Intégrer l'IA dans son SI en 2026 : guide DSI, RSSI, DPO
Intégrer l'IA dans son SI en 2026 : guide DSI, RSSI, DPO
Intégrer l'IA dans son SI en 2026 : guide DSI, RSSI, DPO
Comment intégrer l'IA dans le SI sans risque en 2026 ? Guide DSI, RSSI, DPO : Shadow AI, RGPD, EU AI Act, NIS2, méthode en 6 étapes.
Comment intégrer l'IA dans le SI sans risque en 2026 ? Guide DSI, RSSI, DPO : Shadow AI, RGPD, EU AI Act, NIS2, méthode en 6 étapes.
Comment intégrer l'IA dans le SI sans risque en 2026 ? Guide DSI, RSSI, DPO : Shadow AI, RGPD, EU AI Act, NIS2, méthode en 6 étapes.
12 min
Mis à jour : août 2026 | Lecture : 12 minutes
En résumé
En 2026, l'intelligence artificielle (IA) s'installe dans les systèmes d'information (SI) de toutes les organisations, souvent plus vite que les équipes sécurité et conformité ne peuvent l'encadrer. Le Shadow AI (usage non autorisé d'outils d'IA) touche 68 % des employés selon Gartner, et 80 % des organisations n'ont pas de vision claire de leurs usages IA selon le Baromètre Privacy 2026. Ce guide fournit aux directeurs des systèmes d'information (DSI), aux responsables de la sécurité des systèmes d'information (RSSI) et aux délégués à la protection des données (DPO) une méthode opérationnelle en 6 étapes pour intégrer l'IA dans le SI en maîtrisant les risques juridiques, cyber et de conformité.
Introduction : l'IA est déjà dans votre SI, la question est de savoir si vous le savez
Un développeur colle du code source dans ChatGPT pour déboguer. Un chargé RH envoie un CV dans un outil de synthèse en ligne. Un directeur passe un enregistrement de réunion confidentielle dans une application de transcription gratuite hébergée aux États-Unis, sans savoir que cet enregistrement sera potentiellement stocké sur des serveurs soumis au droit américain.
Aucun de ces usages n'a été validé par la DSI. Aucun n'a fait l'objet d'un accord de traitement des données conforme à l'article 28 du Règlement général sur la protection des données (RGPD). Tous exposent l'organisation à des fuites de données, des violations réglementaires et des risques de réputation.
Ce phénomène porte un nom : le Shadow AI. Et en 2026, il n'est plus marginal. Selon une étude Microsoft France / YouGov publiée en janvier 2026, 61 % des cadres et dirigeants français qui utilisent l'IA générative le font via des comptes personnels, hors de tout cadre encadré par la DSI. À l'échelle mondiale, Gartner confirme la tendance : 68 % des employés utilisent des outils d'IA non autorisés au travail (source : ClaudIn.tech, citant Gartner 2025, mars 2026).
Le Baromètre Privacy 2026, publié par EQS Group et révélé par L'Usine Digitale, pose un constat encore plus préoccupant : 80 % des organisations ne disposent pas d'une vision claire de leurs usages IA (source : L'Usine Digitale, février 2026).
Le résultat est mesurable. Selon le rapport IBM Cost of a Data Breach 2025, les entreprises à haut niveau de Shadow AI subissent un surcoût de 670 000 dollars par violation de données par rapport à celles qui maîtrisent leurs usages (source : IBM, cité par Village Justice, août 2025). L'entreprise moyenne enregistre 223 incidents de sécurité liés à l'IA chaque mois, soit plus de sept par jour ouvré (source : Gartner, cité par ClaudIn.tech).
Pour les DSI, RSSI et DPO, le défi est double : encadrer les usages existants et intégrer des outils d'IA dans le SI officiel, tout en respectant un cadre réglementaire qui se densifie avec le RGPD, le Règlement sur l'intelligence artificielle (EU AI Act), la directive NIS2 et la doctrine française « Cloud au centre ». Pour une analyse détaillée des freins et leviers d'adoption de l'IA dans le secteur public, consultez notre article sur l'adoption de l'IA dans le secteur public.
Le Shadow AI en 2026 : anatomie d'un risque systémique
Ce que les employés envoient aux IA sans le savoir
Le Shadow AI ne se résume pas à quelques geeks isolés. Selon le rapport Harmonic Security de janvier 2026, 22 % des fichiers envoyés vers des services d'IA contiennent des informations sensibles : code source, données financières, opérations de fusion-acquisition (source : Silicon.fr, 10 avril 2026, citant Harmonic Security). Le rapport 2026 Data Security Index de Microsoft Security confirme qu'un tiers (32 %) des incidents de sécurité des données impliquent l'utilisation d'outils d'IA générative (source : Silicon.fr, 10 avril 2026).
Les catégories de données les plus exposées selon l'étude Netskope 2026 : les données réglementées (informations personnelles, données financières, données de santé) représentent 32 % des violations liées au Shadow AI ; la propriété intellectuelle (contrats, stratégies internes, résultats de recherche) représente 16 % ; les mots de passe et clés d'interface de programmation (API, Application Programming Interface) complètent le tableau, souvent intégrés dans des extraits de code soumis à des outils de génération.
Ce risque concerne toutes les organisations, y compris les collectivités territoriales et les établissements médico-sociaux, où les données traitées en réunion (entretiens individuels, commissions, suivis de patients) sont doublement protégées par le RGPD et par le cadre de l'hébergement de données de santé (HDS).
Pourquoi le Shadow AI échappe aux contrôles classiques
Le Shadow AI est plus difficile à détecter que le Shadow IT traditionnel. Il se niche dans les navigateurs, les extensions, les comptes personnels, les fonctionnalités IA intégrées dans les outils SaaS (Software as a Service) existants. Un Cloud Access Security Broker (CASB) classique ne détecte pas nécessairement un prompt envoyé dans un chatbot via un onglet de navigateur personnel.
L'étude Netskope 2026 note que malgré une baisse de la proportion d'utilisateurs via comptes personnels (de 78 % en 2024 à environ 50 % en 2025), le volume de données envoyées aux applications d'IA générative (GenAI) a été multiplié par six, passant de 3 000 à 18 000 requêtes par mois en moyenne (source : CIO Online, citant Netskope 2026).
Les conséquences juridiques concrètes
L'article 28 du RGPD exige un accord de traitement des données documenté avec tout sous-traitant manipulant des données personnelles. Quand un collaborateur utilise un outil IA non validé, cet accord n'existe pas. La base légale du traitement non plus. Le droit à l'effacement prévu par l'article 17 du RGPD devient impossible à exercer si l'organisation ne sait même pas que les données ont été transmises.
Les amendes RGPD pour non-maîtrise des flux de données atteignent 4 % du chiffre d'affaires mondial ou 20 millions d'euros, selon le montant le plus élevé. L'EU AI Act ajoute une couche d'exigences sur la transparence et la gouvernance des systèmes d'IA, avec des sanctions pouvant atteindre 35 millions d'euros pour les violations les plus graves.
