IA et maintenanceArticle pilier

Fuites de données par l'IA : le risque vient de vos équipes et de vos prestataires

Les fuites de données via l'IA ne viennent pas de l'IA mais des personnes et des tiers qui l'utilisent : shadow AI, prestataires, et ce qu'impose l'AI Act.

8 min de lecture

Unité de procédé chimique et structures de distillation
Unité de procédé chimique et structures de distillation

Quand une donnée sensible s'échappe par l'IA, le premier réflexe est d'accuser l'outil. C'est se tromper de coupable.

L'intelligence artificielle ne va pas chercher vos données : ce sont des personnes qui les lui donnent, et des tiers qui les traitent pour vous. Le risque n'est pas technique, il est humain et contractuel.

Et c'est une bonne nouvelle : un risque humain, cela se cadre.

L'essentiel

Les fuites de données par l'IA viennent de trois sources, aucune n'étant l'IA elle-même : vos salariés qui collent des documents dans des outils grand public (le shadow AI), vos prestataires et fournisseurs qui traitent vos données avec leurs propres outils, et l'absence de cadre au moment où l'AI Act entre en application. La réponse n'est pas d'interdire, mais de cartographier vos usages réels, d'en mesurer les risques et les obligations, et de reprendre la maîtrise, au besoin par une IA déployée en local. Interdire sans alternative rend le risque invisible ; le cadrer le rend gérable.

Les trois sources se règlent toutes de la même façon : savoir où sont vos données, et qui les traite.

  • Vos équipes : le shadow AI, ces outils utilisés sans décision ni contrôle.
  • Vos prestataires et fournisseurs : des tiers qui manipulent vos données avec leurs propres outils.
  • L'absence de cadre : au moment précis où la loi vous demande de rendre des comptes.

Pourquoi vos équipes sont-elles le premier risque ?

Vos équipes utilisent déjà l'IA, que vous l'ayez décidé ou non. ChatGPT, copilotes bureautiques, assistants de navigateur : ces outils sont devenus des réflexes de travail.

À chaque fois qu'un salarié y colle un extrait de rapport, un tableau de mesures ou un compte rendu, cette donnée quitte l'entreprise pour un serveur tiers.

Ce n'est pas une crainte abstraite. Une analyse de Cyberhaven sur 1,6 million de salariés donne trois chiffres parlants :

  • 11 % des données collées dans ChatGPT sont confidentielles ;
  • une entreprise moyenne y laisse fuir des informations sensibles des centaines de fois par semaine ;
  • moins de 1 % des salariés sont à l'origine de 80 % de ces fuites.

La conséquence pratique est nette : le problème ne se règle pas en sensibilisant tout le monde à parts égales, mais en identifiant les usages réels.

Sur le terrain

Le cas Samsung, sans le moindre malveillant

En 2023, en quelques semaines, des ingénieurs de Samsung ont introduit dans ChatGPT du code source propriétaire et le compte rendu d'une réunion interne, simplement pour gagner du temps. L'entreprise a réagi en interdisant l'IA générative à ses salariés.

Le détail qui compte : aucun de ces ingénieurs n'était malveillant. Ils faisaient leur travail avec un outil pratique, sans savoir que ce qu'ils saisissaient sortait définitivement de leur périmètre.

C'est cela, le shadow AI : l'IA qui entre par la porte de derrière, sans décision ni contrôle, en emportant précisément les données qu'on voulait protéger.

Qu'est-ce qui fuit vraiment, en industrie ?

Les exemples de code et de documents de bureau parlent d'un monde. En industrie, la donnée qui s'échappe est d'une autre nature, et souvent plus révélatrice.

Ce qui s'échappeCe que cela révèle sur votre site
Un rapport d'inspectionépaisseurs, vitesses de corrosion, points de mesure : où vos équipements s'amincissent et quand un arrêt approche
Un paramètre de procédéle secret de fabrication, en chimie comme en agroalimentaire
Un historique de pannesl'endroit précis où votre outil de production cède
Une séquence de nettoyage en placeautant de savoir-faire que de sécurité sanitaire

Tableau faisant défiler horizontalement sur petit écran.

