Obligations de sécurité et de résilience 

Panorama des obligations 

• Obligations générales (RGPD, Code du travail) 

• Obligations sectorielles (NIS 2, DORA, REC, etc.) 

• Obligations « by design » (RGPD, AI Act, CRA, etc.) 

Enjeux de mise en conformité 

• Responsabilité pénale du dirigeant 

  • Atteintes aux systèmes de traitement automatisé de données (STAD)

  • Manquement à une obligation de prudence ou de sécurité 

• Responsabilité civile et administrative de l’organisation 

  • Sanctions administratives

  • Responsabilité contractuelle et extracontractuelle 

Prise en compte des obligations de sécurité dans un projet d’IA 

Phase d’entraînement 

• Gérer ses données d’entraînement (anonymisation, pseudonymisation, recours aux données synthétiques, nettoyage des données, etc.) 

• Sélectionner l’architecture du modèle et le protocole d’apprentissage (confidentialité différentielle, choix des hyperparamètres, méthodes de généralisation, chiffrement, etc.) 

• Documenter les choix de conception 

Phase de déploiement   

• Sensibiliser et former les collaborateurs à l’utilisation sécurisée des outils d’IA 

• Établir les règles de recours et d’utilisation de l’IA (charte informatique, charte IA, etc.) 

• Formaliser les délégations et subdélégations de pouvoirs 

• Actualiser les contrats de travail et les fiches de poste 

• Prévoir des audits de sécurité́ et des tests fonctionnels métier 

Phase de production 

• Superviser et contrôler le fonctionnement du système (référent, DSI, etc.) 

• Utiliser des systèmes de « Data Loss Prevention » (DLP) 

• Authentifier les utilisateurs et gérer les accès 

• Mettre en place des outils de monitoring 

Cas d’usage 

• Démonstration d’agents conversationnels internes « My legal RSSI »  

• Charte d’usage : prévention du shadow AI