Le cadre réglementaire à maîtriser pour intégrer l'IA en 2026
RGPD : le socle incontournable
Le RGPD reste le pilier de la protection des données en Europe. Pour l'intégration d'outils d'IA dans le SI, les obligations clés sont l'analyse d'impact relative à la protection des données (AIPD) lorsque le traitement est susceptible d'engendrer un risque élevé, la documentation des flux de données, la conclusion d'un Data Processing Agreement (DPA) avec chaque sous-traitant, et la vérification de la base légale du traitement.
EU AI Act : les obligations qui entrent en vigueur
Le Règlement sur l'intelligence artificielle classe les systèmes d'IA par niveau de risque. Les systèmes utilisés dans le secteur public pour la prise de décision concernant des personnes relèvent du « haut risque » et sont soumis à des obligations de transparence, de documentation, de supervision humaine et de gestion des risques. L'article 4 impose une obligation de formation à la maîtrise de l'IA pour tout le personnel utilisant ces systèmes, obligation applicable depuis février 2025. Pour un décryptage détaillé, consultez notre guide de conformité EU AI Act et RGPD 2026.
NIS2 : la cybersécurité devient une obligation étendue en 2026
La directive NIS2 (Network and Information Security 2) élargit le périmètre des organisations soumises à des obligations de cybersécurité. En France, environ 15 000 entités seront concernées, dans 18 secteurs, y compris les collectivités territoriales de plus de 30 000 habitants.
La transposition en droit français accuse un retard. La date évoquée pour l'examen à l'Assemblée nationale est juillet 2026 (source : Banque des Territoires, mars 2026). L'Agence nationale de la sécurité des systèmes d'information (ANSSI) a publié le 17 mars 2026 le référentiel ReCyF (Référentiel Cyber France), opérationnel dès maintenant (source : ANSSI, mars 2026).
Point critique : NIS2 engage explicitement la responsabilité des dirigeants. Un DSI qui ne peut pas démontrer qu'il a pris les mesures nécessaires peut être tenu personnellement responsable. Les sanctions peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles (source : VYTALX, avril 2026).
Doctrine « Cloud au centre » et souveraineté
Pour les organisations publiques et les entreprises régulées, la doctrine « Cloud au centre » impose le recours au cloud pour tout nouveau projet numérique, avec une orientation vers les offres souveraines qualifiées SecNumCloud pour les données sensibles. Le Clarifying Lawful Overseas Use of Data Act (CLOUD Act) américain rend cette question juridiquement critique pour tout outil IA hébergé par un fournisseur américain. Ce sujet est traité en profondeur dans notre article sur le choix entre IA souveraine et cloud américain.
Ce que l'ANSSI recommande pour sécuriser un système d'IA
En avril 2024, l'ANSSI a publié un guide de référence : « Recommandations de sécurité pour un système d'IA générative » (ANSSI-PA-102), proposant 35 recommandations couvrant le cycle de vie complet d'un système d'IA. En février 2026, le CERT-FR a complété cette analyse avec un rapport confirmant que les risques de manipulation, d'exfiltration et d'empoisonnement des données d'entraînement sont réels, même si aucune cyberattaque autonome menée par une IA n'a été observée en France à ce jour (source : CERT-FR, CERTFR-2026-CTI-001, février 2026).
Parmi les 35 recommandations, voici les cinq les plus pertinentes pour un DSI ou un RSSI intégrant un outil d'IA comme un assistant de réunion dans le SI :
N°34 : Proscrire l'usage d'outils d'IA en ligne pour les données sensibles. C'est la recommandation la plus directe contre le Shadow AI. Elle s'applique immédiatement à tout collaborateur qui utiliserait un service de transcription non validé pour une réunion confidentielle.
N°28 : Cloisonner le système d'IA dans des environnements dédiés. L'outil d'IA ne doit pas avoir d'accès direct à l'ensemble du SI. Un outil comme NeoMeet, qui fonctionne par import de fichiers audio sans agent logiciel dans le SI, respecte nativement ce principe.
N°29 : Journaliser les traitements. Indispensable pour la conformité RGPD, EU AI Act et NIS2.
N°25 : Filtrer les entrées et les sorties. Empêcher l'envoi de données sensibles vers le modèle et contrôler ce qui en sort.
N°27 : Limiter les actions automatiques. L'IA doit rester un outil d'assistance, pas un outil décisionnaire.
Le guide complet est disponible sur cyber.gouv.fr. L'ANSSI recommande également de choisir un prestataire qualifié SecNumCloud pour le déploiement d'un service d'IA en cloud public.
Méthode opérationnelle : intégrer l'IA dans le SI en 6 étapes
Étape 1 : Cartographier les usages IA existants (semaines 1-2)
Avant d'encadrer, il faut voir. L'objectif est de dresser un inventaire complet des outils d'IA utilisés, officiels et Shadow AI.
Actions concrètes : déployer un CASB ou un outil de Data Loss Prevention (DLP) capable de repérer les transferts vers des services d'IA, créer un registre d'usage IA volontaire où les collaborateurs peuvent déclarer leurs expérimentations sans risque disciplinaire, auditer les logs DNS (Domain Name System) et les flux réseau.
Le Baromètre Privacy 2026 montre que 62 % des organisations déploient des projets IA, mais seulement 20 % disposent d'une cartographie complète (source : L'Usine Digitale, février 2026).
Étape 2 : Classifier les données et évaluer les risques (semaines 2-4)
La classification doit distinguer au minimum trois niveaux : données publiques (aucune restriction), données internes (usage IA possible dans un cadre contrôlé), données sensibles ou réglementées (données personnelles, données de santé, données RH, stratégie, propriété intellectuelle : hébergement souverain obligatoire, usage IA strictement encadré).
Pour chaque flux identifié à l'étape 1, documenter : quelles données sont transmises, à quel prestataire, dans quelle juridiction, avec quel DPA, et quelle est la politique de rétention et de réutilisation du prestataire.
Étape 3 : Rédiger la charte d'utilisation de l'IA (semaines 3-4)
La charte doit être concise, opérationnelle et accessible, pas un document juridique de 40 pages. Elle précise les outils IA autorisés (liste positive), les catégories de données interdites dans tout outil IA non validé, l'obligation de vérification humaine des contenus générés, et les conséquences en cas de non-respect.
Selon une étude PwC, 80 % des collaborateurs formés à la sécurité numérique adaptent leurs comportements (source : Wikit.ai, citant PwC). Plus de 70 % des cadres français n'ont reçu aucune formation à l'utilisation de l'IA (source : Microsoft France / YouGov, janvier 2026). L'écart entre ces deux chiffres montre le levier.
Étape 4 : Sélectionner et déployer les outils IA validés (semaines 4-8)
La meilleure réponse au Shadow AI n'est pas l'interdiction, c'est l'alternative officielle. Si les outils approuvés sont performants et accessibles, les collaborateurs n'auront pas de raison de contourner les règles.
Les critères de sélection d'un outil IA pour le SI doivent couvrir la conformité RGPD documentée (DPA disponible), la localisation de l'hébergement et la juridiction applicable (CLOUD Act), la politique de réutilisation des données (l'outil utilise-t-il les données pour entraîner ses modèles ?), la journalisation et la traçabilité, et la compatibilité avec le SI existant (API, authentification unique SSO (Single Sign-On), annuaire). Pour un comparatif détaillé des principales solutions du marché, consultez notre comparatif des 5 assistants IA de réunion conformes RGPD.
