IA et maintenanceArticle pilier
Fuites de données par l'IA : le risque vient de vos équipes et de vos prestataires
Les fuites de données via l'IA ne viennent pas de l'IA mais des personnes et des tiers qui l'utilisent : shadow AI, prestataires, et ce qu'impose l'AI Act.
Quand une donnée sensible s'échappe par l'IA, le premier réflexe est d'accuser l'outil. C'est se tromper de coupable.
L'intelligence artificielle ne va pas chercher vos données : ce sont des personnes qui les lui donnent, et des tiers qui les traitent pour vous. Le risque n'est pas technique, il est humain et contractuel.
Et c'est une bonne nouvelle : un risque humain, cela se cadre.
L'essentiel
Les fuites de données par l'IA viennent de trois sources, aucune n'étant l'IA elle-même : vos salariés qui collent des documents dans des outils grand public (le shadow AI), vos prestataires et fournisseurs qui traitent vos données avec leurs propres outils, et l'absence de cadre au moment où l'AI Act entre en application. La réponse n'est pas d'interdire, mais de cartographier vos usages réels, d'en mesurer les risques et les obligations, et de reprendre la maîtrise, au besoin par une IA déployée en local. Interdire sans alternative rend le risque invisible ; le cadrer le rend gérable.
Les trois sources se règlent toutes de la même façon : savoir où sont vos données, et qui les traite.
- Vos équipes : le shadow AI, ces outils utilisés sans décision ni contrôle.
- Vos prestataires et fournisseurs : des tiers qui manipulent vos données avec leurs propres outils.
- L'absence de cadre : au moment précis où la loi vous demande de rendre des comptes.
Pourquoi vos équipes sont-elles le premier risque ?
Vos équipes utilisent déjà l'IA, que vous l'ayez décidé ou non. ChatGPT, copilotes bureautiques, assistants de navigateur : ces outils sont devenus des réflexes de travail.
À chaque fois qu'un salarié y colle un extrait de rapport, un tableau de mesures ou un compte rendu, cette donnée quitte l'entreprise pour un serveur tiers.
Ce n'est pas une crainte abstraite. Une analyse de Cyberhaven sur 1,6 million de salariés donne trois chiffres parlants :
- 11 % des données collées dans ChatGPT sont confidentielles ;
- une entreprise moyenne y laisse fuir des informations sensibles des centaines de fois par semaine ;
- moins de 1 % des salariés sont à l'origine de 80 % de ces fuites.
La conséquence pratique est nette : le problème ne se règle pas en sensibilisant tout le monde à parts égales, mais en identifiant les usages réels.
Le cas Samsung, sans le moindre malveillant
En 2023, en quelques semaines, des ingénieurs de Samsung ont introduit dans ChatGPT du code source propriétaire et le compte rendu d'une réunion interne, simplement pour gagner du temps. L'entreprise a réagi en interdisant l'IA générative à ses salariés.
Le détail qui compte : aucun de ces ingénieurs n'était malveillant. Ils faisaient leur travail avec un outil pratique, sans savoir que ce qu'ils saisissaient sortait définitivement de leur périmètre.
C'est cela, le shadow AI : l'IA qui entre par la porte de derrière, sans décision ni contrôle, en emportant précisément les données qu'on voulait protéger.
Qu'est-ce qui fuit vraiment, en industrie ?
Les exemples de code et de documents de bureau parlent d'un monde. En industrie, la donnée qui s'échappe est d'une autre nature, et souvent plus révélatrice.
| Ce qui s'échappe | Ce que cela révèle sur votre site |
|---|---|
| Un rapport d'inspection | épaisseurs, vitesses de corrosion, points de mesure : où vos équipements s'amincissent et quand un arrêt approche |
| Un paramètre de procédé | le secret de fabrication, en chimie comme en agroalimentaire |
| Un historique de pannes | l'endroit précis où votre outil de production cède |
| Une séquence de nettoyage en place | autant de savoir-faire que de sécurité sanitaire |
Tableau faisant défiler horizontalement sur petit écran.
Agrégées, ces informations décrivent votre site mieux qu'un concurrent ne le pourrait.
C'est la différence de fond avec une fuite de code source : une entreprise peut réécrire un logiciel, elle ne peut pas défaire le fait qu'un tiers connaisse l'état réel de ses équipements sous pression.
