De nouvelles lois sur la protection des données imposent des évaluations, et les équipes d’audit doivent en apporter la preuve

Chaque nouvelle loi sur la protection des données impose la production d’un document à fournir à la demande. Les seuils baissent, les définitions s’élargissent, de nouvelles évaluations apparaissent, et l’équipe conformité hérite d’un nouvel élément à prouver. Ce schéma se retrouve dans trois évolutions récentes, qui ensemble illustrent une fonction à qui l’on demande d’en faire plus avec les moyens existants.

La première évolution est une enquête de Sikich. Son enquête sur les priorités d’audit interne aux États-Unis pour 2026, publiée le 20 octobre 2026, révèle que 64 % des répondants disposent de budgets d’audit interne plus élevés et que 43 % prévoient d’augmenter les effectifs, mais 77 % incluent désormais des évaluations de l’IA dans leurs plans d’audit. La seconde concerne la législation des États. La loi modifiée du Delaware sur la protection des données entre en vigueur le 1er janvier 2027, avec des seuils abaissés et des règles élargies sur les données sensibles, tandis que les amendements du Connecticut sont déjà en vigueur depuis 2026. La troisième est une résolution conjointe des autorités canadiennes de protection de la vie privée sur l’IA responsable dans le domaine de la santé, qui exige des cadres de gouvernance et de responsabilité fondés sur des évaluations des risques.

Aucun de ces éléments ne concerne un incident isolé. Il s’agit de l’accumulation progressive d’obligations à documenter, et de la question de savoir qui vérifiera ces preuves. Cet article explique les exigences de chaque évolution, pourquoi elles convergent vers les mêmes éléments de preuve, et comment un Chief Compliance Officer, un Data Protection Officer ou un responsable de l’audit interne peut bâtir une seule piste d’audit qui répond à toutes. Il montre aussi comment l’échange sécurisé de données de Kiteworks soutient cette traçabilité pour les contenus sensibles, sans remplacer les évaluations qui relèvent de l’humain.

Résumé des points clés

1. Les obligations en matière de confidentialité convergent vers les évaluations et la documentation.

Le Delaware et le Connecticut imposent, et les régulateurs canadiens demandent, des évaluations des risques, des cadres de gouvernance et une documentation prête pour l’audit.

2. Le périmètre ne cesse de s’élargir.

Des seuils d’applicabilité plus bas et des définitions élargies des données sensibles intègrent davantage d’organisations dans des régimes jusque-là ignorés.

3. Les capacités d’audit n’évoluent pas au même rythme.

Sikich observe des budgets en hausse et une couverture accrue de l’IA, mais aussi que beaucoup d’organisations n’étendent pas encore l’assurance au-delà de la gouvernance et des contrôles de sécurité.

4. L’IA devient un sujet d’assurance.

Le Connecticut exige la divulgation de l’entraînement des grands modèles de langage, le Vermont l’imposera dès janvier 2028, et les régulateurs canadiens demandent des évaluations spécifiques à l’IA en continu.

5. Une seule piste de preuve vaut mieux que cinq.

Un registre unifié de qui a accédé à quoi, selon quelle politique, constitue l’élément commun à toutes les évaluations et audits exigés par ces régimes.

Ce que dit l’enquête Sikich, et ce qu’elle ne dit pas

L’enquête 2026 de Sikich sur les priorités d’audit interne aux États-Unis, publiée le 20 octobre 2026, indique que près des deux tiers des répondants (64 %) bénéficient d’un budget d’audit interne plus élevé et que plus de quatre sur dix (43 %) prévoient d’augmenter les effectifs. Elle précise aussi que plus de huit sur dix (82 %) font appel à des partenaires externes, et que 77 % incluent des évaluations de l’IA dans leurs plans d’audit. Selon la société, la gouvernance de l’IA, la protection des données et la cybersécurité deviennent des axes majeurs.

Deux réserves s’imposent. L’enquête émane d’un cabinet de conseil qui commercialise des services d’audit et de conseil, et le résumé publié ne mentionne pas la taille de l’échantillon. Les répondants sont des responsables d’audit interne issus de divers secteurs, donc les résultats reflètent la communauté de l’audit aux États-Unis, pas toutes les organisations.

Le point le plus utile pour les responsables conformité est discret. L’enquête indique que de nombreuses organisations n’étendent pas encore l’assurance au-delà de la gouvernance et des contrôles de sécurité. En pratique, cela signifie que les équipes d’audit vérifient l’existence des politiques et contrôles, et commencent seulement à tester la performance des systèmes d’IA et la solidité des décisions. Tester la performance et les résultats nécessite des preuves qu’un simple document de politique ne fournit pas, comme les journaux d’accès et de production du système.

