gouvernance des données : un guide complet

Une politique gouvernance des données est un document officiel qui définit les règles, les normes et les processus régissant la gestion d'un aspect spécifique des données au sein de l'organisation. Les politiques traduisent gouvernance en instructions opérationnelles que les équipes peuvent suivre de manière cohérente.

En l'absence de directives écrites, gouvernance à des attentes informelles qui varient selon les équipes, les personnes et les circonstances. Avec des directives écrites, les règles sont explicites, applicables et vérifiables.

Ce guide explique ce que sont gouvernance des données, les types de politiques dont toute organisation a besoin, ce que chaque politique doit contenir, comment les rédiger et les mettre en œuvre, et comment les maintenir à jour à mesure que l'organisation évolue.

Qu'est-ce qu'une politique de gouvernance données ?

gouvernance des données est un ensemble formalisé de règles et de lignes directrices qui définit la manière dont les données doivent être gérées, protégées, utilisées et supprimées au sein de l'organisation. Les politiques s'appliquent à un niveau plus spécifique que le gouvernance : ce dernier définit la structure globale de responsabilité, tandis que les politiques définissent les règles spécifiques au sein de cette structure.

gouvernance des données répond à trois questions concernant son champ d'application :

• Quelles sont les exigences ? Les règles, normes ou seuils spécifiques qui s'appliquent.
• Qui est responsable ? Les personnes chargées de veiller au respect et à l'application de la politique.
• Comment cette politique est-elle mise en œuvre ? Les processus, les contrôles et les sanctions qui permettent à cette politique d'être effective plutôt que purement théorique.

Les politiques se distinguent des principes (valeurs générales qui orientent les décisions), des normes (exigences techniques spécifiques qui support ) et des procédures (instructions détaillées permettant de mettre en œuvre les exigences des politiques). Un gouvernance complet doit comporter ces quatre éléments, mais ce sont les politiques qui constituent le maillon reliant la stratégie globale à la responsabilité opérationnelle.

Pourquoi gouvernance des données sont-elles importantes ?

Conformité réglementaire : Les amendes infligées au titre du RGPD ont dépassé les 6 milliards d’euros depuis l’entrée en vigueur de la réglementation. Les infractions à la CCPA sont passibles de sanctions pouvant aller jusqu’à 7 500 dollars par infraction intentionnelle. Les sanctions civiles prévues par la loi HIPAA peuvent atteindre 1,9 million de dollars par catégorie d’infraction et par an. Les autorités de régulation ne se contentent pas de vérifier si les organisations détiennent des données : elles vérifient également si celles-ci ont mis en place et appliquent des politiques documentées pour les gérer. Des politiques écrites dont l’application peut être démontrée réduisent l’exposition aux risques réglementaires.

Application cohérente : En l’absence de politiques écrites, gouvernance sont prises différemment selon les équipes et les personnes. Une même demande d’accès aux données peut être approuvée par un responsable et refusée par un autre. Une même norme de qualité peut être appliquée de manière stricte dans un domaine et ignorée dans un autre. Les politiques garantissent une application cohérente, quelle que soit la personne qui prend la décision.

Préparation à l'audit : Lorsque les autorités de régulation, les auditeurs ou les équipes juridiques demandent comment les données sont gérées, les politiques écrites constituent la preuve. Les organisations capables de présenter des politiques documentées, horodatées, accompagnées d'un historique des versions et de registres de mise en œuvre, se trouvent dans une situation d'audit fondamentalement différente de celle des organisations qui décrivent leurs gouvernance de manière verbale.

Efficacité opérationnelle :des politiques claireséliminent les ambiguïtés à l'origine des questions ponctuelles sur les données et des retards dans le traitement des demandes d'accès. Les organisations dotées gouvernance bien établies font état d'une réduction de 30 à 50 % du temps consacré aux questions liées aux données. Les équipes respectent la politique plutôt que de remonter chaque cas particulier.

