Données industrielles, IA, jumeau numérique et IIoT : audit, conseil, formation et assistance technique pour l'automobile

Cadre réglementaire des données, de l'IA et des produits connectés

RGPD et données de véhicules ou d'opérateurs

Le règlement (UE) 2016/679, dit RGPD, s'applique dès qu'une donnée se rapporte à une personne identifiée ou identifiable. Dans l'automobile, cela couvre la position d'un véhicule, des données de conduite, un identifiant de véhicule rattaché à un propriétaire ou à un conducteur, mais aussi, dans l'usine, des données de production qui permettent de reconnaître un opérateur ou de mesurer son activité. Les principes sont connus : finalité déterminée, minimisation, durée de conservation limitée, sécurité, information des personnes, et analyse d'impact lorsque le risque est élevé. La CNIL publie des recommandations sur les véhicules connectés.

Le responsable du traitement reste l'entreprise cliente. Sur un projet de données, nous aidons à poser les bonnes questions dès la conception : quelles données sont réellement nécessaires, peuvent-elles être pseudonymisées, où sont-elles stockées, qui y accède. Nous ne tenons pas lieu de délégué à la protection des données, et nous ne rendons aucun avis juridique.

Data Act : l'accès aux données des produits connectés

Le règlement (UE) 2023/2854, ou Data Act, est applicable depuis le 12 septembre 2025 selon la Commission européenne. Il vise à ce que les produits connectés mis sur le marché, dont les voitures et les machines industrielles, soient conçus pour permettre le partage des données. Les utilisateurs peuvent obtenir les données produites par leur usage et autoriser des tiers, par exemple un prestataire de réparation, à y accéder. Les clauses contractuelles qui bloquent ce partage de façon abusive sont encadrées.

L'obligation de conception, qui impose d'ouvrir l'accès aux données par défaut, s'appliquerait selon les commentaires de cabinets aux produits mis sur le marché après le 12 septembre 2026. L'articulation avec la législation de réception des véhicules, et la protection des secrets d'affaires du fabricant, appellent une analyse juridique propre à chaque produit. Pour un équipementier automobile qui fabrique un produit connecté, la question se pose dès la conception de l'architecture de données.

AI Act : un calendrier modifié par l'omnibus

Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024. Selon la page de la Commission européenne, les pratiques interdites et les obligations de maîtrise de l'IA s'appliquent depuis le 2 février 2025, les règles sur les modèles d'IA à usage général depuis le 2 août 2025, et la date générale d'application, avec des exceptions, est le 2 août 2026, les règles de transparence prenant effet en août 2026. L'omnibus sur l'IA, entré en vigueur le 27 juillet 2026, a reporté les systèmes à haut risque de l'annexe III au 2 décembre 2027 et l'IA intégrée dans des produits réglementés de l'annexe I au 2 août 2028.

Pour l'industrie, la qualification dépend de l'usage. Un modèle de contrôle par vision ou de maintenance prédictive n'est pas, en soi, un système à haut risque ; l'analyse change si l'IA constitue un composant de sécurité d'un produit réglementé, par exemple une machine. Pour les véhicules, le sujet passe par la législation de réception, dont l'articulation exacte avec l'AI Act est à suivre. Nous aidons à cartographier vos usages et à documenter les modèles ; la qualification juridique définitive relève de votre service juridique.

Cybersécurité, architecture et exploitation des données

Cyber Resilience Act et sécurité des échanges

Le règlement (UE) 2024/2847, ou Cyber Resilience Act, fixe des exigences de cybersécurité aux produits comportant des éléments numériques. Selon la Commission européenne, il est entré en vigueur le 10 décembre 2024, les obligations de signalement s'appliquent depuis le 11 septembre 2026, et les obligations principales s'appliqueront à partir du 11 décembre 2027. Selon des analyses de cabinets, le véhicule réceptionné en est exclu, mais pas nécessairement les composants vendus séparément, les passerelles, les capteurs, les bornes ou les plateformes de flotte : un équipementier automobile qui fabrique un produit connecté vérifie donc sa situation. Le règlement vise les produits mis sur le marché, non les outils internes d'une usine.

Dans l'usine, la référence est l'IEC (International Electrotechnical Commission, Commission électrotechnique internationale) 62443, série consacrée à la cybersécurité des systèmes d'automatisation : segmentation par zones et conduits, passerelles contrôlées entre informatique et production, gestion des vulnérabilités. Une plateforme IIoT bien conçue commence par là, car chaque capteur connecté élargit la surface d'attaque.

De la machine à la plateforme : IIoT, protocoles et passerelles

Une chaîne de données industrielle commence au capteur ou à l'automate, passe par un protocole (OPC UA pour la communication industrielle, MQTT pour la messagerie légère des objets connectés), traverse une passerelle, puis rejoint un historien ou un lac de données. Chaque étape pose des questions de fiabilité : horodatage commun, perte de paquets, qualité des signaux, versions de firmware, reprise après coupure. Une donnée mal horodatée ou mal qualifiée fausse tous les modèles construits au-dessus.

Le choix entre un traitement en périphérie, au plus près de la machine, et un traitement centralisé se fait selon la latence, la bande passante, la sécurité et la charge d'exploitation. Les plateformes IoT industrielles, les historiens de production et les lacs de données répondent à des besoins différents, et leur coexistence se prépare par une gouvernance explicite : propriétaire de chaque donnée, règles d'accès, durée de conservation.

