Ressource gratuite · Kit Word + Excel

Kit Sécurité et données du commanditaire de projet IA

Votre projet IA est-il prêt pour le go ? En 2 heures, identifiez ses risques, réduisez-les et décidez en connaissance de cause : go, go sous conditions, ou no go. Douze risques expliqués en langage de commanditaire, six lignes rouges, une décision qui se signe. Sans jargon et sans le discours de la peur.

📄 Word, 49 pages📊 Classeur Excel, 9 onglets🇫🇷 À jour ANSSI, OWASP et IBM 2026🆓 Gratuit

Télécharger le kitVoir les douze risques

La scène se répète dans toutes les grandes organisations. Le pilote a convaincu, les utilisateurs en redemandent, le comité veut une date de déploiement. Puis le RSSI pose trois questions : quelles données l’outil pourra-t-il lire, que fera l’agent tout seul, et que se passera-t-il si quelqu’un le détourne. Personne autour de la table n’a la réponse, et le projet repart pour un trimestre d’analyses dont le commanditaire ne comprend ni l’objet ni l’issue. À l’inverse, d’autres projets passent sans que personne ne pose ces questions, et c’est souvent là que naissent les incidents.

Ce kit donne au commanditaire de quoi tenir son rôle sans devenir expert en cybersécurité : un parcours en quatre étapes, prendre conscience, évaluer, mitiger, décider, qui se fait en deux heures avec le chef de projet et se termine par une décision écrite. Il ne remplace pas le travail du RSSI ; il permet d’arriver devant lui avec un projet déjà qualifié, les bonnes questions, et une responsabilité clairement placée là où elle doit être : chez celui qui porte le projet.

1. L’IA a changé la menace, et votre projet est dans le périmètre

Les attaquants utilisent l’IA, et les systèmes d’IA sont eux-mêmes devenus des cibles. En février 2026, le CERT-FR constate que l’IA générative est intégrée à toutes les étapes de la chaîne d’attaque (ingénierie sociale et deepfakes, code malveillant, analyse des données volées) et que les systèmes d’IA subissent des attaques qui leur sont propres : empoisonnement des données d’entraînement, portes dérobées dans les modèles, injection de prompt. Les faits ci-dessous sont ceux sur lesquels le kit s’appuie, avec leur source et leur date.

Date	Fait ou chiffre	Ce que cela change pour un commanditaire
Avril 2023	Samsung : des ingénieurs collent du code source et des comptes rendus de réunion internes dans ChatGPT ; l’entreprise restreint ensuite l’usage des IA génératives publiques.	Le shadow AI naît d’un besoin légitime non couvert : interdire ne suffit pas, il faut offrir une alternative validée.
Juin 2025	EchoLeak (CVE-2025-32711), découverte par Aim Security : un email contenant une consigne cachée suffisait pour que Microsoft 365 Copilot exfiltre des données internes, sans aucune action de l’utilisateur. Microsoft l’a corrigée côté serveur avant la publication.	Tout contenu que lit l’IA (email, document, page web) est une entrée potentiellement hostile.
2025	USENIX Security, Spracklen et al. : sur 576 000 extraits de code générés, environ 19,7 % des paquets logiciels recommandés n’existaient pas ; des attaquants publient ensuite des paquets malveillants sous ces noms (slopsquatting).	Chaque composant que l’IA propose d’installer doit être vérifié avant usage.
4 février 2026	ANSSI et CERT-FR, synthèse de la menace 2025 sur l’IA générative : recommandation centrale de cloisonner strictement les systèmes d’IA et les environnements sensibles.	Le cloisonnement se décide au cadrage du projet, pas après le déploiement.
Été 2026	IBM, Cost of a Data Breach Report 2026 : coût moyen mondial d’une violation de 4,99 M$ (+12 %) ; plus d’une organisation sur quatre a subi une attaque utilisant l’IA ; 43 % des incidents impliquent du shadow AI, pour un coût moyen de 5,39 M$ contre 4,63 M$ ; 92 % des organisations touchées par un incident lié à l’IA n’avaient pas de contrôle d’accès sur leurs outils IA.	Les incidents coûteux viennent d’abord de l’absence de règles et de droits d’accès, pas d’attaques exotiques.
28 juillet 2026	Veracode, 2026 GenAI Code Security Report : le code généré par IA ne passe les tests de sécurité que dans 56 % des cas, 44 % des tâches introduisent une vulnérabilité, et le taux de réussite tombe à 15 % sur le cross-site scripting. « La syntaxe est résolue, la sécurité ne l’est pas. »	Aucun code généré ne part en production sans revue humaine ni analyse automatique.
Septembre 2026	OWASP GenAI Security Project : Top 10 for LLM Applications 2026, Top 10 for Agentic Applications 2026, MCP Top 10, Agent Control Standard.	Les agents et les connecteurs ont désormais leurs propres listes de risques : ce sont les vôtres dès que le projet agit.

