Gouvernance

CRA, NIS2, AI Act : trois textes, des échéances qui ne se ressemblent pas. Ce qui est opposable en septembre, ce qui a bougé, ce qui attend 2027.

Le 2 août 2026 devait être la date à laquelle les systèmes d’IA à haut risque de l’annexe III — recrutement, gestion du personnel, accès aux services essentiels — entraient dans le régime le plus exigeant du règlement européen sur l’intelligence artificielle. Cette échéance est passée il y a quatre ...

La conformité produit beaucoup de texte : politiques, questionnaires, analyses d’écarts, réponses à des demandes clients. C’est un terrain où l’assistance automatisée fait gagner un temps réel. C’est aussi un terrain où une erreur ne se voit pas — un document faux ressemble exactement à un document juste. D’où la ...

Une non-conformité relevée en audit provoque presque toujours la même réaction : corriger le cas signalé, envoyer la preuve, clore. L’auditeur revient l’année suivante et relève la même chose ailleurs. La raison est simple : on a traité le symptôme, pas la cause. Et c’est précisément ce que la norme ...

La revue de direction est l’une des rares exigences d’ISO 27001 qui ne peut pas être déléguée. Elle est aussi celle qui se transforme le plus vite en formalité : une réunion annuelle, une présentation d’indicateurs, un compte rendu classé. La norme est pourtant précise sur ce qu’elle doit contenir, ...

Les qualifications délivrées par l’ANSSI reviennent régulièrement dans les cahiers des charges, souvent sans que l’acheteur sache exactement ce qu’elles garantissent — ni si elles sont réellement nécessaires à son besoin. Voici ce que recouvrent les principales, et comment décider. Ce que la qualification couvre — et ce qu’elle ne ...

La durée de conservation est le champ le plus souvent vide des registres de traitement, et l’un des manquements les plus fréquemment relevés en contrôle. La raison est simple : écrire une durée est facile, la faire appliquer ne l’est pas. Une politique qui annonce trois ans alors qu’aucune purge ...

La question du transfert hors Union européenne se pose beaucoup plus souvent qu’on ne le croit, et elle est rarement instruite correctement. Elle ne concerne pas seulement l’hébergement. Un support technique assuré depuis un pays tiers, une équipe d’administration délocalisée, une sauvegarde répliquée ailleurs, un assistant conversationnel dont le traitement ...

Deux politiques d’IA circulent dans les entreprises. La première tient en une phrase : « l’usage des outils d’IA générative est interdit ». La seconde fait quarante pages de principes éthiques sans une seule règle applicable. Les deux produisent le même résultat : les usages continuent, hors de tout contrôle. ...