C’est là que les chiffres de budget doivent être remis en perspective. Un budget plus important et davantage d’évaluations IA prévues ne suffisent pas à générer les preuves nécessaires. Si l’organisation ne peut pas démontrer à quelles données un outil d’IA a eu accès ou quel prestataire les a traitées, l’auditeur n’a rien à tester, quel que soit le financement de la fonction d’audit.

Le Delaware et le Connecticut élargissent le champ d’application

La législation des États sur la protection des données est devenue une cible mouvante. Selon un résumé de la House Bill 380 du Delaware par Morgan Lewis, les amendements entrent en vigueur le 1er janvier 2027. Le seuil d’applicabilité passe à 10 000 consommateurs dont les données sont contrôlées ou traitées, hors traitement uniquement destiné à une transaction de paiement, contre 35 000 auparavant. Le seuil pour les entreprises tirant plus de 20 % de leur chiffre d’affaires de la vente de données personnelles tombe à 5 000 consommateurs, contre 10 000.

Le périmètre des données sensibles s’élargit également. Le résumé précise que les informations couvertes incluent désormais l’origine nationale, certaines données de santé, les données neuronales, certaines informations de comptes financiers et les numéros d’identification délivrés par l’État. Un responsable de traitement ne peut généralement pas traiter de données sensibles sans le consentement du consommateur, et toute vente de données sensibles doit être strictement nécessaire à la fourniture d’un produit ou service demandé, avec conservation du consentement en général pendant cinq ans.

Deux autres évolutions sont importantes pour la preuve. Les responsables traitant les données personnelles de 50 000 consommateurs du Delaware ou plus et utilisant le profilage pour des décisions automatisées à effet juridique ou similaire doivent réaliser une évaluation d’impact. L’exemption au niveau de l’entité pour les institutions financières se restreint également. La nouvelle loi n’exempte que certaines institutions financières et leurs affiliés, ce qui oblige d’autres acteurs financiers à se conformer pour la première fois.

Le Connecticut a agi plus tôt. Le résumé de Foley and Lardner indique que des amendements majeurs sont entrés en vigueur le 1er juillet 2026. Le seuil de consommateurs est passé de 100 000 à 35 000, et les déclencheurs liés aux données sensibles et à la vente de données s’appliquent désormais quel que soit le volume. La tranche d’âge protégée pour les mineurs passe de 13-16 à 13-17 ans, avec une interdiction totale de la publicité ciblée et de la vente de données personnelles pour ce groupe.

Le Connecticut ajoute aussi une obligation de transparence sur l’IA et une nouvelle évaluation. Les mentions d’information doivent désormais indiquer si les données personnelles servent à entraîner des grands modèles de langage, et les responsables qui profilent à des fins de décisions à effet juridique doivent réaliser une évaluation d’impact spécifique pour les traitements créés ou générés à partir du 1er août 2026. Les consommateurs obtiennent aussi le droit de connaître la liste des tiers à qui leurs données ont été vendues.

On retrouve ce schéma dans les lois les plus récentes. La revue Morgan Lewis de quatre nouvelles lois d’État cite l’Alabama (entrée en vigueur le 1er mai 2027), la Louisiane et l’Oklahoma (toutes deux le 1er janvier 2027) et le Vermont (le 1er janvier 2028). Les délais de mise en conformité varient : 45 jours en Alabama, 30 jours en Louisiane et Oklahoma, 60 jours au Vermont. Le Vermont exigera aussi que les responsables précisent dans leur politique de confidentialité si les données personnelles servent à entraîner des grands modèles de langage.

Pour une équipe conformité, cela aboutit à un patchwork de seuils, de dates et de délais à suivre, avec un socle commun constitué d’évaluations documentées, de preuves de consentement et de contrôles sur les tiers. Chacun de ces éléments est une pièce que l’auditeur peut réclamer.

Les régulateurs canadiens inscrivent la gouvernance de l’IA dans les faits

La troisième évolution vient de l’extérieur des États-Unis, mais va dans la même direction. Les autorités fédérales, provinciales et territoriales canadiennes de protection de la vie privée ont adopté une résolution conjointe sur l’utilisation responsable de l’intelligence artificielle dans la santé et la recherche médicale. La résolution date du 15 septembre 2026, et la page du Commissariat à la protection de la vie privée mentionne une modification au 29 octobre 2026. Il s’agit d’une position commune et d’un appel à l’action, pas d’une loi.

La résolution invite les développeurs à adopter une approche privacy by design et fixe six principes. Les systèmes d’IA doivent protéger la vie privée, être valides et fiables, sûrs, respecter les droits humains, être transparents et responsables. Elle encourage les gouvernements à revoir, modifier ou adopter des lois pour que l’IA santé respecte ces principes, et à exiger des cadres de gouvernance et de responsabilité fondés sur des évaluations de risques solides.

