L’Épure du numérique — n° 2 : la protection se joue dans les usages

Édito Donner aux acteurs concernés les moyens d’agir

Un salarié doit vérifier une réponse générée par une intelligence artificielle. Un établissement de santé doit limiter l’accès aux dossiers de ses patients. Une personne visée par des publications malveillantes doit réunir les éléments qui lui permettront d’agir. Dans chacune de ces situations, l’exercice d’une responsabilité ou d’un droit dépend de moyens très concrets : du temps, des accès maîtrisés, des informations disponibles, des preuves conservées.

Les textes et les décisions réunis ce mois-ci invitent à regarder de près ces conditions. Lorsqu’une entreprise compte sur l’IA pour réorganiser le travail, quelle place laisse-t-elle à la vérification humaine ? Lorsqu’un professionnel de santé a accès à un dossier médical, jusqu’où peut-il aller ? Lorsqu’un paiement est contesté, qui peut établir les instructions reçues ?

Ces questions traversent plusieurs branches du droit. Elles concernent les organisations qui choisissent les outils, les professionnels qui les utilisent et les personnes qui en subissent les effets.

Le fil conducteur de cette édition est donc celui de l’effectivité : comment traduire un droit ou une obligation dans le fonctionnement quotidien d’un service, d’une équipe ou d’un recours ?

Me Fatima Ghilassene, avocate au barreau de Lille

1 · Le législateur Cyberrésilience : organiser la chaîne d’alerte et de responsabilité

Pour les fabricants, les éditeurs de logiciels, les fournisseurs de composants et les prestataires de maintenance.

Le législateur européen trace l’épure d’une démarche collective de cyberrésilience : l’information détenue par un fabricant doit permettre de protéger les utilisateurs et d’anticiper les répercussions sur d’autres produits intégrant les mêmes composants.

Pour les fabricants, cette démarche se traduit déjà, depuis le 11 septembre 2026, par une obligation de signalement des vulnérabilités activement exploitées et des incidents graves affectant la sécurité de leurs produits. Une alerte précoce doit être transmise dans les vingt-quatre heures suivant leur connaissance, puis complétée dans les soixante-douze heures.

L’efficacité de ce dispositif suppose d’encadrer dès maintenant la chaîne d’alerte et les responsabilités. Lorsqu’un développeur, un fournisseur de composants ou un prestataire de maintenance découvre une exploitation malveillante, l’information doit parvenir rapidement au fabricant. Les contrats doivent organiser cette remontée, préciser les délais de transmission, les interlocuteurs, les obligations de coopération et la conservation des preuves. Cette organisation permet d’anticiper l’incident et les éventuels recours entre les acteurs, tout en donnant au fabricant les moyens de respecter ses propres obligations.

Le régime d’amendes du règlement s’appliquera à partir du 11 décembre 2027. Dans l’intervalle, un défaut de signalement pourrait déjà être invoqué dans une action en responsabilité s’il contribue à un dommage, sous réserve d’établir les conditions de cette responsabilité.

2 · Le juge Trois décisions sur ce qu’il faut pouvoir montrer

Pour les directions, les responsables des ressources humaines, les équipes de communication, les auteurs et toute organisation exposée à une fraude au paiement.

Déployer l’IA : qui mesure le travail qu’elle laisse aux salariés ?

Quelques secondes peuvent suffire à produire un texte. Pour qu’il soit utilisable, il faut parfois reprendre le dossier, vérifier les références, corriger les erreurs et arbitrer entre plusieurs réponses. Ce temps de contrôle mérite d’entrer dans le calcul des gains attendus.

Le 15 septembre 2026, le juge des référés du tribunal judiciaire de Créteil a suspendu la réorganisation d’une entreprise de presse et le projet de licenciement collectif qui en découlait. Le projet reposait sur le déploiement d’un outil d’intelligence artificielle appelé à reprendre une part importante des tâches des secrétaires de rédaction.

Le juge relève une évaluation insuffisamment confrontée aux situations réelles de travail et des lacunes dans la prévention des risques professionnels. La suspension doit permettre la réalisation de tests en situation réelle et de numéros zéro, puis, si nécessaire, la réévaluation des charges de travail. Une tâche automatisée peut déplacer du travail vers un autre poste ; une formation à l’outil ne résout pas ce transfert si le temps de contrôle demeure absent des objectifs.

Un texte publié sur Facebook peut rester une œuvre protégée

Une enseignante publie sur Facebook un texte de vingt-deux lignes. Un journal le reproduit intégralement sans son accord préalable. Cette situation conduit la Cour de justice de l’Union européenne à préciser, le 3 septembre 2026, les conditions de protection et de reprise d’un texte publié sur un réseau social.

Sa brièveté et son accessibilité en ligne n’excluent pas le droit d’auteur. Encore l’écriture doit-elle exprimer une création intellectuelle originale. Lorsque le texte est protégé, la reprise suppose ensuite un fondement : accord, licence ou exception applicable.

Une réserve vise directement les publications brèves. La Cour envisage l’hypothèse d’un texte très court dont l’utilisation d’extraits s’avère impossible ; hors ce cas, la reproduction intégrale est susceptible de porter atteinte à l’exploitation normale de l’œuvre. Pour un texte de quelques lignes, la question de savoir si l’extraction est praticable devient donc déterminante.