Le kit précise aussi les délais qui s’imposent le jour d’un incident (72 heures pour notifier la CNIL d’une violation de données personnelles, 24 heures pour l’alerte précoce d’une entité soumise à NIS2, 15 jours pour un incident grave sur un système à haut risque au sens du règlement IA, à partir du 2 décembre 2027) et le calendrier du règlement « Omnibus IA » (règlement (UE) 2026/1744), qui a décalé les obligations haut risque au 2 décembre 2027 pour l’annexe III et au 2 août 2028 pour l’annexe I, a reformulé l’article 4 (maîtrise de l’IA par le personnel) en obligation de moyens, sans en différer l’application, et a seulement accordé un délai jusqu’au 2 décembre 2026 pour le marquage des contenus prévu par l’article 50 (transparence).

2. Le parcours en quatre étapes, de la prise de conscience à la décision

Le kit suit un seul fil, du constat à la signature. Chaque étape a son chapitre dans le document Word et ses onglets dans le classeur Excel, qui calcule le niveau d’exposition, la pertinence des risques, les scores et la décision. Les cellules jaunes sont à remplir, les grises sont calculées.

Étape	Ce qu’on fait	Ce qui en sort
1. Prendre conscience	Lire les douze fiches risques : le risque en une phrase, comment il arrive, le cas qui fait réfléchir, les signaux dans votre projet, la question à vous poser, qui doit répondre	Un vocabulaire commun avec le RSSI et le DPO (onglet « 2 Risques »)
2. Évaluer	Répondre aux dix questions du profil du projet, filtrer les risques pertinents, coter chacun en gravité × vraisemblance	Un niveau d’exposition de 1 à 4 et une carte de chaleur (onglets « 1 Profil » et « 3 Cotation »)
3. Mitiger	Choisir les mesures par risque avec un responsable, un effort et une échéance ; poser les questions au RSSI, au DPO et au fournisseur	Un plan de mesures et les risques résiduels (onglets « 4 Mitigation » et « 8 Fournisseur »)
4. Décider	Vérifier les six lignes rouges, appliquer la grille de décision, s’assurer d’être prêt à l’incident	Go, go sous conditions ou no go, et une fiche de décision à signer (onglets « 5 Lignes rouges », « 6 Décision » et « 7 Incidents »)

3. Les douze risques qu’un commanditaire doit connaître

Chaque risque fait l’objet d’une fiche d’une page, écrite pour un décideur et non pour un spécialiste. Tous ne concernent pas tous les projets : le profil du projet indique lesquels sont pertinents pour le vôtre. Voici les douze, avec la question que le kit vous demande de vous poser.

Risque	En une phrase	La question à vous poser
R1. Fuite de données par les prompts	Des salariés collent des données confidentielles (contrats, code, données clients, données personnelles) dans un outil IA qui les conserve ou les réutilise.	Quelles données vont entrer dans l’outil, et où vont-elles ?
R2. Sur-partage	L’IA retrouve et résume des documents auxquels l’utilisateur a techniquement accès mais qu’il ne devrait pas voir : dossiers RH mal protégés, salaires, plans de réorganisation, sites ouverts à « tout le monde ».	Nos droits d’accès sont-ils propres avant de brancher une IA qui lit tout ?
R3. Shadow AI autour du projet	Des outils ou agents IA non validés sont utilisés en parallèle, ou le projet lui-même échappe à la DSI.	Qu’utilisent déjà mes équipes, et pourquoi ?
R4. Injection de prompt	Une consigne cachée dans un email, un document, une page web ou un ticket détourne l’IA : exfiltration, actions non voulues, désinformation.	Quels contenus que l’IA va lire ne sont pas sous notre contrôle ?
R5. Agent qui dépasse son mandat	Un agent exécute des actions irréversibles (envoyer, supprimer, payer, modifier) sans validation, ou enchaîne des outils au-delà du périmètre prévu.	Qu’est-ce que l’agent a le droit de faire, et qui appuie sur le bouton ?
R6. Code généré vulnérable	Du code produit par un assistant passe en production sans revue ni analyse.	Qui relit, qui teste, et comment sait-on qu’un code vient de l’IA ?
R7. Chaîne d’approvisionnement IA	Paquets logiciels hallucinés, serveurs MCP et connecteurs tiers, modèles téléchargés, extensions de navigateur IA entrent dans le projet sans contrôle.	Quels composants tiers entrent dans le projet, et qui les a vérifiés ?
R8. Fournisseur et données	Réutilisation des données pour entraîner les modèles, localisation hors UE, conservation des prompts, sous-traitants, réversibilité, dépendance.	Ai-je le contrat et les réponses écrites du fournisseur sur ces cinq points ?
R9. Hallucination à impact	Une réponse fausse mais plausible est utilisée pour une décision client, juridique, financière, médicale ou RH sans vérification humaine.	Où une erreur de l’IA ferait-elle vraiment mal, et qui vérifie avant d’agir ?
R10. Fraude et deepfake	Usurpation d’identité d’un dirigeant, d’un fournisseur ou d’un client par une voix ou une vidéo générée, hameçonnage personnalisé.	Nos procédures de validation (paiement, changement de RIB, accès) résistent-elles à une voix ou une vidéo parfaites ?
R11. Incident invisible	Aucune journalisation des prompts, des réponses et des actions : personne ne saurait qu’une fuite ou un détournement a eu lieu, ni ne pourrait le prouver.	Si un incident arrivait demain, que verrait-on, et qui serait prévenu ?
R12. Non-conformité	Données personnelles sans base légale ni information, obligations du règlement IA, secteurs régulés, dialogue social oublié.	Mon DPO et mon juriste ont-ils vu le projet ?

