Lundi, neuf heures. Un client stratégique transmet un questionnaire sécurité de quatre-vingts questions. Il demande des preuves : politique de protection des données, registre des traitements, DPA signé, engagement RGPD, gouvernance des systèmes d’IA. Réponse attendue dans la semaine.
Le DPO sait, à peu près, où sont la plupart des éléments. Il sait aussi qu’il en manquera. Il mobilise trois personnes pendant deux jours. Il renvoie un dossier à moitié rassurant. Le client demande des compléments. Repartir pour deux jours.
La semaine suivante, c’est le COMEX qui veut savoir où en est l’AI Act sur l’outil de recrutement déployé l’an dernier. La semaine d’après, c’est la CNIL qui ouvre un contrôle sur un fournisseur signé sans analyse d’impact. Et entre-temps, NIS 2 entre en application.
Le DPO ne fait plus son métier. Il produit des documents pour prouver qu’il le fait.
Cette scène n’est pas anecdotique. Elle est devenue le quotidien d’une fonction qui se voulait stratégique et qui se retrouve, sept ans après l’entrée en application du RGPD, étranglée par l’empilement des obligations, l’explosion des questionnaires fournisseurs et la multiplication des contrôles. Elle dit autre chose qu’une surcharge conjoncturelle. Elle révèle une crise de régime.
La thèse défendue ici est simple. Le problème de la conformité n’est plus la complexité des textes. C’est le mode de gestion qu’on continue à leur appliquer. Tant qu’on traitera la conformité comme une succession d’événements documentaires, aucune équipe, aussi compétente soit-elle, n’en sortira. Il faut changer de régime.
I. Une conformité en surchauffe.
Le DPO d’aujourd’hui n’a plus rien à voir avec celui que le RGPD avait imaginé en 2018. Le texte le décrivait comme un conseil indépendant, garant des droits des personnes, point de contact des autorités, animateur d’une culture de protection. La pratique, elle, l’a transformé en producteur de pièces justificatives.
Les raisons de cette dérive sont identifiables. Le périmètre s’est élargi à un rythme sans précédent. Au RGPD se sont ajoutés le Data Governance Act, le Data Act, le DSA, le DMA, l’AI Act, NIS 2, DORA pour le secteur financier, sans compter les textes sectoriels et les lignes directrices régulièrement renouvelées par le Comité européen de la protection des données et la CNIL. Chaque texte arrive avec ses propres exigences documentaires, ses propres registres, ses propres analyses.
Dans le même temps, la pression commerciale a explosé. Les questionnaires fournisseurs, autrefois confinés à quelques grands comptes, sont devenus la norme. Une PME de soixante personnes peut recevoir une dizaine de questionnaires sécurité par an, chacun comportant entre cinquante et cent vingt questions, chacun exigeant des preuves spécifiques, chacun assorti d’un délai serré. Les directions juridiques internes des clients industriels et les acheteurs ont intégré ces vérifications dans leurs processus standards.
À cela s’ajoutent les sollicitations internes. Le COMEX veut savoir où l’on en est sur l’AI Act. La direction des systèmes d’information demande une revue des transferts. La direction des ressources humaines lance un nouvel outil de recrutement et veut savoir s’il est conforme. Les commerciaux signent des contrats qui contiennent des clauses de protection des données qu’il faut négocier.
Et il y a, en fond, le contrôle. Les autorités françaises et européennes ont musclé leurs équipes. La CNIL aurait triplé ses effectifs de contrôle en quatre ans. Les sanctions se multiplient et atteignent désormais des niveaux qui modifient durablement la trajectoire d’une entreprise. Le sujet n’est plus de cocher des cases en espérant ne pas être contrôlé. Il est de tenir un état de maîtrise crédible, en continu, et démontrable à tout moment.
Le résultat est connu. Les DPO, les juristes, les RSSI passent l’essentiel de leur temps à fabriquer, mettre à jour ou retrouver des documents. Ils n’ont plus le temps de penser, encore moins de conseiller. Et lorsqu’on leur demande leur avis stratégique, ils n’ont pas eu le temps de le former.
II. L’écart fondamental.
Pourquoi le système ne tient-il pas ? La réponse n’est pas dans les textes. Elle est dans la manière dont nous avons appris à les gérer.