Confiance dans l'IA et l'analyse de données : Les modèles d’IA et les initiatives d’analyse reposant sur des données non contrôlées produisent des résultats peu fiables. Les politiques définissant des normes de qualité, des contrôles d’accès et la certification apprentissage constituent le fondement de la confiance qui rend les initiatives d’IA défendables et reproductibles.

Les huit principaux types gouvernance des données

1. Politique relative à la propriété et à la gestion des données

Ce que cela couvre : Comment la propriété des données est attribuée, quelles responsabilités cette propriété implique, comment les rôles de gestion sont définis et comment la responsabilité est assurée à mesure que les organisations évoluent.

Éléments clés :

• Définition du rôle de « propriétaire des données » : responsabilité opérationnelle ultime pour un domaine donné, pouvoir de décision concernant l'utilisation et l'accès aux données, et prise en charge de la gestion de ces données au sein du domaine.
• Définition du rôle de responsable des données: gestion opérationnelle au quotidien, mise à jour du glossaire, contrôle de la qualité, traitement des demandes d'accès.
• Processus d'attribution : comment la responsabilité est attribuée aux nouveaux domaines de données, et ce qui se passe lorsqu'un responsable quitte l'organisation.
• Procédure d'escalade : mode de résolution des litiges relatifs à la propriété ou aux décisions de gestion.
• Exigence de couverture : pourcentage des ressources de données auxquelles un responsable doit avoir été attribué avant une date définie.

Exemple de déclaration de politique : Chaque domaine de données soumis à une réglementation ou dépendant d’analyses stratégiques pour l’activité doit se voir attribuer un responsable désigné dans les 30 jours suivant son identification. Le responsable des données est chargé de veiller à l’exactitude, à l’utilisation appropriée et à la conformité de l’ensemble des ressources de données relevant de ce domaine.

2. Politique de classification des données

Contenu : Comment les ressources de données sont classées en fonction de leur sensibilité, quels sont les niveaux de classification existants et quelles mesures de contrôle s'appliquent à chaque niveau.

Niveaux de classification standard :

Éléments clés :

• Une taxonomie de classification avec des définitions claires pour chaque niveau.
• Critères d'attribution des classifications : quelles caractéristiques permettent de classer un jeu de données chaque catégorie ?
• Exigences en matière de classification automatisée : quels types de données doivent être classés automatiquement plutôt que manuellement ?
• Processus de reclassification : comment la classification est réexaminée et mise à jour lorsque les caractéristiques des données évoluent.
• Responsabilité des propriétaires : les propriétaires des données sont chargés de veiller à ce que les éléments de leur domaine soient correctement classés.

3. Politique de contrôle d'accès aux données

Ce que cela couvre :quipeut accéder à quelles données, comment l'accès est demandé et approuvé, comment il est réexaminé et révoqué, et comment les décisions d'accès sont consignées.

Éléments clés :

• Principe du privilège minimal : les utilisateurs ne se voient accorder que les droits d'accès nécessaires à l'exercice de leur rôle et à la réalisation de leurs missions professionnelles.
• Processus de demande d'accès : comment les utilisateurs font-ils une demande d'accès, quelles informations doivent figurer dans une demande, qui l'examine et l'approuve, et quel est le SLA une décision.
• Autorités d'approbation : quels rôles peuvent approuver l'accès aux données à chaque niveau de classification. Les données à accès restreint nécessitent l'approbation du responsable et du propriétaire. Les données confidentielles nécessitent l'approbation du responsable.
• Fréquence de révision des autorisations d'accès : fréquence à laquelle les autorisations d'accès existantes sont réexaminées. L'accès aux données à accès restreint est réexaminé tous les trimestres. L'accès aux données confidentielles est réexaminé une fois par an.
• Processus de révocation : comment l'accès est révoqué lorsqu'un utilisateur de rôle, quitte l'organisation ou n'a plus besoin de cet accès dans le cadre de ses activités professionnelles.
• Journalisation des audits : chaque demande d'accès, chaque autorisation, chaque refus et chaque révocation est consigné dans un journal avec l'horodatage, l'identité du demandeur, l'identité de la personne ayant donné son accord et la justification.

