Fuite de données via IA générative : la procédure 72h pour RSSI 2026

Une fuite de données via IA générative — via ChatGPT, Copilot ou Claude — peut déclencher une crise en quelques heures.

Si tu lis cet article, c’est probablement que ça vient d’arriver. Un commercial t’a appelé, un message Slack t’a réveillé à 3 heures du matin, le DG vient de débarquer dans ton bureau. Quelqu’un dans ton entreprise a saisi des données sensibles dans ChatGPT, Claude ou Copilot. Tu ne sais pas encore l’ampleur. Tu sais que les 72 prochaines heures vont être longues.

Cet article est le mode d’emploi que j’aurais voulu avoir sous la main la première fois que ce type d’incident est tombé chez un client. Pas un article théorique sur la prévention — ça, c’est dans notre guide pilier Shadow AI et dans l’article sur la charte IA opposable. Pas un article sur la conformité RGPD générale — c’est dans l’article RGPD ChatGPT. Ici, c’est uniquement la gestion de crise. Heure par heure. Décision par décision.

Le contenu est structuré pour être lu vite, en situation. Le sommaire est ancré, chaque section commence par une réponse courte format featured snippet, et la timeline 72 heures est prévue pour servir de checklist opérationnelle. Garde cette page ouverte dans un onglet. Coche au fur et à mesure. Tu peux aussi télécharger la checklist PDF imprimable plus bas dans l’article — recommandé pour la cellule de crise.

Que faire en cas de fuite de données via ChatGPT ou un autre outil IA ? Procédure standard en 6 étapes sur 72 heures : (1) qualifier la fuite (gravité, périmètre, données concernées) en moins de 4 heures, (2) isoler et préserver les preuves, (3) notifier la CNIL si données personnelles dans les 72h après prise de connaissance, (4) déclarer à l’ANSSI si l’entreprise est OIV/OSE/NIS2, (5) informer les personnes concernées si le risque est élevé, (6) lancer le plan de récupération technique et le post-mortem. Le délai 72h CNIL démarre à la prise de connaissance, pas au moment de la fuite.

Avant tout — Le tableau comparatif des délais à connaître

Trois compteurs à 72 heures, trois autorités différentes, trois contenus différents. Garder cette grille sous les yeux pendant toute la cellule de crise.

Autorité	Délai	Déclencheur du délai	Contenu attendu
CNIL	72h max	Prise de connaissance par le responsable de traitement	Article 33 RGPD : nature, données, personnes, conséquences, mesures
ANSSI (OIV)	72h	Prise de connaissance de l’incident significatif	Décret OIV : impact opérationnel, périmètre, mesures de containment
ANSSI (NIS2)	24h notification précoce + 72h notification complète	Détection de l’incident	Loi Résilience : early warning + analyse complète + impact transfrontalier
Cyberassureur	24h à 72h selon contrat	Connaissance par l’assuré	Conditions générales de la police : déclaration de sinistre formelle
Personnes concernées (RGPD art. 34)	« Dans les meilleurs délais »	Après évaluation du risque élevé	Information individuelle si risque élevé : nature, conséquences, mesures, contact

Les 3 délais à ne JAMAIS confondre Le délai CNIL démarre à la PRISE DE CONNAISSANCE — pas à la fuite. Le délai NIS2 (24h notification précoce) démarre à la DÉTECTION. Le délai cyberassureur dépend de votre police — vérifiez en H+0. Confondre ces trois compteurs est l’erreur de timing la plus fréquente.

Qualifier la fuite : ce que tu dois savoir dans les 4 premières heures

Comment qualifier une fuite de données via IA ? Quatre dimensions à évaluer en moins de 4 heures : (1) la nature des données concernées (personnelles, sensibles, financières, stratégiques, code source), (2) le volume et le périmètre (combien d’enregistrements, combien de personnes), (3) le destinataire (quel outil IA, quelle version, quel compte), (4) le statut de la donnée (encore récupérable ou définitivement perdue). Cette qualification conditionne TOUTES les décisions suivantes.

Avant toute action, il faut comprendre ce qui s’est passé. Une réaction prématurée sur la base d’informations incomplètes peut aggraver la situation – j’ai vu des entreprises notifier la CNIL pour rien, alarmer leurs clients à tort, ou inversement minimiser une fuite massive parce qu’elles n’avaient pas pris le temps de qualifier.

Les 4 questions à poser au collaborateur en cause

Premier réflexe : interroger le collaborateur impliqué. Pas pour le sanctionner à ce stade — pour comprendre. Quatre questions précises, dans cet ordre :

• Quelles données exactement as-tu saisies dans l’outil ? (demander à voir le contenu, pas seulement une description)
• Dans quel outil précisément ? (ChatGPT version gratuite, Plus personnel, Team de l’entreprise, API ? Claude, Gemini, Copilot ? Quelle version ?)
• Quand exactement ? (date et heure si possible — détermine le délai 72 heures CNIL si c’est applicable)
• Combien de fois ? (un prompt unique, ou des dizaines au fil de plusieurs semaines ?)

Cet entretien doit être conduit dans un climat non-jugeant. La pire chose à faire est de braquer le collaborateur — il a la clé d’informations critiques dont tu as besoin. Quelqu’un qui se sent attaqué cache, minimise, oublie. Quelqu’un qui se sent en confiance dit tout.

