Algeria AgencyIntelligence artificielle
Les pôles régionaux d’audit : ce qu’un contrôle demande, dans quel ordre
Un contrôle commence par une liste de pièces, pas par une visite. Il y en a quatre, elles sont connues, et rien n’empêche de les sortir avant.
La gérante d’une clinique privée reçoit un courrier de l’autorité. Il ne parle ni d’amende ni d’infraction : il demande quatre documents et fixe une date. Elle en possède un, partiellement. Les trois autres existent quelque part dans l’entreprise, sous une forme que personne n’a jamais rassemblée.
C’est la forme la plus courante d’un contrôle, et c’est aussi celle qui se prépare le mieux, parce que la liste ne change pas d’une entreprise à l’autre. Pour une entreprise qui a branché un assistant ou une automatisation sur des données de clients, ces quatre pièces sont exactement celles que le projet aurait dû produire.
Cet article décrit ce qui est demandé, dans quel ordre, ce que chaque pièce doit contenir pour tenir à l’ouverture, et ce que les pôles régionaux font en plus de contrôler. Il ne donne pas le montant des amendes, et la section 9 explique pourquoi.
Un contrôle commence par une liste, pas par une visite
L’image d’une inspection est celle de personnes qui arrivent sans prévenir. Ce n’est pas la forme habituelle : la première étape est un contrôle sur pièces, c’est-à-dire une demande écrite de documents, avec un délai. La visite, quand elle a lieu, vient après et porte sur ce que les pièces ont laissé ouvert.
Cette distinction change tout ce qu’il faut préparer. On ne se prépare pas à répondre à des questions posées de vive voix ; on se prépare à produire des documents qui existent déjà et qui se tiennent sans commentaire. Un document qu’il faut accompagner d’une explication orale est un document incomplet.
Elle change aussi qui doit être prêt. Le contrôle sur pièces se traite depuis un bureau, par la personne qui tient les documents, et non par la direction générale. Si votre entreprise a désigné un délégué à la protection des données, c’est lui qui instruit la demande, répond à l’autorité et accompagne le contrôle sur place s’il y en a un.
Enfin, elle donne le bon exercice de préparation, et il n’a rien d’une simulation : c’est de produire les quatre pièces un jour ordinaire, sans prévenir personne, et de chronométrer.
Ce que la loi a créé le 24 juillet 2025
La loi 25-11 du 24 juillet 2025, qui modifie et complète la loi 18-07 du 10 juin 2018, introduit un article 27 bis créant des pôles régionaux au sein de l’autorité nationale de protection des données. Le texte prévoit leur déploiement à l’échelle des wilayas.
Leur mandat est double et c’est la partie qui passe inaperçue : contrôle et audit des organismes publics et privés qui traitent des données personnelles, et accompagnement de ces organismes vers la conformité. La seconde moitié est un service, et presque personne ne s’en sert.
Ce que ce déploiement change concrètement est la distance. Une instruction menée depuis Alger pour une entreprise de Sétif ou de Tlemcen était lente et rare ; des pôles répartis rapprochent l’instruction des entreprises contrôlées, ce qui rend un contrôle plus probable sans qu’aucune règle de fond ait bougé.
Ce qui précède décrit l’état d’une réglementation au 21 août 2026 et ne remplace pas l’avis d’un avocat. Le périmètre exact des attributions se lit dans le texte, article par article, et les modalités pratiques relèvent de textes d’application — voir la section 8.
Les quatre pièces, et l’ordre dans lequel elles sont demandées
Elles sont au nombre de quatre et elles s’enchaînent logiquement. Le registre des activités de traitement, qui dit ce que vous faites. Les journaux automatisés, qui disent ce qui a été fait. Les analyses d’impact, qui disent ce que vous avez examiné avant de le faire. Et les notifications de violation, qui disent ce que vous avez déclaré quand cela s’est mal passé.
