Boîte à outils · Cyber & intelligence artificielle
Vos outils cyber & IA.
Pour poser les bases · avant l'incident.
6 ressources pour sécuriser votre conformité numérique et cadrer l'usage de l'IA dans votre organisation.
RGPD · Obligation légale pour toute organisation traitant des données personnelles
Template registre des traitements RGPD · Version simplifiée TPE/PME
Le registre des activités de traitement est obligatoire pour toute entreprise : sans exception de taille. Il doit être tenu à jour et présenté à la CNIL sur demande. Voici la structure avec les principaux traitements d'une TPE/PME de services. Adaptez-la à votre situation réelle.
| Traitement | Finalité | Données collectées | Base légale | Durée conservation |
|---|---|---|---|---|
| Gestion des clients | Facturation, suivi de mission, communication commerciale | Nom, email, téléphone, adresse, données contractuelles | Contrat / obligation légale | 5 ans après fin de relation |
| Gestion des prospects | Prospection commerciale, suivi des devis | Nom, email professionnel, poste, société | Intérêt légitime (B2B) | 3 ans après dernier contact |
| Gestion des salariés | Administration RH, paie, formation | État civil, coordonnées, CV, données bancaires, données de santé (si arrêt) | Contrat / obligation légale | 5 ans après départ (paie : 3 ans) |
| Candidatures / recrutement | Évaluation des candidats | CV, lettre de motivation, notes d'entretien | Consentement (candidat) | 2 ans si non retenu |
| Site web · formulaires de contact | Traitement des demandes de contact | Nom, email, message, adresse IP | Consentement / intérêt légitime | 3 ans après dernier contact |
| Newsletter / emailing | Communication, prospection, fidélisation | Email, prénom, préférences | Consentement explicite | Jusqu'au désabonnement |
| Vidéosurveillance (si applicable) | Sécurité des locaux | Images des personnes présentes | Intérêt légitime | 30 jours maximum |
| Comptabilité et facturation | Gestion financière, obligations fiscales | Données d'identification, montants, références contrats | Obligation légale | 10 ans (obligation comptable) |
Cybersécurité · Première ligne de défense
Checklist politique de mots de passe : règles à diffuser à vos équipes
80 % des cyberattaques réussies exploitent des mots de passe faibles ou réutilisés. Ces règles sont simples à mettre en place : et leur absence expose l'entreprise à des sinistres coûteux. Cochez ce que vous avez déjà en place et diffusez la liste à vos équipes.
Règles de création des mots de passe
- Longueur minimum de 12 caractères (recommandation ANSSI 2024)
- Combinaison obligatoire : majuscules + minuscules + chiffres + caractères spéciaux (!@#$…)
- Interdiction d'utiliser le nom de l'entreprise, une date de naissance ou des suites logiques (123456, azerty…)
- Un mot de passe unique par service : jamais de réutilisation
- Changement immédiat en cas de doute sur une compromission
Outils et pratiques recommandées
- Utilisation d'un gestionnaire de mots de passe partagé (Bitwarden : version gratuite, Dashlane Teams, 1Password Business)
- Authentification à double facteur (MFA) activée sur tous les comptes critiques : email pro, cloud, CRM, comptabilité
- Jamais de mot de passe transmis par email ou SMS non chiffré : utiliser le gestionnaire de mots de passe
- Interdiction de noter les mots de passe sur papier ou dans un fichier texte non sécurisé
- Verrouillage automatique du poste après 5 minutes d'inactivité
Gestion des départs et des accès
- Procédure de révocation des accès le jour du départ d'un collaborateur (voir outil 6)
- Revue des accès actifs tous les 6 mois : supprimer les comptes inutilisés
- Comptes partagés proscrits · un compte nominatif par personne
IA · Ce qu'on peut utiliser et avec quelles données
Guide des outils IA · Autorisés, sous conditions ou à éviter
Tous les outils IA ne se valent pas en matière de confidentialité. Voici un panorama des principaux outils et des données qu'il est prudent (ou non) de leur confier. Ce guide reflète la situation en juin 2026 : les politiques de confidentialité des éditeurs évoluent : vérifiez toujours leur page de confidentialité avant usage professionnel.