La grille de qualification de gravité

Sur la base des informations recueillies, classer la fuite selon une grille à 3 niveaux :

Niveau	Critères	Réponse type
FAIBLE	Données niveau orange (internes non sensibles), volume limité, outil IA officiel avec DPA signé et retention courte	Documentation interne, pas de notification externe
MOYEN	Données niveau rouge (personnelles non sensibles, financières), volume modéré (1-1000 enregistrements), outil IA officiel ou personnel	Notification CNIL probable, communication interne, action corrective
ÉLEVÉ	Données très sensibles (santé, biométrie), gros volume (>1000 enregistrements), code propriétaire, outil IA personnel sans DPA, exfiltration intentionnelle	Notification CNIL obligatoire dans 72h, déclaration ANSSI si NIS2, communication clients, gestion presse

Vu sur le terrain Mission urgence en novembre 2025 : un cabinet d’expertise comptable parisien me contacte un samedi matin. Un de leurs collaborateurs a découvert qu’un autre avait collé pendant 6 mois des bilans clients dans ChatGPT version gratuite pour « gagner du temps sur les analyses ». On qualifie : niveau ÉLEVÉ. Estimation : 80 dossiers clients exposés, données personnelles + financières + parfois sensibles (RIB, déclarations URSSAF). On lance la procédure 72 heures complète. Notification CNIL le lundi à 10h. Information des 80 clients sur 5 jours. Coût total de la gestion d’incident : 47 000 euros, hors amende potentielle. Audit cyber et réponse incident réalisés en novembre 2025 par i-lead Sentinel — anecdote anonymisée avec accord client.

H+0 à H+1 : isoler et préserver les preuves

Comment préserver les preuves après une fuite de données IA ? Quatre actions immédiates dans la première heure : (1) capturer l’historique complet des conversations IA via l’interface admin, (2) exporter les logs SSO et proxy/firewall des connexions vers l’outil IA, (3) faire des captures d’écran horodatées de toutes les preuves visibles, (4) suspendre l’accès à l’outil IA pour le compte concerné sans détruire les données. Ne PAS supprimer les conversations avant export — c’est une faute professionnelle qui détruit la chaîne de preuve.

La première heure est consacrée à la préservation des preuves. C’est crucial pour trois raisons : reconstituer l’ampleur réelle de la fuite, justifier les décisions ultérieures (notification CNIL, sanction disciplinaire), et démontrer la bonne foi en cas de contrôle. Une preuve perdue dans la panique ne se reconstitue pas.

Les 4 actions à exécuter dans la première heure

• Capturer l’historique complet : si c’est ChatGPT Team ou Enterprise, l’admin peut accéder à l’historique du compte concerné. Exporter au format JSON ou copier-coller dans un document horodaté. Pour les versions personnelles : demander au collaborateur d’exporter ses conversations via l’interface (Paramètres → Export data → demande de téléchargement, qui arrive par email sous 24h).
• Exporter les logs techniques : logs SSO (qui s’est connecté à l’outil IA, depuis quelle IP, quand), logs proxy ou firewall (volume de données envoyées, timestamps, destinations), logs CASB ou DLP si déployés (alertes générées, données détectées). Les conserver dans un dossier dédié à l’incident.
• Captures d’écran horodatées : toute information visible sur écran qui ne sera plus accessible après la suspension du compte (interface admin, historique des prompts, contenu spécifique). Outil simple : Greenshot ou ShareX pour horodatage automatique. À mettre dans le dossier incident.
• Suspendre l’accès sans détruire : désactiver le compte du collaborateur sur l’outil IA, ou réinitialiser son mot de passe en mode forcé. NE PAS supprimer les données — c’est de la destruction de preuves. La suspension permet d’arrêter l’hémorragie sans perdre les éléments d’enquête.

Le piège : la suppression réflexe

Le réflexe humain en cas de panique est de « tout effacer pour effacer le problème ». C’est la pire chose à faire. Premièrement, les données sont déjà chez le sous-traitant (OpenAI, Microsoft, Anthropic) — supprimer côté client n’efface rien chez eux. Deuxièmement, supprimer détruit la chaîne de preuve nécessaire pour les notifications réglementaires et la procédure disciplinaire.

Troisièmement, en cas de contrôle CNIL, l’absence de preuves est interprétée comme dissimulation. Règle absolue : préserver d’abord, supprimer ensuite (et seulement après notification réglementaire et instruction du dossier).

H+1 à H+4 : activer la cellule de crise

Qui doit composer la cellule de crise après une fuite de données IA ? Cinq rôles minimum : (1) le RSSI ou DSI pilote la cellule, (2) le DPO porte la conformité RGPD et la notification CNIL, (3) le directeur juridique évalue les risques contractuels et réglementaires, (4) la communication interne et externe gère le narratif, (5) la direction (DG, DAF) arbitre les décisions stratégiques. Pour les ETI sans toutes ces fonctions en interne, externaliser l’expertise manquante (cabinet d’avocats, agence de communication de crise, prestataire cyber).

La cellule de crise est le centre névralgique de la gestion d’incident sur les 72 heures suivantes. Sa composition, sa fréquence de réunion et ses circuits de décision conditionnent la qualité de la réponse. Pour une fuite de données IA en ETI, voici la composition standard.