Les détails pour les organisations sont instructifs. Les développeurs doivent réaliser des évaluations continues de la confidentialité, de la sécurité et des risques spécifiques à l’IA tout au long du cycle de vie de chaque système, et proposer des capacités d’audit et des tests réguliers en conditions réelles. Les prestataires de santé doivent tenir à jour un cadre de gestion des risques IA, gérer rigoureusement les contrats avec les tiers, y compris l’audit et la tenue des registres, former le personnel, prévenir l’utilisation non autorisée d’IA « fantôme », et garantir la supervision humaine et la vérification des résultats.

Bien que la résolution vise le secteur de la santé, sa structure est générale. Elle exige des évaluations, des cadres de gouvernance, des clauses contractuelles autorisant l’audit et des preuves de supervision humaine. Ce sont les mêmes éléments que ceux mis en avant par les lois américaines et l’enquête sur l’audit interne.

La convergence : évaluations, preuves et tiers

En mettant ces trois évolutions côte à côte, le recoupement saute aux yeux, et c’est le type de recoupement qu’un programme mature de gouvernance, gestion des risques et conformité est conçu pour absorber. Chacune exige d’évaluer un risque, de documenter le résultat et de prouver que le processus est répété et supervisé.

Le Delaware et le Connecticut exigent des évaluations d’impact pour le profilage et les décisions automatisées. Les régulateurs canadiens demandent des évaluations spécifiques à l’IA en continu. Sikich constate que les plans d’audit intègrent de plus en plus l’IA. Le point commun est qu’une évaluation n’a de valeur que si elle repose sur des faits, et ces faits résident dans les systèmes qui traitent les données.

Les tiers constituent le deuxième fil rouge. Le résumé du Delaware précise que le contrat doit permettre au responsable de traitement de prendre toutes les mesures raisonnables pour garantir que le tiers respecte ses obligations. La résolution canadienne exige que les contrats des prestataires couvrent l’audit et la tenue des registres. Le Connecticut accorde aux consommateurs le droit de connaître la liste des tiers à qui leurs données ont été vendues. Chacune de ces exigences impose à l’organisation de savoir quels prestataires ont manipulé quelles données, ce qui relève d’abord de la traçabilité avant d’être une question juridique.

Le troisième fil rouge est la transparence sur l’IA. Le Connecticut et le Vermont exigent que les politiques de confidentialité précisent si les données personnelles servent à entraîner des grands modèles de langage. Une mention d’information est une promesse, et le régulateur peut exiger la preuve que la promesse correspond à la réalité des systèmes. Une organisation incapable de démontrer quels jeux de données ont alimenté quels outils d’IA ne peut pas garantir l’exactitude de sa politique.

Pourquoi l’audit interne est sous pression

L’audit interne se trouve à la croisée de ces exigences. Il doit vérifier que les évaluations ont bien été réalisées, que les contrôles sur les prestataires fonctionnent et que les systèmes d’IA se comportent comme décrit. Les chiffres de Sikich montrent une fonction en croissance, mais l’augmentation des budgets ne résout pas le problème structurel : les preuves sont dispersées.

Prenons une question d’audit classique. Quels outils d’IA ont accédé aux données clients le trimestre dernier, via quels canaux et avec quelle validation ? Dans beaucoup d’organisations, la réponse nécessite d’assembler des preuves issues de la messagerie, du partage de fichiers, du transfert sécurisé de fichiers, des formulaires et des journaux applicatifs, chacun dans un format différent et géré par une équipe distincte. L’auditeur passe l’essentiel de la mission à collecter les preuves, au détriment de leur analyse.

Ce coût pèse sur les deux parties. L’équipe conformité consacre des semaines à répondre aux demandes, et la fonction d’audit signale des lacunes documentaires plutôt que d’évaluer l’efficacité des contrôles. Résultat : l’assurance reste centrée sur la gouvernance et la sécurité, car des tests plus poussés nécessitent des données difficiles à obtenir, comme le décrit Sikich.

Le rapport annuel Kiteworks Data Security and Compliance Risk 2026 pointe la même tension. Dans cette enquête déclarative auprès de prestataires, 63 % des 459 répondants ont subi une conséquence liée à la conformité, comme un constat d’audit, un plan de remédiation, une remontée au conseil d’administration, une pénalité contractuelle ou une enquête réglementaire. L’échantillon est auto-déclaré et couvre plusieurs régions et secteurs, donc il s’agit d’un signal sur les conséquences en matière de conformité, pas d’une mesure d’une loi en particulier.

Construire une seule piste de preuve

La réponse efficace à la convergence des obligations consiste à bâtir une seule piste de preuve qui alimente chaque évaluation, audit et demande du régulateur. Cinq éléments la rendent possible.

