Fruit du club de pratique métier Cyber & RH – Rencontre avec Covateam et Balki Avocats
Introduction : une soirée d’échanges à forte valeur ajoutée pour les décideurs d’inovallée
Le lundi 19 janvier dernier, le Club Cyber d’inovallée se réunissait au sein des locaux de Covateam, un partenaire historique de la technopole.
Covateam est un cabinet de consultants SI, RGPD et cybersécurité basé proche de Grenoble. Depuis 2015, il accompagne entreprises et collectivités dans leur transformation digitale, leur mise en conformité RGPD et la sécurisation de leurs systèmes d’information. En fonction des besoins de chaque organisation, Covateam met également à disposition des experts DSI, RSSI ou DPO en temps partagé — une solution flexible particulièrement adaptée aux PME innovantes.
Cette rencontre a réuni une quinzaine de DSI et responsables cybersécurité d’inovallée, venus partager leurs pratiques et expériences pour anticiper l’évolution des risques cybercriminels, mais aussi mieux comprendre les impacts et bonnes pratiques autour de l’intégration de l’IA dans leurs process internes et leurs solutions.
La soirée s’est poursuivie avec l’intervention du cabinet Balki Avocats, récemment implanté sur inovallée. Fondé par une jeune avocate spécialisée en protection des innovations, conformité numérique et sécurisation des partenariats technologiques et commerciaux, Balki Avocats a apporté un éclairage juridique très opérationnel pour aider les dirigeants et responsables à se préparer à l’entrée en vigueur du Règlement européen sur l’Intelligence Artificielle (RIA) et du cadre NIS2.
L’essor des systèmes d’intelligence artificielle (SIA) transforme profondément les organisations. Si l’IA offre des opportunités majeures de productivité, elle amène aussi une surface d’attaque inédite et des responsabilités nouvelles pour les entreprises.
Avec l’entrée en vigueur progressive du Règlement européen sur l’IA (RIA) et le durcissement du cadre NIS2, les dirigeants, responsables cybersécurité et DRH sont aujourd’hui en première ligne.
Voici les 6 enseignements clés issus de la session pour vous aider à sécuriser vos usages d’IA… et vos organisations.
1. Comprendre votre exposition IA : où se cachent les SIA dans votre entreprise ?
La première étape est souvent la plus oubliée : cartographier les usages d’IA, même les plus discrets.
Entre outils SaaS intégrant des modèles d’IA, automatisations low-code, assistants intégrés dans les solutions RH, ou encore IA génératives utilisées individuellement par les collaborateurs, votre organisation utilise déjà des SIA — parfois sans le savoir.
👉 Tips pratique :
- Intégrez à votre revue des risques un volet “Shadow AI” (usages non déclarés).
- Faites déclarer par les équipes métiers les outils utilisant IA, même partiellement.
2. Classer les SIA par niveau de risque : la clé pour savoir quelles obligations s’appliquent
Le RIA introduit quatre niveaux de risque : interdit, élevé, limité, inexistant.
Pour les responsables RH et Cyber, cela change tout : un SIA utilisé pour le recrutement, l’évaluation ou la formation peut entrer dans la catégorie “haut risque”… avec des obligations renforcées.
👉 À retenir :
- Les SIA RH sont majoritairement classés “à risque élevé”.
- Les obligations incluent transparence, documentation, gestion des risques, robustesse, protection renforcée des données.
- Le déployeur (l’entreprise qui utilise l’outil) partage la responsabilité juridique avec le fournisseur.
3. NIS2 + IA Act = un nouvel âge de la responsabilité dirigeante
Avec NIS2, une responsabilité personnelle des dirigeants est introduite en matière de cybersécurité.
Le RIA renforce cette exigence : les entreprises doivent démontrer qu’elles ont mis en œuvre des mesures proportionnées, adaptées au type de SIA.
👉 Pour les responsables RH : sensibiliser les dirigeants, adapter les parcours de formation, intégrer la conformité IA dans la culture managériale.
👉 Pour les responsables Cyber : aligner votre stratégie de gestion des risques sur les nouvelles exigences combinées.
4. Professionnaliser la gouvernance IA : créer un “réflexe conformité” dès le design
Le RIA impose un changement culturel : penser sécurité, robustesse, transparence… dès la conception du projet IA.
Les questions incontournables :
- Qui est responsable dans la chaîne (fournisseur ou déployeur) ?
- Quelles données d’entrée sont utilisées ? Sont-elles sensibles ?
- Quel est le niveau de risque du SIA ?
- Quels mécanismes de contrôle, de tests adversariaux ou de journalisation sont prévus ?
👉 Conseil : mettez en place un processus de validation IA avec RH + Cyber + Juridique avant tout déploiement.
5. Renforcer vos fondamentaux Cyber : l’IA accélère… aussi les attaques
Les attaques alimentées par IA augmentent fortement : spear‑phishing ultra personnalisé, deepfakes, malwares polymorphes, vectorisation automatisée des attaques, etc.
Le message clé partagé par Balki Avocats :
➡️ Les défenses classiques (signature, firewall traditionnel) ne suffisent plus.
👉 Les essentiels à mettre en place en 2026 :
- Une PSSI intégrant un volet IA ;
- Un PCA/PRA mis à jour ;
- Un contrôle accru des fournisseurs stratégiques (clauses spécifiques IA) ;
- Des tests réguliers de robustesse et de sécurité des SIA utilisés ;
- Des formations internes dédiées (RH + métiers).
6. S’appuyer sur les référentiels existants pour gagner du temps
Bonne nouvelle : vous n’êtes pas seuls ! Plusieurs référentiels permettent déjà de structurer votre démarche :
- ANSSI : recommandations pour la sécurité des systèmes d’IA (2024)
- ENISA : bonnes pratiques IA & cybersécurité
- Clusif : modèle de PSSI IA (2025)
- AI Act Guidelines et livres blancs public-privé (Wavestone, France Digitale…)
👉 Astuce : utilisez-les comme “boîte à outils prête à l’emploi” pour vos projets RH & cyber.
En conclusion : l’IA impose une cyber de nouvelle génération
Nous entrons dans une ère où la cybersécurité devient :
✔ un enjeu stratégique,
✔ une responsabilité partagée,
✔ et un facteur de pérennité pour toute organisation.
L’IA est à la fois une opportunité et un risque. Les entreprises qui réussiront seront celles qui :
- auront anticipé leurs obligations réglementaires,
- auront outillé leurs équipes RH et Cyber,
- auront adopté une gouvernance IA robuste et pragmatique,
- et auront investi dans des dispositifs de cybersécurité “intelligents”.