| Outil IA | Usages ok en pro | Données à ne jamais saisir | Niveau de risque |
|---|---|---|---|
| Claude (Anthropic) | Rédaction, analyse, résumé, code, recherche | Données personnelles clients, données bancaires, informations classifiées | Acceptable |
| ChatGPT (OpenAI) | Rédaction, idéation, reformulation de contenu public | Données personnelles, données RH, informations confidentielles : par défaut votre historique peut être utilisé pour l'entraînement | Avec précautions |
| Microsoft Copilot (365) | Rédaction de mails, résumés de réunions, aide sur Office | Traitement automatique de décisions RH sans supervision humaine | Acceptable (données restent dans votre tenant M365) |
| Google Gemini | Recherche, résumé de documents publics | Données personnelles, informations sensibles · politique de confidentialité variable selon pays | Avec précautions |
| Outils IA tiers gratuits (ex : Perplexity, Mistral gratuit…) | Recherche documentaire sur sources publiques uniquement | Toute donnée à caractère personnel ou professionnel confidentiel | Limiter aux données publiques |
| Outils sans politique de confidentialité explicite | Aucun usage professionnel recommandé | Absolument toutes les données | À proscrire |
| IA intégrée à votre CRM/ERP (ex. HubSpot AI, Salesforce Einstein) | Analyse de pipeline, suggestions de réponses clients | Vérifier les DPA (Data Processing Agreements) avec l'éditeur | Généralement ok si DPA signé |
Gestion de crise · Savoir quoi faire dans les premières heures
Trame plan d'action cyberattaque · Procédure de crise
En cas de cyberattaque (ransomware, phishing réussi, accès non autorisé), chaque minute compte. Sans procédure définie à l'avance, les premières heures sont perdues dans la confusion : et c'est ce qui aggrave le sinistre. Ce plan doit être imprimé et conservé hors ligne.
⚠ Imprimez ce plan et conservez-en une copie papier : en cas de ransomware, votre ordinateur peut être inutilisable.
Première détection · Ne pas paniquer, isoler
- Déconnecter IMMÉDIATEMENT le ou les ordinateurs affectés du réseau (débrancher câble ethernet, couper le Wi-Fi)
- Ne PAS éteindre les machines affectées : conserver les preuves en mémoire vive
- Ne PAS payer une rançon sans avoir contacté un expert
- Alerter immédiatement le responsable désigné : [Nom · Téléphone]
Évaluer l'ampleur et sécuriser
- Identifier les machines, comptes et données potentiellement compromis
- Changer immédiatement les mots de passe de tous les comptes critiques depuis un appareil sain
- Vérifier si des données personnelles ont été exposées (clients, salariés, partenaires)
- Activer le MFA sur tous les comptes si ce n'est pas déjà fait
Signaler aux autorités compétentes
- Déposer plainte auprès de la gendarmerie ou police nationale (obligatoire pour obtenir le code de déchiffrement si ransomware)
- Si données personnelles compromises : déclarer à la CNIL sous 72h via leur portail (obligation RGPD)
- Contacter cybermalveillance.gouv.fr · assistance gratuite pour les TPE/PME
- Prévenir votre assurance si vous avez une couverture cyber
Communication et continuité d'activité
- Informer les collaborateurs de la situation et des consignes (sans affoler, avec clarté)
- Si des données clients ont été compromises : les informer dans les meilleurs délais (obligation légale RGPD)
- Activer votre plan de continuité d'activité (PCA) si vous en avez un
- Documenter chronologiquement tous les événements depuis la détection
Reprise d'activité et analyse post-incident
- Restaurer les données depuis les sauvegardes (vérifier qu'elles ne sont pas corrompues)
- Analyser le vecteur d'entrée de l'attaque (email de phishing, mot de passe faible, faille logicielle)
- Corriger la faille identifiée avant de reconnecter les machines
- Former les équipes sur le vecteur d'attaque identifié
- Réviser votre plan de cybersécurité à la lumière de l'incident
Contacts d'urgence à compléter et afficher
Cybermalveillance.gouv.fr : assistance en ligne 24/7
CNIL (signalement violation) : notifications.cnil.fr
Votre prestataire informatique : [Nom · Tél. · Email]
Votre assurance (référence contrat cyber) : [Compagnie · Tél. · N° contrat]
Gendarmerie nationale cyber : 3730
RGPD · 10 points de conformité pour les TPE/PME
Checklist conformité RGPD · Les 10 vérifications essentielles
Pas besoin d'un DPO pour commencer. Ces 10 points couvrent l'essentiel de la conformité RGPD pour une TPE ou PME qui ne traite pas de données sensibles à grande échelle. Cochez ce qui est en place chez vous.
