Cadres de conformité : ce qu’ils sont et ce qu’ils demandent à vos données

Points clés

• Un cadre est un système, pas une liste de contrôle : il organise lois, réglementations et normes en un ensemble reproductible de contrôles et les preuves qui les prouvent.
• Les cadres, réglementations et normes diffèrent : les réglementations sont juridiquement contraignantes ; les cadres et normes sont les structures que les organisations adoptent pour les respecter et les prouver.
• La monnaie de la version compte en 2026 : ISO/IEC 27001:2022 est la seule version valide, les exigences datées de PCI DSS 4.0.1 sont pleinement en vigueur, et le NIST CSF 2.0 a ajouté la fonction Gouverner, axée sur la gestion des risques de cybersécurité par les entreprises.
• Chaque framework demande les mêmes éléments fondamentaux à vos données : résidence, chiffrement, contrôle d’accès, lignée et traces d’audit, et rétention. Le travail est architectural, pas procédural.

Qu’est-ce qu’un cadre de conformité ?

Un cadre de conformité est un ensemble structuré de politiques, de contrôles et de processus qu’une organisation utilise pour répondre aux exigences des lois, réglementations et normes du secteur. Au lieu de traiter chaque obligation séparément, un cadre les organise en un système reproductible : quoi protéger, quels contrôles appliquer et comment le prouver.

Cette dernière partie — la preuve — est là où les cadres deviennent un problème de données. Les certifications et audits sont gagnés ou perdus sur la base de preuves, telles que les enregistrements d’accès, le statut du chiffrement, la lignée des données et les journaux de rétention. Ce guide se concentre sur les cadres qui régissent les données, la sécurité et la confidentialité, et aborde chacun du point de vue des équipes chargées de conformer les données de l’entreprise.

Cadres de conformité vs. réglementations vs. normes

Les trois termes sont utilisés de manière interchangeable, mais ce sont des instruments différents. Savoir lequel est lequel vous indique ce qui est légalement requis versus ce qui est créé pour répondre à ces exigences.

Type	Ce que c’est	Exemples
Réglementation	Règles juridiquement contraignantes émises par les gouvernements ; le non-respect entraîne des sanctions.	RGPD, HIPAA, CCPA/CPRA, LOI SUR L’IA de l’UE
Cadre	Un système structuré, souvent certifié, de contrôles pour le respect des obligations.	SOC 2, NIST CSF, FedRAMP
Standard	Une spécification officielle publiée, généralement par un organisme de normalisation.	ISO/IEC 27001:2022, PCI DSS

Dans l’usage courant, le « cadre de conformité » englobe les trois aspects. Les organisations adoptent des cadres et des normes pour démontrer qu’elles respectent les réglementations. La distinction est particulièrement importante pour les programmes de conformité des données , où les réglementations définissent ce qui doit être vrai pour les données et les cadres définissent comment vous les opérationnaliser et les prouver.

Les principaux cadres de conformité en 2026

Plusieurs cadres courants ont beaucoup évolué ces deux dernières années, et la plupart des guides de classement n’ont pas encore suivi. Voici ceux que la plupart des entreprises rencontrent, tels qu’ils sont en 2026.

SOC 2

Un cadre d’attestation AICPA construit sur les critères des services de confiance : sécurité, disponibilité, intégrité du traitement, confidentialité et confidentialité. Le SOC 2 produit un rapport d’auditeur plutôt qu’un certificat. Pour les équipes de données, cela signifie des contrôles d’accès démontrables, du chiffrement, de la surveillance et de la gestion des changements sur les systèmes qui détiennent les données clients.

ISO/IEC 27001:2022

La norme internationale pour les systèmes de gestion de la sécurité de l’information. La révision de 2022 est désormais la seule version valide. Les certificats de l’édition 2013 ont été retirés à la date limite de transition d’octobre 2025, l’annexe A étant regroupée à 93 contrôles. Ses obligations de données couvrent la classification, le contrôle d’accès, la cryptographie et la journalisation.

NIST CSF 2.0

Le cadre de cybersécurité du NIST américain, volontaire et largement adopté et réorganisé en version 2.0, se compose de six fonctions : Gouverner, Identifier, Protéger, Détecter, Répondre et Récupérer. La fonction Gouvernance ajoutée attire la gouvernance des données, les rôles et les politiques au cœur du cadre plutôt qu’à sa périphérie.

PCI DSS 4.0.1

La norme de sécurité des données de l’industrie des cartes de paiement. Toutes les exigences datées de la version 4 sont pleinement en vigueur depuis le 1er avril 2025, ce qui élève la barre de l’authentification, du chiffrement des données stockées des titulaires de carte et de la surveillance continue. Son mandat de données est une minimisation stricte : conservez uniquement les données des titulaires de carte que vous devez absolument, segmentez-les et restreignez l’accès aux informations nécessaires.

