Services d’État : “Certaines mesures de sécurité assez basiques ne sont pas mises en œuvre” 

Quel est le rôle de la CNIL et comment agit-elle concrètement ?  

La CNIL poursuit schématiquement deux missions : accompagner la mise en conformité et sanctionner quand nécessaire. À l'origine simple organe consultatif pour le secteur public, elle a obtenu un pouvoir de sanction en 2005, renforcé par le RGPD en 2018. Avec l'explosion du numérique et des grandes plateformes, son action s’est rééquilibrée entre le secteur privé et public et est devenue plus visible (321 contrôles et 87 sanctions en 2024). Ces deux dimensions sont bien séparées. La CNIL essaye de privilégier la voie douce, l’important étant la mise en conformité. Les organismes peuvent donc la consulter gratuitement en amont d'un projet pour vérifier sa conformité. Même pour des projets déjà lancés et imparfaits, si l'organisme vient spontanément signaler le problème, la CNIL favorise la remise en conformité plutôt que la sanction immédiate, celle-ci n'intervenant qu'en cas d'échec du dialogue ou de situation grave. En amont des contrôles, la CNIL reçoit des plaintes : toute personne constatant un manquement (vidéosurveillance non signalée, fuite de données lors d'une cyberattaque, etc.) peut lui adresser un signalement. Chaque plainte est enregistrée, vérifiée puis analysée par des juristes qui contactent l'organisme visé. Leur nombre augmente fortement (environ 20 000 en 2025, +1000 à 1500 par an), ce qui traduit une prise de conscience croissante et incite les organismes à anticiper plutôt qu'attendre une sanction. 

La CNIL parvient-elle à s’adapter à cette augmentation ?   

La CNIL est de plus en plus sollicitée car elle intervient dans tous les secteurs d’activité. Chaque jour voit donc son lot de nouveaux sujets à traiter mais par chance, c’est une autorité très agile, qui sait s’adapter. Les données sont partout : l’éducation, la petite enfance, le secteur social, la santé, le recrutement, le marketing, les transports publics, etc. La CNIL dispose donc déjà de nombreuses compétences et en récupère régulièrement de nouvelles. Or, si une nouvelle compétence s’accompagne des moyens nécessaires, cela peut fonctionner. Par exemple, avec l’entrée en vigueur du RGPD, la CNIL a vu ses moyens augmenter. Entre 2018 et aujourd’hui, nous avons presque doublé nos effectifs : nous sommes passés d’environ 160 agents à près de 300. Mais parfois, la CNIL doit absorber de nouvelles missions sans effectifs supplémentaires : c’est une autorité qui sait optimiser ! Nous allons voir comment cela se passera avec les nouvelles compétences liées à l’arrivée du règlement européen sur l’IA et les nouveaux usages qui se développent. Ce règlement va en effet nécessiter des évolutions dans les métiers et dans l’organisation car il est assez différent du RGPD. C’est un sujet qui nous occupe beaucoup. La CNIL a notamment créé un service spécifique sur l’intelligence artificielle qui rassemble des profils variés : ingénieurs, experts de l’IA, data scientists, juristes, etc.  

Justement, quelles différences fondamentales notez-vous entre l’IA Act et le RGDP ? 

Ces textes sont très différents dans leur philosophie. Le RGPD est un règlement qui vise à protéger des droits fondamentaux. A ce titre, il se concentre sur la personne concernée, celle dont les données sont traitées. Le RGPD fixe donc les règles qui s’imposent aux organismes qui utilisent ces données - entreprises, administrations, employeurs - pour garantir cette protection. Le règlement sur l’intelligence artificielle (ou IA Act), lui, raisonne différemment. C’est un règlement dit “produit” qui encadre une technologie. Son objet est le système d’intelligence artificielle lui-même et il est davantage dans une logique de conformité, de certification et d’évaluation. Son périmètre est donc plus ciblé. Si, dans cinq ou dix ans, de nouvelles technologies apparaissent et ne correspondent plus exactement à ce périmètre, il sera probablement nécessaire de revoir le texte ou redéfinir son champ d’application. C’est le risque des réglementations sectorielles très spécifiques.  

