Sur le terrain, c’est une scène que je vois se répéter, le saas est il en sécuriťé.
Une entreprise a fait ce qu’il fallait. Antivirus à jour. Pare-feu configuré. Sauvegardes testées. Double authentification activée. Collaborateurs sensibilisés au phishing.
Et puis un matin, l’incident arrive.
Sauf qu’il ne vient pas de chez elle.
Il vient d’un éditeur SaaS compromis. D’un hébergeur qui tombe. D’un prestataire qui manipule mal un fichier client. Voire d’un « Cédric » qui lance un faux test de phishing pour voir qui mord. Ou d’une plateforme d’IA qu’un salarié a nourrie sans le dire à personne. Ou d’un courrier administratif auquel le service RH a répondu trop vite, sans rien vérifier.
Dans tous ces cas, l’entreprise a verrouillé sa porte. Mais elle avait distribué les doubles de ses clés sans en tenir le registre.
C’est exactement ça, le sujet du TPRM, le « Third-Party Risk Management », c’est-à-dire la gestion des risques liés aux tiers. On l’appelle parfois autrement, gestion des processus critiques cyber des sous-traitants par exemple, mais le fond ne bouge pas.
Vous avez une porte blindée. Mais combien de doubles de clés circulent dehors ?
Quand une organisation investit dans la cybersécurité, elle pense à elle-même. À son périmètre. À ses murs.
Le problème, c’est que ses données ne vivent plus derrière ses murs.
Elles vivent dans le CRM en ligne, dans la plateforme RH hébergée on ne sait où, dans l’outil de signature électronique, dans l’assistant IA branché sur la base documentaire, chez l’expert-comptable, chez le cabinet de recrutement, chez le sous-traitant du sous-traitant, et ainsi de suite.
Autrement dit : chez des tiers.
Et c’est là que tout se joue. Les incidents les plus coûteux d’aujourd’hui ne sont presque jamais des défaillances internes. Ce sont des défaillances extérieures que l’organisation n’avait ni évaluées, ni surveillées, ni même cartographiées.
C’est précisément pour ça que les directions, les DSI et les RSSI s’y intéressent de plus en plus.
Le TPRM, ce n’est pas seulement « gérer ses fournisseurs »
C’est l’erreur de cadrage la plus fréquente : réduire le TPRM à une liste de prestataires dans un tableur.
Le TPRM, c’est identifier, évaluer et surveiller dans la durée tous les acteurs externes qui touchent, de près ou de loin, à vos données ou à vos systèmes :
- les sous-traitants et leurs propres sous-traitants ;
- les fournisseurs cloud et les hébergeurs ;
- les éditeurs SaaS ;
- les prestataires informatiques ;
- les cabinets RH, comptables, d’avocats ;
- les partenaires commerciaux ;
- les plateformes d’intelligence artificielle ;
- et, les oubliés de la liste, les tiers autorisés : ces autorités qui peuvent légalement exiger la communication de certaines données.
Cette dernière catégorie est celle que presque personne ne pense à cartographier. C’est aussi celle qui produit des violations sans le moindre pirate. J’y reviens.
Trois cas concrets, toujours plus parlants qu’une grosse définition
Cas n°1 : le fournisseur qui devient la porte d’entrée des attaquants
Une PME utilise un CRM en ligne, une plateforme RH, un outil de signature électronique et un assistant IA branché sur sa base documentaire. Rien d’exotique, c’est la stack de n’importe quelle entreprise de 2026.
Un jour, l’un de ces fournisseurs est compromis.
Aucune faille chez la PME. Pas un seul mot de passe faible en interne.
Et pourtant : des données clients exposées, des informations internes accessibles, un incident à gérer dans l’urgence, et des clients qui se retournent contre elle.
La première question qu’on lui posera, que ce soit la CNIL, un client ou un avocat, sera d’une simplicité brutale :
« Aviez-vous évalué ce fournisseur avant de lui confier vos données ? »
Le RGPD est sans ambiguïté là-dessus : on ne choisit pas un sous-traitant au hasard. L’article 28 impose de retenir des prestataires présentant des garanties suffisantes en matière de protection des données. Confier des données à un tiers sans l’évaluer, ce n’est pas une négligence vénielle. C’est déjà un manquement.
Cas n°2 : le collaborateur qui nourrit une IA sans le savoir
Un développeur veut gagner du temps. Il colle un bout de code source interne dans une IA générative pour obtenir une correction rapide. Trente secondes, le problème est réglé.
Sauf que pendant ces trente secondes, des informations stratégiques ont quitté l’entreprise. Elles sont peut-être stockées hors de l’Union européenne. Et plus personne, en interne, ne sait précisément qui peut y accéder ni combien de temps elles seront conservées.
Le développeur n’a rien fait de malveillant. Il a fait son boulot. Il a juste utilisé un tiers sans gouvernance.
C’est le cœur du Shadow AI : non pas l’outil, mais le flux invisible qu’il crée. Le TPRM moderne ne s’arrête plus aux fournisseurs sous contrat. Il encadre aussi ces tiers que personne n’a jamais validés, parce qu’ils sont entrés dans l’entreprise par un copier-coller, pas par un bon de commande.
Cas n°3 : une violation RGPD sans le moindre pirate
Le service RH reçoit un courrier. Une administration demande des informations sur plusieurs salariés. Le ton est officiel. Les agents, de bonne foi, transmettent les documents le jour même.
