La DGSI a publié en août 2026 le cinquième numéro de son « Flash Ingérence ». Parmi les situations décrites figure celle d’un sous-traitant informatique dont plusieurs salariés transmettaient chaque jour des documents très sensibles à une intelligence artificielle gratuite et grand public, afin d’automatiser des tâches bureautiques. Cette alerte n’est pas seulement une recommandation de cybersécurité : elle pose une question de responsabilité, de secret des affaires, de protection des données personnelles et de preuve.

Une entreprise qui découvre ce type d’envoi doit agir dans un ordre précis. Elle doit d’abord arrêter la diffusion sans détruire les traces, puis identifier la nature des documents, le rôle de chaque intervenant et les engagements contractuels applicables. Elle doit ensuite décider s’il faut notifier une violation de données, saisir rapidement un juge, mettre en demeure le prestataire, déposer plainte ou réclamer une indemnisation. Le fait que le salarié ait utilisé un outil d’IA pour gagner du temps ne suffit pas à écarter la responsabilité du sous-traitant ou de l’entreprise cliente. À l’inverse, une entreprise qui n’a jamais défini de règle de confidentialité aura plus de difficulté à démontrer qu’elle avait pris des mesures raisonnables.

I. Sous-traitant et IA : quand l’envoi de documents confidentiels devient une atteinte juridique

A. Données confidentielles, secret des affaires ou données personnelles : quelle qualification ?

La première erreur consiste à traiter tous les fichiers envoyés à une IA de la même manière. Un contrat commercial, un plan industriel, une liste de clients, un cahier des charges, un prix négocié, un algorithme, une formule, un dossier d’acquisition ou une réclamation client peuvent relever de régimes différents. La réponse juridique dépend à la fois du contenu du fichier, de la personne qui y avait accès, de la finalité de l’envoi et des mesures de protection mises en place avant l’incident.

Le régime du secret des affaires constitue le point d’entrée naturel lorsque les documents ont une valeur économique et n’étaient pas destinés à être diffusés. L’article L. 151-1 du Code de commerce commence par cette formule : « Est protégée au titre du secret des affaires toute information répondant aux critères suivants ». Le texte exige ensuite trois éléments cumulatifs : l’information ne doit pas être généralement connue ou aisément accessible dans le secteur concerné ; elle doit présenter une valeur commerciale effective ou potentielle en raison de son caractère secret ; enfin, son détenteur doit avoir pris des mesures de protection raisonnables compte tenu des circonstances.

Cette dernière condition est décisive dans un dossier d’usage abusif de l’IA. Une information ne devient pas automatiquement un secret des affaires parce qu’elle est qualifiée de « confidentielle » dans un courriel. L’entreprise doit pouvoir montrer que les accès étaient limités, que les répertoires sensibles étaient identifiés, que les contrats contenaient une clause de confidentialité, que les salariés et prestataires avaient reçu des instructions et que l’usage d’outils externes était encadré. Une politique interne générale ne remplace pas toujours une règle claire sur les outils d’IA, mais elle peut constituer un commencement de preuve.

Le document peut aussi contenir des données à caractère personnel : coordonnées de clients, dossiers de salariés, candidatures, données de santé, pièces d’identité, échanges avec un patient ou informations relatives à un dirigeant. Dans ce cas, la protection du secret des affaires ne dispense pas d’examiner le RGPD. La notion de sous-traitant suppose que le prestataire traite les données pour le compte du responsable de traitement. La CNIL rappelle que le contrat de sous-traitance doit définir l’objet, la durée, la finalité du traitement et les obligations de sécurité. Il faut donc distinguer le sous-traitant informatique, le fournisseur de la solution d’IA et l’entreprise qui décide de la finalité du traitement.

Lorsque l’IA réutilise les documents pour son propre entraînement, sa conservation, son amélioration de service ou son partage avec un autre prestataire, la question n’est plus celle d’un simple traitement conforme aux instructions. L’article 122 de la loi Informatique et Libertés prévoit que « Les données à caractère personnel ne peuvent faire l’objet d’une opération de traitement de la part d’un sous-traitant, d’une personne agissant sous l’autorité du responsable du traitement ou de celle du sous-traitant, que sur instruction du responsable du traitement. » Le même article exige un contrat précisant les obligations de sécurité et de confidentialité. Une entreprise doit donc rechercher dans les conditions d’utilisation, l’accord de traitement des données, les journaux d’accès et les échanges commerciaux si le fournisseur était autorisé à conserver ou réutiliser les fichiers.