Le cas des réunions : un usage critique à encadrer en priorité. Les réunions de direction, entretiens RH, commissions paritaires et suivis médico-sociaux produisent des données parmi les plus sensibles de l'organisation. C'est aussi l'un des cas d'usage où le Shadow AI est le plus fréquent : un collaborateur enregistre, transcrit via un outil gratuit, et personne n'en sait rien. Pour comprendre l'ampleur du sujet dans le secteur public, consultez notre analyse dédiée à l'IA et aux réunions dans le secteur public.
NeoMeet, l'assistant de réunion souverain développé par Neova, est conçu pour remplacer ces usages non maîtrisés par une solution intégrée au SI. Hébergé exclusivement en France, en Suisse et en Allemagne sur des serveurs certifiés ISO 27001, SOC 2 et Hébergeur de Données de Santé (HDS), NeoMeet est conforme RGPD & ISO 27001 (International Organization for Standardization 27001). Les enregistrements sont supprimés immédiatement après traitement et aucune donnée n'est réutilisée pour l'entraînement de modèles d'IA. Le microphone Tula® à transmission filaire élimine le risque d'interception sans fil.
Ce que cela change pour le RSSI : NeoMeet fonctionne par import de fichiers audio, sans agent logiciel invasif, sans bot dans les réunions en ligne, sans intégration dans les systèmes de visioconférence. L'empreinte sur le SI est minimale, ce qui réduit la surface d'attaque et simplifie l'évaluation de sécurité. Pour les spécifications techniques détaillées (chiffrement, intégration SSO, logs d'audit), contactez l'équipe Neova pour une documentation technique complète.
Pour consulter l'ensemble des offres NeoMeet, rendez-vous sur la page Offres.
Étape 5 : Former les collaborateurs (en continu)
L'EU AI Act (article 4) impose une obligation de formation à la maîtrise de l'IA. Au-delà de l'obligation légale, la formation est le levier le plus efficace contre le Shadow AI.
Le programme devrait couvrir le fonctionnement de l'IA et ses limites (hallucinations, biais), les risques concrets du Shadow AI (fuites, non-conformité, sanctions), les outils IA validés et leur mode d'emploi, et les règles de la charte d'utilisation.
Étape 6 : Superviser, auditer, ajuster (en continu)
L'intégration de l'IA dans le SI n'est pas un projet ponctuel. L'ANSSI insiste sur la revue régulière des droits d'accès des outils IA (recommandation n°35) et les audits avant déploiement en production (recommandation n°23). Gartner prévoit que d'ici fin 2026, 70 % des entreprises mettront en place des solutions d'audit et de monitoring IA (source : Wikit.ai, citant Gartner).
Les indicateurs clés pour le comité de direction (CODIR) : nombre d'outils IA non autorisés détectés, volume de données sensibles dans les flux vers des services IA externes, taux de couverture de la formation IA, incidents de sécurité impliquant un outil d'IA, conformité des DPA avec les sous-traitants IA.
Le coût de la gouvernance IA vs le coût de l'inaction en 2026
Un DSI qui hésite à investir dans la gouvernance IA doit mettre en balance deux réalités. D'un côté, le coût de la mise en place : essentiellement du temps humain (cartographie, charte, formation, sélection d'outils). La méthode en 6 étapes décrite ci-dessus se déploie en 8 à 12 semaines, sans investissement technologique majeur. Le choix d'un outil souverain comme NeoMeet, avec son hébergement inclus, simplifie l'intégration : pas de CASB dédié à configurer pour cet outil, pas de DPA complexe à négocier, pas de flux de données sortants vers des juridictions à risque. Pour une méthode détaillée de calcul du ROI d'un assistant de réunion IA, consultez notre analyse du ROI d'un assistant IA de réunion.
De l'autre côté, le coût de l'inaction. Le surcoût moyen d'une violation de données liée au Shadow AI est de 670 000 dollars par incident (source : IBM, Cost of a Data Breach 2025). NIS2 permet des sanctions allant jusqu'à 10 millions d'euros avec responsabilité personnelle des dirigeants. Et le RGPD autorise des amendes jusqu'à 4 % du chiffre d'affaires mondial. Sans compter le dommage réputationnel : 13 % des responsables IT déclarent avoir déjà subi des dommages financiers, clients ou réputationnels suite à des incidents liés au Shadow AI (source : Village Justice, citant des études sectorielles, août 2025).
Le calcul est clair : le coût de la gouvernance est organisationnel et prévisible. Le coût de l'inaction est financier, juridique et réputationnel, et imprévisible.
Le rôle du DPO dans la gouvernance IA en 2026
Le DPO devient le pivot de la conformité IA
Le Baromètre Privacy 2026 révèle que 31 % des organisations identifient le DPO comme la fonction porteuse du sujet EU AI Act, devant la DSI ou les directions data, une progression de 10 points en un an (source : L'Usine Digitale, février 2026). Le DPO est reconnu comme acteur central de la gouvernance numérique, à l'interface du juridique, de l'IT, de la cybersécurité et des métiers.
Les missions du DPO face à l'IA
En 2026, le DPO doit piloter l'AIPD pour chaque système d'IA traitant des données personnelles, vérifier les DPA des prestataires IA (clauses de réutilisation, entraînement de modèles, suppression), s'assurer que le registre des traitements intègre les usages IA, coordonner avec le RSSI la surveillance des flux de données, et participer à la stratégie de formation.
Le trinôme DSI-RSSI-DPO : une nécessité opérationnelle
L'erreur la plus courante est de traiter l'IA comme un sujet purement technique (DSI), purement sécurité (RSSI) ou purement juridique (DPO). L'intégration de l'IA dans le SI est transverse. Le rapport KPMG Global Tech Report 2026 confirme que 92 % des dirigeants technologiques estiment que la gestion des agents IA deviendra une compétence essentielle dans les cinq prochaines années (source : IT Social, citant KPMG, avril 2026).
La mise en place d'un comité de gouvernance IA réunissant DSI, RSSI, DPO et représentants métiers est la structure la plus efficace. Ce comité définit la stratégie IA, valide les outils, supervise les risques et rend compte au CODIR.
Checklist opérationnelle DSI / RSSI / DPO
Pour le DSI :
☐ Inventaire des outils IA (officiels et Shadow AI) réalisé
☐ Liste des outils IA validés avec DPA conformes établie
☐ Charte d'utilisation de l'IA diffusée à tous les collaborateurs
☐ Environnement technique dédié pour les outils IA (cloisonnement ANSSI n°28)
☐ Politique de rétention et de suppression des enregistrements documentée
Pour le RSSI :
☐ Analyse de risques cyber mise à jour intégrant les usages IA
☐ CASB/DLP configuré pour détecter les flux vers les services IA non autorisés
☐ Journalisation des traitements IA conforme (ANSSI n°29)
☐ Procédures de gestion de crise mises à jour (scénarios impliquant l'IA)
☐ Conformité au référentiel ReCyF vérifiée (si entité NIS2)
Pour le DPO :
☐ AIPD réalisée pour chaque système d'IA traitant des données personnelles
☐ Registre des traitements mis à jour avec les usages IA
☐ DPA vérifiés (clauses de réutilisation, entraînement, suppression, juridiction)
☐ Programme de formation IA conforme à l'article 4 de l'EU AI Act
☐ Comité de gouvernance IA formalisé avec DSI et RSSI
FAQ : Questions fréquentes sur l'intégration de l'IA dans le SI en 2026
Peut-on interdire l'usage de ChatGPT dans l'organisation ?