4. Évaluer et réduire : profil, cotation, mesures et questions à poser

L’évaluation part du projet, pas d’une liste de menaces. Dix questions décrivent son profil : les données traitées, les utilisateurs, ce que fait l’IA (lire, rédiger, recommander, agir seule), l’hébergement, les contenus qu’elle lit, le code, les composants tiers, l’impact d’une erreur, la journalisation et la gouvernance. Chaque réponse vaut de 0 à 3 points ; le total, sur 30, donne un niveau d’exposition de 1 (faible) à 4 (critique) et indique quels risques sont pertinents. Chacun est ensuite coté en gravité et en vraisemblance sur une échelle de 1 à 4, à partir de valeurs par défaut que vous ajustez, et le classeur place les douze sur une carte de chaleur.

Pour réduire les risques, le kit propose une soixantaine de mesures prêtes à affecter, avec un responsable, un effort et une échéance. Pour un agent, par exemple : moindre privilège, validation humaine avant toute action irréversible, liste blanche d’outils et d’actions, bac à sable pour les tests, journal de chaque action avec arrêt d’urgence. Deux fiches thématiques vont plus loin : les dix règles du code généré par IA, et la préparation des données avant un assistant d’entreprise type Microsoft 365 Copilot en huit points (inventaire du sur-partage, Restricted Content Discovery sur les sites sensibles, étiquettes de sensibilité, règles DLP, nettoyage des liens ouverts à « tout le monde », Purview DSPM for AI, pilote de 50 personnes sur un périmètre propre, revue des rapports avant extension).

Le commanditaire n’a pas à trouver seul les réponses : il doit poser les bonnes questions aux bonnes personnes. Le kit en fournit dix pour le RSSI, dix pour le DPO, et vingt-cinq pour le fournisseur, notées sur 50 dans l’onglet « 8 Fournisseur » : de 40 à 50, le fournisseur est solide ; de 25 à 39, des clauses sont à négocier avant signature ; en dessous de 25, c’est une ligne rouge à discuter avec le RSSI.

5. Décider : six lignes rouges et une grille go, go sous conditions, no go

La décision n’est pas une moyenne de scores. Six lignes rouges s’appliquent à tous les projets, quelle que soit leur taille : une seule non levée suffit à rendre la décision « no go ».

Ligne rouge	Ce qui doit être vrai avant le go
L1. Données	Aucune donnée secrète, classifiée ou sensible au sens du RGPD n’est envoyée vers un service qui n’a pas été qualifié par le RSSI et le DPO.
L2. Agents	Aucun agent ne peut exécuter une action irréversible (envoi externe, suppression, paiement, modification de données de référence) sans validation humaine.
L3. Fournisseur	Le fournisseur s’est engagé par écrit à ne pas réutiliser nos données pour entraîner ses modèles, ou l’option de refus est activée et vérifiée.
L4. Journalisation	Les prompts, réponses et actions sont journalisés, et quelqu’un est désigné pour les regarder.
L5. Incident	Un plan de réponse à incident existe pour ce projet : fiches réflexes, contacts, arbre de notification.
L6. Risques critiques	Tout risque coté critique après mitigation a un responsable nommé qui l’accepte par écrit.