Agrégées, ces informations décrivent votre site mieux qu'un concurrent ne le pourrait.

C'est la différence de fond avec une fuite de code source : une entreprise peut réécrire un logiciel, elle ne peut pas défaire le fait qu'un tiers connaisse l'état réel de ses équipements sous pression.

Sur un site classé Seveso, une usine pharmaceutique ou une unité chimique, cette donnée touche à la fois au secret industriel, à la sécurité et à la conformité. Le mécanisme de fuite est le même que chez Samsung ; l'enjeu, lui, est plus lourd, car il porte sur des équipements dont la défaillance a des conséquences physiques.

Vos prestataires sont-ils l'autre porte de sortie ?

La fuite ne passe pas que par vos salariés. Elle passe par tous ceux qui traitent vos données pour vous, avec des outils que vous n'avez pas choisis.

Prenez une campagne d'inspection confiée à un prestataire. Il relève vos épaisseurs, rédige son rapport, et s'appuie sur un assistant IA en ligne pour mettre en forme ses constats. Vos mesures viennent de sortir de votre site, sans que vous l'ayez su ni autorisé.

Multipliez par le nombre de tiers qui se succèdent sur un parc, et la surface d'exposition devient celle de toute votre chaîne technique :

  • un prestataire d'inspection qui met en forme ses constats avec un assistant IA ;
  • un éditeur de GMAO qui greffe une fonction d'IA ;
  • un bureau de contrôle qui externalise la saisie ;
  • un fournisseur qui héberge votre historique.

Le point clé : la responsabilité ne se sous-traite pas. Vous restez responsable de ce que deviennent vos données, même quand c'est un tiers qui les manipule.

La question à poser avant de confier une tâche change donc : non plus seulement « est-ce bien fait », mais « qu'advient-il de mes données pendant que c'est fait ». Trois questions suffisent à cadrer un tiers :

  • mes données sont-elles traitées et stockées, et avec quels outils ?
  • Servent-elles à entraîner un modèle, ou sont-elles supprimées après usage ?
  • Que dit le contrat noir sur blanc, et que se passe-t-il en cas de sous-traitance en cascade ?

Sans réponse écrite à ces trois questions, l'exposition reste la vôtre.

Que vous impose désormais la loi ?

Le cadre s'est resserré, et il vise exactement cette chaîne.

TexteCe qu'il implique pour vous
AI Act (règlement européen sur l'IA)classe les usages par niveau de risque ; impose documentation, supervision humaine et maîtrise des données pour les plus sensibles. Entre en application par étapes
RGPDs'applique dès qu'une donnée personnelle est en jeu (un nom d'opérateur dans un rapport) ; distingue le responsable du traitement de ses sous-traitants
ISO/IEC 42001cadre de gouvernance de l'IA : comment décider, documenter et surveiller son usage, comme pour la qualité ou la sécurité

Tableau faisant défiler horizontalement sur petit écran.

La règle de lecture reste la même qu'ailleurs : ces textes se citent par leur objet, jamais par un numéro d'article ou un seuil qu'on n'aurait pas vérifié.

Ce qu'il faut en retenir est simple : vous êtes désormais tenu de savoir ce que vos équipes et vos prestataires font de l'IA, et de pouvoir le démontrer.

Le jour d'un audit ou d'un incident, l'absence de cartographie et de traces ne se rattrape pas : elle se constate. Mieux vaut préparer ce dossier à froid que le reconstituer dans l'urgence.

Faut-il interdire l'IA ? Non, et voici pourquoi

La réaction de Samsung, interdire, est compréhensible, mais elle ne règle rien seule.

Là où l'IA est bloquée sur les postes de l'entreprise, les équipes ne cessent pas de travailler : elles copient un extrait de rapport depuis leur téléphone personnel, persuadées de gagner du temps.

L'interdiction ne supprime pas le risque : elle le rend invisible et incontrôlable. Priver ses équipes d'un outil utile sans leur en offrir un maîtrisé, c'est garantir qu'elles en trouveront un dans leur dos.

Comment reprendre la maîtrise, concrètement ?

La bonne démarche n'est pas de nier l'usage ni de l'interdire, mais de le reprendre en main. Elle tient en trois temps.