Techniquement, oui, via un filtrage réseau ou des politiques de groupe. Mais l'interdiction pure crée un effet pervers : les collaborateurs utilisent leurs téléphones personnels ou leur connexion 4G, rendant le Shadow AI encore plus invisible. L'ANSSI recommande (n°34) de proscrire l'usage d'outils d'IA en ligne pour les données sensibles, tout en proposant une alternative validée pour les usages courants.
L'EU AI Act oblige-t-il à former les collaborateurs ?
Oui. L'article 4 du Règlement sur l'intelligence artificielle impose aux fournisseurs et aux utilisateurs de systèmes d'IA de veiller à ce que leur personnel dispose d'un niveau suffisant de maîtrise de l'IA. Cette obligation est applicable depuis février 2025. En 2026, un programme de formation adapté devrait couvrir le fonctionnement de l'IA, les risques des systèmes utilisés, et les dimensions juridiques et éthiques.
Ma collectivité ou mon établissement médico-social est-il concerné par NIS2 ?
Si votre collectivité compte plus de 30 000 habitants, elle sera probablement classée « entité importante » au titre de NIS2. Les établissements de santé et médico-sociaux sont également dans le périmètre. La transposition française n'est pas finalisée (examen prévu en juillet 2026), mais l'ANSSI recommande de commencer la mise en conformité via le référentiel ReCyF. L'outil MonEspaceNIS2 permet de vérifier votre éligibilité.
Quels sont les risques si un collaborateur envoie des données personnelles dans un outil IA non autorisé ?
L'organisation est responsable du traitement au sens du RGPD. Sans DPA, sans base légale, sans information des personnes concernées, l'organisation s'expose à une sanction de la Commission nationale de l'informatique et des libertés (CNIL) pouvant aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Si l'outil est hébergé par un fournisseur soumis au CLOUD Act, il y a un risque supplémentaire de transfert non autorisé.
NeoMeet nécessite-t-il une AIPD ?
NeoMeet traite des enregistrements audio contenant potentiellement des données personnelles. Une AIPD est donc recommandée. Cependant, les caractéristiques de NeoMeet (suppression immédiate des enregistrements, non-réutilisation pour l'entraînement, hébergement souverain sur serveurs certifiés ISO 27001, SOC 2 et HDS) réduisent significativement le niveau de risque résiduel, ce qui simplifie l'analyse.
Un outil d'IA de réunion hébergé en Europe est-il automatiquement conforme au RGPD ?
Non. L'hébergement en Europe est une condition nécessaire mais pas suffisante. Il faut vérifier la structure juridique de l'opérateur (est-il une filiale d'un groupe américain soumis au CLOUD Act ?), la politique de réutilisation des données, l'existence d'un DPA conforme, et la politique de suppression des enregistrements. NeoMeet, opéré par Neova (entreprise de droit français, sans lien capitalistique américain), répond à l'ensemble de ces critères. Pour un comparatif détaillé, consultez notre comparatif des 5 assistants IA de réunion conformes RGPD.
Comment convaincre ma direction d'investir dans la gouvernance IA ?
Deux arguments factuels. Premièrement, le coût de l'inaction : les violations liées au Shadow AI coûtent 670 000 dollars de plus que les violations classiques (IBM, 2025). Deuxièmement, la responsabilité personnelle : NIS2 engage les dirigeants. Un dirigeant qui ne peut pas démontrer qu'il a pris les mesures nécessaires peut être tenu personnellement responsable.
Combien de temps faut-il pour déployer une gouvernance IA opérationnelle ?
La méthode en 6 étapes se déploie en 8 à 12 semaines pour les étapes 1 à 5. L'étape 6 (supervision et audit) est continue. L'investissement principal est le temps humain, pas la technologie. Le choix d'outils conçus pour la conformité, comme NeoMeet, réduit la charge d'intégration : pas de CASB dédié, pas de DPA à négocier sur 15 pages, pas de flux sortants vers des juridictions à risque.
Sources
Les sources sont ordonnées par autorité décroissante.
Textes réglementaires européens
Règlement (UE) 2016/679, RGPD, articles 17, 28, 32, 33
Règlement (UE) 2024/1689, Règlement sur l'intelligence artificielle (EU AI Act), article 4
Directive (UE) 2022/2555, Directive NIS2, articles 21, 23
Autorités publiques françaises
ANSSI, « Recommandations de sécurité pour un système d'IA générative » (ANSSI-PA-102), avril 2024 (cyber.gouv.fr)
CERT-FR, « L'IA générative face aux risques cyber » (CERTFR-2026-CTI-001), février 2026
ANSSI, Référentiel ReCyF (Référentiel Cyber France), publié le 17 mars 2026
ANSSI, MonEspaceNIS2, outil d'autoévaluation (monespacenis2.cyber.gouv.fr)
Études et rapports sectoriels
Microsoft France / YouGov, Enquête sur l'usage de l'IA générative en entreprise, janvier 2026 (657 cadres et dirigeants)
EQS Group, Baromètre Privacy 2026 (L'Usine Digitale, février 2026)
IBM, Cost of a Data Breach Report 2025 (surcoût Shadow AI : 670 000 $)
Gartner, Étude 2025 sur le Shadow AI (68 % des employés, 223 incidents/mois), citée par ClaudIn.tech
Harmonic Security, AI Usage Index, janvier 2026 (22 % des fichiers sensibles)
Microsoft Security, 2026 Data Security Index (32 % des incidents impliquent la GenAI)
Netskope, Étude 2026 Cloud and Cyber Threats (×6 sur le volume de données vers la GenAI)
KPMG, Global Tech Report 2026 (92 % des dirigeants sur la gestion des agents IA)
PwC, Étude sur la formation à la sécurité numérique (80 % d'adaptation comportementale)
Médias spécialisés
L'Usine Digitale, « Shadow AI : 80 % des organisations n'ont pas de vision claire », février 2026
ClaudIn.tech, « Shadow AI : risques et solutions pour les entreprises », mars 2026
Silicon.fr, « Shadow AI : évitez l'angle mort qui expose vos données », 10 avril 2026
CIO Online, « Le Shadow AI multiplie les risques de fuite de données sensibles », 2026
IT Social, « Le RSSI à l'ère de l'IA agentique », avril 2026
Banque des Territoires, « Directive NIS2 : la transposition française probablement repoussée à juillet », mars 2026
VYTALX, « NIS2 en France 2026 : obligations, conformité et mise en œuvre », avril 2026
Village Justice, « Shadow AI en entreprise : risques, conséquences et stratégies de maîtrise », août 2025
Cet article fait partie d'une série consacrée à l'IA souveraine, à la sécurité et à la conformité. Consultez aussi :
Adoption de l'IA dans le secteur public : freins réels et leviers concrets en 2026
IA souveraine ou cloud américain : comment choisir son hébergement en 2026
EU AI Act et RGPD 2026 : guide de conformité pour les collectivités
Comparatif des 5 assistants IA de réunion conformes RGPD en 2026
Combien d'informations perd-on après une réunion ? La courbe d'oubli d'Ebbinghaus
Pour une démonstration de NeoMeet, réservez un rendez-vous avec l'équipe Neova.
