Où vous en êtes

Axe 1 - Cyber Readiness 

Examinons tout d'abord votre situation quant à votre approche de la cybersécurité d'un point de vue gouvernance et stratégie. 

Parc IT = appareils, logiciels et comptes utilisateurs. Données = bases clients, données financières et documents stratégiques.  Classification : Public / Interne / Confidentiel / Restreint (base retenue par la norme ISO 27001)

BCP (Plan de Continuité d'Activité) : comment votre entreprise continue à fonctionner pendant une crise. DRP (Plan de Reprise d'Activité) : comment vous restaurez concrètement vos systèmes et données après un sinistre. Une sauvegarde jamais testée n'offre aucune garantie réelle de restauration.

Le chiffrement rend les données illisibles sans clé d'accès : en cas de vol d'un appareil (chiffrement au repos), ou d'interception lors d'un transfert (chiffrement en transit).

Un plan de réponse aux incidents organise qui fait quoi en cas de cyberattaque : qui décide, qui communique (clients, autorités), quelles actions techniques immédiates engager. Le tester permet de vérifier qu'il fonctionne réellement, pas seulement sur le papier.

En Suisse, l'assurance cyber n'est pas obligatoire. Son absence n'est donc pas nécessairement une faute, si elle résulte d'une décision assumée après analyse du risque.

Un tiers critique est un prestataire ayant accès à vos données ou systèmes, ou dont la défaillance interromprait votre activité (hébergeur, éditeur de logiciel métier, MSSP, sous-traitant avec accès aux données clients). La qualification évalue le niveau de risque de chaque tiers selon sa criticité.

Un programme de sensibilisation vise à apprendre aux collaborateurs à reconnaître les risques courants (phishing, ingénierie sociale, mots de passe faibles) et à adopter les bons réflexes. "Actif" = renouvelé régulièrement (formations, simulations de phishing, rappels). "Mesuré" = vous suivez des indicateurs concrets pour évaluer si le programme est efficace.

Axe 2 - Intelligence Artificielle

Voyons maintenant ce que vous avez mis en place au niveau de l'IA, en termes de gestion des risques et d'intégration de la technologie.

Les fournisseurs d'outils IA (ChatGPT, Copilot, etc.) ont le droit d'utiliser les données transmises, que ce soit les conserver, les réutiliser pour entraîner leurs modèles, les partager avec des tiers - sauf dans la version Pro ou Entreprise. 

Inventaire et évaluation de votre exposition à vos fournisseurs IA ou Cloud critiques si l'un d'entre eux venait à changer drastiquement ses conditions, ses prix, ou à cesser son service. Avez-vous une option de sortie ? 

Il s'agit de savoir si l'entreprise mesure concrètement l'apport de l'IA, en termes de gain de temps, réduction de coûts, amélioration de l'offre, nouveaux services rendus possibles.

L'IA est-elle devenue un maillon critique de votre offre ou de votre relation client, auquel cas sa défaillance ou son retrait aurait un impact direct sur l'activité, ou elle reste-t-elle un outil de productivité interne, plus facilement substituable '

Un assistant conversationnel (chatbot) répond à une demande ponctuelle. Une automatisation (ex : prise de rendez-vous en ligne avec messages automatiques) exécute une tâche prédéfinie. Un agent IA autonome (ex : pilotage de campagnes marketing) prend des décisions et déclenche des actions sans validation systématique = plus de valeur mais aussi plus de risque si l'action n'est pas supervisée humainement.

Traçable signifie que vous pouvez retrouver, après coup, comment une décision a été obtenue (quelles données, quelle logique).

Explicable signifie que vous pouvez restituer cette logique de façon compréhensible à un client, un collaborateur ou un régulateur. C'est particulièrement important pour les décisions à enjeu (recrutement, tarification, crédit, etc.).

Biais IA = reproduction ou amplification d'une discrimination présente dans les données d'entraînement. Ex : tri de CV défavorisant certains profils, interprétation ou hallucination biaisée d'une donnée ou d'un fait, produisant des résultats erronés non détectés.

Démarche organisée au-delà de l'apprentissage individuel spontané de chacun.

Une gouvernance IA formalisée repose sur deux piliers : une politique validée par la direction (règles d'usage, loutils autorisés, cas interdits) et des rôles clairement attribués (qui valide un nouveau cas d'usage, qui en répond).

DORA (résilience opérationnelle numérique) et NIS2 (cybersécurité des réseaux) sont des textes européens, imposant des obligations de sécurité renforcés sur la gestion des risques-tiers et la notification d'incidents. Ils ne s'appliquent pas directement à une entreprise suisse opérant qu'en Suisse. L'exposition vient généralement d'un client européen régulé qui répercute contractuellement une partie de ses obligations sur ses prestataires.

L'EU AI Act peut s'appliquer dès qu'un système IA ou son résultat est utilisé dans l'UE, même sans lien contractuel direct avec un client régulé. Par exemple, un outil IA intégré à un produit ou service vendu à des clients européens.