Il ne faut pas non plus confondre une fuite de données personnelles avec une atteinte au secret des affaires. Les deux qualifications peuvent se cumuler, mais elles n’obéissent pas aux mêmes conditions. Une base de prospects peut être protégée par le secret des affaires en raison de sa valeur commerciale ; elle peut aussi contenir des données personnelles qui déclenchent une analyse de risque RGPD. Un plan industriel sans donnée nominative peut relever du secret des affaires sans constituer une violation de données personnelles. Cette qualification séparée permet de choisir les bons interlocuteurs et de ne pas retarder une notification parce que l’analyse économique n’est pas terminée.

Le document a-t-il été seulement résumé, traduit ou converti en PDF ? Cela ne rend pas l’envoi neutre. Le traitement technique peut créer une copie, un historique, des journaux, des métadonnées ou une conservation sur plusieurs régions. Le risque doit être analysé à partir du flux complet : téléchargement, téléversement, stockage temporaire, transmission à un modèle, accès par le personnel du fournisseur, sous-traitance ultérieure, conservation des invites et suppression effective. La DGSI indique que l’évolution rapide de l’intelligence artificielle peut créer des failles de sécurité et des risques pour la souveraineté des entreprises ; elle invite à encadrer les conditions d’usage et à éviter les outils commerciaux lorsque l’usage professionnel implique des données sensibles.

Dans ce contexte, le détenteur doit conserver une fiche de qualification pour chaque famille de documents : description, propriétaire métier, valeur économique, niveau de confidentialité, personnes autorisées, durée de conservation, prestataire concerné et mesure de protection existante. Cette fiche servira à la fois à l’audit, à la mise en demeure, à la demande judiciaire et au calcul du préjudice. Elle évite aussi de demander au juge une interdiction générale et impraticable portant sur des informations qui ne sont pas toutes protégées.

B. Qui répond de la fuite : salarié, prestataire, fournisseur d’IA ou entreprise cliente ?

La responsabilité ne se déduit pas du seul intitulé de « sous-traitant ». Il faut reconstituer la chaîne des décisions. Qui a choisi l’outil d’IA ? Qui a autorisé le compte ? Qui a fourni les documents ? Le contrat interdisait-il les services externes ou la réutilisation des données ? Le prestataire avait-il reçu une instruction écrite ? Le fournisseur d’IA agissait-il comme simple hébergeur ou décidait-il de nouvelles finalités ? Les réponses déterminent les demandes à adresser à chacun.

Le contrat commercial demeure la première source de droits et d’obligations. L’article 1103 du Code civil dispose que « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits ». Il faut relire les clauses de confidentialité, de sécurité, de sous-traitance en cascade, d’audit, d’incident, de restitution, de suppression, de localisation des données, d’assurance et de limitation de responsabilité. Une clause ne doit pas être lue isolément : le cahier des charges, les annexes de sécurité, les procédures d’escalade et les instructions écrites peuvent compléter le contrat.

Le prestataire peut être responsable même si l’envoi a été réalisé par un salarié qui a désobéi. Tout dépend de la gravité de la consigne, de la formation, de la supervision et de la possibilité de bloquer techniquement l’usage de l’outil. Si plusieurs employés utilisaient régulièrement la même IA, si le sous-traitant en avait connaissance ou si la pratique répondait à un objectif de productivité fixé par le management, l’argument de la faute isolée devient moins convaincant. Le client devra alors demander les éléments de gouvernance et pas seulement le nom de l’utilisateur.

Le salarié, de son côté, peut avoir manqué à ses obligations professionnelles. L’article L. 1222-1 du Code du travail énonce que « Le contrat de travail est exécuté de bonne foi ». Cette règle ne permet pas une sanction automatique : l’employeur doit établir les faits, vérifier la règle applicable, respecter la procédure disciplinaire et tenir compte du niveau d’information du salarié. Une entreprise cliente ne doit pas organiser une audition improvisée ni demander la remise de données personnelles sans cadre. Elle doit préserver les journaux, faire constater les actions et coordonner la réponse avec le prestataire.