Mis à jour : août 2026 | Lecture : 12 minutes
En résumé
En 2026, l'intelligence artificielle (IA) s'installe dans les systèmes d'information (SI) de toutes les organisations, souvent plus vite que les équipes sécurité et conformité ne peuvent l'encadrer. Le Shadow AI (usage non autorisé d'outils d'IA) touche 68 % des employés selon Gartner, et 80 % des organisations n'ont pas de vision claire de leurs usages IA selon le Baromètre Privacy 2026. Ce guide fournit aux directeurs des systèmes d'information (DSI), aux responsables de la sécurité des systèmes d'information (RSSI) et aux délégués à la protection des données (DPO) une méthode opérationnelle en 6 étapes pour intégrer l'IA dans le SI en maîtrisant les risques juridiques, cyber et de conformité.
Introduction : l'IA est déjà dans votre SI, la question est de savoir si vous le savez
Un développeur colle du code source dans ChatGPT pour déboguer. Un chargé RH envoie un CV dans un outil de synthèse en ligne. Un directeur passe un enregistrement de réunion confidentielle dans une application de transcription gratuite hébergée aux États-Unis, sans savoir que cet enregistrement sera potentiellement stocké sur des serveurs soumis au droit américain.
Aucun de ces usages n'a été validé par la DSI. Aucun n'a fait l'objet d'un accord de traitement des données conforme à l'article 28 du Règlement général sur la protection des données (RGPD). Tous exposent l'organisation à des fuites de données, des violations réglementaires et des risques de réputation.
Ce phénomène porte un nom : le Shadow AI. Et en 2026, il n'est plus marginal. Selon une étude Microsoft France / YouGov publiée en janvier 2026, 61 % des cadres et dirigeants français qui utilisent l'IA générative le font via des comptes personnels, hors de tout cadre encadré par la DSI. À l'échelle mondiale, Gartner confirme la tendance : 68 % des employés utilisent des outils d'IA non autorisés au travail (source : ClaudIn.tech, citant Gartner 2025, mars 2026).
Le Baromètre Privacy 2026, publié par EQS Group et révélé par L'Usine Digitale, pose un constat encore plus préoccupant : 80 % des organisations ne disposent pas d'une vision claire de leurs usages IA (source : L'Usine Digitale, février 2026).
Le résultat est mesurable. Selon le rapport IBM Cost of a Data Breach 2025, les entreprises à haut niveau de Shadow AI subissent un surcoût de 670 000 dollars par violation de données par rapport à celles qui maîtrisent leurs usages (source : IBM, cité par Village Justice, août 2025). L'entreprise moyenne enregistre 223 incidents de sécurité liés à l'IA chaque mois, soit plus de sept par jour ouvré (source : Gartner, cité par ClaudIn.tech).
Pour les DSI, RSSI et DPO, le défi est double : encadrer les usages existants et intégrer des outils d'IA dans le SI officiel, tout en respectant un cadre réglementaire qui se densifie avec le RGPD, le Règlement sur l'intelligence artificielle (EU AI Act), la directive NIS2 et la doctrine française « Cloud au centre ». Pour une analyse détaillée des freins et leviers d'adoption de l'IA dans le secteur public, consultez notre article sur l'adoption de l'IA dans le secteur public.
Le Shadow AI en 2026 : anatomie d'un risque systémique
Ce que les employés envoient aux IA sans le savoir
Le Shadow AI ne se résume pas à quelques geeks isolés. Selon le rapport Harmonic Security de janvier 2026, 22 % des fichiers envoyés vers des services d'IA contiennent des informations sensibles : code source, données financières, opérations de fusion-acquisition (source : Silicon.fr, 10 avril 2026, citant Harmonic Security). Le rapport 2026 Data Security Index de Microsoft Security confirme qu'un tiers (32 %) des incidents de sécurité des données impliquent l'utilisation d'outils d'IA générative (source : Silicon.fr, 10 avril 2026).
Les catégories de données les plus exposées selon l'étude Netskope 2026 : les données réglementées (informations personnelles, données financières, données de santé) représentent 32 % des violations liées au Shadow AI ; la propriété intellectuelle (contrats, stratégies internes, résultats de recherche) représente 16 % ; les mots de passe et clés d'interface de programmation (API, Application Programming Interface) complètent le tableau, souvent intégrés dans des extraits de code soumis à des outils de génération.
Ce risque concerne toutes les organisations, y compris les collectivités territoriales et les établissements médico-sociaux, où les données traitées en réunion (entretiens individuels, commissions, suivis de patients) sont doublement protégées par le RGPD et par le cadre de l'hébergement de données de santé (HDS).
Pourquoi le Shadow AI échappe aux contrôles classiques
Le Shadow AI est plus difficile à détecter que le Shadow IT traditionnel. Il se niche dans les navigateurs, les extensions, les comptes personnels, les fonctionnalités IA intégrées dans les outils SaaS (Software as a Service) existants. Un Cloud Access Security Broker (CASB) classique ne détecte pas nécessairement un prompt envoyé dans un chatbot via un onglet de navigateur personnel.
L'étude Netskope 2026 note que malgré une baisse de la proportion d'utilisateurs via comptes personnels (de 78 % en 2024 à environ 50 % en 2025), le volume de données envoyées aux applications d'IA générative (GenAI) a été multiplié par six, passant de 3 000 à 18 000 requêtes par mois en moyenne (source : CIO Online, citant Netskope 2026).
Les conséquences juridiques concrètes
L'article 28 du RGPD exige un accord de traitement des données documenté avec tout sous-traitant manipulant des données personnelles. Quand un collaborateur utilise un outil IA non validé, cet accord n'existe pas. La base légale du traitement non plus. Le droit à l'effacement prévu par l'article 17 du RGPD devient impossible à exercer si l'organisation ne sait même pas que les données ont été transmises.
Les amendes RGPD pour non-maîtrise des flux de données atteignent 4 % du chiffre d'affaires mondial ou 20 millions d'euros, selon le montant le plus élevé. L'EU AI Act ajoute une couche d'exigences sur la transparence et la gouvernance des systèmes d'IA, avec des sanctions pouvant atteindre 35 millions d'euros pour les violations les plus graves.
Le cadre réglementaire à maîtriser pour intégrer l'IA en 2026
RGPD : le socle incontournable
Le RGPD reste le pilier de la protection des données en Europe. Pour l'intégration d'outils d'IA dans le SI, les obligations clés sont l'analyse d'impact relative à la protection des données (AIPD) lorsque le traitement est susceptible d'engendrer un risque élevé, la documentation des flux de données, la conclusion d'un Data Processing Agreement (DPA) avec chaque sous-traitant, et la vérification de la base légale du traitement.
