Il est déjà assez difficile de trouver des talents qualifiés en cybersécurité, mais face à la multiplication des réglementations en matière de conformité visant à protéger les données des consommateurs, de plus en plus d’organisations prennent conscience qu’elles ont besoin de professionnels compétents dans un autre domaine essentiel : la protection des données dans le cadre de la loi « » ().
Dans son cinquième rapport annuel intitulé « État de la protection de la vie privée » ( ) , l’ISACA a constaté que les organisations comprennent l’importance de la protection des données : celle-ci contribue à réduire les violations de données et aide à renforcer à la fois la réputation de la marque et la confiance des consommateurs. Toutefois, le rapport a également révélé que l'obstacle le plus courant auquel se heurtent les programmes de protection de la vie privée réside dans la complexité du cadre juridique et réglementaire. À cela s'ajoute le défi supplémentaire posé par le fait que les équipes s'appuient sur des outils d'IA « » pour partager et protéger leurs données.
Malgré le rôle important que les services chargés de la protection de la vie privée peuvent jouer dans la protection des données des consommateurs, leurs effectifs n'augmentent pas — ils ont même légèrement diminué.
« Je pense que ce qui m’a le plus surprise, c’est que cette année, l’effectif médian des équipes chargées de la protection de la vie privée était légèrement inférieur, soit huit personnes cette année contre neuf [l’année précédente] », a déclaré Safia Kazi, responsable des pratiques professionnelles en matière de protection de la vie privée à l’ISACA, lors d’un récent entretien consacré au rapport de l’ISACA sur la protection de la vie privée. Ce n'est certes pas une chute spectaculaire, mais ce sont justement ces légères fluctuations de l'aiguille, à la hausse comme à la baisse, qu'elle surveille afin de mieux anticiper les tendances à long terme.
«Nous constatons que de plus en plus de personnes utilisent l’IA pour des tâches liées à la protection de la vie privée. »Safia Kazi, responsable des pratiques professionnelles en matière de protection de la vie privée, ISACA
D'un autre côté, a ajouté M. Kazi, la nouvelle concernant le manque de personnel, bien que surprenante, n'a pas été perçue aussi négativement par les personnes interrogées que l'année dernière. Une théorie pour expliquer pourquoi ? « Nous constatons que de plus en plus de personnes utilisent l'IA pour des tâches liées à la protection de la vie privée », a-t-elle déclaré.
Anciennement connue sous le nom d'« Information Systems Audit and Control Association », l'ISACA est une association professionnelle internationale à but non lucratif et un acteur de premier plan dans le domaine de la certification et de la formation en informatique, dont la mission est de promouvoir la confiance dans le numérique. Le rapport « L'état de la protection des données », qui s'appuie sur une enquête menée auprès de plus de 1 600 responsables de la sécurité, cadres et autres professionnels de l'informatique du monde entier, a abordé un large éventail de sujets. Le programme « Focal Point » et Kazi se sont concentrés sur cinq domaines clés :
1. Obtenir l'adhésion du conseil d'administration en matière de protection des données
Point de vue du conseil d'administration sur les programmes de protection de la vie privée Pensez-vous que votre conseil d'administration considère le programme de protection de la vie privée de votre entreprise comme :
Source : Rapport « 2025 » de l’ISACA sur l’état de la protection de la vie privée
L'adhésion du conseil d'administration de toute organisation à la protection des données est essentielle pour atteindre les objectifs de l'équipe chargée de la protection de la vie privée. Selon ce rapport, les conseils d'administration soutiennent les initiatives en matière de protection de la vie privée : 57 % des personnes interrogées déclarent bénéficier d'un soutien adéquat et 74 % affirment que les objectifs en matière de protection de la vie privée s'alignent sur les objectifs commerciaux, des chiffres qui n'ont guère évolué par rapport aux chiffres de 2023 .
«Les entreprises axées sur l’éthique se sentaient davantage en mesure de se conformer aux nouvelles lois et réglementations [que] celles qui étaient uniquement motivées par la conformité. »Kazi
Cependant, la plupart de ces conseils d'administration soutiennent la protection des données en raison des exigences de conformité de la loi « » (), et non parce qu'ils y voient une valeur ajoutée.