Quelques jours plus tard, on déroule le fil :
- le fondement légal de la demande n’avait jamais été vérifié ;
- l’identité et la qualité du demandeur n’avaient pas été contrôlées ;
- une partie des données transmises n’était même pas nécessaire à la demande.
Pas de ransomware. Pas de fuite. Pas de pirate.
Et pourtant, une violation potentielle des règles de protection des données a bien eu lieu. Parce qu’un tiers, légitime celui-là, a obtenu des données sans qu’aucun contrôle ne s’enclenche.
Tiers autorisés : l’angle mort que la CNIL a fini par documenter
Beaucoup d’organisations l’ignorent : un grand nombre d’autorités publiques disposent légalement du pouvoir d’exiger certaines données personnelles. Administration fiscale, organismes de sécurité sociale, forces de l’ordre, autorités judiciaires, certains auxiliaires de justice. On les appelle les tiers autorisés.
Tout l’enjeu tient en une tension : répondre à une demande légitime sans trahir la confidentialité des données qu’on vous a confiées.
Le sujet est assez sensible pour que la CNIL ait publié un guide pratique et un recueil de procédures dédiés. En substance, avant toute communication, elle recommande notamment de :
- Exiger une demande écrite. Qui précise le fondement légal autorisant l’accès aux informations. Un appel, un mail anodin, un courrier vague : insuffisant.
- Vérifier l’identité et la qualité du demandeur. S’assurer qu’il dispose réellement de l’habilitation qu’il invoque.
- Contrôler le périmètre. Toutes les données ne sont pas communicables. Le principe de minimisation continue de s’appliquer, demande officielle ou pas.
- Sécuriser la transmission. Pour éviter qu’en répondant à un tiers autorisé, on n’ouvre une faille vers un tiers, lui, non autorisé.
- Tout tracer. Les vérifications réalisées et les données communiquées doivent être documentées. En conformité, ce qui n’est pas documenté n’a, en pratique, jamais existé.
Cinq réflexes. Aucun ne relève de la cybersécurité. Tous relèvent de la gouvernance.
Le rôle du DPO : empêcher que la chaîne casse au maillon que personne ne regarde
On réduit encore trop souvent le DPO au gardien des mentions d’information et des bandeaux cookies.
La réalité du métier est ailleurs. Le DPO intervient sur l’évaluation des sous-traitants, les analyses de risques, les transferts internationaux, la conformité des outils d’IA, les procédures de réponse aux tiers autorisés, la traçabilité des décisions et la sensibilisation des équipes.
Autrement dit : il est l’une des rares fonctions de l’entreprise dont le travail consiste, précisément, à regarder le maillon que personne d’autre ne regarde. Celui par lequel la chaîne finit toujours par céder.
Avec l’IA Act, le nombre de tiers n’augmente pas. Il explose.
Hier, une donnée transitait par un fournisseur. Aujourd’hui, une simple brique d’IA peut faire intervenir un éditeur, un hébergeur, plusieurs sous-traitants, un fournisseur de modèle, et des services répartis dans plusieurs pays, le tout derrière une seule interface.
Sans gouvernance, les questions de base restent sans réponse :
- où vont réellement les données ?
- qui y accède ?
- combien de temps sont-elles conservées ?
- quelles garanties sont réellement offertes, et pas seulement annoncées ?
L’IA Act ne supprime pas ces questions. Il les rend obligatoires. Et il transforme le TPRM, hier réflexe de bon sens, en pilier de la conformité.
La vraie question n’est plus « sommes-nous protégés ? »
Pendant des années, le DSI et le dirigeant se sont posé la même question : « Sommes-nous protégés contre les cyberattaques ? »
Elle reste utile. Mais elle est devenue insuffisante.
Parce qu’une organisation peut perdre le contrôle de ses données de trois façons sans qu’on l’attaque jamais : en les confiant à un fournisseur mal évalué, en les laissant filer vers une IA non encadrée, ou en répondant mal à une demande d’un tiers autorisé.
Et dans les trois cas, l’addition est la même : atteinte à la réputation, perte de confiance des clients, sanction réglementaire, coût financier.
La bonne question, en 2026, n’est plus : « nos données sont-elles protégées ? »
C’est : « savons-nous précisément qui y a accès, et dans quelles conditions ? »
Vous avez blindé la porte. Très bien. Maintenant, combien de doubles de vos clés circulent dehors, et savez-vous seulement à qui vous les avez confiés ?
Chez DPO France (dpo-partage.fr)
Nous aidons les organisations à reprendre la main sur leurs tiers :
- évaluation des fournisseurs et sous-traitants ;
- mise en place d’une démarche TPRM structurée ;
- gouvernance des outils d’IA et lutte contre le Shadow AI ;
- procédures de réponse aux demandes des tiers autorisés ;
- conformité RGPD et préparation à l’IA Act ;
- rédaction des procédures internes et sensibilisation des équipes.
L’objectif est simple : faire de la conformité un outil de maîtrise du risque et de confiance, pas une couche de documentation morte.
Cadeau : le guide « RGPD pour les développeurs »
Parce que vos équipes techniques sont souvent le premier point de contact entre vos données et vos tiers, nous offrons notre guide pratique. Vous y trouverez les erreurs les plus fréquentes, les risques liés aux API et aux outils d’IA, et les réflexes de conformité à adopter dès la phase de développement.
Téléchargement offert ici :
