1. Des évolutions relatives à la protection des données.
Textes concernés :
- Le Règlement général sur la protection des données (RGPD),
- La Loi informatique et libertés (modifiée en 2023)
Calendrier d’application :
- 2024 : mise en œuvre des recommandations de la CNIL et des nouvelles lignes directrices du CEPD.
Quelles nouveautés ?
Les évolutions proviennent des nouvelles orientations et lignes directrices publiées par le Comité Européen de la Protection des Données (CEPD) et des mises à jour de la CNIL.
Bien qu’il n’y ait pas eu de modifications structurelles du RGPD lui-même, ces lignes directrices apportent des interprétations et des ajustements pratiques qui précisent certaines obligations, en particulier pour les PME et les TPE.
Ces orientations touchent principalement la transparence dans le traitement des données, le renforcement des mesures de sécurité pour la prévention et la détection des violations de données, et le signalement des incidents.
En 2023, la CNIL a également publié des recommandations pour aider les entreprises à se conformer plus précisément aux obligations découlant du RGPD, notamment en matière de gestion proactive.
Elle met notamment l’accent sur une gestion proactive des risques liés aux données personnelles, en particulier en cas de violations. Ainsi, toute entreprise (TPE, PME ou grande entreprise) devra renforcer ses dispositifs de prévention des cyberattaques et détection des violations de données.
En outre, les obligations de transparence vis-à-vis des utilisateurs sont renforcées.
Quelles actions concrètes les entreprises du numérique doivent-elles envisager ?
Il leur faut impérativement vérifier les points suivants :
- Cartographier les données : identifier les types de données personnelles traitées, les sources et la finalité de chaque traitement.
- Nommer un Délégué à la Protection des Données (DPO) : pour les entreprises qui en ont l’obligation, notamment pour celles qui traitent des données en grande quantité, le DPO est obligatoire pour superviser la conformité.
- Évaluer les risques et mettre à jour les politiques de confidentialité : s’assurer que les utilisateurs soient informés de leurs droits et des usages de leurs données.
- Renforcer la sécurité des données : mettre en place des mesures techniques (chiffrement, contrôle d’accès) et organisationnelles pour prévenir les violations.
- Mettre en place une procédure de notification de violation de données : préparer un plan de réponse pour signaler tout incident à la CNIL sous 72 heures.
- Former leurs équipes : sensibiliser les collaborateurs au RGPD et à la gestion des données personnelles.
2. Un encadrement réglementaire des systèmes d’intelligence artificielle.
Texte concerné :
- Le Règlement européen (UE) 2024/1689 du 13 juin 2024 sur l’IA, ou AI Act,, adopté par l’Union européenne en 2023 dont l’application sera progressive.
Calendrier d’application :
- 2024 : mise en place des premières obligations, telles que la classification des systèmes d’IA selon leur niveau de risque.
- 2025-2026 : application plus stricte pour les systèmes d’IA à haut risque, avec des obligations de conformité accrues et la documentation.
Quelles nouveautés ?
Adopté en 2023 et publié en juillet 2024, l’AI Act impose un cadre réglementaire strict pour les systèmes d’intelligence artificielle en fonction de leur niveau de risque (faible, modéré, élevé, inacceptable).
Il s’applique à toutes les entreprises, quelle que soit leur taille, qui conçoivent, développent, utilisent ou commercialisent des systèmes d’IA en Europe.
Les entreprises développant des systèmes d’IA à haut risque devront se conformer à des exigences strictes en matière de transparence, de documentation, et d’évaluation des risques.
Les entreprises devront effectuer une analyse d’impact avant le déploiement d’un système d’IA, en évaluant notamment ses biais potentiels et ses impacts sur les droits fondamentaux.
Les entreprises utilisant des IA à faible risque devront informer les utilisateurs que ces systèmes sont automatisés.
Quelles actions concrètes les entreprises du numérique doivent-elles envisager ?
Il est conseillé aux entreprises concernées par ce règlement de :
- Classifier leurs systèmes d’IA selon leur niveau de risque : évaluer à quel niveau de risque vos systèmes d’IA sont classés à faible, moyen, élevé, ou inacceptable.
- Auditer leurs systèmes d’IA à risque élevé : pour les systèmes à haut risque, assurez-vous qu’ils respectent les exigences de transparence, de traçabilité et de documentation.
- Mettre en place leur analyse d’impact sur la protection des droits fondamentaux : effectuer une analyse des biais et des risques pour s’assurer que le système d’IA est équitable.
- Documenter et éditer un rapport de conformité : maintenir une documentation détaillée sur les processus de développement et de gestion des IA pour prouver leur conformité.
- Assurer une transparence auprès des utilisateurs : informer les utilisateurs de l’utilisation de l’IA, en particulier pour les systèmes à faible risque.
- Réaliser une veille réglementaire continue : suivre les mises à jour de l’AI Act et adapter son système si des critères de classification évoluent.
3. Un renforcement de la responsabilité sociétale des entreprises (RSE).
Texte concerné :
- La Directive européenne sur le reporting de durabilité des entreprises (CSRD) en application depuis le 1ᵉʳ janvier 2024 pour les grandes entreprises européennes et sera progressivement étendue aux PME.
