Glosario del cumplimiento europeo

Règlement européen sur l'intelligence artificielle — première loi mondiale sur l'IA.

Processus irréversible empêchant toute ré-identification d'une personne.

Agence nationale de la sécurité des systèmes d'information — autorité cyber française.

Disposition qui rend obligatoire la tenue d'un registre des traitements.

Évaluation structurée du niveau de conformité au RGPD.

Test de mise en balance entre l'intérêt du responsable et les droits des personnes.

Fondement juridique qui autorise un traitement de données personnelles.

Binding Corporate Rules — règles d'entreprise contraignantes pour les transferts intra-groupe.

Distorsion systématique dans les résultats d'un algorithme, généralement héritée des données d'entraînement.

Programme ouvert aux chercheurs en sécurité pour rapporter des vulnérabilités contre récompense.

Document interne encadrant l'usage des outils IT et des données par les collaborateurs.

Transformation des données pour les rendre illisibles sans clé de déchiffrement.

Technique permettant d'effectuer des calculs sur des données chiffrées sans les déchiffrer.

Modèles de clauses approuvés par la Commission européenne pour encadrer les transferts hors UE.

Autorité française de contrôle de la protection des données personnelles.

Base légale du traitement exigée pour certaines données, qui doit être libre, éclairé et spécifique.

Procédure de vérification du respect du RGPD par la CNIL.

Traceurs déposés sur le terminal d'un utilisateur — encadrés par le RGPD et la directive ePrivacy.

Computer Security Incident Response Team — équipe de réponse aux incidents cyber.

Cartographie des flux de données personnelles dans l'organisation.

Attaque par déni de service distribué visant à rendre un service indisponible.

Décision produisant des effets juridiques, prise uniquement sur la base d'un traitement automatisé.

Entité qui utilise un système d'IA dans son activité professionnelle.

Toute information se rapportant à une personne physique identifiée ou identifiable.

Catégories particulières de données bénéficiant d'une protection renforcée par le RGPD.

Digital Operational Resilience Act — résilience opérationnelle du secteur financier européen.

Data Processing Agreement — accord de traitement entre responsable et sous-traitant.

Acronyme anglais de l'AIPD / PIA — analyse d'impact sur la protection des données.

Data Protection Officer — le référent protection des données, obligatoire dans de nombreux cas.

Droit d'obtenir l'effacement de ses données personnelles (art. 17 RGPD).

Droit de récupérer ses données dans un format structuré et de les transférer à un autre responsable.

Droit de la personne d'obtenir une copie de ses données et des informations sur leur traitement.

Droit de s'opposer à un traitement, notamment en cas de prospection.

Principe central du RGPD : prouver sa conformité à tout moment.

Ensemble des droits (accès, rectification, effacement, portabilité…) accordés par le RGPD.

Temps maximum pendant lequel les données peuvent être conservées.

European Data Protection Board — comité européen de protection des données (équivalent du CEPD).

Endpoint Detection and Response — solution de protection avancée des postes.

Ajustement d'un modèle pré-entraîné avec ses propres données.

Entité qui développe ou fait développer un système d'IA et le met sur le marché.

Identity and Access Management — gestion centralisée des identités et des droits.

Ensemble des règles et processus qui encadrent la donnée dans l'organisation.

Réponse d'un modèle IA factuellement fausse mais présentée avec assurance.

Hébergement de Données de Santé — certification française obligatoire.

Système d'IA soumis aux obligations les plus strictes de l'AI Act.

Systèmes d'IA capables de produire du contenu (texte, image, audio, vidéo, code).

Événement affectant la disponibilité, l'intégrité ou la confidentialité des systèmes d'information.

Base légale du RGPD fondée sur les intérêts poursuivis par le responsable de traitement.

Norme internationale pour les systèmes de management de la continuité d'activité.

Norme internationale de référence pour le management de la sécurité de l'information.

Normes ISO spécifiques à la sécurité et à la vie privée dans le cloud.

Corpus utilisé pour apprendre à un modèle IA ses paramètres.

Enregistrement horodaté des actions réalisées sur un système d'information.

Modèle de langage de très grande taille, à la base des IA génératives textuelles.

Obligation AI Act d'informer l'utilisateur lorsqu'un contenu est généré par une IA.

Multi-Factor Authentication — authentification à facteurs multiples.

Principe RGPD imposant de ne collecter que les données strictement nécessaires.

Fiche descriptive d'un modèle d'IA (usage, limites, données, risques).

Directive européenne de cybersécurité — renforcement de NIS 1, applicable à des milliers d'entités.

Obligation de notifier à la CNIL toute violation de données sous 72 heures.

Plan de continuité / reprise d'activité — indispensable pour faire face aux incidents.

Test d'intrusion offensif visant à évaluer la résistance d'un SI.

Technique d'ingénierie sociale visant à piéger les utilisateurs par e-mail, SMS ou téléphone.

Analyse d'Impact sur la Protection des Données — obligatoire pour les traitements à risque élevé.

Intégration de la protection des données dès la conception d'un produit ou d'un traitement.

Information claire remise aux personnes lors de la collecte de leurs données (art. 13-14 RGPD).

Traitement automatisé visant à évaluer des aspects personnels d'une personne.

Art de formuler des instructions optimales pour un modèle d'IA générative.

Mesure de sécurité consistant à remplacer les identifiants directs par des pseudonymes.

Matrice de responsabilités : Responsible, Accountable, Consulted, Informed.

Retrieval-Augmented Generation : IA générative alimentée par des bases documentaires.

Logiciel malveillant qui chiffre les données et demande une rançon pour leur déchiffrement.

Tests adversariaux visant à identifier les failles d'un système d'IA.

Extension d'ISO 27001 dédiée à la protection des données personnelles.

Document RGPD obligatoire listant l'ensemble des traitements de données personnelles de l'entreprise.

Registre spécifique tenu par un sous-traitant listant les traitements réalisés pour ses clients.

Entité qui détermine les finalités et les moyens du traitement de données personnelles.

Règlement européen de protection des données personnelles applicable depuis mai 2018.

Événement ou situation susceptible de mettre en cause la conformité ou les droits des personnes.

Responsable de la Sécurité des Systèmes d'Information — garant de la cybersécurité de l'entreprise.

Amendes pouvant atteindre 20 M€ ou 4 % du CA mondial en cas de violation du RGPD.

Note globale du niveau de conformité de votre organisation.

Qualification française de cloud souverain et de confiance.

Programme de formation des collaborateurs aux risques cyber et bonnes pratiques.

Usage non encadré de l'IA par les collaborateurs, en dehors des outils validés.

Outils ou applications utilisés par les collaborateurs sans validation de la DSI.

Security Information and Event Management — plateforme de corrélation de logs de sécurité.

Security Operations Center — centre de supervision cybersécurité 24/7.

Entité qui traite des données pour le compte d'un responsable de traitement.

Contrôle humain exercé sur les systèmes d'IA à risque.

Attaque passant par un tiers de confiance (prestataire, logiciel, librairie).

Machine logicielle conçue pour fonctionner avec un certain degré d'autonomie.

Transfert de données personnelles hors de l'Espace économique européen.

Incident de sécurité entraînant une atteinte aux données personnelles.

Faille dans un système pouvant être exploitée par un attaquant.

Modèle de sécurité fondé sur le principe "ne jamais faire confiance, toujours vérifier".