L’ordre n’est pas administratif, il est logique, et il explique pourquoi il ne sert à rien de préparer la quatrième si la première est absente : chaque pièce se lit à la lumière de la précédente. Une notification de violation qui porte sur un traitement absent du registre pose une question de plus qu’elle n’en règle.
La conséquence pratique est un ordre de travail. Une entreprise qui a trois semaines devant elle écrit le registre en premier, même incomplet, parce qu’il est la table des matières des trois autres pièces. Une entreprise qui commence par les journaux produit une masse de données que rien n’organise.
Ces quatre pièces sont aussi la liste exacte de ce qu’un projet d’IA aurait dû produire en chemin. C’est le seul aspect réconfortant du sujet : une entreprise qui a mené son projet proprement n’a rien à préparer, elle a à rassembler.
La première : le registre, et ce qui le fait échouer à l’ouverture
Le registre des activités de traitement décrit, traitement par traitement, la finalité, les catégories de personnes et de données, les destinataires, les durées de conservation, les mesures de sécurité et ce qui sort du territoire. Les six colonnes, remplies sur un cas réel sont un autre sujet et un article entier ; ce qui compte ici est ce qui le fait échouer dès la première lecture.
Trois choses le font échouer, et aucune n’est un manque de détail. La première est un registre qui décrit des outils au lieu de décrire des traitements : « CRM », « site web », « messagerie » sont des logiciels, pas des finalités, et un registre écrit ainsi ne permet pas de vérifier une seule obligation.
La deuxième est une durée de conservation écrite « selon les besoins ». Elle signale qu’aucune décision n’a été prise, et elle rend impossible la vérification la plus simple qu’un contrôle puisse faire, qui est de comparer une durée annoncée à une base réelle.
La troisième est un registre daté d’il y a deux ans. Un registre est un document vivant ; sa date de dernière mise à jour est la première chose regardée, parce qu’elle dit si le document décrit l’entreprise d’aujourd’hui ou celle d’un audit passé.
La deuxième : les journaux, et la fenêtre qui les rend inutiles
Les journaux automatisés retracent les opérations faites sur les fichiers : consultation, modification, suppression, avec la date, l’heure et l’identité de la personne. La plupart des outils savent les produire ; la question du contrôle n’est presque jamais « pouvez-vous » mais « depuis quand ».
C’est la durée de rétention qui décide de leur utilité, et elle est courte par défaut chez presque tous les éditeurs. Un journal qui remonte à sept jours ne répond à aucune question portant sur un dossier de l’an dernier, et l’allonger est en général une case à cocher que personne n’a cochée.
Le second point est la couverture. Une entreprise active les journaux sur son logiciel principal et les laisse éteints sur la boîte mail partagée, le tableur du disque commun et l’outil que le service commercial a acheté seul. Ces trois-là contiennent souvent plus de données personnelles que le logiciel principal.
La vérification prend une demi-heure et se fait sans nous : listez les outils contenant des données de personnes, ouvrez pour chacun l’écran des journaux, et notez à quelle date remonte la plus ancienne ligne. Vous aurez la couverture et la fenêtre dans le même passage.
La troisième : l’analyse d’impact, et la date qui compte
Une analyse d’impact s’effectue avant la mise en service d’un traitement sensible, et c’est la date qui en fait une analyse d’impact plutôt qu’un compte rendu. Une analyse datée après l’ouverture du service décrit un risque qui s’est déjà réalisé ou non ; elle ne peut plus faire ce pour quoi elle existe, qui est d’annuler un projet.
C’est aussi ce qui la rend inconfortable à produire en rattrapage. On ne peut pas antidater honnêtement, et la seule réponse tenable pour un traitement déjà en service est de la faire maintenant, de la dater d’aujourd’hui, et d’assumer qu’elle est tardive. Une analyse tardive et datée honnêtement vaut mieux qu’une analyse absente ; une analyse antidatée est un faux.
Le contenu attendu tient en peu de choses : ce que le traitement fait, les risques pour les personnes concernées, les mesures qui les réduisent, et le risque qui reste. La dernière ligne est celle qui manque presque toujours, et c’est la seule qui rende le document utile — un risque résiduel qui reste élevé est ce qui doit remonter à la direction.