HIPAA

La réglementation américaine sur les données de santé comprend une règle de sécurité qui fonctionne de facto comme un cadre de facto pour les informations de santé électroniques protégées (ePHI), incluant des garanties administratives, physiques et techniques, des contrôles d’accès, des journaux d’audit et des notifications de violation. Les plateformes de données de santé sont en fait des systèmes de preuves HIPAA.

RGPD

Le règlement européen sur la protection des données — qui est une loi, non un cadre — est l’ancre de la plupart des programmes de confidentialité. Il exige une base légale et un consentement, des droits des personnes concernées (accès, rectification, effacement), la minimisation et des contrôles sur les transferts transfrontaliers. Les amendes de niveau supérieur pour infractions atteignent jusqu’à 4 % du chiffre d’affaires annuel mondial ou 20 millions d’euros par rapport à l’exercice financier précédent, selon le montant le plus élevé. Des cadres tels que l’ISO/IEC 27701 le mettent en œuvre.

FedRAMP

Le programme fédéral d’autorisation américain pour les services cloud, fondé sur les contrôles du NIST et la surveillance continue, et récemment modernisé dans le cadre de son initiative 20x. Les fournisseurs cloud qui servent les données fédérales doivent détenir une autorisation. Pour en savoir plus sur le fonctionnement actuel du programme, consultez le guide de Teradata sur FedRAMP.

Qu’est-ce que la conformité en matière de sécurité cloud ?

Au fond, la conformité en sécurité cloud consiste à respecter des cadres et réglementations axés sur la sécurité dans les environnements cloud, tout en prouvant que les données stockées et traitées dans le cloud sont protégées selon les normes requises par le cadre. Elle s’inscrit dans la discipline plus large de la conformité cloud et hérite du modèle de responsabilité partagée du cloud.

Cette répartition des responsabilités partagées est la caractéristique déterminante. Le fournisseur cloud sécurise l’infrastructure, tandis que le client reste responsable des données, telles que la classification, l’accès, les clés de chiffrement et la configuration. Avec la conformité cloud, les cadres couvrent les deux, même si les preuves proviennent de différentes couches.

Qu’est-ce que la conformité en matière de sécurité des données ?

La conformité à la sécurité des données signifie respecter les exigences que les cadres et réglementations imposent aux données elles-mêmes, où qu’elles se trouvent. Elle est centrée sur les données plutôt que sur le système et couvre tout, de la classification des données sensibles et le contrôle de qui peut y accéder au chiffrement des données en transit et au repos, en passant par la consignation de chaque contact, et leur conservation ou suppression dans les délais.

Cette distinction est importante au fur et à mesure que les données se déplacent. Un enregistrement peut être conforme dans un système et exposé dans le suivant. Les programmes matures attachent donc des contrôles à la couche de données. Ces politiques suivent les données à travers les environnements, au lieu de reconstruire les contrôles application par application.

Cadres de conformité IA : la nouvelle vague

Une nouvelle génération de cadres gouverne désormais la manière dont les organisations construisent et gèrent l’IA. Et presque toutes leurs exigences se concentrent sur la gouvernance des données. En pratique, les cadres de conformité de l’IA sont des cadres de gouvernance des données avec un modèle associé.

ISO/IEC 42001

La première norme de système de gestion certifiée pour l’IA, publiée en 2023. Elle applique le modèle ISO du système de gestion à l’IA, couvrant l’évaluation des risques, l’analyse d’impact, les contrôles du cycle de vie et l’amélioration continue. Elle inclut la gouvernance des données utilisées pour entraîner et exploiter les modèles.

NIST AI RMF

Un cadre volontaire américain pour une IA fiable organisé autour de quatre fonctions : Gouverner, Cartographier, Mesurer et Gérer. Les équipes de données sont responsables de la gestion de nombreuses de leurs exigences pratiques, notamment la provenance, la mesure de la qualité, l’évaluation des biais et la documentation des ensembles de données derrière chaque modèle.

Loi sur l’IA de l’UE

La loi européenne sur l’IA, avec des obligations qui s’appliquent progressivement jusqu’en 2026 et au-delà. Elle a commencé par des interdictions, puis a ajouté des fonctions de modèle à usage général à partir d’août 2025. Un régime plus large, incluant des exigences de systèmes à haut risque, s’est appliqué à partir de 2026. Pour l’IA à haut risque, elle impose la gouvernance directe des données, la qualité des données d’entraînement, leur pertinence et leur documentation.

Ce que les cadres de conformité exigent à partir de vos données

En supprimant le vocabulaire de chaque cadre, un noyau commun subsiste. Presque tous les cadres ci-dessus demandent les mêmes éléments centraux des données d’entreprise. Les audits sont réussis en les prouvant continuellement, et non annuellement.

Résidence et souveraineté

Là où les données se trouvent physiquement, et la loi de quelle juridiction s’applique. Le RGPD restreint les transferts ; FedRAMP exige des environnements autorisés ; les règles sectorielles et nationales exigent de plus en plus un traitement en interne. L’architecture doit faire de la localisation une propriété contrôlable et prouvante des données.