Décision	Quand	Ce qui suit
No go	Au moins une ligne rouge n’est pas levée, ou un risque résiduel critique n’est pas accepté.	Réduire le périmètre (moins de données, moins d’utilisateurs, lecture seule au lieu d’action) ou changer de solution (version entreprise, hébergement UE, autre fournisseur), puis refaire le parcours.
Go sous conditions	Toutes les lignes rouges sont levées, mais il reste au moins un risque résiduel élevé ou critique accepté.	Les conditions sont les mesures datées restantes, avec un jalon de revue à 90 jours au plus.
Go	Toutes les lignes rouges sont levées et aucun risque résiduel ne dépasse le niveau modéré.	Revue à 90 jours, cinq indicateurs à suivre, réévaluation à chaque extension du périmètre.

La décision se formalise sur une fiche d’une page : niveau d’exposition, nombre de risques par niveau avant et après mitigation, état des lignes rouges, décision, conditions et échéances, risques résiduels acceptés et par qui, date de revue. Le commanditaire la signe ; le RSSI et le DPO y portent leur avis.

6. Être prêt à l’incident : la condition du go

Un projet IA n’est pas prêt s’il ne sait pas quoi faire le jour où quelque chose tourne mal. Le kit fournit six fiches réflexes d’une demi-page, construites sur le cycle de réponse à incident adapté à l’IA par la CoSAI (détecter, contenir, qui prévenir, notifier, tirer les leçons) : fuite de données par un prompt, injection de prompt ou détournement de l’IA, agent qui a agi hors mandat, code vulnérable généré par IA découvert en production, hallucination ayant conduit à une décision dommageable, fraude par deepfake ou usurpation. Il propose aussi un exercice sur table d’une heure avant le go, avec six participants (commanditaire, RSSI, DPO, DSI, métier, communication), cinq questions à dérouler et un compte rendu d’une page.

Situation	Qui notifie qui	Délai
Violation de données personnelles	Le DPO notifie la CNIL (RGPD, article 33), et les personnes concernées si le risque est élevé	72 heures après en avoir eu connaissance
Incident dans une entité soumise à NIS2	L’entité informe l’ANSSI	Alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois
Incident grave sur un système à haut risque (règlement IA, article 73, applicable à partir du 2 décembre 2027)	Le fournisseur du système informe l’autorité de surveillance du marché	15 jours ; 10 jours en cas de décès ; 2 jours pour une perturbation d’infrastructure critique ou une violation à grande échelle
Dans tous les cas	Fournisseur, assureur cyber, direction, communication ; dépôt de plainte en cas de fraude	Selon les fiches réflexes

7. Ce que contient le kit

Le document Word compte 49 pages : le mode d’emploi, avec ce que le kit ne remplace pas ; l’étape 1, les douze fiches risques ; l’étape 2, le profil du projet en dix questions, le filtre des risques pertinents et la cotation gravité × vraisemblance ; l’étape 3, les mesures par risque, les dix règles du code généré, la préparation des données avant un assistant d’entreprise type Microsoft 365 Copilot, les dix questions au RSSI, les dix questions au DPO et les vingt-cinq questions au fournisseur ; l’étape 4, les six lignes rouges, la grille de décision, la fiche de décision à signer et la condition « prêt à l’incident » (six fiches réflexes, arbre de notification, exercice sur table) ; l’après go (revue à 90 jours, cinq indicateurs, déclencheurs de réévaluation). Six annexes complètent le guide : la note au comité de direction prête à adapter, la checklist en trente points, douze questions fréquentes, le glossaire de vingt-cinq termes, les sources datées et une page pour aller plus loin.

Le classeur Excel « Outils du kit » compte neuf onglets, dans l’ordre du parcours : « 0 Mode d’emploi » (le parcours, la légende des couleurs, l’avertissement) ; « 1 Profil » (les dix questions en listes déroulantes et le niveau d’exposition calculé) ; « 2 Risques » (les douze risques et leur pertinence calculée) ; « 3 Cotation » (gravité, vraisemblance, score, niveau et carte de chaleur 4 × 4) ; « 4 Mitigation » (une soixantaine de mesures préremplies avec responsable, effort, échéance, statut, et le résiduel par risque) ; « 5 Lignes rouges » ; « 6 Décision » (la décision calculée avec son motif, puis la fiche à compléter) ; « 7 Incidents » (le registre des incidents et des notifications) ; « 8 Fournisseur » (les vingt-cinq questions notées sur 50 et leur interprétation).

