Où en sont les entreprises françaises dans la gouvernance de leurs données à l’ère de l’IA?

À l'heure où les cyberattaques se multiplient et où les fuites de données massives défraient la chronique quotidiennement, la protection et la gouvernance des données s'imposent comme des enjeux stratégiques majeurs pour les entreprises françaises.

En 2024, la Commission Nationale de l’Informatique et des Libertés (CNIL) a enregistré un nombre record de violations de données (notamment avec l’organisation des Jeux Olympiques), soulignant l’urgence d’une réponse structurelle.

Maturité des Français sur la valeur d’une Donnée/ de l’Information

Les Français entretiennent aujourd’hui un rapport paradoxal avec leurs données personnelles et aussi professionnelles. D’un côté, la méfiance envers le numérique reste forte : près d’un Français sur deux dit ne pas faire confiance à Internet, dans un contexte marqué par l’essor de l’IA générative et la multiplication des escroqueries en ligne et plus encore dans le contexte géopolitique actuel (l’ensemble des technologies numériques massivement utilisées viennent des Etats-Unis). D’un autre côté, ils partagent allègrement des informations parfois sensibles sur les réseaux sociaux comme des informations critiques avec les IA génératives (telles que ChatGPT, Gemini, etc.) et surtout ils protègent peu leurs outils numériques personnels (Téléphone, Tablette, Ordinateur).
Ce contraste montre que, malgré un cadre juridique protecteur comme le RGPD ou encore NIS2 et un cadre éducatif qui tente d’intégrer les besoins liés au numérique (les Technologies de l’Information et de la Communication pour l’Enseignement), la sensibilisation des citoyens à la protection concrète de leurs données doit encore progresser, notamment sur les usages de sécurité du quotidien (dans le cadre de la vie privée comme de la vie professionnelle). Car si le cadre juridique est très mature, la maturité comportementale des utilisateurs (exemple : adoption de l’authentification multifacteur, gestion des mots de passe, etc.) reste un axe d’amélioration constant face à des menaces de plus en plus sophistiquées.

Qu’est ce qui définit la sensibilité d’une donnée ?

La sensibilité d’une donnée dépend de l’impact quepourrait avoir sa divulgation, sa modification ou sa perte. Sur le plan légal, le RGPD encadre strictement certainesdonnées personnelles particulièrement sensibles, comme celles liées à la santé, aux opinions politiques, à la religion ou encore aux données biométriques. Mais enentreprise, la notion va plus loin (allant des secrets d’affaires aux codes sources en passant par les informations de sécurité) : elle concerne aussi les informations stratégiques, financières, techniques ou de sécurité. D’où l’importance de classifier les données selon leur niveau de sensibilité afin d’appliquer des règles d’accès adaptées et de mieux protéger les actifscritiques de l’organisation.

Comment éduquer les employés sur la valeur de leur patrimoine informationnel (Le SI de l’entreprise) ?

Le système d’information (SI) d’une entreprise constitue son patrimoine le plus précieux. Pourtant, les études montrent régulièrement que le facteur humain est impliqué dans la grande majorité des incidents de cybersécurité. En 2024, les attaques par ingénierie sociale (comme le phishing ciblé) ont été le vecteur initial de nombreuses compromissions massives en France (selon la CNIL).
Éduquer les employés ne doit plus se limiter à une formation annuelle obligatoire et rébarbative. Il s’agit de créer une véritable culture de la sécurité :

Sens au patrimoine informationnel : les collaborateurs doivent comprendre que les données qu’ils manipulent au quotidien (fichiers clients, bases de données RH, plans stratégiques) ont une valeur inestimable pour l’entreprise, mais aussi pour les cybercriminels.
Simulations et entraînements pratiques : l’organisation régulière de fausses campagnes de phishing permet d’évaluer la vigilance des équipes et de proposer des corrections immédiates et pédagogiques sans culpabiliser l’utilisateur.
Procédures claires et décomplexées : un employé qui clique sur un lien malveillant doit avoir le réflexe de le signaler immédiatement au service informatique, sans crainte de sanctions. La rapidité de détection est cruciale pour endiguer une attaque.
Hygiène numérique au quotidien : sensibiliser sur l’importance des mots de passe robustes, de l’authentification multifacteur (MFA) et des risques liés à l’utilisation d’outils non approuvés par l’entreprise (Shadow IT ou plus récemment le Shadow AI).

Il faut par ailleurs être aussi conscient que la sensibilitéd’une donnée peut évoluer dans le temps. Une donnée peut être, lors de sa création, quasiment publique et devenir complètement sensible pour des raisons variables, d’où les méthodes de labelisation.
Quelques exemples :

un organigramme interne, qui peut devenir sensible dans un contexte de crise ou de cyberattaque
une feuille de route produit ou projet, qui devient sensible dès qu’elle révèle une décision stratégique
une liste de clients ou de partenaires, qui peut sembler être une donnée métier “classique”. Pourtant, si l’entreprise prépare une nouvelle offre, une négociation commerciale majeure ou un changement de positionnement, cette même liste peut devenir extrêmement sensible.

Comment définir une base de sécurité sur la fuite des données en France? (voir NIS2 et DORA)

L’année 2024 a été qualifiée d’année noire par la CNIL en matière de violations de données. L’autorité a été notifiée prés de 6 000 violations (soit une hausse de 20 % par rapport à 2023), avec un doublement des attaques massives touchant plus d’un million de personnes (exemple : opérateurs de tiers payant, France Travail, Ecoles, Hôpitaux, etc). Face à ce constat, le déploiement de mesures de « défense en profondeur » est impératif, et les nouveaux cadres réglementaires européens viennent imposer cette cadence.
Devant cette multiplication d’attaques et des fuites de données massives, les entreprises doivent désormais s’appuyer sur un socle de sécurité plus robuste. Les nouveaux cadres européens, comme NIS2 et DORA, renforcent cette exigence en imposant une meilleure gestion des risques cyber, une surveillance accrue des prestataires et des obligations plus strictes en matière de résilience et de notification des incidents. Au-delà de la conformité réglementaire, ces textes traduisent une évolution de fond : la protection des données et des systèmes d’information devient un enjeu stratégique pour toutes les organisations exposées.
Que l’entreprise soit soumise à NIS2, DORA, ou simplement au RGPD, la CNIL recommande un socle de mesures incontournables pour prévenir les fuites de données massives :

Cloisonnement des systèmes et application stricte des politiques d’habilitation.
Authentification multifacteur (MFA) généralisée, particulièrement pour les accès distants et les comptes à privilèges.
Surveillance active des requêtes atypiques et limitation des volumes d’exportation de données.
Chiffrement des données au repos et en transit.
Gestion rigoureuse des sous-traitants, souvent identifiés comme le maillon faible dans les récentes attaques.

La protection et la gouvernance des données en France traversent une période charnière. Si les citoyens sont de plus en plus conscients de la valeur de leurs informations, les entreprises font face à des menaces d’une ampleur inédite, notamment avec l’adoption de plus en plus massive de l’Intelligence Artificielle. La réponse ne peut plus être uniquement technique ; elle doit être organisationnelle, réglementaire et humaine. En s’appuyant sur des cadres structurants comme le RGPD, NIS2 et DORA, et en investissant massivement dans l’éducation de leurs collaborateurs, les organisations françaises ont l’opportunité de transformer la contrainte sécuritaire en un véritable avantage concurrentiel basé sur la confiance numérique.