Dans bien des organisations, la sécurité des données au conseil passe pour réglée dès lors que la plateforme est chiffrée et que les certifications sont en règle. Une affaire pour la DSI.
Or les informations les plus sensibles d'une entreprise ne passent pas par le service informatique. Elles passent par la salle du conseil d'administration. Projets de rachat, décisions concernant les dirigeants, risques juridiques non résolus. Celui qui protège ces informations ne protège pas des fichiers, mais la capacité d'action de l'organisation.
Et la question s'en trouve déplacée. Elle ne porte plus sur le chiffrement qu'emploie une plateforme, mais sur qui répond de quoi lorsque quelque chose survient.
Pourquoi le conseil est une cible particulière
Les attaquants suivent la valeur, non le chemin le plus facile. Et rares sont les endroits d'une entreprise où autant de valeur se concentre sur si peu de pages que dans la préparation d'une séance du conseil. Un seul dossier de séance peut contenir précisément ce qui intéresserait un concurrent, un activiste ou un maître chanteur.
Cela modifie le tableau des risques. Car tandis que la réflexion sur la sécurité de nombreuses organisations se porte sur le niveau opérationnel, le niveau du conseil reste souvent pris dans un mélange accumulé au fil du temps de pièces jointes, de lecteurs partagés et d'appareils privés.
Le Verizon Data Breach Investigations Report montre en outre que la part des violations de données impliquant des tiers a doublé en l'espace d'un an et représente désormais environ un tiers de tous les incidents. Plus il y a de conseillers externes, de cabinets d'avocats et de prestataires qui interviennent sur les documents du conseil, plus cette surface d'attaque s'élargit.
L'architecture de sécurité, c'est plus que le chiffrement
Qui cherche un logiciel sécurisé de gestion de conseil tombe rapidement sur la même liste de termes familiers. Chiffrement de bout en bout pour les données stockées et transmises, droits d'accès fondés sur les rôles, authentification multifacteur, pistes d'audit complètes. Moins visibles, mais tout aussi décisifs, sont les autorisations granulaires sur des documents précis, un traitement des données conforme au RGPD et un stockage central sans copies locales éparpillées. Tout cela est nécessaire. Mais cela ne décrit que les fondations, pas le bâtiment.
Ce qui est décisif, c'est la manière dont une architecture gère la contradiction entre confidentialité et collaboration. Un conseil doit partager de l'information pour fonctionner, et empêcher en même temps qu'elle se diffuse sans contrôle. Une bonne architecture de sécurité ne résout pas cela par le plus grand nombre possible de verrous, mais par la granularité.
Qui voit quel document, pendant quelle période, avec quels droits ? Les accès peuvent-ils être retirés après une séance ou après le départ d'un administrateur ? Les documents restent-ils là où sécurité et autorisations sont réglées de façon centrale, par exemple dans un environnement Microsoft 365 existant, ou chaque copie fait-elle naître de nouveaux lieux de stockage non surveillés ?
Car chaque copie de données supplémentaire augmente non seulement le travail, mais aussi le risque. Le document le plus sûr est souvent celui qui n'a jamais été dupliqué.
Une bonne gestion documentaire, c'est de la gouvernance
Sécurité des données et gestion documentaire sont souvent considérées séparément. Dans la pratique, elles sont indissociables. Car une gestion documentaire professionnelle au conseil englobe bien plus que le classement de fichiers. Elle va du versionnement automatique aux processus de validation traçables et aux dossiers de séance numériques, jusqu'aux durées définies de conservation et de suppression, au retrait des droits d'accès à la fin d'un mandat et à une gestion centralisée de tous les documents de délibération.
Le versionnement en particulier est fréquemment sous-estimé. Celui qui, dans une situation critique, ne peut plus retracer quelle version d'un document a fondé une délibération perd une partie de sa capacité de gouvernance. La gestion documentaire n'est donc pas une tâche administrative secondaire, plutôt une part de la responsabilité d'un conseil.
La piste d'audit comme colonne vertébrale de la responsabilité
La piste d'audit est souvent traitée comme un détail technique. Or c'est un principe de gouvernance.