Le kit, partie par partie : ce que chaque partie contient et à quoi elle sert. Les modèles à remplir sont dans le document Word et le classeur Excel.

Partie 1. Pourquoi ce kit

1.4 Pourquoi c’est l’affaire du commanditaire

Le RSSI analyse les menaces, choisit les protections et surveille, mais trois décisions lui échappent. Le périmètre : quelles données l’IA pourra lire, pour quels utilisateurs, et si elle pourra agir. L’acceptation écrite du risque résiduel, car aucune mesure ne ramène un risque à zéro. La coordination : selon IBM, seules 19 % des organisations déclarent une coordination entre gouvernance et sécurité.

Partie 3. Étape 2 : évaluer

Du score au niveau d’exposition

Le score du profil, de 0 à 30, donne quatre niveaux : de 0 à 7, faible, les six lignes rouges restant à vérifier ; de 8 à 14, modéré, le RSSI et le DPO étant au minimum informés ; de 15 à 21, élevé, la vraisemblance de chaque risque pertinent étant relevée d’un point et un pilote restreint prévu avant extension ; de 22 à 30, critique, avec une analyse de risques formelle du RSSI avant toute décision.

Quatre conseils pour bien coter

Coter ce qui peut raisonnablement arriver, pas le pire imaginable ; coter la situation actuelle, sans les mesures prévues, qui comptent à l’étape 3 dans le risque résiduel ; justifier en une ligne chaque écart avec la valeur par défaut ; faire relire la cotation par le RSSI, qui connaît les incidents passés et l’état réel des protections.

3.4 Lire la carte de chaleur

La carte place chaque risque dans une grille de 4 × 4 cases, gravité en lignes et vraisemblance en colonnes, du vert au rouge. On la lit en partant du coin supérieur droit, où se trouvent les risques critiques à traiter en premier. L’objectif de l’étape 3 est de faire glisser les risques vers le bas et vers la gauche : les mesures réduisent surtout la vraisemblance, parfois la gravité.

Partie 4. Étape 3 : mitiger

Pour chacun des douze risques, le kit propose des mesures avec un responsable et un effort (faible, moyen ou élevé) ; on retient d’abord celles qui portent sur les risques élevés et critiques. Un risque qui reste critique après mitigation exige qu’un responsable nommé l’accepte par écrit.

R1 · Fuite de données par les prompts

Fournir une version entreprise de l’outil, publier une règle écrite « ce qui ne se colle jamais », poser des étiquettes de sensibilité et des règles DLP, sensibiliser tous les utilisateurs 30 minutes avant l’ouverture de l’accès, revoir les usages chaque trimestre. La règle compte six catégories : données personnelles, identifiants et secrets, code source, données financières non publiées, documents de stratégie, informations sous secret légal ou accord de confidentialité.

R2 · Sur-partage

On ne branche pas une IA qui lit tout sur des droits d’accès que personne n’a revus : inventaire des sites et dossiers trop ouverts, restriction provisoire des sites sensibles (Restricted Content Discovery dans Microsoft 365), correction des droits par les propriétaires de sites avec une échéance, étiquettes de sensibilité sur les contenus RH, finance et direction, pilote sur un périmètre propre avant toute extension.

R3 · Shadow AI autour du projet

Encadrer plutôt qu’interdire, en cinq temps : recenser les usages sans sanction par une déclaration ouverte pendant 15 jours, offrir une alternative validée au moins aussi bonne, publier un catalogue d’outils autorisés avec une réponse à toute demande en 10 jours ouvrés, détecter les usages résiduels par le réseau et le navigateur (CASB, filtrage), puis communiquer la règle et mesurer.

R4 · Injection de prompt

On ne peut pas empêcher un attaquant d’écrire un email ; on peut limiter ce que l’IA en fait. Traiter tout contenu lu par l’IA comme non fiable, limiter les sources au strict nécessaire, interdire les actions automatiques déclenchées par un contenu lu, filtrer les sorties avant qu’elles atteignent un autre système, exiger du fournisseur la description de ses défenses et son délai de correction.

Agents et serveurs MCP

Le commanditaire formalise le mandat de l’agent : action par action, ce qu’il peut faire seul, après validation humaine, ou jamais. Par défaut, toute action irréversible est soumise à validation ou interdite. S’y ajoutent un compte dédié aux seuls droits de la tâche, une liste blanche d’outils et de serveurs MCP inscrits au registre de la DSI, un bac à sable, un journal avec arrêt d’urgence et une revue à chaque extension.