« Idéalement, j’espère toutefois que les organisations commenceront à s’interroger davantage sur l’importance de la protection des données », a déclaré M. Kazi. « Il est intéressant de noter que nous avons constaté que les entreprises dont l’approche était purement axée sur la conformité n’étaient en réalité pas plus confiantes dans leur capacité à se conformer. » « Nous avons constaté que les personnes ayant une sensibilité éthique se sentaient davantage en mesure de se conformer aux nouvelles lois et réglementations. »
Les organisations qui ont tendance à privilégier une approche éthique prennent des mesures pour évaluer et analyser leurs pratiques en matière de données, en tenant compte de l'impact négatif que toute utilisation abusive pourrait avoir sur leurs clients et leurs salariés. C'est prendre conscience des conséquences concrètes qui peuvent survenir si les organisations ne protègent pas suffisamment leurs données.
2. Budgets consacrés à la protection des données : la tendance est à la baisse
Évolution du budget consacré à la protection de la vie privée Comment le budget consacré à la protection de la vie privée de votre organisation va-t-il évoluer au cours des 12 prochains mois ?
Source : Rapport « 2025 » de l'ISACA sur l'état de la protection de la vie privée
En 2022 et 2023, les personnes interrogées s'attendaient à une augmentation des budgets consacrés à la protection de la vie privée, mais en 2024 et, selon les prévisions pour 2025, on s'attend à ce que les fonds alloués à la protection des données diminuent. M. Kazi a reconnu que cela avait surpris les chercheurs de l'ISACA, notamment le fait qu'une si grande partie des 2024 personnes interrogées (51 %) s'attendaient à une baisse. Autrefois, ce chiffre avoisinait les 12 %.
Ce qui préoccupe M. Kazi, c'est que les craintes concernant la réduction du budget n'étaient pas infondées. En réponse à cela, l'ISACA a ajouté cette année une nouvelle question à l'enquête, demandant des précisions sur le budget consacré à la protection de la vie privée par les personnes interrogées au cours des 12 derniers mois. La réalité n'a pas confirmé ces prévisions, puisque seuls 10 % ont déclaré que leur budget avait effectivement diminué. Mais cela pourrait n'être qu'une réalité à court terme.
[Read also: A guide to cybersecurity budgets in 2025]
L'étude de l'ISACA sur la cybersécurité n'a pas abouti à des résultats similaires en ce qui concerne la question budgétaire. « Cela m’amène à penser que certaines équipes d’entreprise, qui sont déjà confrontées à des problèmes de ressources, pourraient voir leur personnel chargé de la sécurité se voir confier des responsabilités liées à la protection de la vie privée », a déclaré M. Kazi. « Le fait que les entreprises considèrent que la mise en place d’un programme de protection de la vie privée mobilise davantage de ressources que son maintien. » « Et dès qu’ils constatent qu’ils respectent les exigences réglementaires, ils peuvent procéder à des réductions. »
3. Conformité en matière de protection des données : les conseils d'experts et les outils font la différence
Confiance dans la capacité à garantir la confidentialité des données et à assurer la conformité Dans quelle mesure avez-vous confiance dans la capacité de l'équipe chargée de la protection de la vie privée au sein de votre organisation à garantir la confidentialité des données et à assurer la conformité aux nouvelles lois et réglementations en matière de protection de la vie privée ?
Source : Rapport « 2025 » de l’ISACA sur l’état de la protection de la vie privée
La conformité a une influence considérable sur le programme de protection des données d'une entreprise. Si cela n'apparaissait pas clairement dans les commentaires de Kazi, sachez que 82 % des personnes interrogées ont recours à un cadre de conformité pour mettre en place leur programme de protection des données, et que la plupart s'appuient sur les conseils d'experts juridiques pour s'assurer que l'entreprise continue de respecter les normes de conformité .