Pour un projet d’IA, elle se fait au moment où l’architecture est décidée et pas après le prototype. C’est aussi le moment où elle est le moins coûteuse à écrire, parce que les réponses sont fraîches.
La quatrième : les incidents, y compris quand il n’y en a eu aucun
La quatrième pièce est la trace des violations de données et de ce qui a été fait : ce qui s’est passé, quand vous l’avez su, ce que vous avez notifié et quand. La notification à l’autorité se compte en jours à partir du moment où vous en avez connaissance, ce qui exclut d’écrire la procédure le jour où elle sert. Dans une clinique ou un cabinet médical, où le contenu d’un dossier révèle un état de santé, c’est la pièce dont l’absence se remarque le plus.
Un registre d’incidents vide n’est pas un problème, à une condition : qu’il existe. « Nous n’avons rien eu » énoncé oralement et « voici notre registre d’incidents, il est vide depuis son ouverture en mars » sont deux affirmations différentes, et une seule est vérifiable.
Ce qui compte pour l’avenir davantage que pour le passé est la procédure elle-même. Elle tient sur une page — qui appelle qui, dans quel ordre, avec quel texte — et sa valeur est entièrement dans le fait qu’elle est écrite avant. Improvisée, elle consomme la moitié du délai à décider qui décide.
Un point que les entreprises manquent : l’horloge démarre à la connaissance, pas à la certitude. Une équipe qui passe six jours à établir si l’incident est réel a laissé courir le délai pendant qu’elle enquêtait, et l’enquête n’est pas une cause de suspension.
Le pôle fait aussi autre chose, et presque personne ne s’en sert
Le mandat des pôles régionaux comprend l’accompagnement des organismes vers la conformité, à côté du contrôle. Cela signifie qu’une entreprise peut poser une question avant d’avoir un problème, et que la question n’est pas en elle-même un aveu.
C’est contre-intuitif et c’est pourtant la lecture la plus simple du texte : une autorité dont le mandat inclut l’accompagnement a intérêt à ce que les entreprises demandent. L’instinct inverse — ne surtout pas se signaler — produit des entreprises qui découvrent leurs obligations au moment du contrôle.
Les déclarations et les demandes d’autorisation passent par le portail en ligne de l’autorité, ce qui rend la démarche traçable des deux côtés. Une trace de démarche est aussi une preuve de diligence, et elle vaut mieux qu’une absence de dossier.
Nous ne prétendons pas connaître la pratique de chaque pôle : ils sont récents et leurs modalités relèvent de textes d’application. Ce que nous disons est que la voie existe, qu’elle est écrite dans la loi, et qu’une entreprise qui hésite entre demander et attendre a intérêt à demander.
Les textes d’application ne sont pas parus, et ce que ça change
Au moment où cet article est écrit, les modalités pratiques des pôles régionaux — leur implantation, leur calendrier, le déroulé d’une mission — relèvent de textes d’application qui ne sont pas encore publiés. C’est un fait daté, et il est utilisable plutôt que gênant.
Ce qu’il change : il n’y a pas de chorégraphie à apprendre. On ne peut pas se préparer à une procédure qui n’est pas publiée, et toute description détaillée d’un déroulé de mission lue quelque part aujourd’hui est une supposition. Ce qui est certain est la liste des pièces, parce qu’elle découle des obligations de fond et pas des modalités.
Ce qu’il ne change pas : les obligations elles-mêmes sont en vigueur. Un texte d’application manquant n’est pas un sursis, et une entreprise qui attend sa publication pour écrire son registre attend une chose qui ne suspend rien.
La même distinction vaut pour un texte qui n’est pas encore une obligation du tout : la stratégie nationale d’intelligence artificielle fixe un cap à l’État et n’impose rien à une entreprise, ce qui est une situation différente et souvent confondue avec celle-ci.
