Les outils de conformité IA sortent plus vite que les règles qu'ils encodent

Quick Heal lance Seqrite NOVA Data Privacy, un outil de conformité dopé à l'IA, vendu en trois formules aux petits bureaux, aux PME et aux entreprises de taille intermédiaire.

L'argument porte là où la plupart des acheteurs n'ont aucun spécialiste de la vie privée dans leurs effectifs. Le moteur de traduction de NOVA restitue les parcours de consentement, les mentions de confidentialité et les menus de cookies dans 22 langues indiennes officiellement reconnues, que Quick Heal rattache aux exigences de notification du DPDP. Le prix n'a pas été communiqué : les acheteurs ne peuvent donc pas encore comparer les formules à celles des concurrents, ni à l'option de ne rien faire.

Quick Heal vend le DPDP par formules

Les trois niveaux s'appellent Lite, Essentials et Professional. Ils couvrent des installations SOHO jusqu'aux entreprises de taille intermédiaire. Selon l'entreprise, le moteur d'IA de NOVA découvre et classe les données personnelles sur les postes de travail, dans les applications cloud, les bases de données et les fichiers non structurés. Il reconnaît aussi le texte contenu dans les documents scannés et les images.

« Naviguer dans la conformité au DPDP indien ne devrait pas être une épreuve complexe et lourde en ressources pour les entreprises en croissance », a déclaré Harish Kumar GS, directeur général de Quick Heal Technologies.

Quick Heal promet une intervention manuelle minimale et un recours limité aux compétences informatiques spécialisées.

Deux autres lancements, deux autres corpus de règles

Quick Heal n'est pas le seul éditeur à livrer. Sierra a présenté Compliance Console le 28 octobre 2026, intégré à sa plateforme d'agents Horizon. Il s'agit d'un ensemble de garde-fous configurables pour les prises de contact sortantes des agents :

• Les mentions par canal, de l'ouverture d'un appel au lien de désabonnement dans un courriel
• Les plages horaires de contact fixées selon l'heure locale du destinataire
• Les jours fériés exclus, par pays et par région
• Les limites de fréquence, distinctes pour la prospection commerciale et les messages transactionnels

Les valeurs par défaut donnent une idée du degré de localisation des règles. Sierra indique que la plage de contact acceptable va de 8 h à 21 h dans la plupart des zones, et que les plages peuvent varier selon le jour ou être découpées au sein d'une même journée. L'entreprise cite la fête nationale espagnole, le 14 Juillet en France et l'ANZAC Day en Australie comme des jours où la prospection commerciale est légalement restreinte.

Fusemachines s'est attaqué au recrutement. Le 29 octobre 2026, l'entreprise a déployé un module de consentement à l'usage de l'IA dans HireFoundry.ai, destiné aux règles divergentes des États américains sur l'IA en recrutement. Si un candidat refuse son consentement, l'entretien se poursuit avec le recruteur et Interview Agent ne rejoint pas l'appel, ne l'écoute pas, ne le transcrit pas et ne l'analyse pas, selon l'entreprise.

« Le choix du candidat doit déterminer ce que fait réellement la technologie », a déclaré Anish Joshi, responsable de la technologie chez Fusemachines.

L'argent derrière la poussée vers la conformité

Les éditeurs courent après un marché que les prévisionnistes voient à peu près doubler.

Le marché était estimé à 35,82 milliards de dollars en 2025. Il devrait atteindre 78,85 milliards de dollars en 2033, soit un taux de croissance annuel composé de 10,5 % de 2026 à 2033, selon un rapport de ResearchAndMarkets. Le rapport cite le RGPD, la CSRD et DORA parmi les cadres qui imposent une surveillance continue et des signalements dans les délais.

Les règles divergent, elles ne convergent pas

Les règles que le logiciel doit encoder ne convergent pas. L'Union européenne a adopté son AI Act en 2024 avec des obligations fondées sur le risque, tandis que les États-Unis n'ont pas de loi fédérale unifiée sur l'IA, selon une contribution de Gloria Grobman parue dans Newsweek Japan et résumée dans un article de note.com. La Californie a promulgué le SB 53 en septembre 2025, et un projet de loi fédéral FRONTIER a été déposé en juillet 2026.

Le poids de l'application varie aussi. Le cadre de gestion des risques d'IA du NIST américain est volontaire, et les exigences de sécurité de l'Office of Management and Budget ne s'appliquent qu'aux agences fédérales. La Corée a arrêté en août 2026 sept principes d'éthique de l'IA, sous forme de recommandations volontaires sans sanctions.

En Inde, le calendrier est encore différent. Les règles du DPDP ont été notifiées en novembre 2025, les dispositions clés entrant en vigueur par étapes jusqu'en mai 2027. Une enquête d'EY publiée en janvier a montré que plus de 83 % des organisations n'avaient pas commencé à mettre en œuvre les exigences dans les processus et systèmes concernés.

Cet écart, c'est le marché sur lequel ces éditeurs vendent. C'est aussi pourquoi un achat de conformité peut rester une ligne budgétaire pendant un an sans que personne n'en contrôle l'application.

Ce que coûte la non-conformité

Le revers n'a rien de théorique. Law.asia note que verser des informations personnelles sensibles dans un modèle d'IA sans consentement ni anonymisation enfreint la loi chinoise sur la protection des informations personnelles et la loi sur la sécurité des données. Une fuite dans des secteurs régulés comme la finance et la santé peut aussi déclencher l'article 253-1 du Code pénal sur l'atteinte aux informations personnelles des citoyens, précise le même article.

La Chine fixe également des seuils pour l'exportation. Les entreprises qui traitent les informations personnelles de plus d'un million de personnes, ou qui envoient à l'étranger les données de plus de 100 000 personnes, ou des données sensibles sur plus de 10 000 personnes, doivent passer une évaluation de sécurité des exportations de données, selon Law.asia. L'article indique que beaucoup de multinationales négligent cette exigence lorsqu'elles synchronisent des données d'utilisateurs nationaux vers des serveurs d'IA à l'étranger.

Le droit d'auteur est l'autre flanc ouvert. Dans l'affaire de génération d'images à partir de texte du tribunal internet de Pékin, la juridiction a jugé qu'une conception de prompt substantielle et un ajustement des paramètres pouvaient ouvrir la protection par le droit d'auteur au contenu généré, alors que de simples instructions pourraient ne pas suffire.

Rien de tout cela ne tranche la question que se posent réellement les acheteurs. Le prix de Seqrite NOVA n'est pas communiqué, et Quick Heal n'a pas indiqué combien de clients ont activé les contrôles. Les règles continueront d'arriver selon des calendriers séparés, et les outils continueront de sortir avant elles.