Elle documente intégralement qui a consulté, modifié ou téléchargé quel document et à quel moment, et comment telles délibérations ont vu le jour. Cela sonne comme du contrôle, mais il s'agit de quelque chose de plus fondamental : la responsabilité présuppose la traçabilité.
Un conseil qui ne peut reconstituer après coup sur quelle base d'information il a décidé pourra difficilement répondre de cette décision. La piste d'audit est ainsi moins un instrument de surveillance, plutôt la condition pour que la responsabilité puisse seulement être attribuée. Elle protège non seulement l'entreprise contre les attaques venues de l'extérieur, mais le conseil contre le flou de sa propre mémoire.
Quand l'intelligence artificielle entre dans le flux d'information
Avec l'arrivée de l'IA dans le travail du conseil, cette idée gagne encore en poids. Lorsque ce ne sont plus seulement des personnes qui lisent les documents, mais des machines qui résument des dossiers, signalent des risques ou préparent des notes, la piste d'audit s'élargit d'une nouvelle question. Quelles informations l'IA a-t-elle vues, comment les a-t-elle traitées et sur quelle base le résultat est-il né ?
Naît ainsi une nouvelle catégorie d'information : un contenu produit par la machine qui prépare une décision sans que chaque membre du conseil ait lui-même lu chaque source. Ce n'est pas en soi un problème de sécurité, mais cela change fondamentalement la question de la responsabilité.
Selon le Cost of a Data Breach Report d'IBM, 63 pour cent des entreprises touchées par une violation de données opéraient sans aucun cadre de gouvernance de l'IA. Dans le même temps, IBM rapporte que 16 pour cent des attaques recourent déjà à l'IA, par exemple pour des campagnes d'hameçonnage plus convaincantes. La menace devient donc plus intelligente, tandis que la gouvernance, en bien des endroits, ne fait que prendre forme.
Le human-in-the-loop devient de ce fait une pratique pertinente pour la sécurité, non un mot à la mode. Une synthèse produite par l'IA peut faciliter l'examen humain, non le remplacer. Et une plateforme qui recourt à l'IA doit rendre traçable ce que la machine a fait. Sinon, elle déplace la responsabilité vers un endroit qui n'en peut porter aucune.
Ce que les standards de protection des données apportent réellement
Des certifications comme l'ISO 27001 ou un centre de données situé dans l'UE sont des signaux sensés, dont les fournisseurs font par conséquent volontiers la publicité. Ils sont toutefois un point de départ, non un but. Un standard décrit que certains processus existent, non qu'ils tiennent le moment venu.
Pour les conseils d'administration et les directions, il en découle une mission de surveillance qui ne se délègue pas. Des cadres réglementaires comme le RGPD, la directive NIS2 ou le Règlement européen sur l'IA accroissent la pression, mais leur configuration précise et leurs échéances demeurent mouvantes et méritent d'être suivies avec attention.
Plus important que d'invoquer un certificat est de toute façon la capacité de comprendre et de questionner sa propre situation de sécurité. Non pas : sommes-nous certifiés ? Mais : le saurions-nous si quelque chose tournait mal, et pourrions-nous l'établir ?
La véritable question demeure celle de la responsabilité
La sécurité des données au conseil ne s'achète pas, elle s'exerce. La meilleure architecture de sécurité ne sert à rien si personne ne comprend quelles décisions elle retire au conseil et lesquelles non. Et la piste d'audit la plus raffinée reste sans effet si personne ne la lit.
C'est pourquoi la question décisive au moment de choisir une solution n'est pas de savoir quelles fonctions de sécurité elle énumère, mais si elle rend la responsabilité visible et attribuable. Car dans la salle de conseil numérique vaut ce qui valait aussi dans l'analogique : la sécurité n'est pas une propriété de la technique, mais une pratique des personnes qui l'utilisent.
Sources
- IBM, Cost of a Data Breach Report, notamment sur la gouvernance de l'IA et les attaques assistées par l'IA, repris par Marconet : Data Security Governance Best Practices for 2026
- Verizon, 2026 Data Breach Investigations Report, sur le doublement de l'implication de tiers : Verizon DBIR
- Akin, sur la responsabilité du conseil en matière de cybersécurité et sur les attaques assistées par l'IA : Cybersecurity and Operational Resilience: A Board-Level Imperative