Exemple de déclaration de politique : Aucun utilisateur accéder à des données à accès restreint sans qu’une demande d’accès approuvée ait été enregistrée. Les demandes d’accès aux données à accès restreint doivent inclure l’identité du demandeur, la justification métier, l’utilisation prévue et la durée demandée. Les autorisations nécessitent la validation à la fois du responsable des données du domaine et du propriétaire des données. Toutes les autorisations et tous les refus sont consignés dans la gouvernance .

4. Politique relative à la qualité des données

Contenu :lesnormes de qualité auxquelles les données doivent satisfaire pour être certifiées, la manière dont la qualité est mesurée, les responsables du suivi et des mesures correctives, ainsi que les conséquences en cas de non-respect des seuils définis.

Éléments clés :

• Dimensions de la qualité : les dimensions spécifiques qui s'appliquent à chaque domaine de données — exactitude, exhaustivité, cohérence, actualité, validité, unicité.
• Seuils de qualité : les seuils spécifiques acceptables pour chaque dimension dans chaque domaine. Exemple : les fiches clients doivent présenter un taux d'exhaustivité supérieur à 95 %, un taux de valeurs nulles inférieur à 3 % dans les champs obligatoires et un délai de mise à jour inférieur à 24 heures.
• Méthode de mesure : comment la qualité est évaluée (profilage automatisé, règles de validation ou vérification manuelle) et à quelle fréquence.
• Critères de certification : combinaison des notes de qualité et de l'évaluation par un responsable, qui permet à un élément d'obtenir le statut de « certifié ».
• Processus de gestion des incidents : comment les problèmes de qualité sont signalés, attribués, hiérarchisés et résolus. Accords de niveau de service (SLA) pour la résolution en fonction de la gravité.
• Responsabilité des propriétaires : les propriétaires des données sont responsables de la qualité des ressources de leur domaine. Tout manquement persistant aux critères de qualité, en dessous des seuils définis, est signalé au propriétaire.

Exemples de seuils de qualité par domaine :

5. Politique de conservation et de cycle de vie des données

Contenu : la durée de conservation des différentes catégories de données, le moment où les données sont archivées, le moment où elles sont supprimées, ainsi que la manière dont les règles relatives à leur cycle de vie sont appliquées.

Éléments clés :

• Calendriers de conservation par catégorie de données : durées minimales et maximales de conservation pour chaque type de données, déterminées en fonction des exigences réglementaires et des besoins de l'entreprise.
• Règles d'archivage : processus par lequel les données sont transférées du stockage actif vers le stockage d'archivage en fonction de leur ancienneté et de leur utilisation.
• Exigences en matière de suppression : comment les données sont définitivement supprimées à l'expiration de leur délai de conservation, y compris les normes de suppression sécurisée applicables aux données sensibles.
• Procédure de conservation à des fins juridiques : comment les données faisant l'objet d'une conservation à des fins juridiques sont exemptées des calendriers de suppression habituels.
• Processus de droit à l'effacement : comment sont traitées les demandes de suppression au titre du RGPD et du CCPA, notamment l'identification de tous les systèmes contenant les données de la personne concernée et la confirmation de leur suppression sur l'ensemble de ces systèmes.
• Responsabilité du propriétaire : les propriétaires des données sont tenus de veiller à ce que les politiques de conservation soient mises en œuvre pour les ressources relevant de leur domaine.

Exemples de calendriers de conservation :

6. Politique de confidentialité

Contenu :Commentles données à caractère personnel sont collectées, utilisées, protégées et supprimées, et comment l'organisation s'acquitte de ses obligations en vertu de la réglementation applicable en matière de protection de la vie privée.