EU AI Act : les obligations qui entrent en vigueur
Le Règlement sur l'intelligence artificielle classe les systèmes d'IA par niveau de risque. Les systèmes utilisés dans le secteur public pour la prise de décision concernant des personnes relèvent du « haut risque » et sont soumis à des obligations de transparence, de documentation, de supervision humaine et de gestion des risques. L'article 4 impose une obligation de formation à la maîtrise de l'IA pour tout le personnel utilisant ces systèmes, obligation applicable depuis février 2025. Pour un décryptage détaillé, consultez notre guide de conformité EU AI Act et RGPD 2026.
NIS2 : la cybersécurité devient une obligation étendue en 2026
La directive NIS2 (Network and Information Security 2) élargit le périmètre des organisations soumises à des obligations de cybersécurité. En France, environ 15 000 entités seront concernées, dans 18 secteurs, y compris les collectivités territoriales de plus de 30 000 habitants.
La transposition en droit français accuse un retard. La date évoquée pour l'examen à l'Assemblée nationale est juillet 2026 (source : Banque des Territoires, mars 2026). L'Agence nationale de la sécurité des systèmes d'information (ANSSI) a publié le 17 mars 2026 le référentiel ReCyF (Référentiel Cyber France), opérationnel dès maintenant (source : ANSSI, mars 2026).
Point critique : NIS2 engage explicitement la responsabilité des dirigeants. Un DSI qui ne peut pas démontrer qu'il a pris les mesures nécessaires peut être tenu personnellement responsable. Les sanctions peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles (source : VYTALX, avril 2026).
Doctrine « Cloud au centre » et souveraineté
Pour les organisations publiques et les entreprises régulées, la doctrine « Cloud au centre » impose le recours au cloud pour tout nouveau projet numérique, avec une orientation vers les offres souveraines qualifiées SecNumCloud pour les données sensibles. Le Clarifying Lawful Overseas Use of Data Act (CLOUD Act) américain rend cette question juridiquement critique pour tout outil IA hébergé par un fournisseur américain. Ce sujet est traité en profondeur dans notre article sur le choix entre IA souveraine et cloud américain.
Ce que l'ANSSI recommande pour sécuriser un système d'IA
En avril 2024, l'ANSSI a publié un guide de référence : « Recommandations de sécurité pour un système d'IA générative » (ANSSI-PA-102), proposant 35 recommandations couvrant le cycle de vie complet d'un système d'IA. En février 2026, le CERT-FR a complété cette analyse avec un rapport confirmant que les risques de manipulation, d'exfiltration et d'empoisonnement des données d'entraînement sont réels, même si aucune cyberattaque autonome menée par une IA n'a été observée en France à ce jour (source : CERT-FR, CERTFR-2026-CTI-001, février 2026).
Parmi les 35 recommandations, voici les cinq les plus pertinentes pour un DSI ou un RSSI intégrant un outil d'IA comme un assistant de réunion dans le SI :
N°34 : Proscrire l'usage d'outils d'IA en ligne pour les données sensibles. C'est la recommandation la plus directe contre le Shadow AI. Elle s'applique immédiatement à tout collaborateur qui utiliserait un service de transcription non validé pour une réunion confidentielle.
N°28 : Cloisonner le système d'IA dans des environnements dédiés. L'outil d'IA ne doit pas avoir d'accès direct à l'ensemble du SI. Un outil comme NeoMeet, qui fonctionne par import de fichiers audio sans agent logiciel dans le SI, respecte nativement ce principe.
N°29 : Journaliser les traitements. Indispensable pour la conformité RGPD, EU AI Act et NIS2.
N°25 : Filtrer les entrées et les sorties. Empêcher l'envoi de données sensibles vers le modèle et contrôler ce qui en sort.
N°27 : Limiter les actions automatiques. L'IA doit rester un outil d'assistance, pas un outil décisionnaire.
Le guide complet est disponible sur cyber.gouv.fr. L'ANSSI recommande également de choisir un prestataire qualifié SecNumCloud pour le déploiement d'un service d'IA en cloud public.
Méthode opérationnelle : intégrer l'IA dans le SI en 6 étapes
Étape 1 : Cartographier les usages IA existants (semaines 1-2)
Avant d'encadrer, il faut voir. L'objectif est de dresser un inventaire complet des outils d'IA utilisés, officiels et Shadow AI.
Actions concrètes : déployer un CASB ou un outil de Data Loss Prevention (DLP) capable de repérer les transferts vers des services d'IA, créer un registre d'usage IA volontaire où les collaborateurs peuvent déclarer leurs expérimentations sans risque disciplinaire, auditer les logs DNS (Domain Name System) et les flux réseau.
Le Baromètre Privacy 2026 montre que 62 % des organisations déploient des projets IA, mais seulement 20 % disposent d'une cartographie complète (source : L'Usine Digitale, février 2026).
Étape 2 : Classifier les données et évaluer les risques (semaines 2-4)
La classification doit distinguer au minimum trois niveaux : données publiques (aucune restriction), données internes (usage IA possible dans un cadre contrôlé), données sensibles ou réglementées (données personnelles, données de santé, données RH, stratégie, propriété intellectuelle : hébergement souverain obligatoire, usage IA strictement encadré).
Pour chaque flux identifié à l'étape 1, documenter : quelles données sont transmises, à quel prestataire, dans quelle juridiction, avec quel DPA, et quelle est la politique de rétention et de réutilisation du prestataire.
Étape 3 : Rédiger la charte d'utilisation de l'IA (semaines 3-4)
La charte doit être concise, opérationnelle et accessible, pas un document juridique de 40 pages. Elle précise les outils IA autorisés (liste positive), les catégories de données interdites dans tout outil IA non validé, l'obligation de vérification humaine des contenus générés, et les conséquences en cas de non-respect.
Selon une étude PwC, 80 % des collaborateurs formés à la sécurité numérique adaptent leurs comportements (source : Wikit.ai, citant PwC). Plus de 70 % des cadres français n'ont reçu aucune formation à l'utilisation de l'IA (source : Microsoft France / YouGov, janvier 2026). L'écart entre ces deux chiffres montre le levier.
Étape 4 : Sélectionner et déployer les outils IA validés (semaines 4-8)
La meilleure réponse au Shadow AI n'est pas l'interdiction, c'est l'alternative officielle. Si les outils approuvés sont performants et accessibles, les collaborateurs n'auront pas de raison de contourner les règles.
Les critères de sélection d'un outil IA pour le SI doivent couvrir la conformité RGPD documentée (DPA disponible), la localisation de l'hébergement et la juridiction applicable (CLOUD Act), la politique de réutilisation des données (l'outil utilise-t-il les données pour entraîner ses modèles ?), la journalisation et la traçabilité, et la compatibilité avec le SI existant (API, authentification unique SSO (Single Sign-On), annuaire). Pour un comparatif détaillé des principales solutions du marché, consultez notre comparatif des 5 assistants IA de réunion conformes RGPD.
Le cas des réunions : un usage critique à encadrer en priorité. Les réunions de direction, entretiens RH, commissions paritaires et suivis médico-sociaux produisent des données parmi les plus sensibles de l'organisation. C'est aussi l'un des cas d'usage où le Shadow AI est le plus fréquent : un collaborateur enregistre, transcrit via un outil gratuit, et personne n'en sait rien. Pour comprendre l'ampleur du sujet dans le secteur public, consultez notre analyse dédiée à l'IA et aux réunions dans le secteur public.