Les 10 règles du code généré

Relecture humaine compétente avant fusion, analyse automatique de sécurité (SAST) et des dépendances (SCA), aucun secret dans les prompts ni dans le code, vérification de chaque dépendance contre le slopsquatting, fichier d’instructions sécurité fourni à l’assistant (OpenSSF), traçage du code IA, tests ciblés sur le cross-site scripting et l’injection de logs, pas d’accès aux données de production, version entreprise, formation des développeurs.

R7 · Chaîne d’approvisionnement IA

Rien n’entre dans le projet sans être inventorié et vérifié : inventaire des serveurs MCP, extensions, modèles et paquets ; registre des connecteurs approuvés, les autres étant bloqués ; vérification des paquets avant installation ; suivi des vulnérabilités des composants ; modèles et serveurs MCP uniquement de sources signées ou validées par la DSI.

R8 · Fournisseur et données

Ce qui n’est pas écrit n’est pas garanti : le questionnaire de 25 questions est renvoyé par écrit avant signature ; le contrat prévoit la non-réutilisation des données, la localisation UE, la durée de conservation des prompts, la notification d’incident sous 48 h, l’audit, la réversibilité et la suppression en fin de contrat ; le fournisseur est revu chaque année.

R9 · Hallucination à impact

L’IA informe ou recommande ; au-delà d’un seuil, un humain décide. Cartographier les décisions où l’IA intervient (information, recommandation, décision), imposer une validation humaine au-delà d’un seuil de montant ou d’impact, afficher les sources et le niveau de confiance, tester la qualité sur un échantillon avant le déploiement puis chaque mois, former les utilisateurs à vérifier.

R10 · Fraude et deepfake

Aucune voix, aucune vidéo, aucun email ne suffit seul à déclencher un paiement ou un accès : double validation hors canal par rappel sur un numéro connu, mot de passe oral ou code pour les demandes urgentes du dirigeant, sensibilisation aux deepfakes avec des exemples concrets, signalement en un clic, exercice semestriel de tentative de fraude.

R11 · Incident invisible

Voir, alerter, savoir qui appeler : journaliser prompts, réponses, actions d’agents et accès aux données pour une durée définie avec le DPO, poser des alertes sur les volumes anormaux, les exfiltrations et les actions hors périmètre, identifier un contact d’astreinte pour l’outil, préparer les fiches réflexes et tenir un exercice sur table avant le go.

4.3 Les 10 questions à poser au RSSI

Dix questions pour un premier rendez-vous d’une heure, avec ce que contient une réponse solide : l’analyse selon la méthode de risques de l’organisation (par exemple EBIOS RM), les données atteignables et les droits, la protection contre l’injection, la journalisation, le plan en cas de fuite, le cloisonnement de l’agent, l’évaluation du fournisseur, la détection du shadow AI, les tests avant production, et ce dont le RSSI a besoin du commanditaire.

4.4 Les 10 questions à poser au DPO

La base légale, la nécessité d’une analyse d’impact, le rôle du fournisseur (sous-traitant ou responsable conjoint), l’hébergement et la conservation des données, prompts compris, l’information des personnes, les demandes d’accès ou d’effacement, la durée de conservation des journaux, les décisions automatisées, la notification de la CNIL sous 72 h et les points de blocage, à connaître au cadrage plutôt qu’à la veille du go.

4.5 Les 25 questions à poser au fournisseur

Des questions sur les données, la sécurité, la sécurité IA, la traçabilité, les incidents, la continuité, la réversibilité, la conformité, les agents et la gouvernance, à renvoyer par écrit avec des preuves avant signature : une réponse orale ne compte pas. Une note ne remplace pas le jugement : un « Non » à la question 1, sur la réutilisation des données pour l’entraînement, pèse plus que plusieurs « Partiel » sur la gouvernance.

Partie 5. Étape 4 : décider

5.7 L’exercice sur table

Une heure, six participants et un scénario fictif (fuite par un prompt ou agent hors mandat), avant le go : il conditionne la levée de la ligne rouge L5. Cinq questions à dérouler : comment l’apprend-on et en combien de temps, qui décide de couper et comment, quelles données sont touchées, qui prévenir et sous quel délai, que dit-on et à qui. Le livrable est un compte rendu d’une page avec trois actions.

Partie 6. Après le go

6.1 La revue à 90 jours

Au plus tard 90 jours après le go, une heure avec le commanditaire, le RSSI, le DPO et un représentant des utilisateurs : conditions du go remplies ou non, lecture des cinq indicateurs, incidents et leçons, évolution du périmètre, puis décision confirmée, ajustée ou suspendue et date de la revue suivante.