Le cœur du problème tient en une phrase. La conformité est un état permanent du système d’entreprise, mais elle est gérée comme une série d’événements documentaires.
Cette formulation n’est pas une figure de style. Elle décrit littéralement un décalage de nature entre le phénomène à piloter et le mode de pilotage choisi. Une organisation traite des données toutes les secondes, prend des décisions tous les jours, signe des contrats toutes les semaines, déploie de nouveaux outils tous les mois. Sa surface réglementaire est en mouvement permanent. Or on prétend la maîtriser à coup d’audits annuels, de DPIA ponctuelles, de registres mis à jour à la main, de questionnaires reconstitués au cas par cas.
Cet écart, à lui seul, explique presque toutes les pathologies que rencontrent les DPO.
Les analyses se dupliquent entre RGPD, AI Act et NIS 2, alors que ce sont souvent les mêmes activités, les mêmes données, les mêmes risques. Un outil de scoring RH déclenche une analyse d’impact RGPD, une qualification AI Act, et selon le secteur une analyse NIS 2 ou DORA. Trois équipes, trois angles, trois livrables, pour une seule réalité métier.
Les contrôles s’empilent sans cohérence. Un même sujet : la gestion des accès, la sous-traitance, la journalisation, la durée de conservation peut être traité trois ou quatre fois sous trois ou quatre angles, sans que personne ne mette en relation les preuves entre elles.
Les preuves vivent dans une dizaine de dossiers que personne ne sait reconstituer en moins d’une semaine. Le partage SharePoint, le drive du juridique, le wiki de la sécurité, le registre Excel du DPO, les contrats archivés du service achats : autant de silos qui contiennent chacun une fraction de la vérité.
Et le COMEX ne lit rien, parce qu’il n’a aucun objet à lire. Un registre RGPD ne se discute pas en réunion stratégique. Une matrice de contrôles ISO 27001 n’est pas un document de pilotage. La fonction conformité, faute de produire des indicateurs intelligibles à un dirigeant, reste une fonction support, périphérique, à laquelle personne ne demande son avis avant qu’il soit trop tard.
III. La conformité comme actif commercial.
Pendant que les DPO et les juristes se battent à l’intérieur, l’extérieur a changé. La conformité a quitté le territoire de l’obligation administrative pour entrer dans celui de la valeur économique.
Plusieurs études convergent : la quasi-totalité des acheteurs B2B intègrent désormais les engagements de protection des données dans leur sélection fournisseur. Une part substantielle des clients renonce à acheter chez un fournisseur en qui ils n’ont pas confiance avec leurs données. Cisco, dans son étude annuelle Privacy Benchmark, parle d’un retour sur investissement médian des dépenses de privacy de l’ordre de 1,6 fois la dépense engagée. Ce n’est plus marginal.
Cela signifie que la conformité, dans sa réalité commerciale, n’est plus un coût. C’est un actif. Un actif qui, lorsqu’il est bien géré, raccourcit les cycles d’achat, gagne des appels d’offres, ouvre des marchés réglementés, rassure les investisseurs. Un actif qui, lorsqu’il est mal géré, coûte trois fois : en sanctions potentielles, en contrats perdus, et en mobilisation interne pour reconstituer ce qui aurait dû être disponible.
Et pourtant, dans la quasi-totalité des organisations, la conformité continue d’être traitée comme un passif administratif. Une charge à minimiser, un sujet qu’on délègue, un livrable qu’on produit pour cocher des cases. Le décalage entre ce qu’elle pèse vraiment et la façon dont on la traite est devenu intenable.
Le problème n’est pas le règlement. C’est le mode de gestion.
IV. Changer de point de départ.
Si le mode de gestion est le problème, alors la solution ne consiste pas à acheter un outil de plus, ni à recruter une personne de plus, ni à durcir un processus de plus. Elle consiste à changer le point de départ.
Aujourd’hui, on part de la réglementation. On regarde ce que demande le RGPD, on construit un registre des traitements. On regarde ce que demande l’AI Act, on construit un dossier technique pour chaque système à haut risque. On regarde ce que demande NIS 2, on construit une cartographie cyber. À chaque texte, on rebâtit. À chaque texte, on duplique. Et chaque modification réglementaire, chaque nouvelle ligne directrice, chaque jurisprudence relance une partie du chantier.