Sur un site classé Seveso, une usine pharmaceutique ou une unité chimique, cette donnée touche à la fois au secret industriel, à la sécurité et à la conformité. Le mécanisme de fuite est le même que chez Samsung ; l'enjeu, lui, est plus lourd, car il porte sur des équipements dont la défaillance a des conséquences physiques.
Vos prestataires sont-ils l'autre porte de sortie ?
La fuite ne passe pas que par vos salariés. Elle passe par tous ceux qui traitent vos données pour vous, avec des outils que vous n'avez pas choisis.
Prenez une campagne d'inspection confiée à un prestataire. Il relève vos épaisseurs, rédige son rapport, et s'appuie sur un assistant IA en ligne pour mettre en forme ses constats. Vos mesures viennent de sortir de votre site, sans que vous l'ayez su ni autorisé.
Multipliez par le nombre de tiers qui se succèdent sur un parc, et la surface d'exposition devient celle de toute votre chaîne technique :
- un prestataire d'inspection qui met en forme ses constats avec un assistant IA ;
- un éditeur de GMAO qui greffe une fonction d'IA ;
- un bureau de contrôle qui externalise la saisie ;
- un fournisseur qui héberge votre historique.
Le point clé : la responsabilité ne se sous-traite pas. Vous restez responsable de ce que deviennent vos données, même quand c'est un tiers qui les manipule.
La question à poser avant de confier une tâche change donc : non plus seulement « est-ce bien fait », mais « qu'advient-il de mes données pendant que c'est fait ». Trois questions suffisent à cadrer un tiers :
- Où mes données sont-elles traitées et stockées, et avec quels outils ?
- Servent-elles à entraîner un modèle, ou sont-elles supprimées après usage ?
- Que dit le contrat noir sur blanc, et que se passe-t-il en cas de sous-traitance en cascade ?
Sans réponse écrite à ces trois questions, l'exposition reste la vôtre.
Que vous impose désormais la loi ?
Le cadre s'est resserré, et il vise exactement cette chaîne.
| Texte | Ce qu'il implique pour vous |
|---|---|
| AI Act (règlement européen sur l'IA) | classe les usages par niveau de risque ; impose documentation, supervision humaine et maîtrise des données pour les plus sensibles. Entre en application par étapes |
| RGPD | s'applique dès qu'une donnée personnelle est en jeu (un nom d'opérateur dans un rapport) ; distingue le responsable du traitement de ses sous-traitants |
| ISO/IEC 42001 | cadre de gouvernance de l'IA : comment décider, documenter et surveiller son usage, comme pour la qualité ou la sécurité |
Tableau faisant défiler horizontalement sur petit écran.
La règle de lecture reste la même qu'ailleurs : ces textes se citent par leur objet, jamais par un numéro d'article ou un seuil qu'on n'aurait pas vérifié.
Ce qu'il faut en retenir est simple : vous êtes désormais tenu de savoir ce que vos équipes et vos prestataires font de l'IA, et de pouvoir le démontrer.
Le jour d'un audit ou d'un incident, l'absence de cartographie et de traces ne se rattrape pas : elle se constate. Mieux vaut préparer ce dossier à froid que le reconstituer dans l'urgence.
Faut-il interdire l'IA ? Non, et voici pourquoi
La réaction de Samsung, interdire, est compréhensible, mais elle ne règle rien seule.
Là où l'IA est bloquée sur les postes de l'entreprise, les équipes ne cessent pas de travailler : elles copient un extrait de rapport depuis leur téléphone personnel, persuadées de gagner du temps.
L'interdiction ne supprime pas le risque : elle le rend invisible et incontrôlable. Priver ses équipes d'un outil utile sans leur en offrir un maîtrisé, c'est garantir qu'elles en trouveront un dans leur dos.
Comment reprendre la maîtrise, concrètement ?
La bonne démarche n'est pas de nier l'usage ni de l'interdire, mais de le reprendre en main. Elle tient en trois temps.
Cartographier les usages réels
Savoir ce qui se passe vraiment : quels outils, par qui, pour quelles tâches, avec quelles données, shadow AI compris. Cette photographie honnête est la seule base solide. On ne cadre pas un usage qu'on ne connaît pas.
Mesurer les risques et les obligations
Pour chaque usage, évaluer ce qui est en jeu : quelle donnée est exposée, quelle fiabilité attendre, de quel fournisseur on dépend, quelles obligations s'appliquent. Demander une reformulation d'e-mail n'a pas la même portée que coller un dossier technique.