6.2 Cinq indicateurs à suivre

Le taux d’utilisateurs formés, le nombre d’incidents et de signalements, la part des actions d’agent validées par un humain, les outils shadow détectés et régularisés, le délai de traitement d’une demande d’outil (engagement de 10 jours ouvrés). Un projet qui ne remonte aucun signalement en trois mois est rarement un projet sans incident : c’est plus souvent un projet où personne ne sait à qui signaler.

6.3 Quand refaire le parcours

Les étapes 2 à 4 se refont à chaque extension du périmètre (surtout le passage de la lecture à l’action), à chaque changement de fournisseur ou de modèle, après tout incident significatif ou incident public sur un outil comparable, à chaque nouvelle réglementation (obligations haut risque de l’AI Act, loi française de transposition de NIS2), et tous les six mois.

Annexes. Des modèles prêts à adapter

Annexe A. Note au comité de direction

Une page pour obtenir trois décisions qui relèvent du comité : le périmètre, les moyens des mesures de sécurité et l’acceptation des risques qui resteront. Elle présente trois chiffres IBM 2026, l’évaluation du projet avec le kit, ce que le comité doit arbitrer et ce que coûte de ne rien faire : un shadow AI qui progresse, des données qui sortent sans trace, une réponse à incident improvisée.

Annexe B. Checklist en 30 points

Les trente mesures les plus importantes du kit, réparties par étape. Un point non coché à la veille du go doit être soit une condition datée du go, soit un risque résiduel accepté.

8. Questions fréquentes

Interdire les IA grand public suffit-il ?

Non. Selon le rapport IBM 2026, la part des incidents impliquant du shadow AI a doublé pour atteindre 43 %, avec un coût moyen de 5,39 M$ contre 4,63 M$ pour les autres. Le shadow AI naît d’un besoin légitime non couvert : la réponse est d’offrir une alternative validée, un catalogue d’outils autorisés et un circuit de demande rapide, selon la règle « encadrer plutôt qu’interdire ».

Microsoft 365 Copilot en version entreprise est-il sûr par défaut ?

Il est sûr côté Microsoft, mais il hérite de vos droits d’accès : tout ce qu’un utilisateur peut techniquement ouvrir, Copilot peut le retrouver et le résumer. D’où l’importance de traiter le sur-partage avant le déploiement. La faille EchoLeak de 2025, corrigée par Microsoft, a aussi montré que les contenus lus par l’assistant peuvent être hostiles.

Un no go est-il un échec ?

Non, c’est une décision documentée. Le kit propose deux alternatives : réduire le périmètre (moins de données, moins d’utilisateurs, lecture seule au lieu d’action) ou changer de solution (version entreprise, hébergement UE, autre fournisseur), puis refaire le parcours. Un no go au cadrage coûte beaucoup moins cher qu’un incident après le déploiement.

Faut-il un RSSI pour utiliser ce kit ?

Non : il est écrit pour le commanditaire. Mais il ne remplace pas l’analyse de risques du RSSI ; il prépare l’échange avec lui, grâce aux dix questions à lui poser, et la fiche de décision prévoit son avis à côté de celui du DPO.

Quelle différence avec le kit RGPD ?

Le kit RGPD du commanditaire traite la conformité des traitements de données personnelles : base légale, analyse d’impact, information des personnes. Ce kit traite la sécurité du projet et de toutes ses données : fuites, injection de prompt, agents, code, fournisseur, incidents. Le risque de non-conformité (R12) renvoie explicitement au kit RGPD, au kit IA Act et au kit IA et dialogue social.

Et pour un agent qui agit tout seul ?

C’est le cas où la ligne rouge L2 compte le plus : aucune action irréversible sans validation humaine. Le kit y ajoute le moindre privilège (l’agent n’a que les droits de sa tâche), une liste blanche d’outils et d’actions, un bac à sable pour les tests, un journal de chaque action avec arrêt d’urgence, et une revue du périmètre à chaque extension.

Qui signe la fiche de décision ?

Le commanditaire, parce que la décision lui appartient. Le RSSI et le DPO y portent leur avis, et chaque risque coté critique après mitigation doit être accepté par écrit par un responsable nommé.

Que faire si le fournisseur ne répond pas au questionnaire ?

Une absence de réponse vaut zéro point dans l’onglet « 8 Fournisseur ». En dessous de 25 sur 50, c’est une ligne rouge à discuter avec le RSSI, et sans engagement écrit de non-réutilisation des données pour l’entraînement, la ligne rouge L3 n’est pas levée.