Les 5 rôles incontournables

• Le pilote (RSSI ou DSI selon les organisations) : coordination opérationnelle, gestion du compte à rebours 72h, points de situation horaires
• Le DPO : analyse RGPD, qualification de la violation, préparation et notification CNIL, suivi des droits des personnes concernées
• Le directeur juridique : analyse des risques contractuels (clauses de confidentialité clients, NDA), exposition aux sanctions, préparation des éléments de défense
• La communication (interne et externe) : message aux collaborateurs, communication client le cas échéant, gestion presse en cas de fuite presse
• La direction (DG ou DAF) : arbitrages stratégiques, validation des communications externes, allocation des ressources, lien avec le conseil d’administration si nécessaire

Le rythme de réunion

Sur les 72 premières heures, la cellule de crise se réunit selon le rythme suivant :

• Première réunion à H+1 (environ 1 heure) : qualification de la fuite, premières décisions, allocation des actions
• Point à H+4 (30 minutes) : validation de la qualification, décision sur la notification CNIL, lancement des actions
• Point quotidien à 9h pendant 3 jours (30 minutes) : avancement des actions, nouveaux éléments, ajustements
• Réunion de clôture à H+72 (1 heure) : bilan des actions, post-mortem à venir, transition vers le mode normal

Le piège du périmètre fluctuant

Une cellule de crise efficace garde son périmètre serré. Le réflexe d’inviter « pour information » tout le COMEX et tous les directeurs métier transforme la cellule en théâtre, ralentit les décisions, et augmente le risque de fuite presse. Si le DG veut être informé : briefing dédié de 15 minutes en bilatéral. Si un directeur métier doit agir : invité ponctuel sur sa partie, puis sort.

H+4 à H+24 : notification CNIL — la procédure complète

Quand et comment notifier la CNIL d’une fuite via ChatGPT ? Notification obligatoire dans les 72 heures après la prise de connaissance de la violation, si elle est susceptible d’engendrer un risque pour les droits et libertés des personnes (article 33 RGPD). La notification se fait via le téléservice de la CNIL (notifications.cnil.fr) avec un formulaire structuré : nature de la violation, catégories de données et de personnes, conséquences probables, mesures prises ou envisagées. Si l’évaluation initiale est incomplète, faire une notification initiale dans le délai et compléter ensuite.

La notification CNIL est le point juridique le plus délicat de la gestion d’incident. C’est obligatoire dans la majorité des cas de fuite IA – et ne pas le faire constitue elle-même une infraction sanctionnée par l’article 83.4 du RGPD (jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial).

Le critère du « risque pour les droits et libertés »

L’article 33 du RGPD dit que la notification est obligatoire « à moins que la violation soit peu susceptible d’engendrer un risque pour les droits et libertés des personnes physiques ». En pratique, l’analyse de risque doit considérer 5 critères :

• Nature des données : données sensibles (santé, biométrie, opinions) = risque élevé presque certain
• Volume : plus le nombre de personnes concernées est grand, plus le risque global est élevé
• Identifiabilité : les données permettent-elles d’identifier directement les personnes ?
• Conséquences potentielles : usurpation d’identité, fraude, discrimination, atteinte à la réputation, perte financière
• Caractère permanent ou réversible : une fuite IA est généralement irréversible (donnée déjà côté sous-traitant)

Pour une fuite via ChatGPT impliquant des données personnelles identifiables, l’analyse aboutit presque toujours à « risque » — et donc à notification obligatoire.

Le délai 72 heures : ce qu’il faut comprendre

Le délai démarre à la « prise de connaissance » par le responsable de traitement — pas au moment de la fuite elle-même. Si la fuite a eu lieu en avril mais que vous n’en prenez connaissance qu’en mai, le délai démarre en mai.

Pour démontrer cette « prise de connaissance » : dater rigoureusement le moment où l’information arrive aux oreilles de la direction (DPO, RSSI, DG).

Si vous dépassez 72 heures sans notification, l’article 33 vous oblige à motiver le retard. La CNIL accepte certains motifs (analyse en cours, période de week-end, sous-traitant à interroger), refuse d’autres (incompétence, désorganisation, mauvaise foi).

La procédure de notification étape par étape

Concrètement :

• Connectez-vous au téléservice de notification : notifications.cnil.fr (pas de compte préalable nécessaire pour notifier, mais utile pour suivre le dossier)
• Formulaire structuré en 7 sections : identification du responsable de traitement, nature de la violation, catégories de données, catégories de personnes, conséquences probables, mesures prises, mesures envisagées
• Pièces jointes : tout document utile (preuves, premiers résultats d’analyse, projet de communication aux personnes)
• Validation et envoi : la CNIL accuse réception et attribue un numéro de dossier
• Suivi : la CNIL peut demander des informations complémentaires sous 30 jours. Répondre dans les délais demandés.

La notification initiale et la notification complémentaire

Si à H+72 vous n’avez pas toutes les informations, faire quand même la notification initiale avec ce que vous savez, en indiquant explicitement « notification initiale – informations complémentaires à venir ».

C’est ce que la CNIL préfère : une notification incomplète dans les délais plutôt qu’une notification complète hors délais. Vous pouvez ensuite compléter via le téléservice (jusqu’à 60 jours après la notification initiale, en pratique).

H+4 à H+24 : déclaration ANSSI (si OIV/OSE/NIS2)

Faut-il déclarer une fuite via IA à l’ANSSI ? Oui, si l’entreprise est qualifiée Opérateur d’Importance Vitale (OIV), Opérateur de Services Essentiels (OSE) ou entité essentielle/importante au sens NIS2. Le délai standard est de 24 à 72 heures selon le statut, via le téléservice MonServiceSécurisé de l’ANSSI ou directement auprès de votre référent. Pour les entreprises non qualifiées, la déclaration ANSSI n’est pas obligatoire mais reste recommandée pour les fuites massives. La déclaration ANSSI ne remplace pas la notification CNIL — les deux peuvent être obligatoires en parallèle.

La déclaration ANSSI est moins systématique que la notification CNIL, mais elle peut être obligatoire pour certaines catégories d’organisations. Vérifier le statut réglementaire de l’entreprise est l’une des premières actions à mener en cellule de crise.

