti-spam, jeux vidéo IA	Aucune obligation spécifique

L'AI Act se superpose au RGPD et à NIS2. Un système d'IA classé « haut risque » devra donc se conformer aux trois cadres simultanément.

Conclusion : la conformité comme avantage compétitif

La conformité réglementaire de l'IA est souvent perçue comme un frein. C'est une erreur. Les entreprises qui intègrent la conformité dès la conception de leurs projets d'IA bénéficient de trois avantages majeurs.

Premièrement, la confiance des clients. Dans un contexte de méfiance croissante envers l'IA, démontrer sa conformité rassure les clients et les partenaires.

Deuxièmement, la réduction des risques. Un projet conforme est un projet qui anticipe les failles, les biais et les incidents. Le coût de la prévention est toujours inférieur au coût d'une crise.

Troisièmement, la pérennité du projet. Un projet non conforme vit sous la menace d'une suspension, d'une amende ou d'un procès. Un projet conforme peut se développer sereinement.

Utilisez la matrice de décision de ce guide pour identifier vos obligations, priorisez vos actions en fonction de votre profil de risque, et intégrez la conformité dans votre budget IA dès le départ. Le ROI de la conformité n'est pas toujours visible immédiatement, mais il est toujours positif sur le long terme.