Modèles d'IA industrielle : mise en production, dérive et vérification

Un modèle qui fonctionne en laboratoire ne dit rien de sa tenue en production. Les conditions changent : nouveau lot de matière, usure d'un outil, évolution d'un capteur. C'est pourquoi le suivi de la dérive des modèles, la gestion des versions, la traçabilité des jeux de données d'apprentissage et les règles de réentraînement (le MLOps) comptent autant que la qualité initiale du modèle. Les approches de génération augmentée par la recherche et les agents d'IA ajoutent des points d'attention : provenance des sources, droits sur les documents, protection des données de prototypes.

Côté normes, l'ISO/IEC 42001 décrit un système de management de l'IA, et des certifications de système de management existent auprès d'organismes tiers : nous n'en délivrons aucune. Pour l'IA embarquée dans un véhicule, la spécification ISO/PAS 8800 traite de la sûreté et relève du domaine de la sûreté fonctionnelle.

Enjeux d'un équipementier automobile et d'un constructeur

De la donnée à la décision

Les cas d'usage les plus fréquents sont la maintenance prédictive, le contrôle par vision, l'analyse des causes de rebut, la traçabilité des lots, l'accélération de la validation en essais, et l'aide à la rédaction ou à la recherche dans la documentation technique. Le jumeau numérique, représentation d'une machine, d'une ligne ou d'un produit alimentée par des données réelles, se construit sur un périmètre limité : le cadre de référence de la série ISO (International Organization for Standardization, Organisation internationale de normalisation) 23247 pour la fabrication peut servir de repère. Un jumeau sans usage décidé devient vite coûteux à maintenir.

Le point commun des projets réussis est organisationnel : un cas d'usage défini avec les équipes de production, un propriétaire de la donnée, un indicateur de succès, et une capacité de maintenance après le pilote. Les tableaux de bord décisionnels, comme ceux de Power BI ou des outils d'analyse des éditeurs de systèmes de production, ne valent que par la qualité des données qui les alimentent.

Confidentialité, TISAX et échanges de données entre entreprises

Les données d'essais, de prototypes et de pré-série sont parmi les plus sensibles. Un constructeur peut exiger de ses fournisseurs un label TISAX adapté avant de partager des informations de projet : l'évaluation, fondée sur le questionnaire VDA (Verband der Automobilindustrie, association allemande de l'industrie automobile) ISA (Information Security Assessment, questionnaire d'évaluation de la sécurité de l'information de la VDA), est conduite par un prestataire d'audit approuvé par l'ENX Association. Nous aidons à préparer cette évaluation et à structurer la protection des données ; nous ne la réalisons pas et nous ne délivrons aucun label.

Pour l'échange de données entre entreprises de la filière, Catena-X est une association qui gouverne un écosystème de données pour l'automobile, avec des cas d'usage comme le passeport batterie, l'empreinte carbone des produits, la qualité ou la chaîne d'approvisionnement. Un projet peut s'y raccorder ; mentionner un tel écosystème n'est ni un partenariat ni une certification.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous réalisons des audits de maturité des données et de l'IA pour vos sites et vos bureaux d'études. Nous conseillons sur la stratégie, l'architecture et la gouvernance. Nous concevons des plateformes IIoT, des modèles et des jumeaux numériques à partir de vos données, puis nous les déployons sur un périmètre pilote, avec les procédures d'exploitation et le suivi des modèles. Nous formons aussi, en intra-entreprise, quand cela sert votre projet.

Nous documentons ce qui est construit et décidé : sources, hypothèses, performances mesurées, limites d'emploi, points de conformité à traiter.

Ce que nous ne faisons pas

Optédif ne délivre aucune certification, homologation, attestation de conformité ni label. Nous ne qualifions pas un système d'IA au sens de l'AI Act à la place de votre service juridique, nous ne remplaçons ni un délégué à la protection des données ni un responsable de la sécurité de l'information, et nous n'engageons pas la conformité d'un produit au Data Act ou au Cyber Resilience Act. Nous n'employons aucun personnel certifié par un organisme tiers. Les éditeurs dont nous citons les outils le sont à titre descriptif : une mention de marque ne signifie ni partenariat ni certification.

Assistance technique et confidentialité

Nos missions d'assistance technique sont réalisées par nos intervenants, sous la responsabilité et l'encadrement d'Optédif, avec des livrables définis, dans le cadre d'un contrat de prestation de services portant sur un objectif et un périmètre convenus avec vous. Elles sont proposées au forfait ou en récurrent. Nos intervenants restent salariés d'Optédif, dirigés et encadrés par Optédif, et ne sont pas intégrés à votre hiérarchie. Les prototypes et les données de pré-série ne sont traités que dans le cadre contractuel (confidentialité, propriété intellectuelle, sécurité de l'information) défini avec vous avant le démarrage, et de préférence dans votre environnement.

Références officielles

Textes européens et autorités

Les pages de la Commission européenne sur le Data Act, le Cyber Resilience Act et le cadre réglementaire de l'IA présentent chaque texte et son calendrier. Les textes eux-mêmes sont publiés sur EUR-Lex. La CNIL (Commission nationale de l'informatique et des libertés) et l'ANSSI diffusent leurs recommandations sur la protection des données et la cybersécurité.

Normes et écosystèmes

Les normes ISO et IEC se consultent sur les catalogues de l'ISO et de l'IEC. Le dispositif TISAX est décrit par l'ENX (European Network Exchange, association des acteurs de l'automobile pour l'échange sécurisé de données) Association, l'écosystème de données par Catena-X. Les dates et les statuts évoluent vite dans ce domaine : vérifiez-les à la source avant toute décision.