Le fournisseur d’IA peut être un responsable autonome pour certaines opérations et un sous-traitant pour d’autres. Cette qualification dépend de ce qu’il fait réellement des données et non de l’étiquette commerciale affichée dans ses conditions générales. La CNIL explique que le fournisseur d’un système d’IA peut avoir des rôles différents selon la finalité du traitement. Il faut donc demander une réponse écrite sur la conservation, l’entraînement, l’accès humain, la sous-traitance ultérieure, la localisation, la suppression et l’existence de copies de sauvegarde.

Pour les données personnelles, le responsable de traitement doit examiner rapidement s’il existe une violation au sens du RGPD. Une divulgation non autorisée à un outil public peut présenter un risque pour les personnes même si aucune publication sur Internet n’a été constatée. L’entreprise doit documenter son analyse, décider si une notification à la CNIL est nécessaire dans le délai applicable et, lorsque le risque est élevé, examiner l’information des personnes concernées. Le fournisseur ou le sous-traitant doit transmettre les éléments techniques dont le responsable a besoin ; son silence peut lui-même constituer un manquement contractuel.

Pour les données stratégiques, la DGSI recommande de signaler les faits suspects lorsqu’ils peuvent relever d’une ingérence économique. Son Flash Ingérence n°5 décrit, en termes anonymisés, des documents sensibles transmis à une IA grand public par les employés d’un prestataire et rappelle l’importance de l’encadrement des usages. Le signalement ne remplace ni la plainte ni la procédure civile ; il peut toutefois contribuer à sécuriser l’incident et à orienter l’entreprise si une captation étrangère ou une exfiltration paraît possible.

Enfin, la responsabilité peut être partagée. Une entreprise cliente qui transmet sans restriction des pièces à un prestataire, sans clause ni contrôle, ne perd pas automatiquement tout recours. Elle devra toutefois anticiper une discussion sur sa propre contribution au dommage et sur la prévisibilité de l’incident. Le dossier doit donc être rédigé avec précision : faits établis, faits reconnus par le prestataire, hypothèses encore à vérifier, mesures prises, conséquences déjà observées et demandes concrètes.

II. Données envoyées à une IA : que faire tout de suite et quels recours exercer ?

A. Les premières 24 heures : bloquer la diffusion, préserver la preuve et notifier

La réaction utile commence par une cellule restreinte réunissant la direction, le responsable informatique ou sécurité, le référent données personnelles, le responsable du contrat et le conseil juridique. Le nombre de participants doit rester limité : chaque personne supplémentaire qui reçoit les documents augmente le risque de diffusion. L’objectif des premières heures n’est pas de trouver immédiatement un responsable définitif, mais d’empêcher une nouvelle copie et de conserver la possibilité de le démontrer.

Il faut suspendre le compte utilisé, révoquer les jetons et les clés d’API, couper les connexions persistantes, désactiver les extensions et bloquer temporairement le domaine ou l’application si cela ne désorganise pas la collecte. Cette mesure doit être coordonnée avec le prestataire afin de ne pas effacer les journaux. Il faut demander au fournisseur d’IA de préserver les logs, les conversations, les fichiers, les métadonnées et les éventuelles copies de sauvegarde, puis de confirmer par écrit les mesures prises. Une demande de suppression immédiate sans demande de conservation de preuve peut rendre le dossier plus difficile à établir.

Les éléments à collecter sont notamment : la liste des fichiers transmis ; leur empreinte ou leur version ; la date et l’heure des envois ; l’identité et le compte de l’utilisateur ; les invites et les réponses ; les conditions contractuelles applicables à cette date ; les paramètres de conservation ; les journaux du poste de travail ; les traces du proxy ou de la passerelle ; les échanges avec le prestataire ; les alertes de sécurité ; la liste des personnes potentiellement concernées ; et les premiers coûts engagés. Les copies doivent être placées dans un espace à accès contrôlé, avec un journal des manipulations.

La mise en demeure au prestataire doit être précise. Elle peut demander la suspension de tout traitement, la préservation des preuves, l’identification des utilisateurs, la liste complète des fichiers, les destinataires et sous-traitants ultérieurs, la localisation des données, la durée de conservation, la confirmation de la suppression, l’interdiction de réutiliser les documents et la communication du rapport d’incident. Elle doit rappeler les clauses contractuelles et fixer un délai raisonnable, plus court si la diffusion se poursuit. Une formulation vague du type « supprimez toutes les données » ne permettra pas toujours de vérifier l’exécution.

