Une même menace, plusieurs réglementations
Lorsqu'une organisation est attaquée, plusieurs cadres règlementaires peuvent s'appliquer en même temps, chacun avec son propre déclencheur de notification :
- RGPD — en cas de violation de données personnelles créant un risque pour les personnes, il faut notifier à la CNIL sous 72 heures, et informer les personnes concernées si le risque est élevé.
- NIS2 — en cas d'incident ayant un impact significatif sur un service essentiel ou important : il est nécessaire d'alerter l'ANSSI sous 24 heures, de procéder à une notification détaillée sous 72 heures, et d'adresser un rapport final sous un délai d'un mois.
- AI Act — en cas d'incident grave impliquant un système d'IA à haut risque : il faut effectuer un signalement à l'autorité compétente (la CNIL le plus souvent).
C'est cette simultanéité qui impose une procédure unique plutôt que trois démarches séparées.
Le RGPD : protéger les données et documenter les décisions
L'article 32 impose des mesures adaptées au risque : chiffrement, pseudonymisation, gestion des habilitations, sauvegarde, journalisation des accès, tests de sécurité, continuité d'activité, supervision des sous-traitants... La conformité ne s'arrête pas à leur mise en place : l'entreprise doit pouvoir démontrer leur pertinence.
En cas de violation, cette documentation permet de reconstituer les faits, d'évaluer les conséquences et de justifier les décisions prises.
En cas de violation, cette documentation permet de reconstituer les faits, d'évaluer les conséquences et de justifier les décisions prises.
La directive NIS2 : de la protection à la résilience
NIS2 engage la responsabilité des dirigeants et renforce les exigences de sécurité imposées par le RGPD. La cybersécurité doit s'intégrer à la gouvernance globale : analyse des risques, gestion des incidents, sécurité de la chaîne d'approvisionnement, gestion des vulnérabilités, continuité d'activité, cryptographie, formation, évaluation des mesures.
La question n'est plus seulement l'existence d'un dispositif de sécurité, mais sa gouvernance, ses tests et son actualisation — une logique qui recoupe directement les exigences RGPD.
La question n'est plus seulement l'existence d'un dispositif de sécurité, mais sa gouvernance, ses tests et son actualisation — une logique qui recoupe directement les exigences RGPD.
L'AI Act : sécuriser les systèmes et leurs données
L'IA ajoute des risques propres : données d'entraînement compromises, biais, fuite d'informations, dépendance à des modèles tiers, détournement d'un système. Avant tout déploiement, l'organisation doit savoir quelles données sont utilisées, qui accède au modèle et aux résultats, comment les incidents sont détectés et qui en est responsable.
L'AI Act encadre les risques propres aux systèmes d'IA.
L'AI Act encadre les risques propres aux systèmes d'IA.
Pourquoi une procédure unique est nécessaire ?
Les équipes ne doivent pas attendre la fin de l'analyse technique pour engager la qualification juridique et réglementaire.
Une procédure coordonnée répond vite à des questions communes : quels systèmes sont touchés, quelles données, quels fournisseurs, quels services interrompus, des données personnelles sont-elles concernées, une entité relève-t-elle de NIS2, un système d'IA est-il impliqué, quelles notifications préparer, qui décide, quelles preuves conserver....
Cette organisation évite que le RSSI, le DPO, le juridique et le responsable IA travaillent séparément sur des analyses incomplètes.
Une procédure coordonnée répond vite à des questions communes : quels systèmes sont touchés, quelles données, quels fournisseurs, quels services interrompus, des données personnelles sont-elles concernées, une entité relève-t-elle de NIS2, un système d'IA est-il impliqué, quelles notifications préparer, qui décide, quelles preuves conserver....
Cette organisation évite que le RSSI, le DPO, le juridique et le responsable IA travaillent séparément sur des analyses incomplètes.
La conformité globale en pratique
Elle ne signifie pas une documentation unique pour les trois textes, mais un socle commun étendu à chacun : cartographie des systèmes et des actifs critiques, registre des traitements de données, registre des systèmes d'IA, registre des fournisseurs & sous-traitants ; analyse globale des risques ; plan d'action unique ; procédure commune de gestion des incidents...
Une entreprise qui a déjà structuré sa conformité RGPD n'a pas trois programmes à construire, mais ce socle à étendre — chaque réglementation gardant ensuite ses exigences propres.
Une entreprise qui a déjà structuré sa conformité RGPD n'a pas trois programmes à construire, mais ce socle à étendre — chaque réglementation gardant ensuite ses exigences propres.
Conclusion
La question n'est plus seulement « sommes-nous bien protégés ? », mais « pouvons-nous démontrer, à partir d'un même socle, que nous avons identifié les risques, mis en place les bonnes mesures de protection et su réagir à temps ? ».
C'est cette capacité à démontrer — construite une fois et valable pour les trois textes — qui transforme la conformité en un outil de résilience.
C'est cette capacité à démontrer — construite une fois et valable pour les trois textes — qui transforme la conformité en un outil de résilience.
Notre plateforme est construite à partir de ce principe. Le RGPD a posé les fondations, l'AI Act et NIS2 les prolongent chacun dans son périmètre. La conformité unifiée est un gain de temps et d'efficacité.