Quel rôle jouera la CNIL dans la mise en application de l’IA Act ?   

La CNIL est amenée à jouer un rôle central dans la mise en œuvre de l’IA Act. Sous réserve de ce que décidera définitivement le législateur, la CNIL devrait bénéficier d’un double rôle. Elle devrait être reconnue comme une des autorités de protection des données fondamentaux (APDF). Les APDF doivent s’assurer que les systèmes d'IA respectent les droits fondamentaux, notamment ceux liés à la protection des données personnelles. Par ailleurs, la CNIL devrait être désignée comme l’une des autorités de surveillance du marché (ASM). Son objectif est de s'assurer que les systèmes d'IA commercialisés ou utilisés respectent les exigences légales de l’IA Act, en particulier pour les systèmes classés comme à haut risque. Comme pour le RGPD, la CNIL sera compétente sur le territoire français mais les données ne s’arrêtent pas aux frontières : elles circulent d’un pays à l’autre. Il y aura donc nécessairement des échanges et des travaux communs entre autorités. Il y a donc une gouvernance assez fragmentée, avec plusieurs autorités susceptibles d’intervenir selon les cas et les secteurs concernés.  

Comment accompagnez-vous déjà les organisations dans leur mise en conformité à l’IA Act ?  

Il faut rappeler que toutes les obligations du règlement IA (RIA) ne sont pas encore entrées en application : l’essentiel des obligations portant sur les systèmes à haut risque ne s’appliqueront qu’à compter de décembre 2027. Cependant il faut rappeler que les systèmes d’IA impliquent très souvent des traitements importants de données personnelles. L’algorithme étant nourri par des données personnelles, le RGPD continue donc de s’appliquer. C’est donc sur la partie conformité au RGPD de mon système d’IA que les acteurs nous sollicitent avec des questions du type : « J’ai un système d’IA, comment dois-je gérer la transparence, la minimisation des données ou les autres obligations du RGPD ? » Nous avons déjà des accompagnements sur ces sujets.  

Quel rôle la CNIL entretient-elle avec les services de l'État ?  

Notre rôle comprend aussi l’accompagnement d’un ministère qui souhaite mettre en place un projet impliquant un traitement de données à grande échelle, par exemple dans le domaine de l’emploi, avec des échanges de d'informations, des collectes et des durées de conservation particulières. Lorsqu’il s’agit d’un acte réglementaire - un projet de loi, de décret ou parfois d’arrêté - nous rendons ce qu’on appelle un avis. C’est une délibération formelle, souvent publiée au Journal Officiel ou sur Légifrance, qui vise à éclairer les pouvoirs publics. Il s’agit d’un simple avis, le ministère ou le gouvernement n’est pas obligé de suivre notre position. Nous pouvons expliquer qu’un projet nous semble présenter des risques ou qu’il pourrait être réalisé différemment, mais la décision finale appartient aux pouvoirs publics.  

Que penser de la multiplication des attaques visant les services de l’État ?  
C’est un sujet qui nécessite plusieurs niveaux de réponses. D’un côté, on peut reconnaitre que les budgets de l'État sont limités et que la sécurité informatique de gros systèmes d’information peut coûter cher. À cela il faut ajouter que certains logiciels ou systèmes de l’État sont parfois anciens et que les mises à jour sont complexes et couteuses. Cependant, d’un autre côté, force est de constater que certaines mesures de sécurité assez basiques ne sont pas mises en œuvre (comme l’authentification multifactorielle ou MFA), et que ce n'est pas toujours une priorité politique. Quoi qu’il en soit, c’est un sujet sur lequel la CNIL alerte régulièrement les pouvoirs publics dans le cadre des avis qu’elle rend sur les projets de traitements de données et nous demandons la mise en œuvre de mesures. Hélas, dans certaines situations, il est arrivé que des problèmes que nous avions identifiés en amont, se réalisent, faute de mesures prises. Quoi qu’il en soit, la répétition et la gravité des violations peut laisser espérer une forte prise de conscience. On a commencé à voir récemment des réactions au niveau gouvernemental, de la part du Premier ministre par exemple, indiquant qu'il fallait franchir un cap en matière de sécurité des données, parce que la situation devenait critique. Les conséquences de ces violations ne se sont d'ailleurs pas encore pleinement manifestées, notamment en matière d'attaques visant les personnes ou d'usurpations d'identité. On peut donc espérer qu'à la suite de cette succession d'incidents, les niveaux de sécurité et la sensibilisation des personnels augmenteront.  