Lorsque la divulgation porte sur un secret des affaires, l’article L. 151-4 du Code de commerce qualifie d’illicite l’obtention qui résulte notamment « d’un accès non autorisé à tout document […] ou d’une appropriation ou d’une copie non autorisée de ces éléments ». Si le salarié avait initialement accès au fichier pour sa mission, le débat pourra plutôt porter sur l’utilisation ou la divulgation. L’article L. 151-5 prévoit que « L’utilisation ou la divulgation d’un secret des affaires est illicite » lorsque le secret est obtenu dans les conditions visées par le texte ou utilisé en violation d’une obligation de ne pas divulguer ou de limiter son utilisation.

Le détenteur peut demander des mesures de cessation et de prévention. L’article L. 152-3 du Code de commerce permet à la juridiction de prescrire, « y compris sous astreinte, toute mesure proportionnée de nature à empêcher ou à faire cesser une telle atteinte ». Le texte vise notamment l’interdiction de poursuivre l’utilisation ou la divulgation et la destruction ou la remise des fichiers contenant le secret. La demande doit être calibrée : il est préférable d’identifier les comptes, fichiers, périodes et destinataires plutôt que de solliciter une interdiction techniquement impossible à contrôler.

Si le prestataire refuse de communiquer les informations nécessaires, l’entreprise peut envisager une mesure d’instruction avant tout procès. L’article 145 du Code de procédure civile dispose : « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées ». Une requête non contradictoire peut être envisagée si la surprise est indispensable et si le risque de disparition ou de modification des données est documenté ; le référé sera plus adapté lorsque le débat contradictoire ne compromet pas la preuve.

La Cour de cassation rappelle que le secret des affaires ne suffit pas à écarter automatiquement une mesure d’instruction. Dans son arrêt du 5 juin 2019, pourvoi n° 17-22.192, elle a jugé que la juridiction devait rechercher « de façon concrète » si la mesure permettait de concilier le droit à la preuve et le secret de l’autre entreprise. La décision est accessible sur Légifrance, Cour de cassation, chambre commerciale, 5 juin 2019, n° 17-22.192. Cette règle est importante pour une saisie de journaux : la demande doit prévoir un périmètre, un mot-clé, une période et une protection des éléments étrangers au litige.

Dans son arrêt du 5 février 2025, pourvoi n° 23-10.953, la chambre commerciale a rappelé que le droit à la preuve peut justifier la production d’éléments couverts par le secret des affaires si elle est indispensable et si l’atteinte est strictement proportionnée. La formule exacte de la Cour est la suivante : « le droit à la preuve peut justifier la production d’éléments couverts par le secret des affaires, à condition que cette production soit indispensable à son exercice et que l’atteinte soit strictement proportionnée au but poursuivi ». L’arrêt est publié sur Légifrance, Cour de cassation, chambre commerciale, 5 février 2025, n° 23-10.953. L’entreprise doit donc demander l’accès aux traces utiles, pas la remise indifférenciée de toute l’activité du prestataire.

Le juge des référés peut aussi prévenir un dommage imminent ou faire cesser un trouble manifestement illicite. L’article 835 du Code de procédure civile prévoit que le président du tribunal judiciaire peut « prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent ». Cette voie peut être utile pour obtenir une interdiction temporaire de traitement, une remise sous séquestre, la désignation d’un commissaire de justice ou la conservation de supports. Le demandeur doit néanmoins prouver l’urgence, le risque et la proportionnalité de la mesure.

Lorsque des données personnelles sont concernées, l’entreprise doit mener en parallèle l’analyse RGPD. Elle doit documenter la date de connaissance de l’incident, les catégories de personnes et de données, la probabilité d’un risque, les mesures de réduction du risque et la décision de notifier ou non la CNIL. Une notification n’est pas un aveu de responsabilité ; elle constitue une obligation d’analyse lorsqu’une violation est susceptible de présenter un risque pour les droits et libertés. La conservation d’une chronologie précise est essentielle, notamment pour expliquer les actions prises dans les premières heures.

La plainte pénale peut être examinée si les faits révèlent une soustraction, un accès frauduleux, une extorsion, une escroquerie, une corruption ou une captation organisée. Elle ne doit pas servir à dramatiser un simple défaut de procédure. Elle doit s’appuyer sur une chronologie, les éléments techniques disponibles et une description du préjudice. En cas de soupçon d’ingérence étrangère, le signalement à la DGSI peut compléter cette démarche. Les communications publiques doivent rester maîtrisées : publier le nom du prestataire ou le contenu des fichiers avant d’avoir sécurisé la preuve peut créer une nouvelle atteinte.