La conséquence pratique est de préparer le fond et d’ignorer la forme. Les quatre pièces, tenues à jour, répondent à n’importe quelle procédure qui sera publiée, parce qu’aucune procédure ne demandera moins que ce que la loi exige déjà.
L’amende n’est pas le sujet, et nous n’en donnons pas le montant
Les sanctions ont été renforcées et graduées selon la gravité par la loi 25-11. Nous ne publions pas de barème, et l’absence est délibérée : les montants que l’on trouve en ligne sont ceux du texte antérieur, et reprendre un plafond périmé serait se tromper dans la direction qui rassure. C’est la pire des deux directions.
Il y a une raison de fond en plus de celle-là. Un article qui ouvre sur le montant d’une amende produit une décision d’évitement — que risque-t-on, est-ce probable — et cette décision se prend mal parce qu’elle repose sur une estimation que personne ne peut faire. Les quatre pièces se justifient sans elle.
Elles se justifient parce qu’elles sont demandées ailleurs que par l’autorité, et bien plus souvent. Un donneur d’ordre, un partenaire étranger, une consultation : le registre est devenu une pièce de dossier commercial, et cette demande-là est certaine alors que le contrôle est une probabilité.
Si vous voulez le barème en vigueur, il se lit dans le texte et se commente avec un avocat. Nous vous dirons quand la question sort de notre métier, et le calcul d’un risque de sanction en sort.
La répétition à faire cette semaine : quarante-huit heures
Choisissez un jour ordinaire et donnez-vous quarante-huit heures pour produire les quatre pièces, dans l’état où elles sont, sans rien écrire de nouveau. Le but n’est pas de réussir : le but est de mesurer où le temps passe.
Notez trois choses pour chaque pièce. Combien de minutes pour savoir où elle est. Combien de minutes pour la sortir. Et si vous l’enverriez telle quelle à quelqu’un d’extérieur — la troisième question est la seule qui compte, et elle se répond par oui ou par non sans discussion.
Le résultat le plus fréquent que nous observons est le suivant : la première pièce prend une journée parce qu’elle n’existe pas sous cette forme, la deuxième révèle que les journaux sont éteints sur la moitié des outils, la troisième n’existe pas, et la quatrième est une conversation qu’on se rappelle. C’est un point de départ ordinaire et pas un échec.
L’exercice a une propriété que peu d’exercices de conformité ont : il ne nécessite personne d’extérieur, il ne coûte que du temps, et son résultat est directement la liste des choses à faire, dans l’ordre. Si vous ne faites qu’une chose après cet article, faites celle-là.
Ce que nous faisons, et ce que nous refusons
Nous menons la répétition ci-dessus avec vous et nous produisons la liste des manques, pièce par pièce, avec ce qu’il faut pour chacune et dans quel ordre. Nous activons les journaux là où ils sont éteints et nous allongeons la fenêtre de rétention, ce qui est un travail de réglage sur une matinée et pas un projet — le décalage entre ce qui est en place et ce qu’on croit en place se referme souvent dans le même passage.
Nous vous accompagnons pendant l’instruction sur les questions techniques : décrire une architecture, expliquer un flux, produire un extrait de journal lisible. C’est la partie où une entreprise a besoin de quelqu’un qui sait à quoi ressemble la réponse attendue.
Nous ne représentons pas votre entreprise devant l’autorité et nous ne rédigeons aucune réponse en votre nom. Une réponse à un contrôle engage celui qui la signe sur l’exactitude de ce qu’elle décrit, et c’est votre direction ou votre conseil qui doit en répondre. Un prestataire technique qui rédige à votre place vous met en position de défendre un texte que vous n’avez pas écrit.
Et nous n’antidatons rien, jamais, y compris quand c’est demandé et que la demande est compréhensible. Une analyse d’impact tardive assumée est un dossier honnête avec un point faible ; la même antidatée est un faux, et elle transforme une non-conformité en autre chose. Si c’est ce qui est attendu de nous, il vaut mieux le savoir maintenant.
