DPO et RSSI face à l'IA : votre nouveau périmètre en clair

Face à l'IA, le DPO et le RSSI ne travaillent plus chacun dans son couloir : l'IA fait déborder la protection des données sur la sécurité des systèmes, et ce chevauchement crée une zone grise où le risque n'a plus de propriétaire. La solution n'est pas de fusionner les deux rôles, mais de redéfinir leur périmètre commun en quatre étapes, pour que chaque risque IA soit porté par la bonne personne. Vous êtes DPO, RSSI ou dirigeant, et vous sentez que l'IA brouille les responsabilités sans savoir où poser la frontière. Cet article vous donne la méthode, sans jargon, pour clarifier qui tient quoi.

Le problème : l'IA efface la frontière entre données et systèmes

Jusqu'ici, le partage était lisible. Le DPO veille sur les données personnelles et la conformité au RGPD. Le RSSI veille sur la sécurité des systèmes d'information. Chacun son périmètre, chacun ses réflexes. L'IA générative fait voler cette séparation en éclats, parce qu'un même incident relève désormais des deux mondes à la fois.

Prenez un assistant conversationnel branché sur vos documents internes. S'il restitue à un utilisateur une donnée qu'il n'aurait jamais dû voir, est-ce une fuite de données personnelles, donc le sujet du DPO, ou un défaut de cloisonnement des accès, donc le sujet du RSSI ? La réponse honnête est : les deux. Le prompt qui détourne le modèle est une attaque technique, mais ce qui fuit, ce sont des données. Le modèle mal entraîné est un problème de sécurité, mais le préjudice se mesure en droits des personnes.

Le scénario que je vois revenir : chacun suppose que l'autre couvre la zone IA. Le DPO pense que le RSSI a sécurisé le déploiement, le RSSI pense que le DPO a cadré les usages, et personne ne porte réellement le risque. C'est précisément dans cet angle mort que naissent les incidents les plus coûteux.

La méthode en 4 étapes pour redéfinir le périmètre commun

L'objectif n'est pas de désigner un vainqueur entre le DPO et le RSSI, ni de créer un poste hybride qui cumulerait les deux casquettes. Il s'agit de rendre le partage explicite, usage par usage, pour qu'aucun risque IA ne reste orphelin. Voici les quatre étapes, dans l'ordre.

Étape 1 : dresser un inventaire commun des usages d'IA

On ne partage pas un périmètre que l'on ne voit pas. La première étape est un inventaire unique, tenu à deux mains, de tous les systèmes d'IA en service : ceux qui sont officiellement déployés, mais aussi ceux que les équipes ont adoptés seules, le fameux Shadow AI. Pour chaque usage, notez ce que l'IA traite comme données, à quoi elle sert et qui l'utilise. Ce registre commun est le socle de tout le reste, et c'est aussi la première brique d'un audit. Notre méthode détaillée pour révéler ces usages invisibles est décrite dans comment savoir ce que vos équipes utilisent vraiment.

Étape 2 : attribuer chaque risque à un porteur

Pour chaque usage inventorié, listez les risques puis attribuez chacun à un responsable nommé. La règle est simple : ce qui touche aux données personnelles revient au DPO, ce qui touche à la robustesse et à la sécurité des systèmes revient au RSSI, et la zone où les deux se rejoignent se traite en binôme, avec un porteur principal désigné. L'important n'est pas la perfection du découpage, c'est qu'aucune case ne reste vide.

Étape 3 : relier l'analyse d'impact et l'analyse de sécurité

Le DPO produit une analyse d'impact sur la protection des données, le RSSI produit une analyse de risque de sécurité. Trop souvent, ces deux dossiers vivent chacun de leur côté et ne se parlent jamais. Or ils décrivent le même système sous deux angles. L'étape consiste à les faire se citer : l'analyse d'impact renvoie aux mesures de sécurité qui réduisent le risque, l'analyse de sécurité renvoie aux droits des personnes qu'elle protège. Vous obtenez une chaîne de preuves cohérente, celle qui relie le test technique à la preuve réglementaire, un fil que nous détaillons dans la chaîne qui relie le test à la preuve réglementaire.

Étape 4 : instituer un rituel de gouvernance commun

Un partage clair sur le papier se délite s'il ne vit pas. La dernière étape installe un rendez-vous régulier, un comité IA réunissant DPO, RSSI et un représentant de la direction, qui valide les nouveaux usages, arbitre les zones grises et trace ses décisions. Ce rituel n'a pas besoin d'être lourd. Une réunion courte et régulière, avec un registre de décisions, suffit à faire tenir le périmètre dans la durée et à donner au comité une existence auditable, dans l'esprit d'un système de management de l'IA comme ISO 42001.

Ce que l'IA ajoute concrètement à chaque mission

Redéfinir le périmètre ne veut pas dire tout réinventer. L'IA prolonge des missions qui existent déjà, elle ne les remplace pas. Voici ce qu'elle ajoute, de part et d'autre.

Se faire épauler par un traducteur de risques

Le DPO parle le droit, le RSSI parle la technique, et la zone IA exige les deux langues à la fois. C'est exactement le rôle d'un traducteur de risques : relier la menace technique à l'obligation réglementaire, sans être ni avocat ni pure société de services informatiques. Un regard extérieur aide à poser le périmètre, à tester la robustesse réelle de vos IA et à produire la preuve qui tient devant un régulateur. C'est l'objet de mon audit Sécurité & Conformité IA: en une à deux semaines, vous savez où le risque IA n'a pas de porteur et comment le combler. Si vous voulez d'abord situer votre exposition, un premier échange suffit à cadrer le sujet.

Questions fréquentes

Faut-il fusionner les postes de DPO et de RSSI ?

Non, et c'est même déconseillé. Le RGPD demande au DPO une forme d'indépendance, incompatible avec le pilotage opérationnel de la sécurité qui incombe au RSSI. L'enjeu n'est pas de fusionner les rôles, mais de faire coopérer deux expertises distinctes sur un périmètre partagé et explicite.

Qui doit porter le sujet IA si nous n'avons ni DPO ni RSSI formels ?

Dans une structure plus petite, ces missions sont souvent portées par une même personne ou par la direction. La méthode reste la même : inventorier, attribuer chaque risque, relier les analyses et instituer un point de gouvernance. Ce qui compte, c'est que le risque IA ait un porteur nommé, quel que soit son titre.

Comment convaincre la direction d'organiser ce partage ?

En traduisant le flou en exposition concrète. Un risque IA sans porteur, c'est un incident qui n'est anticipé par personne, avec une sanction potentielle et une atteinte à la réputation. Une gouvernance claire est moins coûteuse que le rattrapage d'un incident subi, et elle rassure autant le régulateur que vos clients.

Par où commencer concrètement ?

Par l'étape 1, l'inventaire commun. En réunissant le DPO et le RSSI autour d'une même liste d'usages d'IA, vous rendez visibles les zones grises en une seule séance. C'est le point de départ de tout audit et la manière la plus rapide de voir où votre périmètre a besoin d'être clarifié.

Cet article a une visée pédagogique et ne constitue pas un conseil juridique. Chaque situation mérite une analyse au cas par cas.