Éléments clés :

• Base légale du traitement : la base légale prévue par le RGPD ou la réglementation applicable pour chaque catégorie de données à caractère personnel traitée par l'organisation.
• Minimisation des données : obligation de ne collecter que les données à caractère personnel nécessaires à la finalité définie et de les effacer une fois cette finalité atteinte.
• Limitation de la finalité : les données à caractère personnel collectées dans un but précis ne peuvent être utilisées à d'autres fins sans consentement explicite ou sans nouvelle base légale.
• Droits des personnes concernées : procédures de traitement des demandes des personnes concernées — droit d'accès, droit de rectification, droit à l'effacement, droit à la portabilité, droit d'opposition.
• Réponse aux violations de données : processus visant à identifier, circonscrire, évaluer et signaler les violations de données, y compris l'obligation de notification prévue par le RGPD dans un délai de 72 heures.
• Transferts transfrontaliers : les règles et garanties applicables lorsque des données à caractère personnel sont transférées en dehors de la juridiction où elles ont été collectées.

7. Politique de sécurité des données

Ce qu'elle couvre :lesmesures techniques et organisationnelles qui protègent les données contre tout accès non autorisé, toute violation, toute perte et toute altération.

Éléments clés :

• Normes de chiffrement : exigences en matière de chiffrement données au repos en transit, par niveau de classification. Les données à accès restreint et confidentielles doivent être chiffrées au repos à l'aide de l'algorithme AES-256 ou d'un algorithme équivalent. Toutes les données en transit doivent être chiffrées à l'aide du protocole TLS 1.2 ou d'une version supérieure.
• Exigences en matière d'authentification : une authentification multifactorielle est requise pour accéder aux systèmes contenant des données à accès restreint ou confidentielles.
• Sécurité réseau : exigences en matière de segmentation, règles de pare-feu et exigences de surveillance pour les systèmes contenant des données sensibles.
• Sécurité des terminaux : exigences relatives aux appareils utilisés pour accéder à des données sensibles : chiffrement, fonctionnalité d'effacement à distance, logiciels agréés.
• Réponse aux incidents : processus visant à détecter, contenir, enquêter et remédier aux incidents de sécurité, y compris les obligations de notification en cas de violation affectant des données à caractère personnel.
• Sécurité des tiers : exigences applicables aux fournisseurs et partenaires qui accèdent aux données de l'organisation ou les traitent.

8. Politique relative aux données en matière d'intelligence artificielle et d'apprentissage automatique

Champ d'application :les gouvernance qui s'appliquent lorsque des données sont utilisées pour entraîner, évaluer ou exploiter des systèmes d'IA et d'apprentissage automatique.

Éléments clés :

• Certification apprentissage : chaque jeu de données pour entraîner optimiser modèle doit être certifié — note de qualité supérieure au seuil défini, examen de la classification des données à caractère personnel (PII) effectué, traçabilité documentée, validation par le responsable de la pertinence pour l'utilisation prévue de l'IA.
• Contrôles relatifs aux données sensibles : les données soumises à des restrictions ne peuvent pas être intégrées dans apprentissage de l'IA sans l'autorisation explicite du propriétaire des données et du gouvernance de l'IA. Des contrôles automatisés préalables à l'ingestion doivent signaler les données soumises à des restrictions avant qu'elles n'atteignent le apprentissage .
• Exigences relatives à l'historique des modèles : les versions apprentissage , la logique d'ingénierie des caractéristiques, les hyperparamètres et les résultats d'évaluation doivent être documentés pour chaque version de modèle en production.
• gouvernance des résultats : les résultats générés par l'IA dans les catégories à haut risque — décisions de crédit, recommandations médicales, décisions en matière d'emploi, signalements de fraude — nécessitent des processus de vérification humaine et des pistes d'audit.
• Évaluation des biais : les modèles apprentissage jeux de données prendre des décisions ayant des conséquences importantes doivent faire l'objet d'une évaluation des biais avant leur déploiement.
• Conformité réglementaire : les systèmes d'IA soumis à la loi européenne sur l'IA ou à une réglementation équivalente doivent faire l'objet d'une documentation conforme aux exigences applicables avant déploiement.

Comment rédiger une gouvernance des données

Étape 1 : Définir le champ d'application – Précisez l’aspect spécifique de gouvernance des données couvert gouvernance politique, ainsi que les domaines de données, les systèmes et les équipes auxquels elle s’applique. Une politique qui s’applique à tout est une politique qui ne régit rien de manière cohérente.