Les organisations concernées

• OIV (Opérateur d’Importance Vitale) : environ 250 organisations en France, listées par décret, opérant dans 12 secteurs vitaux (énergie, transports, banque, santé, etc.). Obligation de déclaration ANSSI sous 72h pour tout incident significatif.
• OSE (Opérateur de Services Essentiels) au sens NIS1 : environ 1500 organisations en France. Obligation de déclaration ANSSI sous 72h.
• Entités essentielles et entités importantes au sens NIS2 : environ 20 000 organisations en France après transposition complète (loi Résilience). Obligation de déclaration en 24h (notification précoce) puis 72h (notification complète) pour les incidents significatifs.
• Administrations publiques : règles spécifiques selon les ministères et la nature des données concernées.

Comment déclarer concrètement

Trois canaux principaux :

• MonServiceSécurisé : portail ANSSI dédié aux notifications d’incident (monservicesecurise.ssi.gouv.fr). Compte préalable nécessaire (à créer en avance, pas en urgence).
• Référent ANSSI dédié : pour les OIV et certains OSE, un point de contact ANSSI nominatif est désigné. Le contacter directement par téléphone ou email.
• CERT-FR : pour assistance technique en réponse à incident, le CERT-FR (cert.ssi.gouv.fr) peut être contacté en parallèle de la déclaration officielle.

Le contenu de la déclaration

Le formulaire ANSSI demande typiquement :

• Identification de l’organisation et du déclarant
• Nature de l’incident (catégorie technique, par exemple : exfiltration de données via service tiers)
• Date et heure de l’incident, date et heure de la prise de connaissance
• Périmètre impacté (services, systèmes, données, personnes)
• Mesures prises (containment, communication, mitigation)
• Évaluation initiale de l’impact (gravité, services impactés, durée)
• Besoins d’assistance ANSSI éventuels

Le piège de la double notification

Notification CNIL et déclaration ANSSI sont deux obligations distinctes qui peuvent s’appliquer en parallèle. Si une fuite IA implique des données personnelles ET concerne une entité NIS2, les deux doivent être faites – indépendamment, dans leurs délais respectifs, à des autorités différentes.

Le DPO pilote la notification CNIL, le RSSI pilote la déclaration ANSSI. Les contenus diffèrent légèrement (CNIL = focus données personnelles, ANSSI = focus impact opérationnel et cyber).

H+24 à H+48 : information des personnes concernées

Faut-il informer les clients d’une fuite de leurs données via ChatGPT ? Oui, si la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés (article 34 RGPD). L’information doit être faite « dans les meilleurs délais » après la prise de connaissance et après notification CNIL. Elle doit être individuelle (pas une simple mention sur le site web), sauf si elle s’avère impossible ou exigerait des efforts disproportionnés (auquel cas une communication publique est admise). Le contenu doit être clair, accessible et honnête sur la nature de la fuite et les actions à prendre par la personne.

L’information des personnes concernées est l’étape la plus délicate humainement. Elle déclenche des réactions clients, des appels au support, parfois des actions en justice individuelles.

Elle est aussi obligatoire dès que la violation présente un risque élevé. Il faut la préparer avec soin.

Quand l’information est-elle obligatoire ?

L’article 34 du RGPD impose l’information aux personnes concernées si la violation est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques ». C’est un seuil supérieur à celui de la notification CNIL (qui s’applique au « risque » tout court).

La majorité des fuites IA déclenchent les deux — mais certaines fuites mineures peuvent justifier une notification CNIL sans information aux personnes.

Trois exceptions à l’obligation d’information (article 34.3) :

• Mesures de protection appropriées (chiffrement, anonymisation) qui rendent les données incompréhensibles. En pratique, peu applicable aux fuites IA (les prompts saisis sont en clair).
• Mesures ultérieures qui éliminent le risque élevé (récupération technique avérée). Difficile à démontrer pour une fuite IA — la donnée chez le sous-traitant n’est pas vraiment récupérable.
• Efforts disproportionnés. Justifie une communication publique (presse, site web) plutôt qu’individuelle.

Le contenu de l’information

L’information doit être claire et accessible (article 34.2). Elle comprend au minimum :

• La nature de la violation (en termes simples : « vos données personnelles ont été transmises à un outil d’intelligence artificielle sans que vous en ayez été informé »)
• Les coordonnées du DPO ou d’un point de contact
• Les conséquences probables de la violation
• Les mesures prises ou proposées pour atténuer les conséquences (suspension de l’outil, accompagnement spécifique, etc.)

Le canal d’information

L’information doit être individuelle quand c’est possible. Concrètement : email personnalisé, courrier postal, espace client connecté. Une simple mention sur le site web ne suffit pas – sauf cas d’efforts disproportionnés (par exemple : fuite affectant 1 million de personnes, contact direct impossible).

Notre recommandation : un email ciblé à chaque personne concernée, signé du DPO ou du DG selon la gravité, avec un format sobre, factuel, sans euphémisme.

Les tentatives d’enrobage dans le langage marketing sont systématiquement détectées par les destinataires – et aggravent la perception de gestion de crise déloyale.

Le timing

L’article 34 dit « dans les meilleurs délais » — sans chiffrer. La pratique : information dans les 5 à 7 jours suivant la prise de connaissance, après notification CNIL et alignement de la communication avec le directeur juridique. Tarder au-delà de 10 jours expose à un grief supplémentaire de la CNIL en cas de contrôle.