Faux RIB : qui doit prouver que le virement a été autorisé ?

Après un changement frauduleux de coordonnées bancaires, le contentieux exige de reconstituer les instructions de paiement. Quel compte bénéficiaire avait été désigné ? Quel ordre avait été transmis ? Selon quelle forme l’autorisation devait-elle être donnée ?

Dans un arrêt du 9 septembre 2026, publié au Bulletin, la Cour de cassation juge que la preuve de l’autorisation du paiement, dans la forme convenue entre les parties, incombe au prestataire de services de paiement. Elle censure une décision qui avait fait supporter cette charge au client.

La cassation est partielle, et c’est là que la décision est la plus instructive. Deux virements avaient été détournés ; le rejet est confirmé pour le premier, exécuté conformément à l’identifiant unique fourni par le payeur lui-même, et la censure ne porte que sur le second, dont la demande de paiement était accompagnée d’une facture mentionnant le véritable compte du bénéficiaire.

3 · Le régulateur Un seul compte ne devrait pas ouvrir toutes les portes

Pour les établissements de santé, leurs directions et les responsables de la sécurité des données.

Un identifiant compromis peut avoir des conséquences très différentes selon les droits qui lui sont attachés. Dans l’affaire de l’Hôpital privé de la Loire, l’insuffisance du cloisonnement des dossiers a contribué à l’ampleur de la violation de données.

La CNIL a prononcé une sanction de 500 000 euros par une délibération du 21 juillet 2026, publiée le 3 septembre. Elle relève des défauts de sécurisation des accès, d’habilitation et de détection des activités anormales. Elle sanctionne également l’absence d’information directe des personnes désignées comme tiers de confiance, elles aussi touchées par la violation.

Trois injonctions accompagnent l’amende, sous astreinte de 1 000 euros par jour de retard : la mise en place d’une analyse des journaux en temps réel ou à très court terme sous trois mois, la refonte de la politique d’habilitations au regard de la notion d’équipe de soins sous quinze mois, et la soumission des accès de l’éditeur du logiciel à une autorisation préalable sous trois mois.

Vérifier qui se connecte ne dit rien de ce que cette personne peut consulter. Pour les établissements, la mise en conformité suppose de relier les droits aux besoins de prise en charge, d’encadrer les interventions des prestataires et d’organiser le traitement des alertes.

4 · La pratique Ce que ces décisions demandent de préparer

Quatre points se vérifient ce mois-ci, dans des organisations de toutes tailles.

• Les délais de signalement se comptent en heures et ne se découvrent pas le jour venu. Plusieurs régimes coexistent désormais, avec des points de départ distincts : vingt-quatre heures pour une vulnérabilité activement exploitée, soixante-douze heures pour une violation de données personnelles, et des délais propres à certains secteurs. Une cartographie unique, tenue à jour, évite d’avoir à les reconstituer pendant l’incident.
• Le périmètre d’un accès se vérifie en posant l’hypothèse de sa compromission. La question n’est pas de savoir si l’utilisateur est légitime, mais jusqu’où son compte mène si quelqu’un d’autre s’en sert.
• Les pièces qui seront demandées en preuve se déterminent avant le litige. Un ordre de paiement, une facture jointe, la trace d’une validation : des documents ordinaires dont la conservation décide de l’issue, et qu’aucune procédure n’impose spontanément de garder.
• Le temps de contrôle d’une production automatisée se mesure avant d’être retiré des effectifs. Un gain calculé sur la production seule ignore la vérification qu’elle appelle.

5 · La cote manquante Entre le compte visible et la personne

Un contenu peut être conservé, signalé et juridiquement qualifié alors que son auteur demeure inconnu. L’article 145 du code de procédure civile a été écrit pour cette difficulté : il permet de solliciter, avant tout procès, une mesure d’instruction lorsqu’il existe un motif légitime de conserver ou d’établir la preuve de faits dont pourrait dépendre la solution d’un litige.

Le 7 septembre 2026, le juge des référés du tribunal judiciaire de Paris a ordonné à Meta de communiquer des données permettant d’identifier les titulaires de comptes Threads. La mesure est encadrée par son utilité, sa proportionnalité et les données effectivement détenues ; certaines informations demandées sont écartées. L’accès aux données de connexion suppose en outre une condition souvent manquée : les faits doivent relever de la criminalité ou de la délinquance grave, condition que le juge caractérise ici par les peines encourues.

Ce que le texte n’atteint pas se laisse décrire avec précision. Il n’atteint pas ce que la plateforme ne détient pas, puisque la loi ne lui impose de conserver qu’une liste déterminée de données. Il n’atteint pas davantage l’écart entre le titulaire déclaré d’un compte et la personne qui a matériellement publié : un compte peut être partagé, usurpé ou créé avec des informations inexactes. Cet écart n’est ni une exclusion voulue, ni un seuil, ni un calendrier qui n’aurait pas commencé : c’est un objet que la mesure d’instruction n’a pas été conçue pour saisir.

Aucune ligne ne peut être tirée d’un seul trait entre le compte visible et la personne dont la responsabilité sera recherchée. Ce lien se construit par rapprochement — contenus conservés, horodatages, échanges, constats — et la mesure d’identification en est le point de départ, non le terme.