Cette logique a un nom : la conformité réglementation-centrique. Elle a un avantage, la lisibilité juridique, et un inconvénient massif : elle multiplie le travail par le nombre de textes applicables, sans mutualiser quoi que ce soit.
Renverser cette logique consiste à partir de l’inverse. Du métier réel. Des activités, des projets, des décisions que prend l’organisation. On observe ce qui se fait, on identifie les actifs manipulés, les acteurs impliqués, les risques générés. On en dérive ensuite les obligations qui s’appliquent — toutes ensemble, sans cloisonnement par règlement. On y greffe une lecture du risque. Et on suit cela en continu, sans audit annuel, sans photographie périmée.
Ce déplacement peut s’écrire sous la forme d’une chaîne unique, qui décrit toute situation de conformité, quel que soit le règlement applicable :
Activité → Obligation → Risque → Mitigation → Preuve → Couverture → Vérification
Cette chaîne est invariante. Elle est vraie pour un traitement RH automatisé, pour une intelligence artificielle de scoring, pour un fournisseur cloud, pour un système industriel critique. Sous l’apparente diversité des réglementations, les objets manipulés restent les mêmes : des activités produisent des obligations, qui génèrent des risques, qu’on traite par des mitigations, dont on collecte des preuves, qui composent une couverture, qu’on soumet à vérification.
La conséquence pratique est immédiate. Une même mitigation — par exemple, une politique de minimisation des données combinée à un contrôle d’accès — peut couvrir des obligations issues du RGPD (article 5), de l’AI Act (gouvernance des données pour les systèmes à haut risque), de NIS 2 (mesures techniques de sécurité), et d’ISO 27001 simultanément. Au lieu de produire trois dossiers, on produit une preuve qui en alimente plusieurs.
V. Couverture, pas score.
La seconde rupture, plus discrète, mais aussi décisive, concerne la mesure. Comment dit-on qu’une organisation est « conforme » ? La réponse honnête est qu’on ne le dit pas. Aucune organisation n’est conforme à cent pour cent. La conformité absolue n’existe pas, et prétendre qu’elle existe est, au sens propre, une fiction administrative.
Ce qu’on peut dire, en revanche, est qu’une organisation a couvert un certain niveau de risque par rapport à un appétit qu’elle a elle-même déclaré. Cette notion, la couverture, change la conversation. Elle ne supprime pas l’expertise, elle la calibre. Elle ne remplace pas les textes, elle les hiérarchise. Elle restitue à l’organisation la souveraineté sur sa propre exposition.
Concrètement, cela signifie que le DPO ne dit plus à son COMEX : « nous sommes conformes » ou « nous ne sommes pas conformes ». Il dit : « voici les dimensions que nous suivons, voici la cible que nous avons collectivement décidée pour chacune, voici où nous en sommes par rapport à cette cible, voici les écarts, voici ce qu’ils coûteraient et voici ce qu’il en coûterait de les combler ». La discussion devient possible. Elle cesse d’être technique pour devenir stratégique.
Cette formulation a quatre vertus. Elle est acceptable par les experts, parce qu’elle n’élimine pas leur jugement, elle le calibre. Elle est configurable par l’organisation, qui choisit ses propres seuils. Elle est inclusive, parce qu’elle peut accueillir l’appétit du DPO, du RSSI, du juridique et de la direction générale dans un même cadre. Et elle est compatible avec les standards existants, en particulier ISO 31000 et ISO 27005, où l’appétence au risque est un objet explicite et reconnu depuis 2009.
Surtout, elle est honnête. Elle dit ce qui est plutôt que ce que l’on aimerait montrer. Elle remplace la fiction binaire conforme/ non-conforme par une description graduée, dimensionnelle, contextuelle. Elle fait droit à la réalité du métier.
VI. Trois inversions structurelles.
Le déplacement décrit ici ne consiste pas à compléter la conformité existante par un nouvel outil ou une nouvelle méthode. Il consiste à inverser la logique sur trois axes.