H+24 à H+48 : la communication client et presse

Comment communiquer publiquement sur une fuite via IA ? Trois principes : (1) anticiper la sortie presse plutôt que la subir, (2) admettre les faits sans euphémisme, (3) montrer les actions correctives concrètes. Préparer un communiqué court (15-20 lignes) avec : description factuelle de l’incident, périmètre des personnes concernées, mesures prises, contact dédié. Coordonner avec le DPO, le directeur juridique, la communication. Pour les ETI sans expertise interne en communication de crise, se faire accompagner par un cabinet spécialisé – coût typique : 8 000 à 25 000 euros.

La gestion de la communication externe est ce qui sépare une crise contenue d’un désastre réputationnel. Trois enseignements de mes interventions sur ce type d’incident.

Principe 1 : anticiper plutôt que subir

Si la fuite touche plus de 100 personnes, ou si elle implique une grande entreprise cliente, la sortie presse est probable dans les 7 à 14 jours. Inutile de prier pour qu’elle n’arrive pas — il faut s’y préparer activement. Préparer un communiqué prêt à diffuser, identifier un porte-parole formé, briefer la direction sur la position officielle.

L’anticipation permet aussi de prendre la main sur le récit. Une entreprise qui communique elle-même à J+5 contrôle le narratif. Une entreprise rattrapée par un journaliste à J+15 perd cette maîtrise — et apparaît dissimulatrice, ce qui amplifie tout.

Principe 2 : admettre les faits sans euphémisme

Le réflexe corporate consiste à minimiser : « incident technique mineur », « exposition limitée », « nous prenons toutes les mesures ». Ces formulations sont contre-productives. Les journalistes les détectent immédiatement, les clients aussi, et les autorités notent la mauvaise foi.

Une formulation honnête : « Nous avons constaté qu’un de nos collaborateurs a saisi des données personnelles vous concernant dans un outil d’intelligence artificielle non autorisé. Cet incident a duré X mois et a concerné Y personnes. Voici ce que nous avons fait pour limiter les conséquences. Voici ce que vous pouvez faire de votre côté. » Brutal mais respectueux.

Principe 3 : montrer les actions correctives concrètes

Le communiqué doit lister les actions concrètes prises ou en cours :

• Suspension immédiate de l’outil concerné
• Procédure disciplinaire engagée (sans nommer le collaborateur)
• Notification CNIL effectuée à telle date
• Charte IA renforcée et redéployée
• Audit cyber externe lancé
• Programme de formation des équipes
• Contact direct dédié pour les personnes concernées

Le rôle des cabinets de communication de crise

Pour les ETI sans direction de la communication structurée, se faire accompagner par un cabinet spécialisé en communication de crise est généralement justifié. Coût typique pour une fuite de niveau moyen-élevé : 8 000 à 25 000 euros pour 1-2 semaines d’accompagnement (préparation du narratif, rédaction des communiqués, media training du porte-parole, gestion des sollicitations presse). C’est un investissement rentable face au risque réputationnel.

Vu sur le terrain Mission urgence en février 2026 chez un éditeur de logiciel français (60 personnes). Un développeur a poussé du code propriétaire dans Cursor avec son compte personnel pendant 4 mois. Découverte par un nouveau RSSI. Estimation initiale : 18 000 lignes de code, plusieurs algorithmes propriétaires, partielle indexation de la base clients. La direction veut tout cacher, ne rien dire, attendre que ça passe. Je leur explique : les clients du secteur public vont se retourner contractuellement, le cyberassureur va refuser de payer s’il découvre la dissimulation, et un journaliste finira par avoir l’info. Décision finale : communication transparente à 12 clients clés, déclaration CNIL préventive, communiqué presse mesuré. Coût total transparence : 95 000 euros. Coût estimé d’une dissimulation découverte : 800 000 euros minimum. Mission de réponse incident menée en février 2026 par i-lead Sentinel — anecdote anonymisée avec accord client.

H+48 à H+72 : récupération technique et durcissement

Comment récupérer techniquement après une fuite via ChatGPT ? La récupération technique d’une fuite IA est limitée — la donnée est déjà chez le sous-traitant et ne peut pas être supprimée à 100 %. Trois actions possibles : (1) demander la suppression formelle au sous-traitant (OpenAI via privacy@openai.com, Anthropic via privacy@anthropic.com) via le formulaire dédié au DPO, (2) configurer le retention period à zéro pour les futures conversations, (3) renforcer les contrôles techniques pour empêcher la récidive (DLP, blocage des comptes personnels, audit OAuth). La récupération est partielle – l’objectif réaliste est de limiter les dégâts futurs.

La récupération technique est l’aspect le plus frustrant d’une fuite IA. Contrairement à un incident classique où l’on peut restaurer depuis backup, isoler un système compromis, ou réémettre des credentials – une fois qu’une donnée est partie chez OpenAI, Anthropic ou Google, elle est partie. Les actions correctives portent surtout sur l’avenir.

Demander la suppression au sous-traitant

Tous les grands fournisseurs IA (OpenAI, Anthropic, Google, Microsoft, Mistral) disposent d’un canal dédié au DPO d’entreprise pour demander la suppression de données. Démarche typique :

• OpenAI : contact DPO via privacy@openai.com avec demande formelle, références des comptes concernés, dates des conversations à supprimer. Délai de réponse : 5-15 jours ouvrés.
• Microsoft : pour Copilot, demande via le centre de gouvernance Microsoft 365 (paramètres admin) ou contact direct privacy@microsoft.com. Délai : 10-20 jours ouvrés.
• Anthropic : contact DPO via privacy@anthropic.com. Délai : 5-15 jours ouvrés.
• Google : pour Gemini, demande via le centre Google Workspace ou support administrateur. Délai : 10-20 jours ouvrés.