Étape 2 : Préciser l'objectif – Rédigez une ou deux phrases expliquant pourquoi cette politique existe : quel risque elle atténue, quelle exigence réglementaire elle satisfait ou quel objectif commercial elle soutient. Ce contexte aide les personnes concernées à comprendre pourquoi elles doivent la respecter.

Étape 3 : Définissez clairement les règles – Rédigez chaque règle sous la forme d’une affirmation précise et vérifiable. « Les données doivent être correctement gérées » n’est pas une règle de politique. « Les données à caractère personnel des clients doivent être chiffrées au repos à l’aide de l’algorithme AES-256 ou d’un algorithme équivalent et ne doivent pas être stockées sur des terminaux non gérés » est une règle de politique.

Étape 4 : Définir les responsabilités –Désignezles personnes chargées de respecter la politique et celles chargées de la faire appliquer. Chaque politique doit avoir un responsable désigné, chargé de la tenir à jour.

Étape 5 : Définir les mesures d'application – Décrivez comment le respect de la politique est évalué et contrôlé. Définissez les conséquences en cas de non-respect ainsi que la procédure d'escalade en cas d'infraction.

Étape 6 : Définir une fréquence de révision – Chaque politique doit faire l'objet d'une révision à une date prédéfinie — au moins une fois par an, ou lorsque les exigences réglementaires évoluent, lorsque l'environnement de données de l'organisation subit des changements significatifs, ou lorsqu'un incident de conformité met en évidence une lacune.

Étape 7 : Obtenir l'approbation et publier –Les politiquesdoivent être approuvées par une autorité compétente (le gouvernance des données, le CDO ou les responsables de la conformité concernés) avant leur publication. Une fois publiées, les politiques doivent être accessibles à toutes les personnes concernées.

Mise en œuvre gouvernance des données

Commencez par les domaines présentant le plus grand risque : Mettez d'abord en œuvre des politiques pour les domaines de données présentant la plus grande exposition réglementaire ou le plus grand risque opérationnel : les informations personnelles identifiables (PII) des clients, les données financières, les informations médicales protégées (PHI). La mise en place d'une couverture complète par des politiques dans tous les domaines prend du temps. Commencer par les domaines présentant le plus grand risque permet d'obtenir immédiatement des résultats en matière de conformité.

Embarquer dans les outils : Les politiques mises en œuvre via des processus manuels perdent de leur efficacité au fil du temps. Un catalogue de données et gouvernance automatisent l’application des politiques : les politiques de contrôle d’accès s’appliquent au moment de la requête, la surveillance de la qualité s’effectue en continu, les balises de classification sont appliquées automatiquement et les pistes d’audit sont conservées sans intervention manuelle. Les politiques pouvant être intégrées dans les outils sont appliquées de manière plus cohérente que celles qui reposent sur la mémoire des utilisateurs.

entraîner personnes qui dépendent d'eux : Les propriétaires de données, les gestionnaires de données, les ingénieurs et les analystes doivent comprendre ce que les politiques attendent d’eux. apprentissage être adaptée à chaque rôle — un gestionnaire de données a besoin apprentissage différente apprentissage un ingénieur de données — et doit être renouvelée lorsque les politiques changent de manière significative.

Mesurer la conformité :définirdes indicateurs pour chaque politique : pourcentage d'actifs de données dotés de balises de classification, pourcentage de demandes d'accès traitées dans les délais prévus par SLA, évolution des scores de qualité par domaine, pourcentage de modèles d'IA en production utilisant apprentissage certifiées. Examiner ces indicateurs dans les rapports gouvernance . Les politiques qui ne font pas l'objet de mesures ne sont pas appliquées.

Réviser et mettre à jour régulièrement :les exigences réglementaireschangent. Les environnements de données évoluent. Les organisations se développent. Les politiques rédigées il y a deux ans peuvent ne plus couvrir les nouveaux types de données, les nouvelles réglementations ou les nouveaux cas d'utilisation de l'IA. Prévoyez des révisions annuelles pour toutes les politiques et procédez à des révisions immédiates en cas de changement significatif.