Chiffrement et contrôle d’accès

Le chiffrement en transit et au repos, la gestion des clés, et l’accès à privilège minimal — l’exigence que chaque cadre partage, des critères de sécurité du SOC 2 aux règles de données des titulaires de carte du PCI DSS en passant par les garanties techniques de la HIPAA. La preuve est le journal d’accès, plutôt qu’un document de politique.

Lignée, audit et rétention

Qui a touché à quelles données, d’où elles viennent, comment elles ont été transformées, et combien de temps elles sont conservées. Lineage répond à l’obligation de « le prouver » de l’auditeur. Les calendriers de rétention et de suppression répondent aux exigences de minimisation. Et les traces d’audit transforment la conformité d’un événement annuel en une propriété interrogable de la plateforme.

Une seule plateforme de données, de nombreux frameworks

La plupart des entreprises sont dans le cadre de plusieurs cadres simultanément. SOC 2 pour les clients, ISO/IEC 27001:2022 pour les opérations mondiales, RGPD et HIPAA par juridiction et secteur, et PCI DSS pour les paiements. Mis en œuvre séparément, cela signifie des contrôles en double, des audits qui se chevauchent et des réponses incohérentes.

L’alternative est de déployer le noyau de contrôle commun une seule fois, au niveau de la plateforme de données. Cela signifie un contrôle d’accès unifié, le chiffrement, la lignée, les règles de qualité et des politiques de conservation appliquées là où les données se trouvent, permettant à chaque cadre de consommer les mêmes preuves. Un seul domaine de données régis, de nombreuses attestations. C’est la version de la couche de données de la cartographie de contrôle unifiée, et elle fait la différence entre la conformité en tant que projet récurrent et la conformité inhérente à l’architecture.

Comment choisir le bon cadre de conformité

Le choix du cadre est principalement déterminé pour vous par le secteur, la juridiction, les clients et les données que vous détenez. Les choix restants sont le séquençage et la profondeur.

Industrie	Cadres typiques	Ce que cela signifie pour vos données
Soins de santé	HIPAA, ISO/IEC 27001:2022	Contrôles d’accès ePHI, journaux d’audit, lignée prête à la brèche.
Services financiers	SOX, PCI DSS, ISO/IEC 27001:2022, DORA (UE)	Minimisation des données des titulaires de carte, contrôles d’intégrité, preuves de résilience opérationnelle.
SaaS et technologie	SOC 2, ISO/IEC 27001:2022, RGPD	Preuves d’accès aux données clients, chiffrement, respect des droits des personnes concernées.
Secteur public	FedRAMP, NIST CSF 2.0	Environnements autorisés, surveillance continue, résidence des données aux États-Unis.
Vente au détail et e-commerce	PCI DSS, RGPD/CCPA	Segmentation des données de paiement, consentement et application des préférences.

Trois questions testent si votre patrimoine de données est prêt pour l’audit avant le début de tout projet cadre :

• Pouvez-vous localiser et classifier les données sensibles dans le champ d’application ?
• Pouvez-vous produire des preuves d’accès et de lignée à sa demande ?
• Peut-on faire respecter la résidence, la conservation et la suppression là où les données se trouvent ?

Si une réponse est non, il existe un écart de cadre dans l’architecture.

Comment les cadres de conformité soutiennent-ils la souveraineté des données ?

Les cadres de conformité complètent la souveraineté des données en transformant les exigences juridictionnelles en contrôles exécutoires. Cela inclut les règles de résidence qui conservent les données dans le pays, les politiques d’accès respectant la législation locale, les mécanismes de transfert pour les déplacements transfrontaliers, et les preuves d’audit qui prouvent les trois aspects. La souveraineté définit où et selon quel droit la conformité s’applique. Les cadres définissent comment vous vous conformez et comment vous la démontrez.

Comment Teradata prend en charge les données prêtes à la conformité

L’approche de Teradata est de faire de la conformité une propriété de la plateforme de données. Teradata Cloud propose des attestations indépendantes sur lesquelles les entreprises comptent, notamment ISO/IEC 27001:2022 et SOC 2 Type 2 depuis 2016, les évaluations IRAP PROTECTED pour des charges de travail gouvernementales sur AWS, Azure et Google Cloud, ainsi que le statut FedRAMP pour les environnements fédéraux américains. Bien que les capacités de la plateforme fournissent les cadres de preuves exigés, tels que le contrôle d’accès précis, le chiffrement, la lignée, les règles de qualité et la conservation appliquée là où les données se trouvent. Pour les organisations ayant des exigences strictes de résidence ou de souveraineté, Teradata Factory étend la même plateforme aux déploiements privés sur site.

Explorez les certifications et la conformité des données pour découvrir comment Teradata respecte les normes industrielles et les politiques réglementaires.

Questions fréquemment posées