Important : la « suppression » dans ces réponses est rarement absolue. Les fournisseurs s’engagent à supprimer des bases de production, mais les sauvegardes peuvent persister. Pour les versions Enterprise avec retention configurable, ils peuvent attester d’une suppression effective. Pour les versions personnelles, l’attestation est souvent générique.

Configurer le retention period à zéro

Pour ChatGPT Enterprise, l’admin peut configurer le retention period à zéro. Concrètement : les conversations sont supprimées immédiatement après la fin de la session.

Cela ne récupère pas les fuites passées, mais limite drastiquement le risque pour les futures conversations. C’est l’une des premières actions à enclencher en cas d’incident.

Renforcer les contrôles techniques

Au-delà de la récupération, l’incident doit déclencher un renforcement des contrôles pour empêcher la récidive :

• Déploiement DLP (Microsoft Purview, Forcepoint, Symantec) si pas déjà en place — détection automatique des saisies de données sensibles vers des destinations externes
• Blocage des comptes IA personnels au niveau du proxy/firewall (signatures des connexions OpenAI grand public, Claude personnel, Gemini personnel)
• Audit OAuth complet : recenser tous les agents IA connectés sans validation aux tenants Microsoft 365 ou Google Workspace
• Activation de l’audit log des prompts pour les outils IA officiels (ChatGPT Enterprise, Copilot)
• Refonte de la formation IA des collaborateurs avec cas concrets issus de l’incident vécu

Post-incident : le post-mortem qui change tout

Comment réaliser un post-mortem après une fuite de données IA ? Cinq étapes en 2-4 semaines après la résolution : (1) reconstituer la timeline complète des faits, (2) identifier les causes racines (techniques, organisationnelles, humaines), (3) lister les actions correctives durables (charte, formation, contrôles techniques, gouvernance), (4) présenter le post-mortem au COMEX avec recommandations chiffrées, (5) suivre l’exécution des actions sur 6 à 12 mois. Le post-mortem n’est pas un exercice disciplinaire — c’est un outil d’apprentissage organisationnel. Sans post-mortem, l’incident se répète.

Une fois la crise gérée, la tentation est forte de classer le dossier et de revenir aux affaires courantes. C’est l’erreur qui garantit la récidive.

Le post-mortem est l’étape qui transforme un incident douloureux en apprentissage durable. Il prend 2 à 4 semaines après la résolution opérationnelle, et son livrable conditionne la maturité IA de l’organisation pour les 12 à 24 mois suivants.

Étape 1 — Reconstituer la timeline complète

Première mission du post-mortem : reconstituer chronologiquement ce qui s’est passé, depuis la cause initiale jusqu’à la résolution. Cette timeline est factuelle, sans interprétation.

Sources : logs techniques, entretiens avec les acteurs, communications archivées, comptes rendus de cellule de crise.

Format type : un document de 5-10 pages qui répond à « quoi s’est passé, quand, qui a fait quoi, pourquoi à ce moment-là ».

La rigueur factuelle est essentielle – toute approximation sur la timeline alimente les théories conspirationnistes internes et empêche le travail de cause racine.

Étape 2 — Identifier les causes racines

Au-delà du fait déclencheur (« le collaborateur a saisi des données dans ChatGPT »), identifier les causes racines qui ont rendu cet événement possible.

Méthode standard : les 5 « Pourquoi » — chaque fois qu’on a une réponse, on demande « pourquoi » à nouveau jusqu’à atteindre la cause structurelle.

Exemple appliqué :

• Pourquoi le collaborateur a-t-il saisi des données client dans ChatGPT ? → Parce qu’il devait livrer une analyse vite et qu’il n’avait pas d’outil officiel.
• Pourquoi n’avait-il pas d’outil officiel ? → Parce que la DSI n’a pas encore déployé ChatGPT Team.
• Pourquoi la DSI n’a-t-elle pas déployé ChatGPT Team ? → Parce qu’elle attend la validation budgétaire du COMEX.
• Pourquoi le COMEX n’a-t-il pas validé le budget ? → Parce que la DSI n’a pas chiffré le risque « pas de déploiement ».
• Pourquoi la DSI n’a-t-elle pas chiffré ce risque ? → Parce qu’aucun incident n’avait encore matérialisé le coût.

La cause racine n’est pas technique — elle est organisationnelle. Et elle se traite par une décision de gouvernance, pas par un contrôle technique.

Étape 3 — Lister les actions correctives durables

Sur la base des causes racines identifiées, lister les actions correctives par catégorie :

• Actions techniques : déploiement DLP, blocage des comptes personnels, audit OAuth, activation des logs IA
• Actions organisationnelles : refonte ou création de la charte IA, mise en place du comité IA trimestriel, désignation des référents IA métier
• Actions humaines : formation IA par profil métier, sensibilisation COMEX, intégration du sujet dans le programme onboarding
• Actions de gouvernance : révision de la cartographie des risques IT, intégration du risque IA au PCA-PRA, dotation budgétaire annuelle gouvernance IA

Étape 4 — Présentation au COMEX

Le post-mortem est présenté au COMEX en réunion dédiée de 1 heure. Format type : 30 minutes de présentation (timeline + causes racines + actions correctives + budget), 30 minutes d’échange et de validation.

Livrable : décisions formalisées du COMEX, allocation des ressources, désignation des responsables, calendrier de mise en œuvre.

La présentation doit être directe et chiffrée. « Cet incident nous a coûté 47 000 euros directs et 250 000 euros en risques évités.

La mise en conformité durable coûte 35 000 euros sur 6 mois. ROI évident. » Les COMEX répondent aux chiffres, pas aux discours.