Calendrier d’application :
- 2024 : grandes entreprises (500 salariés et plus) sont tenues de publier des rapports de durabilité conformes aux standards européens.
- 2025 : entreprises de grande taille (moyenne/grande) seront également concernées.
- 2026 : les PME cotées en bourse devront se conformer aux exigences de la CSRD.
D’ici 2026, les entreprises de toute taille devront mettre en place des systèmes de collecte de données pour la déclaration de performance extra-financière.
Quelles nouveautés ?
Entrée en vigueur à partir de 2024 pour les grandes entreprises et progressivement pour les PME, la directive CSRD élargit le champ des entreprises tenues de réaliser une déclaration de performance extra-financière (DPEF).
Elle introduit des obligations accrues en matière de transparence environnementale, sociale et de gouvernance.
Les grandes entreprises (500 salariés et plus) doivent publier un rapport détaillé sur leur performance RSE, incluant des indicateurs sur leur empreinte carbone, la gestion des ressources humaines, l’égalité femmes-hommes, etc.
Les PME cotées en bourse seront également concernées par ces obligations à partir de 2026.
La directive prévoit également une extension de la chaîne de responsabilité : les entreprises devront surveiller et rapporter les impacts sociaux et environnementaux de leurs fournisseurs.
Quelles actions concrètes les entreprises du numérique doivent-elles envisager ?
Il sera nécessaire pour les entreprises concernées de :
- Établir une stratégie RSE : déterminer les objectifs RSE (environnementaux, sociaux, de gouvernance) en lien avec votre activité.
- Identifier les indicateurs clés de performance (KPI) RSE : mesurer des indicateurs tels que l’empreinte carbone, la diversité, ou la gestion des ressources humaines.
- Mettre en place un système de collecte de données : collecter les données nécessaires pour produire un rapport annuel conforme aux exigences de la CSRD.
- Rédiger et publier la Déclaration de performance extra-financière (DPEF) : ce rapport doit inclure les indicateurs ESG pour les grandes entreprises et les PME cotées.
- Assurer la conformité de la chaîne d’approvisionnement : exiger de vos partenaires et fournisseurs des rapports sur leur impact ESG et surveillez leur conformité.
- Préparation à la vérification : les grandes entreprises devront faire valider leurs rapports par un tiers vérificateur indépendant.
4. De nouvelles obligations en matière de sécurité numérique.
Texte concerné :
- La directive européenne NIS2 (Network and Information Security Directive) adoptée en janvier 2023.
Calendrier d’application :
- Octobre 2024 : début des obligations NIS2, notamment en matière de cybersécurité renforcée et de déclaration des incidents.
Les entreprises doivent d’ici cette date établir des processus de cybersécurité conformes, avec notamment des systèmes de détection et un plan de réponse rapide aux incidents.
Quelles nouveautés ?
La directive NIS2, applicable en 2024, étend les obligations de cybersécurité à un plus grand nombre d’entreprises, en particulier celles considérées comme essentielles à l’économie numérique (fournisseurs d’infrastructures, services de cloud, opérateurs télécoms, etc.).
Les grandes entreprises et les PME d’importance critique doivent se doter de mesures de protection contre les cyberattaques (systèmes de détection, pare-feu, gestion des accès).
Elles ont l’obligation de reporter les incidents de sécurité majeurs aux autorités compétentes ainsi que de former leurs employés à la cybersécurité.
Quelles actions concrètes les entreprises du numérique doivent-elles envisager ?
Pour se mettre en conformité, les entreprises concernées par ces nouvelles obligations devront :
- Évaluer les risques et priorités de sécurité : pour cela, il faudra réaliser un audit de cybersécurité pour identifier les menaces potentielles et prioriser les ressources.
- Mettre en place des mesures de protection renforcées : en implémentant des outils de détection, de prévention (pare-feu, gestion des accès) et de redondance des données.
- Formaliser une procédure de déclaration des incidents : préparer une procédure de signalement rapide pour informer les autorités compétentes en cas d’incident.
- Sensibiliser leurs équipes : en formant les employés sur les pratiques de cybersécurité et la détection des cybermenaces.
- Réaliser une surveillance et une maintenance continue : en assurant une surveillance régulière des systèmes de sécurité et en effectuant des audits pour tester leur efficacité.
- Mettre en place une veille cybersécurité : afin d’anticiper les nouvelles menaces et appliquez les correctifs de sécurité nécessaires pour se conformer aux standards de la directive NIS2.
Pour conclure :
Les entreprises du numérique, qu’il s’agisse de TPE, PME ou grandes entreprises, doivent anticiper ces nouvelles obligations législatives et réglementaires pour 2024 et 2025, voire 2026.
Ces orientations et réglementations, qu’elles soient européennes ou nationales, couvrent des domaines critiques de l’entreprise.
Afin d’être en conformité, il est donc essentiel de mettre en place des mesures concrètes, de former les équipes et de se doter d’outils adéquats.
Un travail de veille législative et réglementaire sera également crucial pour anticiper les évolutions futures et adapter les pratiques en continu.