B. Indemnisation, mise en demeure et action contre le prestataire : comment construire le dossier ?

Une action efficace combine la cessation de l’atteinte et la réparation. L’article L. 152-1 du Code de commerce pose une règle directe : « Toute atteinte au secret des affaires telle que prévue aux articles L. 151-4 à L. 151-6 engage la responsabilité civile de son auteur ». Il faut donc rattacher les faits à une obtention, une utilisation ou une divulgation illicite et démontrer que l’information remplissait les critères de l’article L. 151-1. La mise en demeure et la procédure ne doivent pas se limiter à dire que le fichier était sensible ; elles doivent expliquer pourquoi il était protégé et quelle obligation a été violée.

Le contrat peut offrir un fondement complémentaire. L’entreprise doit comparer la valeur du préjudice avec les plafonds d’indemnisation, vérifier les exclusions d’assurance et rechercher les obligations qui échappent à la limitation en cas de faute lourde, de violation de confidentialité ou de manquement à la sécurité. La clause de notification d’incident peut prévoir un délai plus court que le droit commun. Si le prestataire a recours à un sous-traitant ultérieur, la chaîne contractuelle doit être produite. Une absence d’autorisation écrite, une localisation non prévue ou une réutilisation pour l’entraînement d’un modèle peuvent constituer des points de rupture.

Le préjudice ne se réduit pas au coût d’un audit. Il peut inclure la remédiation informatique, l’analyse forensique, l’information des clients, la notification, le remplacement d’un outil, le rappel d’un produit, la reprise d’un appel d’offres, la perte d’une négociation, la dégradation d’une relation commerciale, la perte d’une chance, l’atteinte à la réputation et le coût des mesures destinées à empêcher la récidive. Pour un secret industriel, il faut documenter les projets affectés, les investissements réalisés, les concurrents susceptibles d’avoir bénéficié de l’information et la durée pendant laquelle l’avantage peut être exploité.

L’article L. 152-6 du Code de commerce prévoit que la juridiction prend en considération « les conséquences économiques négatives de l’atteinte au secret des affaires », mais aussi le préjudice moral et les bénéfices réalisés par l’auteur, y compris certaines économies d’investissement. Le texte autorise également, à la demande de la partie lésée, une somme forfaitaire tenant notamment compte des droits qui auraient été dus si l’autorisation d’utiliser le secret avait été demandée. Cette option ne dispense pas de réunir les éléments qui permettent au juge de comprendre la valeur de l’information.

Le droit commun de l’inexécution peut être invoqué si le prestataire a manqué à une obligation de sécurité, de confidentialité, de conseil ou de restitution. L’article 1231-1 du Code civil prévoit que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution ». Il faudra établir le manquement, le dommage et le lien de causalité, puis répondre aux arguments de force majeure, de faute d’un salarié, de plafonnement ou de défaut de mesures de protection du client.

La prescription doit être surveillée. Les actions relatives à une atteinte au secret des affaires sont, selon l’article L. 152-2 du Code de commerce, prescrites par cinq ans à compter du jour où le détenteur légitime a connu ou aurait dû connaître le dernier fait qui en est la cause. Ce délai ne justifie pas d’attendre : les journaux sont parfois conservés quelques semaines, les comptes peuvent être supprimés et le fournisseur peut modifier ses conditions de service. La priorité pratique reste la conservation des éléments techniques et la cessation de la diffusion.

Les dossiers de preuve doivent aussi tenir compte de la procédure de séquestre. Dans son arrêt du 20 mars 2024, pourvoi n° 22-22.398, la Cour de cassation a rappelé : « La procédure prévue à l’article R. 153-1 du code de commerce a pour seul objet d’éviter, par une mesure de séquestre provisoire, que la communication ou la production d’une pièce, à l’occasion de l’exécution d’une mesure d’instruction ordonnée sur le fondement de l’article 145 du code de procédure civile, ne porte atteinte à un secret des affaires. » La décision complète figure sur Légifrance, Cour de cassation, chambre commerciale, 20 mars 2024, n° 22-22.398. Une entreprise saisie doit demander la protection des informations confidentielles dans le délai et la forme applicables ; une demande trop tardive peut entraîner la remise des pièces.

