Nous recensons les usages de l’IA dans votre organisation, évaluons les risques propres à chaque application, et mettons en place des contrôles ciblés, vérifiés à mesure que les usages évoluent.
Interdire l’IA ne fonctionne pas : les usages passent dans l’ombre. L’autoriser sans cadre expose vos données, vos clients et vos décisions à des risques nouveaux : fuite par les requêtes, injection d’instructions, sorties erronées tenues pour vraies.
Nous partons des usages réels, pas d’une politique abstraite. Chaque usage reçoit un niveau de risque, les contrôles qui lui correspondent, et une date de revue.
Un inventaire vivant, revu à chaque nouvel outil ou nouvelle application.
Vous obtenezUn inventaire des usages de l’IA
Vous obtenezUne cartographie des risques par usage
Vous obtenezDes contrôles proportionnés, usage par usage
Vous obtenezUn registre tenu à jour et ses preuves
Sans attendre les textes propres à l’IA, la protection des données s’applique dès qu’un système d’IA traite des données personnelles.
Le responsable de traitement intègre la protection des données dès la conception, et mène une analyse d’impact avant un traitement susceptible d’engendrer un risque élevé, en particulier lorsqu’il recourt à de nouvelles technologies.12
Les mesures de sécurité sont adaptées au risque, compte tenu de l’état de l’art.3
La CNIL recommande de vérifier la qualité et la fiabilité des données d’entraînement pour prévenir l’empoisonnement, de contrôler la légitimité des utilisateurs d’un système exposé en service, et de prévoir un plan d’audit incluant la supervision humaine.456
La directive range la sécurité de la chaîne d’approvisionnement, relations avec les fournisseurs comprises, parmi les mesures que les États membres doivent exiger des entités ; à notre lecture, les fournisseurs de modèles et de services d’IA en font partie.7
Les textes ne s’appliquent pas à toutes les organisations : leur applicabilité dépend de votre statut, de votre secteur, de votre taille et de vos contrats. Elle est à faire confirmer par votre juriste ou un avocat spécialisé.
Vous choisissez le niveau ; le périmètre et les livrables sont fixés par contrat.
Nous tenons l’inventaire des usages à jour et vérifions à intervalles convenus que les contrôles sont en place.
LivrablesNous évaluons les risques de chaque usage et recommandons les contrôles, que vous arbitrez.
LivrablesNous animons la mise en place des contrôles avec vos équipes, sans effectuer les changements dans votre SI.
LivrablesUn questionnaire court pour recenser outils, données confiées et applications, sans audit lourd.
Injection d’instructions, fuite par les requêtes, empoisonnement, détournement d’agents : décrits et testables.
Avec l’option Skill Boost, vos équipes apprennent à utiliser l’IA sans exposer vos données.
Rarement. Mieux vaut proposer un outil encadré, fixer les données qui ne doivent jamais y être confiées, et vérifier que la règle est appliquée.
Le RGPD l’exige avant un traitement de données personnelles susceptible d’engendrer un risque élevé, en particulier avec de nouvelles technologies. Nous vous aidons à déterminer si votre projet entre dans ce cas, avec votre délégué à la protection des données.2
Selon vos usages et votre rôle, il peut vous concerner. Le texte publié s’applique à partir du 2 août 2026, avec des dates propres à certaines dispositions, et deux obligations s’appliquent depuis le 2 février 2025 : fournisseurs et déployeurs prennent des mesures pour assurer, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA à leur personnel, et certaines pratiques d’IA sont interdites. Les déployeurs de systèmes d’IA à haut risque ont leurs propres obligations, et les fournisseurs conçoivent les systèmes qui interagissent directement avec des personnes de sorte que celles-ci sachent qu’elles ont affaire à une IA, sauf si c’est évident. Nous cartographions vos usages au regard du texte, et en examinons l’applicabilité au cas par cas avec votre juriste ou votre avocat.8910111213
Oui, celles qui sont exposées ou manipulent des données sensibles : tentatives d’injection d’instructions, d’extraction de données ou de détournement, et vérification des garde-fous. Nous cadrons ces tests et vous aidons à choisir le prestataire qui les réalise, sur un périmètre autorisé par écrit, puis suivons les corrections.
Décrivez les outils et les projets d’IA de votre organisation. Nous revenons vers vous avec une proposition de cadrage.
Texte exact, dans sa langue d’origine, tiré des référentiels extraits du texte officiel.
32016R0679-a25-p1Taking into account the state of the art, the cost of implementation and the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for rights and freedoms of natural persons posed by the processing, the controller shall, both at the time of the determination of the means for processing and at the time of the processing itself, implement appropriate technical and organisational measures, such as pseudonymisation, which are designed to implement data-protection principles, such as data minimisation, in an effective manner and to integrate the necessary safeguards into the processing in order to meet the requirements of this Regulation and protect the rights of data subjects.32016R0679-a35-p1Where a type of processing in particular using new technologies, and taking into account the nature, scope, context and purposes of the processing, is likely to result in a high risk to the rights and freedoms of natural persons, the controller shall, prior to the processing, carry out an assessment of the impact of the envisaged processing operations on the protection of personal data. A single assessment may address a set of similar processing operations that present similar high risks.32016R0679-a32-p1Taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of processing as well as the risk of varying likelihood and severity for the rights and freedoms of natural persons, the controller and the processor shall implement appropriate technical and organisational measures to ensure a level of security appropriate to the risk, including inter alia as appropriate:F24-PE-03Vérifier la qualité des données et des annotations, la présence possible de biais, la fiabilité des sources de données, notamment afin d’éviter que les données ne puissent être manipulées par un tiers (ex. : empoisonnement).F24-PE-06Vérifier la légitimité des utilisateurs du système lorsque celui-ci est rendu disponible en tant que service, afin d’éviter une tentative d’attaque telle qu’une attaque par inversion de modèle ou par déni de service.F24-PE-07Prévoir un plan d’audit du système, portant sur les éléments logiciels, matériels, et sur les mesures organisationnelles telles que les procédures de supervision humaine du système d’IA.32022L2555-a21-p2-4supply chain security, including security-related aspects concerning the relationships between each entity and its direct suppliers or service providers;32024R1689-a113-p0This Regulation shall enter into force on the twentieth day following that of its publication in the Official Journal of the European Union . It shall apply from 2 August 2026. However:32024R1689-a113-p0-1Chapters I and II shall apply from 2 February 2025;32024R1689-a4-p0Providers and deployers of AI systems shall take measures to ensure, to their best extent, a sufficient level of AI literacy of their staff and other persons dealing with the operation and use of AI systems on their behalf, taking into account their technical knowledge, experience, education and training and the context the AI systems are to be used in, and considering the persons or groups of persons on whom the AI systems are to be used.32024R1689-a5-p1The following AI practices shall be prohibited:32024R1689-a26-p1Deployers of high-risk AI systems shall take appropriate technical and organisational measures to ensure they use such systems in accordance with the instructions for use accompanying the systems, pursuant to paragraphs 3 and 6.32024R1689-a50-p1Providers shall ensure that AI systems intended to interact directly with natural persons are designed and developed in such a way that the natural persons concerned are informed that they are interacting with an AI system, unless this is obvious from the point of view of a natural person who is reasonably well-informed, observant and circumspect, taking into account the circumstances and the context of use. This obligation shall not apply to AI systems authorised by law to detect, prevent, investigate or prosecute criminal offences, subject to appropriate safeguards for the rights and freedoms of third parties, unless those systems are available for the public to report a criminal offence.