01

Cartographier les usages réels

Savoir ce qui se passe vraiment : quels outils, par qui, pour quelles tâches, avec quelles données, shadow AI compris. Cette photographie honnête est la seule base solide. On ne cadre pas un usage qu'on ne connaît pas.

02

Mesurer les risques et les obligations

Pour chaque usage, évaluer ce qui est en jeu : quelle donnée est exposée, quelle fiabilité attendre, de quel fournisseur on dépend, quelles obligations s'appliquent. Demander une reformulation d'e-mail n'a pas la même portée que coller un dossier technique.

03

Décider, et donner une alternative maîtrisée

De cette analyse sort un plan priorisé : ce qu'on autorise, ce qu'on encadre, ce qu'on remplace. Pour les usages qui touchent aux données sensibles, la réponse la plus robuste est une IA déployée en local, où la donnée est traitée sur place et n'en sort pas. Le vecteur de fuite disparaît par construction, et non par interdiction. Cette logique est développée dans pourquoi une IA industrielle responsable est locale et hors cloud.

Dans un contexte industriel, cette alternative locale n'est pas un luxe de spécialiste. Les données de maintenance et d'inspection sont précisément celles qui ne doivent pas circuler.

Concrètement, « en local » veut dire que le modèle tourne sur vos serveurs ou sur une machine du site : un rapport analysé n'est jamais envoyé vers un service extérieur, et aucune donnée ne sert à entraîner un outil tiers. Les traiter ainsi revient à supprimer le vecteur de fuite plutôt qu'à courir après elle une fois qu'elle a eu lieu.

Le déploiement concret d'un tel outil est détaillé dans une IA locale hors cloud sur un site industriel.

Ce triptyque, cartographier, mesurer, décider, ne demande pas d'expertise en IA. Il demande de la méthode, et le courage de regarder ce qui se passe déjà.

Un responsable qui sait où l'IA touche ses données, qui a mesuré ce que cela expose et qui a tranché ce qu'il autorise n'a plus d'angle mort : il tient un dossier défendable, devant une direction comme devant un auditeur.

Le coût d'un tel cadrage est sans commune mesure avec celui d'une fuite qui, elle, ne se rattrape pas.

Le vrai sujet n'est pas l'IA, c'est la maîtrise

Reprenez les trois sources de fuite : vos salariés, vos prestataires, l'absence de cadre. Aucune n'est l'outil lui-même. Toutes tiennent au même point : savoir où sont vos données et qui les traite.

C'est exactement ce que recouvre une IA responsable pensée dès sa conception, et ce que le déploiement local rend possible en pratique.

L'IA ne fait pas fuiter vos données. Elle révèle simplement si vous en aviez gardé la maîtrise.

Comment l'IA peut-elle provoquer une fuite de données en industrie ?

Le plus souvent par vos propres équipes, qui collent un rapport, un plan ou des données de procédé dans un outil d'IA grand public, où la donnée sort de l'entreprise. Ce n'est pas l'IA qui fuit, c'est l'usage non maîtrisé.

Interdire les outils d'IA suffit-il à protéger mes données ?

Non, et cela aggrave souvent le problème. L'interdiction pousse les usages dans l'ombre, hors de tout contrôle. Encadrer un usage visible protège mieux qu'interdire un usage qui continuera en cachette.

Que dit la réglementation sur l'IA et les données industrielles ?

Le RGPD s'applique dès qu'il y a des données personnelles, et le règlement européen sur l'IA encadre certains usages. Mais l'essentiel du risque industriel porte sur des données techniques et de procédé, protégées par le secret des affaires, pas par le RGPD.

Comment utiliser l'IA sans exposer ses données ?

En gardant la donnée chez soi : un outil qui tourne en local, sur site, sans envoi vers un service extérieur. C'est la seule approche qui répond vraiment au risque de fuite.

Écrit par Adama CamaraConsultant IA · Industrie · voir le profil

Publié le 29 juillet 2026

Accompagnement

Des systèmes d'IA sur mesure pour l'industrie

Des agents qui exploitent vos données et prolongent vos outils. Conçus et exécutés chez vous, hors réseau.

Voir Assets 4.0