La Cour a précisé cette vigilance dans son arrêt du 14 mai 2025, pourvoi n° 23-23.897. Elle juge que, lorsqu’aucune demande de modification ou de rétractation de l’ordonnance n’a été présentée dans le délai d’un mois, le saisi n’est plus recevable à invoquer le secret des affaires pour s’opposer à la levée du séquestre et à la transmission des pièces. L’arrêt est consultable sur Légifrance, Cour de cassation, chambre commerciale, 14 mai 2025, n° 23-23.897. Cette solution concerne la procédure de séquestre visée par la décision ; elle ne signifie pas qu’un délai d’un mois régit toutes les actions en secret des affaires.

La stratégie dépendra ensuite de la poursuite ou non de l’atteinte. Si le fournisseur confirme une suppression vérifiable et si aucune donnée n’a quitté le périmètre contractuel, une négociation peut être ouverte autour des coûts de remédiation et des garanties futures. Si la réponse est incomplète, si les fichiers ont été réutilisés ou si le prestataire refuse de confirmer les destinataires, le référé et la mesure d’instruction deviennent plus utiles. Une expertise amiable peut préparer le dossier, mais elle ne doit pas remplacer une mesure judiciaire lorsque le prestataire contrôle seul les journaux.

Checklist de dossier à préparer :

• la chronologie horodatée de la découverte, des envois et des mesures de blocage ;
• les contrats, annexes de sécurité, instructions, politiques internes et formations ;
• la liste des documents, leur propriétaire, leur niveau de confidentialité et leur valeur ;
• les traces techniques, comptes, adresses, journaux, invites, réponses et copies ;
• les réponses du prestataire et du fournisseur d’IA sur la conservation, la réutilisation et la suppression ;
• l’analyse RGPD, la décision de notification et les informations communiquées aux personnes ;
• les devis, factures, pertes commerciales, appels d’offres, projets et coûts de sécurisation ;
• les demandes judiciaires envisagées, avec un périmètre de recherche et une protection des pièces étrangères au litige.

À Paris et en Île-de-France, la juridiction à saisir dépendra de la nature du litige, de la qualité des parties, de la clause attributive éventuelle, du siège du défendeur et de la mesure demandée. Le tribunal de commerce peut être compétent pour un litige entre commerçants ou relatif à un acte de commerce ; le tribunal judiciaire intervient dans les hypothèses relevant de sa compétence, notamment lorsque la demande ne relève pas du contentieux commercial. La compétence territoriale doit être vérifiée avant toute requête. Le dossier doit préciser si l’objectif est une interdiction de traitement, une mesure d’instruction, un séquestre, une restitution de fichiers ou une indemnisation au fond. Cette distinction évite de perdre du temps avec une demande adressée à la mauvaise juridiction.

Le lien avec la stratégie globale de protection de l’entreprise peut être approfondi dans la page consacrée au droit des affaires à Paris. Dans un incident d’IA, le travail juridique ne s’arrête pas à la récupération d’un fichier : il faut aussi vérifier la gouvernance, les contrats, les flux internationaux, les relations avec les clients et les conséquences sur les opérations en cours.

Besoin d’un avis rapide sur votre dossier.

Vous pouvez obtenir une consultation téléphonique en 48 heures avec un avocat du cabinet.

Nous vous aidons à qualifier la fuite, préserver les preuves et choisir la première démarche utile.

Le cabinet intervient à Paris et en Île-de-France. Appelez le 06 46 60 58 22 ou utilisez le formulaire de contact.

Conclusion

L’envoi de documents confidentiels à une IA par un salarié d’un sous-traitant doit être traité comme un incident juridique complet. L’entreprise doit qualifier séparément le secret des affaires, les données personnelles, les obligations contractuelles et les éventuelles infractions. Elle doit faire cesser les flux, conserver les traces, demander des réponses vérifiables et choisir rapidement entre mise en demeure, notification, référé, mesure d’instruction, plainte et action indemnitaire.

L’alerte de la DGSI montre que la menace peut naître d’un usage quotidien présenté comme anodin. La meilleure réponse combine des règles d’usage compréhensibles, des contrats précis, des restrictions techniques et une procédure d’incident testée. Après la crise, l’entreprise doit corriger les accès, les clauses et les contrôles afin de pouvoir démontrer, lors d’un prochain litige, que ses informations stratégiques faisaient l’objet de mesures de protection raisonnables.