La première inversion est celle du document à l’opérationnel. La conformité classique produit des documents qui décrivent ce que l’entreprise est censée faire. Le déplacement proposé produit des mitigations qui s’exécutent dans ce que l’entreprise fait réellement. Le document devient une sortie du système, exportable à la demande, pas son objectif.
La seconde inversion est celle du règlement au métier. La conformité classique organise l’entreprise par texte légal : « le RGPD impose ceci, l’AI Act impose cela ». Cette logique aboutit mécaniquement à des silos. Le déplacement proposé part du métier observé et y greffe une couche d’intelligence du risque ; la réglementation devient une conséquence des mitigations, pas leur cause. Beaucoup d’organisations se disent déjà « risque-centriques » sans pour autant partir du métier ; la précision n’est pas anodine.
La troisième inversion est celle du ponctuel au continu. La conformité classique vit par à-coups : audit, contrôle, incident, renouvellement. Elle photographie un état déjà périmé au moment où elle fixe l’image. Le déplacement proposé vit en permanence. Il n’y a plus d’état conforme ou non conforme : il y a une couverture qui évolue, des écarts qui apparaissent, des mitigations qui se déclenchent, des preuves qui s’accumulent.
Ces trois inversions ne sont ni technologiques, ni juridiques. Elles sont systémiques. Elles supposent un changement de manière de penser la conformité avant tout changement d’outil ou de personne. Et c’est précisément pour cela qu’elles sont difficiles : elles touchent à des habitudes professionnelles installées, à des manières de travailler que des générations entières de DPO et de juristes ont construites avec sérieux.
VII. Ce que devient le DPO.
Si la conformité change de régime, le rôle du DPO change avec elle. Pas par décision politique. Par conséquence du modèle.
Aujourd’hui, le DPO est un producteur de documents. Il rédige des registres, instruit des analyses d’impact, répond à des audits, négocie des accords de traitement, prépare des comptes-rendus pour le Comité européen de la protection des données. Une étude de l’AFCDP suggère que près de quatre-vingts pour cent du temps d’un DPO opérationnel part dans la fabrication de pièces justificatives. Le restant, l’arbitrage, le conseil, l’animation de la culture interne, se fait dans les marges.
Le déplacement proposé libère ce temps, sans rien retirer à la fonction. La documentation se génère, les analyses se déduisent, les preuves se collectent. Ce qui reste, et qui n’a jamais cessé d’être l’essentiel, c’est l’arbitrage humain.
Le DPO devient celui qui calibre les seuils. Jusqu’où on accepte le risque, où on met la barre, dimension par dimension, traitement par traitement, dans un dialogue avec la direction générale qui devient enfin possible parce que les éléments sont là, datés, comparables, restituables.
Il devient celui qui valide les outputs. Ce qu’un système propose (qualification d’une opération, identification d’un risque, plan de remédiation), il le confirme, l’amende ou le rejette. Sa signature reste la condition de la décision. Mais elle s’exerce sur une matière déjà préparée, pas sur du travail brut.
Il devient celui qui anime un réseau. La conformité ne se porte pas seul. Elle implique les ressources humaines, les achats, les systèmes d’information, le commercial, parfois la finance et la communication. Le DPO devient le chef d’orchestre de ces contributions, plutôt que le seul à porter la charge documentaire.
Il devient, enfin, celui qui parle au COMEX avec un objet que celui-ci comprend. Pas un article de règlement, pas une matrice technique. Un niveau de couverture par rapport à un appétit déclaré. Une exposition au risque que la direction peut arbitrer comme elle arbitre une exposition financière, commerciale ou industrielle. La conformité entre dans le langage du pilotage stratégique parce qu’elle s’est dotée d’indicateurs intelligibles.
On n’est pas DPO pour faire des Excel.
Cette phrase, qui peut faire sourire, dit quelque chose de sérieux. Elle dit que le métier de DPO, tel qu’il a été pensé en 2016, est en train de retrouver son chemin. Conseil indépendant, garant des droits, point de contact des autorités, animateur d’une culture. Le déplacement de régime ne supprime pas la fonction. Il la rend possible.
VIII. Ce qui n’est pas neuf.
Il importe de dire clairement ce qui, dans cette proposition, n’est pas inventé. Le déplacement s’appuie sur des fondations connues, qu’il assemble dans un système opérationnel.