Décider, et donner une alternative maîtrisée
De cette analyse sort un plan priorisé : ce qu'on autorise, ce qu'on encadre, ce qu'on remplace. Pour les usages qui touchent aux données sensibles, la réponse la plus robuste est une IA déployée en local, où la donnée est traitée sur place et n'en sort pas. Le vecteur de fuite disparaît par construction, et non par interdiction. Cette logique est développée dans pourquoi une IA industrielle responsable est locale et hors cloud.
Dans un contexte industriel, cette alternative locale n'est pas un luxe de spécialiste. Les données de maintenance et d'inspection sont précisément celles qui ne doivent pas circuler.
Concrètement, « en local » veut dire que le modèle tourne sur vos serveurs ou sur une machine du site : un rapport analysé n'est jamais envoyé vers un service extérieur, et aucune donnée ne sert à entraîner un outil tiers. Les traiter ainsi revient à supprimer le vecteur de fuite plutôt qu'à courir après elle une fois qu'elle a eu lieu.
Le déploiement concret d'un tel outil est détaillé dans une IA locale hors cloud sur un site industriel.
Ce triptyque, cartographier, mesurer, décider, ne demande pas d'expertise en IA. Il demande de la méthode, et le courage de regarder ce qui se passe déjà.
Un responsable qui sait où l'IA touche ses données, qui a mesuré ce que cela expose et qui a tranché ce qu'il autorise n'a plus d'angle mort : il tient un dossier défendable, devant une direction comme devant un auditeur.
Le coût d'un tel cadrage est sans commune mesure avec celui d'une fuite qui, elle, ne se rattrape pas.
Le vrai sujet n'est pas l'IA, c'est la maîtrise
Reprenez les trois sources de fuite : vos salariés, vos prestataires, l'absence de cadre. Aucune n'est l'outil lui-même. Toutes tiennent au même point : savoir où sont vos données et qui les traite.
C'est exactement ce que recouvre une IA responsable pensée dès sa conception, et ce que le déploiement local rend possible en pratique.
L'IA ne fait pas fuiter vos données. Elle révèle simplement si vous en aviez gardé la maîtrise.
Comment l'IA peut-elle provoquer une fuite de données en industrie ?
Le plus souvent par vos propres équipes, qui collent un rapport, un plan ou des données de procédé dans un outil d'IA grand public, où la donnée sort de l'entreprise. Ce n'est pas l'IA qui fuit, c'est l'usage non maîtrisé.
Interdire les outils d'IA suffit-il à protéger mes données ?
Non, et cela aggrave souvent le problème. L'interdiction pousse les usages dans l'ombre, hors de tout contrôle. Encadrer un usage visible protège mieux qu'interdire un usage qui continuera en cachette.
Que dit la réglementation sur l'IA et les données industrielles ?
Le RGPD s'applique dès qu'il y a des données personnelles, et le règlement européen sur l'IA encadre certains usages. Mais l'essentiel du risque industriel porte sur des données techniques et de procédé, protégées par le secret des affaires, pas par le RGPD.
Comment utiliser l'IA sans exposer ses données ?
En gardant la donnée chez soi : un outil qui tourne en local, sur site, sans envoi vers un service extérieur. C'est la seule approche qui répond vraiment au risque de fuite.
Écrit par Adama CamaraConsultant IA · Industrie · voir le profil
Publié le 29 juillet 2026
Logiciels et données
L'IA industrielle : ce qu'elle est vraiment, et ce qu'elle change en usine
L'IA industrielle sans jargon : ce qu'elle recouvre vraiment, ses cas d'usage par fonction et par secteur, ses limites, et par où commencer dans votre usine.
IA et maintenance
Pourquoi une IA industrielle responsable est une IA locale, sur mesure et hors cloud
Une IA responsable en industrie n'est pas un label mais une architecture : protéger des données sensibles impose des outils sur mesure, en local, hors cloud.
IA et maintenance
Les risques réels de l'IA en industrie, et pourquoi le local les réduit
Les vrais risques d'une IA en industrie : fuite de données, erreurs invisibles, dépendance, sécurité. La plupart tiennent à la maîtrise de la donnée.
IA et maintenance
IA locale hors cloud en industrie : déployer un LLM ou un LMM sur site
Déployer l'IA en local plutôt que dans le cloud : ce que fait un LLM sur un site industriel, les tâches automatisées et les vraies contraintes.