Questions fréquentes
Un contrôle est-il annoncé à l’avance ?
La première étape est en général un contrôle sur pièces, c’est-à-dire une demande écrite avec un délai, ce qui est par définition annoncé. Les modalités des missions sur place relèvent de textes d’application qui n’étaient pas publiés à la date de cet article, donc toute description précise d’un déroulé serait une supposition. Ce qui se prépare est la liste des pièces, qui ne dépend pas de la procédure.
Nous n’avons jamais rien déclaré. Faut-il commencer par là ?
Non : commencez par le registre, parce qu’il est la table des matières de tout le reste et qu’une déclaration écrite sans lui décrit un traitement qu’on ne peut pas vérifier. Le portail de l’autorité sert ensuite, et il sert mieux quand on sait ce qu’on déclare.
Que se passe-t-il si une pièce n’existe pas du tout ?
Il vaut mieux le dire que produire un document fabriqué pour l’occasion. Une pièce absente est une non-conformité qui se corrige et se date ; une pièce antidatée est autre chose, et elle transforme un manquement administratif en question de bonne foi. Le calendrier de correction est ce qui se négocie ; l’existence d’un document, non.
Faut-il un délégué à la protection des données pour répondre à un contrôle ?
Le délégué est le point de contact naturel et c’est lui qui instruit ce genre de demande quand il existe. Savoir si votre entreprise doit en désigner un dépend de la nature, du volume et de la sensibilité de vos traitements plutôt que de votre effectif, et c’est une question à poser à un juriste avec la liste de vos traitements sous les yeux.
Les pôles régionaux changent-ils quelque chose pour une petite entreprise ?
Ils ne changent aucune obligation de fond ; ils changent la distance et donc la fréquence. Une instruction menée depuis la capitale pour une entreprise de l’intérieur du pays était rare par construction, et des pôles répartis rendent le contrôle plus probable sans qu’une seule règle ait bougé.
Peut-on demander conseil à l’autorité sans se signaler ?
Le mandat des pôles inclut l’accompagnement vers la conformité, à côté du contrôle, donc la voie existe et elle est écrite dans le texte. Nous ne connaissons pas la pratique de chaque pôle et nous ne la décrirons pas à leur place ; ce que nous observons est que les entreprises qui découvrent leurs obligations pendant un contrôle sont presque toutes celles qui n’ont jamais rien demandé.
Où nous intervenons
La répétition de quarante-huit heures se termine presque toujours de la même façon : une pièce sortie, une à moitié, deux qui n’existent pas sous cette forme. C’est l’ordre de travail, pas un constat d’échec.
- Nous refaisons la répétition à vos côtés, montre en main, et nous relevons ce qui bloque à chaque étape.
- Nous mettons en marche la journalisation partout où elle dort, et nous portons sa rétention à une durée utile.
- Nous tenons le volet technique pendant l’instruction, jusqu’à l’extrait de journal que quelqu’un pourra lire.
Rien ne part sous notre signature vers l’autorité, et aucune date n’est reculée pour arranger un dossier — même quand la demande se comprend.
À lire ensuite
La stratégie nationale IA, traduite pour une PME : ce qui change, et quand
Une stratégie fixe un cap ; elle n’impose rien à une entreprise. Voici son état au 6 septembre 2026, ce qui vous concerne, et ce qui vous oblige déjà par ailleurs.Ce que vous avez le droit d’envoyer à un modèle hébergé à l’étranger
Un chatbot branché sur votre messagerie exporte votre fichier client, une ligne à la fois. Personne autour de la table ne l’a décrit ainsi.Le registre des traitements, rempli sur un vrai cas
Une PME de douze personnes perd un appel d’offres sur une pièce qu’elle n’a jamais entendu nommer. Voici les six colonnes, remplies sur un assistant réel.
Parlons de votre projet
Un audit gratuit, sans engagement : nous regardons votre présence en ligne et nous vous disons ce qui coince.