9. Aller plus loin

Ce kit est le pendant « sécurité » des autres kits du commanditaire : le kit RGPD du commanditaire pour la conformité des données personnelles, le kit IA Act du commanditaire pour la maîtrise de l’IA, la transparence et le haut risque, le kit IA et dialogue social pour l’information et la consultation des représentants du personnel, le kit IA frugale pour l’empreinte environnementale du projet et le kit IA responsable pour les biais, la transparence et la supervision humaine. Le kit Gouvernance des systèmes d’IA fournit le registre des systèmes et agents sur lequel s’appuient la revue à 90 jours et les réévaluations. Les organisations qui veulent préparer la décision avec leur RSSI, leur DPO et le métier en une demi-journée peuvent s’appuyer sur la mission Gouverner vos agents et sur la formation IA en entreprise.

À lire aussi : Kit RGPD du commanditaire de projet IA, Kit IA Act du commanditaire : la feuille de route 2026-2027, Kit IA et dialogue social du commanditaire de projet IA et Gouvernance des systèmes d’IA : le kit 2026.

Toute la série des kits gratuits. Pour piloter l’adoption : modèle de charte IA, kit Ambassadeurs IA, kit du manager face à l’IA, kit Feuille de route d’adoption, grille de maturité IA, kit Mesure et ROI de l’IA et kit Gouvernance des IA. Pour le commanditaire de projet IA : kit IA Act, kit RGPD, kit IA et dialogue social, kit IA frugale, kit Souveraineté IA et kit IA responsable. Par métier : kit IA RH, kit IA marketing, kit IA finance, kit IA juristes, kit IA du commercial, kit IA du chef de projet, kit IA de l’innovateur et kit IA du communicant.

10. Sources

Les chiffres et positions cités sur cette page et dans le kit s’appuient sur les sources suivantes, datées. Informations à jour en octobre 2026.

• IBM, Cost of a Data Breach Report 2026, été 2026 (602 violations analysées dans 17 secteurs, de mars 2025 à février 2026).
• Veracode, 2026 GenAI Code Security Report, 28 juillet 2026.
• ANSSI et CERT-FR, L’IA générative face aux attaques informatiques : synthèse de la menace en 2025 (CERTFR-2026-CTI-001), 4 février 2026.
• ANSSI, Recommandations de sécurité pour un système d’IA générative, 29 avril 2024 ; ANSSI et BSI, AI Coding Assistants, 4 octobre 2024 ; ANSSI, Développer la confiance dans l’IA par une approche par les risques cyber, 7 février 2025 ; ANSSI et BSI, Design Principles for LLM-based Systems with Zero Trust, 11 août 2025 ; ANSSI, Evaluation methods for products integrating AI (MEPIA), 15 juillet 2026.
• NIST, CVE-2025-32711 (EchoLeak), Microsoft 365 Copilot, juin 2025, découverte par Aim Security.
• Samsung, restriction de l’usage des IA génératives publiques après que des ingénieurs y ont collé du code source et des comptes rendus de réunion internes, avril 2023.
• J. Spracklen et al. (université du Texas à San Antonio), We Have a Package for You! A Comprehensive Analysis of Package Hallucinations by Code Generating LLMs, USENIX Security 2025.
• OWASP GenAI Security Project : Top 10 for LLM Applications 2026 (septembre 2026), Top 10 for Agentic Applications 2026, OWASP MCP Top 10, Agent Control Standard (septembre 2026).
• Coalition for Secure AI (CoSAI), AI Incident Response Framework v1.0, 30 octobre 2025 ; OpenSSF, Security-Focused Guide for AI Code Assistant Instructions, 1er août 2025.
• Microsoft, Microsoft 365 Copilot blueprint for oversharing (Microsoft Learn) ; CNIL, Comment déployer une IA générative ?, 18 juillet 2024.
• ETSI EN 304 223, Securing Artificial Intelligence : Baseline Cyber Security Requirements for AI Models and Systems, 2025 ; Cloud Security Alliance, AI Controls Matrix v1.1, juillet 2026 ; NIST, Cyber AI Profile (IR 8596, projet), décembre 2025 ; normes ISO/IEC 42001 et ISO/IEC 27001.
• Union européenne, Règlement (UE) 2016/679 (RGPD), article 33 ; directive NIS2 ; règlement (UE) 2024/1689 sur l’intelligence artificielle, articles 4, 50 et 73, modifié par le règlement (UE) 2026/1744 (« Omnibus IA »), en vigueur le 27 juillet 2026.