Règles et sécurité de l'IA en entreprise

Une IA en entreprise est soumise à trois séries de règles : la sécurité des systèmes, la protection des données personnelles et le règlement européen sur l'IA. Trois sites du réseau les décrivent, d'après les guides de l'ANSSI, les fiches de la CNIL, l'OWASP et le texte officiel. Ce qui suit donne les points à vérifier ; il ne remplace pas l'avis d'un juriste.

Les sujets et les pages à lire

Sujet	Hôte et page du réseau	Ce qu'il faut vérifier avant
Analyse de risque	securite : Analyse de risque d'un système d'IA	À faire dès le lancement du projet, avant de choisir les protections.
Référentiel de l'ANSSI	securite : Sécuriser un chatbot d'entreprise	Le guide de l'ANSSI du 29/04/2024 (référence ANSSI-PA-102) compte 35 recommandations : un système d'IA générative est d'abord une application métier ordinaire.
Injection de prompt	securite : Injection de prompt	Premier risque de l'OWASP Top 10 LLM, édition 2026 parue en août 2026.
Empoisonnement et fuite	securite : Empoisonnement de données	L'ANSSI classe les attaques en trois familles : manipulation, infection, exfiltration.
Tests d'attaque	securite : Red teaming d'une IA	Tester par des attaques avant la mise en service, puis régulièrement.
Journalisation	securite : Journalisation de l'IA	Journaliser chaque traitement, pour pouvoir reconstituer un incident.
Deux traitements distincts	rgpd : Définir la finalité d'un système d'IA	Le développement et le déploiement ont chacun leur finalité, leur base légale et leurs durées de conservation.
Fournisseur et sous-traitant	rgpd : Responsable de traitement ou sous-traitant ?	La qualification du fournisseur et le contrat de l'article 28 du RGPD.
Données personnelles envoyées au modèle	rgpd : Pseudonymiser avant d'envoyer à un modèle de langage	Ce qui part vers le modèle, et ce qui peut être remplacé avant l'envoi.
Analyse d'impact	rgpd : L'analyse d'impact d'un projet d'IA	Les huit risques propres à l'IA listés par la CNIL.
Rôle au regard de l'AI Act	ai-act : Fournisseur ou déployeur	Le fournisseur développe le système ; le déployeur l'utilise sous son autorité. Une entreprise qui intègre un modèle dans son produit peut devenir fournisseur.
Dates d'application	ai-act : Calendrier d'application	Applicable en grande partie depuis le 02/08/2026 ; haut risque reporté au 02/12/2027 (annexe III) et au 02/08/2028 (annexe I).
Chatbot sur un site	ai-act : Transparence des chatbots (article 50)	Les règles de transparence de l'article 50 s'appliquent depuis le 02/08/2026.
Grand modèle par API	ai-act : Modèles d'IA à usage général	Le cadre des modèles d'IA à usage général, pour qui intègre un grand modèle de langage par API.

Ce que les trois référentiels ont en commun

Les trois séries de règles convergent sur quelques principes. Les droits d'accès aux données se vérifient avant que le modèle lise quoi que ce soit. Les actions sensibles, comme envoyer, payer ou supprimer, passent par du code et une validation humaine, et non par une consigne écrite au modèle. Chaque traitement est journalisé, et le système est testé par des attaques avant sa mise en service. L'introduction du Top 10 de l'OWASP 2026, citée sur le guide de sécurité, le résume ainsi : construire le système autour du modèle, pour que rien d'important ne casse le jour où le modèle sera trompé.

Le RGPD s'applique dès que la base d'apprentissage contient des données personnelles, et le modèle lui-même peut en relever quand des données personnelles peuvent en être extraites par des moyens raisonnables. L'AI Act s'ajoute au RGPD sans le remplacer. Le règlement classe les usages par niveau de risque, selon ce que fait le système ; le guide AI Act en donne le détail.

Trois questions à se poser

Quel est votre rôle au sens de l'AI Act, fournisseur ou déployeur, et quelles obligations en découlent pour cet usage précis ?
Les données que l'IA lira contiennent-elles des données personnelles, et quel contrat lie l'entreprise à son fournisseur ?
Qui journalise les échanges, qui teste les attaques avant la mise en service, et qui valide les actions sensibles de l'IA ?

Pour aller plus loin

Les protections des agents et des intégrations sont détaillées dans Agents et intégration. Les choix d'hébergement, qui conditionnent beaucoup de réponses sur les données, sont dans Choisir son modèle d'IA et son hébergement. La surveillance après mise en service est dans Qualité et exploitation.

Qui édite ce site

Cercle IA Tech est édité par IArche, à Bayonne, qui édite aussi ALMA, la plateforme IA pour PME d'IArche. Ces pages décrivent des règles et des méthodes, pas un produit. Rien ici n'est un avis juridique : les textes officiels et les délégués à la protection des données restent la référence.