ISO 31000 définit depuis 2009 l’appétence au risque comme objet de pilotage stratégique. Cette norme n’est pas marginale ; elle structure la gouvernance des risques dans la quasi-totalité des grandes organisations matures. La transposer du risque opérationnel ou financier au risque réglementaire ne nécessite pas une révolution conceptuelle, mais une simple extension de périmètre.
ISO 27005, dans le champ de la sécurité de l’information, structure depuis longtemps l’analyse des risques en termes d’actifs, de menaces et de mesures. Étendre ce vocabulaire à l’ensemble du périmètre RGPD, AI Act et NIS 2 — voire DORA pour les acteurs financiers — est un travail d’unification, pas une création ex nihilo.
ISO/IEC 42001, publiée en 2023, et le AI Risk Management Framework du NIST posent les bases du management du risque IA. Là encore, il s’agit de référentiels existants, qu’il convient d’articuler avec les obligations de l’AI Act dans un cadre commun, plutôt que de gérer comme des silos parallèles.
Et surtout, les pratiques de pilotage continu existent depuis dix ans dans la cybersécurité, dans la qualité, dans la finance. Aucune entreprise sérieuse ne pilote sa sécurité informatique par un audit annuel ; elle dispose de tableaux de bord en temps réel, d’alertes paramétrées, de revues hebdomadaires. Aucune entreprise sérieuse ne pilote sa qualité industrielle par un contrôle final ; elle déploie des indicateurs en ligne, des cartes de contrôle, des boucles de rétroaction. La conformité juridique est, à ce jour, le dernier domaine à fonctionner par à-coups documentaires. C’est cela qui est anormal, pas le déplacement proposé.
Ce qui est neuf n’est donc pas une découverte conceptuelle. C’est une combinaison. Un modèle universel qui unifie ces fondations. Une articulation entre une méthode et un outillage qui la rend exécutable. Et une thèse politique : que ce déplacement, quoique difficile, est désormais nécessaire si l’on veut que la fonction conformité tienne dans la durée.
IX. Un sujet de communauté.
On objectera, à juste titre, qu’aucun cadre méthodologique ne s’impose seul. Ni par la voix d’un éditeur, ni par celle d’un cabinet de conseil, ni même par celle d’une autorité. Un standard s’établit par une communauté qui le reconnaît, le challenge et le fait évoluer.
C’est exactement ce que cet article appelle. Pas une adhésion. Pas un produit à acheter. Une discussion à ouvrir entre les DPO, les juristes d’entreprise, les RSSI, les directions générales, les conseils, les associations professionnelles, les autorités elles-mêmes.
Plusieurs questions méritent d’être travaillées collectivement. Quels seraient les indicateurs partagés d’une couverture du risque réglementaire intelligible à un comité exécutif ? Quels mécanismes de mutualisation des mitigations entre RGPD, AI Act et NIS 2 sont juridiquement robustes, et lesquels exposent à des contestations ? Quelle place doit garder l’expertise humaine, DPO, avocat, RSSI, dans un système où une partie croissante de la documentation est générée automatiquement ? Quelles obligations probatoires nouvelles cela crée-t-il à l’égard des autorités de contrôle ?
Aucune de ces questions n’a, aujourd’hui, de réponse stabilisée. Toutes méritent d’être instruites par la profession, dans des publications, dans des ateliers, dans des projets pilotes, dans des contentieux qui ne manqueront pas de surgir. Le métier de DPO a vingt ans devant lui ; vingt ans pour décider s’il restera l’opérateur d’une chaîne documentaire qui l’étrangle, ou s’il deviendra le pilote d’un système d’arbitrage continu du risque réglementaire.
Le défi des prochaines années n’est pas de produire plus de documents. C’est d’inventer le système qui rendra les documents inutiles, non pas parce que les preuves auront disparu, mais parce qu’elles seront enfin produites par le métier lui-même, à mesure qu’il s’exerce.
Si vous portez ce constat, si vous sentez que la conformité, dans son fonctionnement actuel, ne peut plus durer, alors nous sommes du même côté. Cet article appelle à parler. À confronter ce déplacement à votre réalité. À comprendre ce qui résonne et ce qui résiste.
La conformité doit sortir du livrable. Elle doit revenir dans le réel.