«Il est essentiel, pour garantir la conformité, d’organiser régulièrement des réunions avec des professionnels du droit et de la conformité qui sont mieux informés de l’actualité en matière d’application de la réglementation. »Kazi
« Il est absolument essentiel de se réunir avec les équipes juridiques et de conformité, car dès qu’une loi ou un règlement est adopté, de nouvelles mesures d’application sont mises en œuvre chaque année », a déclaré M. Kazi. « Il est essentiel, pour garantir la conformité, d’organiser régulièrement des réunions avec des professionnels du droit et de la conformité qui sont mieux informés de l’actualité en matière d’application de la réglementation. »
Toutefois, M. Kazi a déclaré que les organisations devraient également tirer parti des outils disponibles pour faciliter la gestion des données, car ceux-ci peuvent contribuer à garantir la conformité de l'entreprise. « Je pense sincèrement qu’investir dans de bonnes pratiques de gestion des données vous permettra d’obtenir un excellent retour sur investissement. »
4. L'utilisation de l'IA au service de la protection des données
Projets d'utilisation de l'IA Quels sont les projets de votre organisation concernant l'utilisation de l'IA (bots ou apprentissage automatique) pour effectuer des tâches liées à la protection de la vie privée ?
Source : Rapport « 2025 » de l’ISACA sur l’état de la protection de la vie privée
Il est impossible aujourd’hui d’aborder un sujet quelconque sans tenir compte de l’impact de l’IA. Les professionnels de la protection de la vie privée s'intéressent de plus en plus à l'utilisation de l'IA, pas nécessairement de l'IA générative, mais de l'IA et de l'apprentissage automatique (IA/ML), maintenant que l'apprentissage automatique est de plus en plus utilisé dans les outils de cybersécurité ainsi que dans les outils de gestion et de surveillance des données.
Alors que l'utilisation de l'IA générative se généralise au sein des organisations, M. Kazi estime que cela posera un défi de taille aux professionnels de la protection de la vie privée.
« Les organisations se précipitent pour adopter cette nouvelle technologie sans procéder à des analyses d’impact sur la vie privée ni à des évaluations des risques liés à la vie privée », a déclaré M. Kazi. « Les spécialistes de la protection de la vie privée se demandent : "Comment pouvons-nous faire en sorte que l'utilisation de cette technologie s'aligne sur nos autres objectifs en matière de protection de la vie privée ?" » « Je pense qu’à terme, une grande partie de la gouvernance de l’IA et des tâches liées à l’éthique de l’ incombera aux professionnels de la protection de la vie privée. »
5. La protection de la vie privée dès la conception : c'est une question d'éthique
Fréquence de mise en œuvre du « Privacy by Design » À quelle fréquence votre entreprise met-elle en œuvre le « Privacy by Design » ?
Source : Rapport « 2025 » de l’ISACA sur l’état de la protection de la vie privée
L'ISACA définit la « protection de la vie privée dès la conception » comme « l'intégration de la protection de la vie privée dans l'ensemble du processus d'ingénierie [et] un élément essentiel pour garantir que les nouveaux produits et services puissent répondre aux objectifs en matière de protection de la vie privée ». Les deux tiers des personnes interrogées ont déclaré appliquer le principe de « protection de la vie privée dès la conception » lors du développement de nouvelles applications. Et elles ont certainement raison d’agir ainsi, compte tenu des nouveaux cadres réglementaires tels que la loi européenne sur l’IA ( ), qui promeut une approche de « protection de la vie privée dès la conception ».
« Je pense qu’une grande partie des personnes ayant répondu à notre enquête comprennent l’importance de la protection de la vie privée dès la conception », a déclaré M. Kazi. « Cela peut toutefois s'avérer assez exigeant en termes de ressources, car cela implique que les spécialistes de la protection de la vie privée doivent être associés aux projets de développement dès le début. » « Je pense qu’il est tout à fait compréhensible que certaines entreprises affirment simplement qu’elles ne peuvent pas appliquer le principe de « protection de la vie privée dès la conception » dans chaque projet, et qu’elles doivent donc établir des priorités. »
Les budgets et la conformité sont certes indispensables pour mettre en place un bon programme de protection des données, mais Mme Kazi a ajouté un élément supplémentaire qu’elle souhaite que les lecteurs retiennent de ce rapport : pourquoi les questions éthiques liées à la protection des données revêtent une telle importance.
« Les lois et les réglementations évoluent bien plus lentement que la technologie », a déclaré M. Kazi. Cela signifie que les acteurs du secteur technologique doivent désormais accorder la priorité à l'éthique en matière de données afin de protéger la vie privée des consommateurs.