Étape 5 — Suivre l’exécution sur 6-12 mois

Sans suivi, les actions correctives s’enlisent. Désigner un « responsable post-mortem » (généralement le RSSI ou le DSI) qui fait un point trimestriel au COMEX sur l’avancement. À 6 mois, faire un audit de re-vérification : les contrôles déployés sont-ils opérationnels ?

La charte est-elle effectivement appliquée ? Les formations ont-elles été suivies ? Les contrôles techniques fonctionnent-ils ?

Le piège du cyberassureur : ce qui peut faire refuser l’indemnisation

Le cyberassureur indemnise-t-il une fuite de données via ChatGPT ? Oui en principe, mais sous conditions strictes qui sont rarement remplies. Sept motifs fréquents de refus : (1) absence de charte IA documentée, (2) absence de DPA signé avec le sous-traitant IA, (3) usage d’un outil non couvert par la police (souvent les outils gratuits sont exclus), (4) défaut de notification dans les délais contractuels (souvent 24-72h), (5) faute lourde du collaborateur non encadrée par une politique, (6) absence d’AIPD préalable, (7) absence de mesures techniques minimum (DLP, blocage comptes personnels). Vérifier sa police AVANT l’incident, pas pendant.

Beaucoup d’entreprises pensent que leur cyberassurance va couvrir l’essentiel des frais d’un incident IA. La réalité est plus dure : les contrats récents (2024-2026) intègrent des clauses spécifiques IA qui multiplient les motifs de refus. Avant l’incident, c’est le moment de vérifier votre police. Pendant l’incident, c’est le moment de la lire à la loupe.

Les 7 motifs fréquents de refus

• Absence de charte IA documentée et signée par les collaborateurs : c’est devenu une condition de souscription standard depuis 2024. Sans charte, le sinistre IA peut être totalement exclu. Voir notre article dédié sur la charte IA opposable.
• Absence de DPA signé avec le sous-traitant IA : si la fuite passe par ChatGPT version gratuite (sans DPA possible), l’assureur peut considérer que l’entreprise a enfreint ses obligations RGPD avant l’incident.
• Usage d’un outil non couvert par la police : les contrats listent souvent les outils couverts. Si l’incident implique un outil non listé, l’exclusion est claire.
• Défaut de notification dans les délais contractuels : la plupart des polices imposent une notification à l’assureur sous 24 à 72 heures. Tarder = motif de refus.
• Faute lourde du collaborateur non encadrée par une politique : si le manquement est qualifié de faute lourde mais qu’aucune politique n’interdisait l’acte, la responsabilité reste pleine sur l’entreprise.
• Absence d’AIPD préalable pour le traitement IA : violation directe du RGPD, qui peut être considérée comme une négligence excluant la couverture.
• Absence de mesures techniques minimum : DLP, blocage comptes personnels, audit OAuth. Si ces mesures basiques ne sont pas en place, l’assureur peut invoquer le défaut de gestion des risques.

Que faire si le cyberassureur refuse

Trois recours possibles :

• Médiation de l’assurance : recours gratuit, délai 90 jours, taux de succès 30-40 % selon la nature du litige
• Action en justice (tribunal de commerce) : coût élevé (15-50 k€ d’honoraires), délai 12-36 mois, issue incertaine
• Renégociation à l’amiable : souvent la meilleure voie, surtout si la relation commerciale avec l’assureur est ancienne

Le bon réflexe : vérifier sa police avant l’incident

La meilleure protection contre le refus d’indemnisation est de connaître exactement ses garanties avant l’incident. Demander à son courtier un audit de la couverture IA :

quels outils sont couverts, quels sont exclus, quelles conditions de souscription, quels délais de notification, quelles mesures préventives obligatoires. Cet audit prend 1-2 heures — il est sans coût et peut éviter une catastrophe financière.

Les 8 erreurs fatales qui aggravent la crise

Quelles erreurs éviter en gérant une fuite de données IA ? Huit erreurs fréquentes : (1) supprimer les preuves dans la panique, (2) attendre d’avoir toutes les informations avant de notifier la CNIL, (3) minimiser publiquement la gravité, (4) sanctionner trop vite le collaborateur sans procédure, (5) communiquer aux clients avant le DPO et le juridique, (6) ignorer la déclaration ANSSI quand elle est due, (7) négliger le post-mortem une fois la crise passée, (8) oublier de notifier le cyberassureur dans les délais contractuels. Chacune de ces erreurs peut transformer un incident gérable en catastrophe.

La gestion d’incident IA est un domaine où les erreurs sont coûteuses et nombreuses. Voici les 8 erreurs les plus fréquentes que j’observe en mission, classées par fréquence.

Erreur 1 – Supprimer les preuves dans la panique

Le réflexe humain consiste à « effacer pour effacer le problème ». Les conversations sont supprimées, les comptes désactivés sans export.

C’est une faute professionnelle qui détruit la chaîne de preuve nécessaire aux notifications réglementaires et à la procédure disciplinaire. Règle : préserver d’abord, supprimer ensuite.

Erreur 2 – Attendre toutes les informations avant de notifier la CNIL

Beaucoup d’entreprises retardent la notification CNIL en pensant « on va d’abord enquêter complètement ». C’est une mauvaise lecture du RGPD.

La notification initiale dans les 72h est obligatoire même incomplète. Vous pouvez la compléter par notification additionnelle dans les jours suivants. Tarder pour faire complet = double infraction.

Erreur 3 – Minimiser publiquement la gravité

« Un incident technique mineur a été identifié et résolu. » Les journalistes détectent immédiatement ce langage. Les clients aussi. Et la CNIL note la mauvaise foi dans son dossier.