Le premier est un inventaire des flux de données sensibles. Identifiez où les données réglementées et sensibles entrent, circulent et sortent, y compris via la messagerie, le partage de fichiers, SFTP, le transfert sécurisé de fichiers, les formulaires et les API. C’est la base de toute analyse de seuil légale et de toute évaluation IA, et c’est la même discipline qui fonde le zero trust data protection. Un flux de données non recensé est un flux que personne ne peut évaluer, et l’auditeur le repérera en premier.

Le deuxième est une traçabilité cohérente des accès et des partages. Pour chaque flux, consignez qui a accédé à quel contenu, quand, via quel canal et selon quelle politique. Un journal d’audit unifié sur tous les canaux transforme une reconstitution de plusieurs semaines en un reporting. L’échange sécurisé de données de Kiteworks fournit cette traçabilité pour les contenus qui transitent par la plateforme, avec des clés de chiffrement contrôlées par le client et un moteur de politique unique sur tous les canaux.

Le troisième est un registre des tiers qui relie les prestataires aux données. Pour chaque prestataire recevant des données sensibles, consignez les clauses contractuelles sur l’audit et la tenue des registres, les catégories de données partagées et la date du dernier contrôle. Cela répond aux exigences contractuelles du Delaware et aux attentes canadiennes en matière de gestion rigoureuse des contrats, et alimente la gestion des risques liés aux tiers et la gestion des risques supply chain. Ajoutez les sous-traitants des prestataires lorsque le contrat le permet, car c’est souvent à ce niveau que la traçabilité se perd.

Le quatrième est une bibliothèque d’évaluations. Centralisez les analyses d’impact sur la vie privée, les évaluations d’impact du profilage et les évaluations spécifiques à l’IA, chacune reliée aux preuves qui les étayent. Une analyse d’impact sur la vie privée qui ne peut pas justifier ses sources est difficile à défendre.

Le cinquième est une politique d’accès à l’IA. Précisez quels outils d’IA peuvent accéder à quelles catégories de données, comment l’accès est limité aux autorisations de l’utilisateur habilité, et comment l’activité est journalisée. Ce contrôle permet de garantir la véracité de la mention d’information sur l’entraînement IA, et soutient la gouvernance des données IA au sens large. Kiteworks compliant AI applique les mêmes règles d’accès et de journalisation lors d’un accès IA, de sorte que la traçabilité d’une interaction IA est identique à celle d’une interaction humaine.

Que faire dans les 90 prochains jours ?

Commencez par les lois qui entrent en vigueur le plus tôt. Les amendements du Delaware, ainsi que les nouvelles lois de Louisiane et d’Oklahoma, s’appliquent à partir du 1er janvier 2027, donc c’est au premier trimestre que les nouveaux seuils s’appliqueront. Profitez des 90 prochains jours pour vérifier si votre organisation est concernée, et considérez les lois américaines sur la protection des données comme un programme unique avec un appendice par État.

Puis, testez la traçabilité. Choisissez un jeu de données réglementé et mesurez le temps nécessaire pour obtenir une vue consolidée des accès sur le dernier trimestre. Si la réponse se compte en jours ou semaines, le problème est structurel et ne se résoudra pas par plus d’heures d’audit.

Ensuite, alignez audit et conformité. Définissez qui est responsable de chaque évaluation, où se trouvent les preuves et comment les demandes sont traitées. Le partage de la traçabilité évite que les deux fonctions collectent deux fois les mêmes éléments.

N’oubliez pas l’aspect humain. Formez les équipes qui gèrent les évaluations et les demandes d’accès afin que les preuves soient créées au moment de la décision, et non reconstruites a posteriori. Un justificatif rédigé le jour même a bien plus de valeur pour l’auditeur qu’un document reconstitué un an plus tard à partir de souvenirs ou d’e-mails.

Enfin, informez le conseil d’administration avec des preuves. Une synthèse d’une page sur les évolutions réglementaires, les évaluations réalisées, les prestataires contrôlés et les exceptions en cours sera plus parlante qu’un simple décompte de politiques. La question du conseil est de savoir si l’organisation maîtrise la situation, et la réponse doit s’appuyer sur des preuves.

Pour en savoir plus sur la construction d’une piste de preuve unique pour vos évaluations de confidentialité et demandes d’audit, réservez votre démo personnalisée dès aujourd’hui.

Ressources complémentaires

• Article de blog La bataille autour de vos données : comment les lois CLOUD et SHIELD opposent sécurité et confidentialité
• Article de blog Sécuriser les données sensibles en alignant le DSPM sur vos objectifs de conformité
• Brief Top 3 des violations FERPA et comment les éviter
• Article de blog Executive Order 14117 : protéger les données personnelles sensibles des Américains
• Article de blog Besoin de conformité NIS2 ? Commencez par l’ISO 27001