NeoMeet, l'assistant de réunion souverain développé par Neova, est conçu pour remplacer ces usages non maîtrisés par une solution intégrée au SI. Hébergé exclusivement en France, en Suisse et en Allemagne sur des serveurs certifiés ISO 27001, SOC 2 et Hébergeur de Données de Santé (HDS), NeoMeet est conforme RGPD & ISO 27001 (International Organization for Standardization 27001). Les enregistrements sont supprimés immédiatement après traitement et aucune donnée n'est réutilisée pour l'entraînement de modèles d'IA. Le microphone Tula® à transmission filaire élimine le risque d'interception sans fil.
Ce que cela change pour le RSSI : NeoMeet fonctionne par import de fichiers audio, sans agent logiciel invasif, sans bot dans les réunions en ligne, sans intégration dans les systèmes de visioconférence. L'empreinte sur le SI est minimale, ce qui réduit la surface d'attaque et simplifie l'évaluation de sécurité. Pour les spécifications techniques détaillées (chiffrement, intégration SSO, logs d'audit), contactez l'équipe Neova pour une documentation technique complète.
Pour consulter l'ensemble des offres NeoMeet, rendez-vous sur la page Offres.
Étape 5 : Former les collaborateurs (en continu)
L'EU AI Act (article 4) impose une obligation de formation à la maîtrise de l'IA. Au-delà de l'obligation légale, la formation est le levier le plus efficace contre le Shadow AI.
Le programme devrait couvrir le fonctionnement de l'IA et ses limites (hallucinations, biais), les risques concrets du Shadow AI (fuites, non-conformité, sanctions), les outils IA validés et leur mode d'emploi, et les règles de la charte d'utilisation.
Étape 6 : Superviser, auditer, ajuster (en continu)
L'intégration de l'IA dans le SI n'est pas un projet ponctuel. L'ANSSI insiste sur la revue régulière des droits d'accès des outils IA (recommandation n°35) et les audits avant déploiement en production (recommandation n°23). Gartner prévoit que d'ici fin 2026, 70 % des entreprises mettront en place des solutions d'audit et de monitoring IA (source : Wikit.ai, citant Gartner).
Les indicateurs clés pour le comité de direction (CODIR) : nombre d'outils IA non autorisés détectés, volume de données sensibles dans les flux vers des services IA externes, taux de couverture de la formation IA, incidents de sécurité impliquant un outil d'IA, conformité des DPA avec les sous-traitants IA.
Le coût de la gouvernance IA vs le coût de l'inaction en 2026
Un DSI qui hésite à investir dans la gouvernance IA doit mettre en balance deux réalités. D'un côté, le coût de la mise en place : essentiellement du temps humain (cartographie, charte, formation, sélection d'outils). La méthode en 6 étapes décrite ci-dessus se déploie en 8 à 12 semaines, sans investissement technologique majeur. Le choix d'un outil souverain comme NeoMeet, avec son hébergement inclus, simplifie l'intégration : pas de CASB dédié à configurer pour cet outil, pas de DPA complexe à négocier, pas de flux de données sortants vers des juridictions à risque. Pour une méthode détaillée de calcul du ROI d'un assistant de réunion IA, consultez notre analyse du ROI d'un assistant IA de réunion.
De l'autre côté, le coût de l'inaction. Le surcoût moyen d'une violation de données liée au Shadow AI est de 670 000 dollars par incident (source : IBM, Cost of a Data Breach 2025). NIS2 permet des sanctions allant jusqu'à 10 millions d'euros avec responsabilité personnelle des dirigeants. Et le RGPD autorise des amendes jusqu'à 4 % du chiffre d'affaires mondial. Sans compter le dommage réputationnel : 13 % des responsables IT déclarent avoir déjà subi des dommages financiers, clients ou réputationnels suite à des incidents liés au Shadow AI (source : Village Justice, citant des études sectorielles, août 2025).
Le calcul est clair : le coût de la gouvernance est organisationnel et prévisible. Le coût de l'inaction est financier, juridique et réputationnel, et imprévisible.
Le rôle du DPO dans la gouvernance IA en 2026
Le DPO devient le pivot de la conformité IA
Le Baromètre Privacy 2026 révèle que 31 % des organisations identifient le DPO comme la fonction porteuse du sujet EU AI Act, devant la DSI ou les directions data, une progression de 10 points en un an (source : L'Usine Digitale, février 2026). Le DPO est reconnu comme acteur central de la gouvernance numérique, à l'interface du juridique, de l'IT, de la cybersécurité et des métiers.
Les missions du DPO face à l'IA
En 2026, le DPO doit piloter l'AIPD pour chaque système d'IA traitant des données personnelles, vérifier les DPA des prestataires IA (clauses de réutilisation, entraînement de modèles, suppression), s'assurer que le registre des traitements intègre les usages IA, coordonner avec le RSSI la surveillance des flux de données, et participer à la stratégie de formation.
Le trinôme DSI-RSSI-DPO : une nécessité opérationnelle
L'erreur la plus courante est de traiter l'IA comme un sujet purement technique (DSI), purement sécurité (RSSI) ou purement juridique (DPO). L'intégration de l'IA dans le SI est transverse. Le rapport KPMG Global Tech Report 2026 confirme que 92 % des dirigeants technologiques estiment que la gestion des agents IA deviendra une compétence essentielle dans les cinq prochaines années (source : IT Social, citant KPMG, avril 2026).
La mise en place d'un comité de gouvernance IA réunissant DSI, RSSI, DPO et représentants métiers est la structure la plus efficace. Ce comité définit la stratégie IA, valide les outils, supervise les risques et rend compte au CODIR.
Checklist opérationnelle DSI / RSSI / DPO
Pour le DSI :
☐ Inventaire des outils IA (officiels et Shadow AI) réalisé
☐ Liste des outils IA validés avec DPA conformes établie
☐ Charte d'utilisation de l'IA diffusée à tous les collaborateurs
☐ Environnement technique dédié pour les outils IA (cloisonnement ANSSI n°28)
☐ Politique de rétention et de suppression des enregistrements documentée
Pour le RSSI :
☐ Analyse de risques cyber mise à jour intégrant les usages IA
☐ CASB/DLP configuré pour détecter les flux vers les services IA non autorisés
☐ Journalisation des traitements IA conforme (ANSSI n°29)
☐ Procédures de gestion de crise mises à jour (scénarios impliquant l'IA)
☐ Conformité au référentiel ReCyF vérifiée (si entité NIS2)
Pour le DPO :
☐ AIPD réalisée pour chaque système d'IA traitant des données personnelles
☐ Registre des traitements mis à jour avec les usages IA
☐ DPA vérifiés (clauses de réutilisation, entraînement, suppression, juridiction)
☐ Programme de formation IA conforme à l'article 4 de l'EU AI Act
☐ Comité de gouvernance IA formalisé avec DSI et RSSI
FAQ : Questions fréquentes sur l'intégration de l'IA dans le SI en 2026
Peut-on interdire l'usage de ChatGPT dans l'organisation ?