- Registre des traitements rédigé et tenu à jour · liste de tous vos traitements de données (voir outil 01)
- Politique de confidentialité publiée sur votre site · accessible depuis toutes les pages
- Consentement explicite collecté avant tout envoi commercial · case à cocher, pas pré-cochée, mention claire
- Contrats signés avec vos sous-traitants qui traitent des données · hébergeur, CRM, messagerie, comptabilité… (DPA/DPAE)
- Durées de conservation définies et respectées · et suppression effective à l'échéance
- Procédure pour répondre aux demandes de droits · accès, rectification, effacement, portabilité · dans les 30 jours
- Données personnelles hébergées en UE ou dans un pays adéquat · vérifier pour chaque outil utilisé
- Accès aux données personnelles limité aux personnes qui en ont besoin · pas d'accès généralisé
- Procédure de signalement de violation de données rédigée · et connue de toute l'équipe
- Revue annuelle de conformité planifiée · date inscrite dans l'agenda
Sécurité interne · À exécuter le jour du départ de tout collaborateur
Procédure de révocation d'accès · Checklist départ collaborateur
Un accès non révoqué après un départ est une faille de sécurité majeure : et une source de risque réel, qu'il s'agisse d'une erreur ou d'une action malveillante. Cette checklist doit être exécutée le jour du départ, sans exception. Cochez chaque point au fil de son exécution.
À faire AVANT le départ physique
- Identifier tous les accès et outils utilisés par le collaborateur (listing à préparer à l'embauche)
- Organiser la passation de dossiers et la transmission des mots de passe internes si le collaborateur est le seul à les connaître
- Sauvegarder les données importantes du poste (si applicables à l'entreprise)
Le jour J · à exécuter avant 18h
- Désactiver le compte email professionnel (ou configurer une redirection + message d'absence)
- Révoquer les accès au CRM / ERP / logiciel de facturation
- Révoquer les accès aux espaces de stockage cloud (SharePoint, Google Drive, Dropbox…)
- Supprimer les accès aux outils collaboratifs (Slack, Teams, Notion, Trello…)
- Retirer des listes de distribution et groupes email
- Récupérer matériel, badges, clés, téléphone, ordinateur
- Modifier les codes d'accès aux locaux si badge partagé ou code numérique
- Changer les mots de passe des comptes partagés auxquels le collaborateur avait accès
- Supprimer les sessions actives et tokens d'API si outils techniques concernés
- Archiver ou supprimer le compte selon la politique de conservation de l'entreprise
À faire dans les 30 jours suivants
- Auditer les journaux d'accès pour détecter toute activité anormale dans les derniers jours
- Vérifier qu'aucun accès résiduel n'existe (revue complète des droits)
- Mettre à jour votre listing interne des accès collaborateurs