La transparence factuelle, sans euphémisme, est paradoxalement la moins coûteuse.

Erreur 4 – Sanctionner trop vite le collaborateur

Le DG veut un coupable. Le RH veut une mise à pied. Ralentir. La sanction disciplinaire suit une procédure légale (entretien préalable, délai, droit à l’assistance) qui peut être invalidée si elle est conduite dans la précipitation.

Et brusquer le collaborateur lui ferme la bouche — alors que vous avez besoin de ses informations pour qualifier l’incident. Pour cadrer cette procédure en amont, il est essentiel d’avoir une charte IA opposable préalable.

Erreur 5 – Communiquer aux clients avant le DPO et le juridique

Un commercial bien intentionné apprend l’incident, appelle son client « par transparence » pour le prévenir avant la communication officielle. Catastrophe.

Le récit incohérent qui s’ensuit (chaque commercial improvise sa version) détruit la maîtrise du narratif. Tout contact client doit être centralisé et coordonné par le DPO et le directeur juridique.

Erreur 6 – Ignorer la déclaration ANSSI

Pour les organisations OIV, OSE ou NIS2, la déclaration ANSSI est obligatoire en parallèle de la notification CNIL. L’oublier est une infraction distincte avec ses propres sanctions.

Vérifier le statut réglementaire de l’entreprise dès la qualification de l’incident.

Erreur 7 – Négliger le post-mortem

Une fois la crise passée, classer le dossier et passer à autre chose. Sans post-mortem structuré, les causes racines ne sont pas traitées, et l’incident se répète dans 6-12 mois — souvent en pire.

Le post-mortem est la dernière étape de la gestion d’incident, pas une option.

Erreur 8 – Oublier de notifier le cyberassureur

Les polices cyberassurance imposent une notification à l’assureur sous 24 à 72 heures (selon les contrats). Tarder = motif de refus d’indemnisation.

Vérifier dans les conditions générales de la police le délai exact, et notifier dès la qualification de l’incident, en parallèle des autres notifications.

12. FAQ — 10 questions de RSSI en situation

En résumé

Une fuite de données via IA générative est un incident gérable si la procédure 72 heures est connue et appliquée méthodiquement. Six étapes structurent la réponse :

qualifier la fuite dans les 4 premières heures, isoler et préserver les preuves, activer la cellule de crise avec ses 5 rôles, notifier la CNIL dans les 72 heures et l’ANSSI si applicable, informer les personnes concernées et gérer la communication externe, lancer la récupération technique et le post-mortem.

La récupération technique d’une fuite IA est limitée — la donnée est déjà chez le sous-traitant. La vraie récupération est organisationnelle :

déployer la charte IA opposable, mettre en place les contrôles techniques, former les équipes, conduire un post-mortem rigoureux et exécuter les actions correctives sur 6-12 mois.

La pire stratégie face à une fuite IA est la dissimulation. Les obligations réglementaires (RGPD, NIS2), les exigences contractuelles clients, la pression presse, et les conditions cyberassurance la rendent intenable et catastrophique en cas de découverte tardive.

La transparence factuelle, sans euphémisme, est paradoxalement la moins coûteuse. Le bon moment pour préparer la procédure 72 heures, c’est avant l’incident. Le bon moment pour la lire pour la première fois, c’est maintenant.

Pour aller plus loin (cluster I-leadconsulting)

• Article pilier : Shadow AI en entreprise — le guide DSI/RSSI 2026 (RGPD, AI Act, gouvernance)
• Article complémentaire : Charte IA opposable — modèle 2026 et procédure disciplinaire
• Article complémentaire : RGPD et ChatGPT — DPA, AIPD, transferts hors UE
• Article complémentaire : Cyberassurance IA — 7 clauses à vérifier dans votre polic
• RSSI externalisé pour ETI et PME : guide complet (coûts, délais, NIS2)

À propos de l’auteur

Mohamed Ali Ksouri est Directeur Associé d’i-lead Consulting, ESN française spécialisée dans la transformation numérique et la cybersécurité.

Il pilote la pratique i-lead Consulting dédiée à la cybersécurité, à la conformité RGPD et à la gouvernance IA pour les ETI françaises et les administrations publiques.

Il accompagne depuis plusieurs années des projets d’audit cyber, de mise en conformité RGPD/NIS2/AI Act, de réponse à incident, et de déploiement de plateformes IA souveraines on-premise.

Contact : mohamedali.ksouri@i-leadconsulting.com

Méthodologie de cet article

Cet article a été rédigé par Mohamed Ali Ksouri, à partir de retours d’expérience de missions de réponse à incident IA réalisées par i-lead Consulting chez des clients ETI françaises depuis 2024.

La procédure 72 heures décrite est celle effectivement appliquée en mission — elle a tenu l’épreuve d’incidents réels.

Sources publiques utilisées :

• RGPD UE 2016/679 — articles 33 (notification CNIL) et 34 (information des personnes)
• Directive NIS2 (UE 2022/2555) — obligations de déclaration ANSSI pour les entités essentielles et importantes
• CNIL — fiches pratiques sur la notification des violations de données personnelles
• ANSSI — procédures de déclaration MonServiceSécurisé et CERT-FR
• Code monétaire et financier — obligations de déclaration sectorielles (banque, assurance)
• Recommandations EDPB sur les violations de données (Guidelines 9/2022)

Les anecdotes terrain sont issues de missions réelles d’i-lead Sentinel, anonymisées et publiées avec l’accord des clients concernés. Aucune information susceptible d’identifier un client n’est divulguée.