Protection IA pour les infrastructures critiques.

Cela change le cadrage, pas le mécanisme. NIS2 fait de la gestion du risque cyber, y compris votre chaîne d’approvisionnement en IA, une obligation légale assortie d’une responsabilité personnelle de la direction, et CER y ajoute des obligations de résilience; ce dont vous avez besoin reste identique: la visibilité, l’application et un enregistrement d’incident permettant de notifier dans le délai requis. L’hébergement suisse ne compte pas pour NIS2: la directive demande si vous gérez vos risques, détectez les incidents et notifiez dans les délais, où que se trouvent les serveurs.

Oui. Les documents sont inspectés au moment du téléversement, avant qu’ils ne quittent l’entreprise: un rapport d’exploitation contenant la topologie du réseau, des données de capacité et des détails d’incidents est détecté en tant que fichier, et pas seulement comme du texte que quelqu’un pourrait coller. Les fichiers protégés par mot de passe sont interceptés plutôt que laissés passer. Le téléversement de documents a été cité spontanément par un CISO de groupe du secteur de l’énergie comme ce qui l’inquiétait le plus.

Cela relève de la couche de reporting et non de la couche d’application. Chaque interaction produit un enregistrement indiquant qui a envoyé quoi, vers quel modèle, et ce qui en a été fait: c’est la matière première qu’exigent aussi bien une AIPD qu’un inventaire IA. Les organisations de ce secteur nous disent généralement qu’elles n’ont pas encore de cadre formel de gouvernance de l’IA; la phase pilote passive existe précisément pour établir cet état des lieux avant que la protection ne soit activée.