IA, cybersécurité et droit : les signaux que les dirigeants ne peuvent plus ignorer

Christiane Féral-Schuhl, Ancienne Bâtonnière de Paris, Ancienne Présidente du Conseil National des Barreaux, Avocate Associée au Cabinet Féral

Lundi matin, 8h12. Le directeur commercial d’une entreprise découvre sur LinkedIn une offre promotionnelle publiée au nom de sa société. Elle contient les noms de trois clients stratégiques et des conditions tarifaires strictement confidentielles. À 9h03, l’origine est identifiée : un collaborateur a utilisé un outil d’intelligence artificielle gratuit pour générer une proposition commerciale. À 11h17, un journaliste appelle. À 14h40, le client met fin à la négociation en cours. À 18h, la Commission nationale de l’informatique et des libertés (CNIL) est saisie.

Ce scénario est la réalité quotidienne des entreprises françaises, selon Christiane Féral-Schuhl. Avocate associée, ancienne bâtonnière du barreau de Paris et ancienne présidente du Conseil national des barreaux, elle a interrogé le public du Signal Paris sur une question fondamentale : maîtrisez-vous réellement l’utilisation de l’IA au sein de votre organisation ?

La vitesse de l’IA face au rythme de la réglementation

Il y a deux ans, lorsque Christiane Féral-Schuhl évoquait l’intelligence artificielle dans ses conférences, environ 10 % du public reconnaissait l’utiliser. Aujourd’hui, ce chiffre dépasse 90 %. Pourtant, aucune gouvernance n’est à la hauteur de cette progression fulgurante. L’IA générative cède désormais la place à l’IA agentique qui gère de manière autonome des boîtes mail, des chaînes d’approvisionnement, des prescriptions médicales ou encore des transactions financières, sans aucune validation humaine intermédiaire.

Face à cette réalité, le règlement européen sur l’intelligence artificielle (l’AI Act [AIA]) est entré en vigueur en 2024 et s’applique de manière progressive jusqu’en 2027. En tant que chef d’entreprise, vous êtes, dans la plupart des cas, ce que la réglementation qualifie de « déployeur » : toute personne physique ou morale utilisant un système d’intelligence artificielle sous sa propre autorité, dans un cadre professionnel. Ce statut crée des obligations concrètes, échelonnées selon le niveau de risque des systèmes déployés, et proportionnées à la taille de la structure.

Vous souhaitez approfondir ces éléments de réflexion ? Visionnez l’enregistrement de la session Signal Paris pour découvrir l’intégralité des échanges. 

Identifier les risques juridiques et sécuritaires qui comptent vraiment

Depuis le 2 février 2025, plusieurs interdictions sont déjà en vigueur. Parmi elles, l’impossibilité de mettre en place un système de notation sociale des salariés ou des clients, ou encore l’usage d’une webcam couplée à une IA pour analyser l’engagement émotionnel d’une équipe. Le risque réglementaire est réel et immédiat. « Vérifiez que vous n’êtes pas en retard », a donc rappelé Christiane Féral-Schuhl en clôturant son intervention. 

Le premier risque à considérer est celui de l’IA fantôme (ou « Shadow IA » en anglais). Le véritable danger est que vos collaborateur·rice·s utilisent l’intelligence artificielle sans encadrement. Or la responsabilité pèse en toutes circonstances sur l’employeur. L’analogie avec l’arrivée des téléphones personnels en entreprise, il y a une vingtaine d’années, est éclairante, à ceci près que l’ampleur des conséquences est aujourd’hui sans commune mesure.

Un second exemple illustre cette menace : un ingénieur en télétravail a utilisé une IA publique pour un appel d’offres. Suite au lancement d’un produit similaire par un concurrent asiatique, l’entreprise a découvert que des données sensibles avaient été injectées dans plusieurs systèmes non maîtrisés.

« l’IA ouvre toutes les portes et toutes les fenêtres de l’entreprise. Donc il faut être à la recherche de chaque faille et en vous disant ça, on comprend en fait qu’avec l’intelligence artificielle, on fusionne trois problématiques majeures pour l’entreprise »

La protection des données à caractère personnel relevant du règlement général sur la protection des données (RGPD), les intrusions de cybersécurité, et l’exposition du patrimoine informationnel de l’entreprise via le droit de la propriété intellectuelle. Traiter l’une sans les deux autres ne suffit plus.

Le délégué à la protection des données (DPO), jusqu’ici souvent isolé dans sa fonction, doit désormais travailler en synergie avec les équipes métiers, les juristes et les responsables de la sécurité des systèmes d’information (RSSI).

Anticiper la prochaine vague : gouvernance, contrôle et culture interne

Comment reprendre le contrôle ? Christiane Féral-Schuhl articule sa réponse autour de trois axes indissociables : le contrôle humain, la conformité réglementaire et la gouvernance interne.

Le contrôle humain est une obligation générale déjà en vigueur. Les déployeurs doivent s’assurer que leurs équipes maîtrisent les systèmes d’IA utilisés. Il ne s’agit pas de former des experts techniques mais de sensibiliser à la confidentialité, aux hallucinations algorithmiques, au secret des affaires et aux biais cognitifs propagés par les modèles. La négligence, et non l’intention malveillante, est souvent à l’origine de l’essentiel des incidents rencontrés en entreprise. C’est contre elle qu’il faut former.

La conformité réglementaire implique de vérifier dès maintenant que les interdictions actives depuis le 2 février 2025 sont bien respectées, et d’anticiper les obligations à venir : transparence de l’IA auprès des utilisateurs, signalement des dérapages aux autorités compétentes, alignement avec le RGPD dans toute interaction impliquant des données à caractère personnel.

La gouvernance interne prend enfin la forme de chartes claires : quels outils sont autorisés, pour quelles tâches, avec quels niveaux d’accès ? La préférence marquée pour des environnements d’IA fermés, plutôt que des outils publics, réduit considérablement la surface d’exposition. L’anonymisation des données avant toute injection dans un système doit devenir un réflexe. Et l’expertise humaine doit demeurer un point de passage obligé dans les processus à fort enjeu.

Pour les RSSI et directeurs des risques présents au Signal Paris, le message a été limpide. 

«Il faut savoir que tout le monde encore une fois utilise l’IA. Donc le véritable risque, ce n’est pas que les salariés utilisent l’IA, c’est qu’ils l’utilisent sans que vous le sachiez et sans que vous contrôliez.»

Et vous, avez-vous mis en place les conditions pour que cet usage ne se retourne pas contre vous ? 

About the author

Christiane Féral-Schuhl
Ex-Présidente du CNB, Ancienne Bâtonnière de Paris, Avocate associée

Figure de proue du droit du numérique en France, Christiane Féral-Schuhl est une pionnière du cyberdroit et de la protection des données. Ancienne Bâtonnière du Barreau de Paris et ancienne Présidente du Conseil National des Barreaux (CNB), elle est l'une des voix les plus influentes sur les enjeux juridiques et éthiques des nouvelles technologies.Auteure de l’ouvrage de référence Cyberdroit (Dalloz), elle accompagne les organisations dans la maîtrise des risques numériques, de la cybersécurité à l'intelligence artificielle. Reconnue pour sa vision stratégique, elle intervient régulièrement auprès des institutions pour façonner le cadre juridique d'un monde hyper-connecté.

En savoir plus