Comment l’essor de l’intelligence artificielle impacte le RGPD ?   

Je crois que l’intelligence artificielle peut redonner de la force au RGPD. Si certains critiquent les règlementations, les citoyens ont conscience de la protection qu’elles apportent. Et beaucoup de pays nous envient cet ensemble de règles. On voit d’ailleurs émerger des réglementations inspirées du RGPD dans de nombreux endroits du monde. Ce sont des règles de bon sens, qui permettent de faire en sorte que l’innovation se développe de manière positive pour tout le monde. Il existe toutefois un débat de société autour de ce sujet. La position de la CNIL a toujours été de dire qu’il ne faut surtout pas opposer innovation et réglementation. Pour nous, l’innovation ne peut être prospère et fonctionner correctement que si elle s’appuie sur des règles claires dès le départ. Monteriez-vous dans une voiture connectée si vous n’aviez pas l’assurance que ce véhicule a fait l’objet de contrôles de sécurité ? Il faut vraiment rappeler que, ni la CNIL, ni le RGPD empêchent d’innover. Il s’agit simplement de respecter certaines règles du jeu au bénéfice de tous : soyez transparents, ne collectez pas de données plus que nécessaire et permettez aux individus d’exercer leurs droits. C’est pour cela que je trouve certains débats un peu stériles et parfois instrumentalisés. On entend souvent dire : “Le RGPD est trop compliqué”. Mais, en réalité, ce sont des règles assez simples. Le problème, c’est que certains discours sont parfois utilisés pour défendre d’autres intérêts. Dans la réalité, ces règles ne sont pas là pour bloquer. Elles sont là pour encadrer. C’est comme dans tous les secteurs. Si demain on supprimait toutes les barrières en matière de recherche médicale, qu’on autorisait tout, y compris l’eugénisme ou la vente d’organes, évidemment qu’un marché pourrait se développer. Mais cela pose une question fondamentale : quel modèle de société voulons-nous ? Il s’agit de savoir ce que l’on souhaite protéger.  

Quel conseil donneriez-vous à un DSI lorsqu’il met en place un projet IA?   

On a conscience que ralentir n’est pas toujours évident, car les DSI subissent aussi des pressions, notamment de leur direction. Mais l’idée est surtout de ne pas aller trop vite et de prendre le temps de se poser quelques questions en amont. Avant de déployer un système, il faut réfléchir à ses usages, à ses conséquences et aux moyens de limiter les risques. Il ne faut pas faire cela seul dans son coin, simplement parce qu’une technologie est nouvelle et qu’elle semble prometteuse. Il faut discuter avec les différentes parties prenantes pour comprendre ce que le projet implique réellement. L'autre écueil, c'est de travailler en silo. Il faut aller voir les opérationnels, ne pas craindre d'aller voir les juristes, et que les juristes ne craignent pas d'aller voir les ingénieurs. Il faut vraiment qu'un dialogue s'ouvre, parce que l'IA, comme la donnée en général, est un sujet multifacette. Évidemment, si vous avez un marteau, vous avez tendance à voir tous les problèmes sous la forme de clous. Mais l'IA a des conséquences bien plus larges : sur le travail, sur la relation à l'autre, sur l'isolement des individus, etc. Cela touche vraiment à plusieurs dimensions. Avant de mettre en place ce type de projet, il faut donc avoir une gouvernance interne et prendre le temps d'en discuter.