Quelle différence entre conformité, gouvernance et sécurité ? La conformité examine des exigences applicables ; la gouvernance attribue les décisions et responsabilités ; la sécurité réduit des risques identifiés. Une organisation peut disposer d’une politique écrite tout en laissant un accès excessif ou une procédure de suppression inexécutable.
Commencez par un traitement réel : qui collecte quelles données, pour quelle finalité, avec quels destinataires et quelle durée ? Rapprochez ensuite les documents des contrôles observables. Les sources institutionnelles ci-contre aident à préparer les questions ; l’applicabilité d’une obligation et son interprétation dépendent du contexte et de la juridiction concernés.
Dans ce dossier
Données personnelles · Gestion du risque · Gouvernance IA · Conformité · Souveraineté
Cartographier les données et leurs responsabilités
Comment obtenir une cartographie des données exploitable ? Suivez un traitement de la collecte jusqu’aux copies, exports, sauvegardes et suppressions. Le registre attendu décrit finalité, catégories de données, applications, prestataires, accès, durées, responsables et preuves de contrôle. L’objectif est de pouvoir expliquer une décision, traiter une demande et vérifier une modification. Les exemples sont méthodologiques ; la qualification juridique dépend du contexte et doit être vérifiée à la source.
Lire le guideLe fil de veille
Toute la veille internationale →Titres en cache · actualisation des sources indisponible · Dernière récupération réussie : 22 oct. 2026, 21:20
Protection des données personnelles : la CNDP et le NIIAT lancent un programme de formation destiné aux jeunes - EcoActu
via Google Actualités · agrégateurProtection des données personnelles : comprendre la plus lourde amende jamais infligée à Meta - Defimedia
via Google Actualités · agrégateurAffaire Cambridge Analytica: Meta écope d'une amende de 25 milliards - ICTjournal
via Google Actualités · agrégateurMeta condamné à verser une amende de 25 milliards de dollars au Nouveau-Mexique dans une affaire relative à la - Boursorama
via Google Actualités · agrégateurTogo : l’IPDCP renforce la protection des données personnelles dans les médias - Le Nouveau Reporter
via Google Actualités · agrégateurProtection des données : La CNDP et le NIIAT veulent former 20.000 jeunes - La Vie éco
via Google Actualités · agrégateurRéférences : données, usages et limites
Documentation consultée le .
| Source et objet | Donnée ou repère vérifié | Comment l’utiliser | Limite à conserver |
|---|---|---|---|
| FIRST · Traffic Light Protocol Indiquer à qui une information peut être redistribuée. |
TLP 2.0 utilise RED, AMBER, GREEN et CLEAR ; AMBER+STRICT limite le partage à l’organisation du destinataire. Les libellés ne se traduisent pas. | Conservez le marquage avec l’information et vérifiez les destinataires avant transfert. En cas d’ambiguïté, demandez une clarification à la source. | TLP n’est ni une classification formelle ni une licence de réutilisation. Il ne garantit pas l’exactitude du contenu. |
| NIST · AI Risk Management Framework Organiser la gestion des risques associés à l’IA. |
Le cœur de l’AI RMF s’articule autour de Govern, Map, Measure et Manage. Il s’agit d’un cadre volontaire de gestion du risque. | Définissez usage, personnes concernées et conséquences d’erreur. Rapprochez chaque risque d’une évaluation, d’un responsable et d’un moyen d’arrêt ou de reprise. | Le cadre ne certifie ni un modèle ni une application. Son utilisation ne dispense pas d’examiner les obligations applicables. |
| NIST · Privacy Framework Examiner les risques pour les personnes liés au traitement de données. |
Le Privacy Framework est un outil volontaire de gestion des risques pour la vie privée. Il se distingue d’une liste unique d’obligations juridiques. | Décrivez le traitement réel : données, finalités, destinataires, accès et durées. Comparez documents, configurations et tests de suppression ou de récupération. | L’utilisation du cadre ne détermine pas à elle seule la conformité au droit applicable. Le contexte du traitement et la juridiction restent à examiner. |
Publication et visibilité dans la recherche IA
Attribuer les décisions de diffusion à un responsable
La publication publique et l’accès privé exigent des preuves différentes. Les choix d’extrait et de participation IA doivent être rattachés au service et à la propriété concernés.
- Documenter propriétaire, périmètre, choix effectif et héritage des réglages de publication.
- Protéger les ressources privées par autorisation ; leur présence dans robots.txt rend les chemins publics.
- Dater la recette et prévoir une nouvelle lecture des documents lorsque le service change.
Comparer les contrôles IA et les données du rapport →
Références relues le
security.txt et divulgation
Conserver le périmètre du contact lors des changements de domaine
Une migration, une délégation à un prestataire ou un changement de sous-domaine peut rendre un canal de divulgation ambigu. Le suivi du domaine doit donc inclure la publication et la révision de security.txt.
- Contrôler chaque hôte concerné : le fichier d’un domaine parent ne s’applique pas automatiquement à ses sous-domaines.
- Comparer les URI Canonical à la récupération réelle et documenter les redirections vers un prestataire.
- Réexaminer contacts, clés, politique et expiration lors d’un transfert de responsabilité ; garder les anciennes versions comme historique.
Lire la fiche security.txt et les cas de divulgation →
Sources vérifiées le · IETF · RFC 9116 · §2.5, §3, §5