Techniquement, oui, via un filtrage réseau ou des politiques de groupe. Mais l'interdiction pure crée un effet pervers : les collaborateurs utilisent leurs téléphones personnels ou leur connexion 4G, rendant le Shadow AI encore plus invisible. L'ANSSI recommande (n°34) de proscrire l'usage d'outils d'IA en ligne pour les données sensibles, tout en proposant une alternative validée pour les usages courants.
L'EU AI Act oblige-t-il à former les collaborateurs ?
Oui. L'article 4 du Règlement sur l'intelligence artificielle impose aux fournisseurs et aux utilisateurs de systèmes d'IA de veiller à ce que leur personnel dispose d'un niveau suffisant de maîtrise de l'IA. Cette obligation est applicable depuis février 2025. En 2026, un programme de formation adapté devrait couvrir le fonctionnement de l'IA, les risques des systèmes utilisés, et les dimensions juridiques et éthiques.
Ma collectivité ou mon établissement médico-social est-il concerné par NIS2 ?
Si votre collectivité compte plus de 30 000 habitants, elle sera probablement classée « entité importante » au titre de NIS2. Les établissements de santé et médico-sociaux sont également dans le périmètre. La transposition française n'est pas finalisée (examen prévu en juillet 2026), mais l'ANSSI recommande de commencer la mise en conformité via le référentiel ReCyF. L'outil MonEspaceNIS2 permet de vérifier votre éligibilité.
Quels sont les risques si un collaborateur envoie des données personnelles dans un outil IA non autorisé ?
L'organisation est responsable du traitement au sens du RGPD. Sans DPA, sans base légale, sans information des personnes concernées, l'organisation s'expose à une sanction de la Commission nationale de l'informatique et des libertés (CNIL) pouvant aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Si l'outil est hébergé par un fournisseur soumis au CLOUD Act, il y a un risque supplémentaire de transfert non autorisé.
NeoMeet nécessite-t-il une AIPD ?
NeoMeet traite des enregistrements audio contenant potentiellement des données personnelles. Une AIPD est donc recommandée. Cependant, les caractéristiques de NeoMeet (suppression immédiate des enregistrements, non-réutilisation pour l'entraînement, hébergement souverain sur serveurs certifiés ISO 27001, SOC 2 et HDS) réduisent significativement le niveau de risque résiduel, ce qui simplifie l'analyse.
Un outil d'IA de réunion hébergé en Europe est-il automatiquement conforme au RGPD ?
Non. L'hébergement en Europe est une condition nécessaire mais pas suffisante. Il faut vérifier la structure juridique de l'opérateur (est-il une filiale d'un groupe américain soumis au CLOUD Act ?), la politique de réutilisation des données, l'existence d'un DPA conforme, et la politique de suppression des enregistrements. NeoMeet, opéré par Neova (entreprise de droit français, sans lien capitalistique américain), répond à l'ensemble de ces critères. Pour un comparatif détaillé, consultez notre comparatif des 5 assistants IA de réunion conformes RGPD.
Comment convaincre ma direction d'investir dans la gouvernance IA ?
Deux arguments factuels. Premièrement, le coût de l'inaction : les violations liées au Shadow AI coûtent 670 000 dollars de plus que les violations classiques (IBM, 2025). Deuxièmement, la responsabilité personnelle : NIS2 engage les dirigeants. Un dirigeant qui ne peut pas démontrer qu'il a pris les mesures nécessaires peut être tenu personnellement responsable.
Combien de temps faut-il pour déployer une gouvernance IA opérationnelle ?
La méthode en 6 étapes se déploie en 8 à 12 semaines pour les étapes 1 à 5. L'étape 6 (supervision et audit) est continue. L'investissement principal est le temps humain, pas la technologie. Le choix d'outils conçus pour la conformité, comme NeoMeet, réduit la charge d'intégration : pas de CASB dédié, pas de DPA à négocier sur 15 pages, pas de flux sortants vers des juridictions à risque.
Sources
Les sources sont ordonnées par autorité décroissante.
Textes réglementaires européens
Règlement (UE) 2016/679, RGPD, articles 17, 28, 32, 33
Règlement (UE) 2024/1689, Règlement sur l'intelligence artificielle (EU AI Act), article 4
Directive (UE) 2022/2555, Directive NIS2, articles 21, 23
Autorités publiques françaises
ANSSI, « Recommandations de sécurité pour un système d'IA générative » (ANSSI-PA-102), avril 2024 (cyber.gouv.fr)
CERT-FR, « L'IA générative face aux risques cyber » (CERTFR-2026-CTI-001), février 2026
ANSSI, Référentiel ReCyF (Référentiel Cyber France), publié le 17 mars 2026
ANSSI, MonEspaceNIS2, outil d'autoévaluation (monespacenis2.cyber.gouv.fr)
Études et rapports sectoriels
Microsoft France / YouGov, Enquête sur l'usage de l'IA générative en entreprise, janvier 2026 (657 cadres et dirigeants)
EQS Group, Baromètre Privacy 2026 (L'Usine Digitale, février 2026)
IBM, Cost of a Data Breach Report 2025 (surcoût Shadow AI : 670 000 $)
Gartner, Étude 2025 sur le Shadow AI (68 % des employés, 223 incidents/mois), citée par ClaudIn.tech
Harmonic Security, AI Usage Index, janvier 2026 (22 % des fichiers sensibles)
Microsoft Security, 2026 Data Security Index (32 % des incidents impliquent la GenAI)
Netskope, Étude 2026 Cloud and Cyber Threats (×6 sur le volume de données vers la GenAI)
KPMG, Global Tech Report 2026 (92 % des dirigeants sur la gestion des agents IA)
PwC, Étude sur la formation à la sécurité numérique (80 % d'adaptation comportementale)
Médias spécialisés
L'Usine Digitale, « Shadow AI : 80 % des organisations n'ont pas de vision claire », février 2026
ClaudIn.tech, « Shadow AI : risques et solutions pour les entreprises », mars 2026
Silicon.fr, « Shadow AI : évitez l'angle mort qui expose vos données », 10 avril 2026
CIO Online, « Le Shadow AI multiplie les risques de fuite de données sensibles », 2026
IT Social, « Le RSSI à l'ère de l'IA agentique », avril 2026
Banque des Territoires, « Directive NIS2 : la transposition française probablement repoussée à juillet », mars 2026
VYTALX, « NIS2 en France 2026 : obligations, conformité et mise en œuvre », avril 2026
Village Justice, « Shadow AI en entreprise : risques, conséquences et stratégies de maîtrise », août 2025
Cet article fait partie d'une série consacrée à l'IA souveraine, à la sécurité et à la conformité. Consultez aussi :
Adoption de l'IA dans le secteur public : freins réels et leviers concrets en 2026
IA souveraine ou cloud américain : comment choisir son hébergement en 2026
EU AI Act et RGPD 2026 : guide de conformité pour les collectivités
Comparatif des 5 assistants IA de réunion conformes RGPD en 2026
Combien d'informations perd-on après une réunion ? La courbe d'oubli d'Ebbinghaus
Pour une démonstration de NeoMeet, réservez un rendez-vous avec l'équipe Neova.