Les défaillances d'authentification dans les systèmes connectés à l'IA entraînent des amendes RGPD, avertit Salt Security.

Une mesure d'exécution de 2025 contre Vodafone GmbH signale une évolution réglementaire croissante : les défaillances de gouvernance de l'authentification dans les systèmes d'entreprise ne sont plus traitées comme une dette technique. Elles constituent des responsabilités en matière de conformité avec des conséquences financières immédiates, et la pression s'intensifie à l'approche de 2026.

PALO ALTO, Californie, 29 juin 2026 — Salt Security, le leader en sécurité Agentic et API, a publié aujourd'hui des directives à l'intention des équipes de sécurité et de conformité des entreprises, suite à l'amende RGPD de 30 millions d'euros (34 millions de dollars) infligée à Vodafone GmbH par le Commissaire fédéral allemand à la protection des données et à la liberté d'information (BfDI) pour des failles de sécurité dans le processus d'authentification des clients utilisant son portail en ligne et sa ligne d'assistance MeinVodafone. Le BfDI a déterminé que les vulnérabilités d'authentification permettaient à des tiers non autorisés d'accéder aux profils eSIM des clients, facilitant ainsi les attaques par échange de carte SIM et la compromission potentielle de l'authentification à deux facteurs sur les services connectés.

La mesure d'exécution, rapportée par The Record from Recorded Future News, fait partie d'une amende totale de 45 millions d'euros qui comprenait également une pénalité de 15 millions d'euros pour le manquement de Vodafone à surveiller adéquatement ses agences partenaires tierces. Vodafone a reconnu que « les systèmes et mesures en place à l'époque se sont finalement avérés insuffisants » et a depuis révisé son infrastructure d'authentification.

Le cas Vodafone n'est pas un incident isolé. Il reflète une tendance qui s'étend bien au-delà des télécommunications. À mesure que les entreprises déploient des agents IA et des systèmes connectés sur leur infrastructure en contact avec la clientèle, les contrôles d'authentification régissant ce à quoi ces systèmes peuvent accéder sont devenus la première ligne de la responsabilité réglementaire. Le total des sanctions RGPD a dépassé 5,88 milliards d'euros depuis 2018, et les régulateurs se concentrent de plus en plus sur la question de savoir si les organisations disposaient de l'infrastructure de gouvernance nécessaire pour prévenir les incidents, et non seulement si elles y ont réagi.

L'orientation des régulateurs eux-mêmes est claire. La commissaire du BfDI, Louisa Specht-Riemenschneider, a déclaré que sa motivation est de « garantir que les violations de la protection des données ne se produisent pas en premier lieu », ajoutant que « la protection des données est un facteur de confiance pour les utilisateurs de services numériques et peut donc devenir un avantage concurrentiel ». Cette approche, la prévention plutôt que la réaction, est la norme que les entreprises devraient adopter dès maintenant, avant l'entrée en vigueur de la loi européenne sur l'IA en août 2026.

« La mesure d'exécution de Vodafone de 2025 est un signal que les entreprises ne peuvent se permettre d'ignorer en 2026. Les régulateurs n'attendent pas une violation pour déclencher des mesures d'exécution. Ils examinent minutieusement les contrôles qui auraient dû l'empêcher. À mesure que les organisations déploient davantage d'agents IA et de services connectés, les contrôles d'authentification régissant ce que ces systèmes peuvent atteindre deviennent une exigence réglementaire, et non plus seulement une bonne pratique de sécurité. L'audit aura lieu. La question est de savoir si votre position tiendra le coup le moment venu. » Roey Eliyahu, PDG et cofondateur, Salt Security

Ce que les régulateurs attendent des organisations qu'elles démontrent

Basé sur le modèle des mesures d'exécution du RGPD impliquant des vulnérabilités des systèmes connectés, Salt Security a identifié trois capacités que les régulateurs attendent des organisations qu'elles démontrent :

• Inventaire complet des agents et des systèmes connectés : La capacité de montrer quels agents IA, systèmes connectés et services d'intégration existent dans l'environnement, quelles exigences d'authentification chacun comporte, et quand chacun a été examiné pour la dernière fois. Les régulateurs ont constamment cité l'absence d'inventaire systématique comme preuve de contrôles inadéquats en vertu de l'article 32 du RGPD.
• Surveillance comportementale en temps réel sur l'ensemble de la pile connectée : Preuve que l'activité des agents IA et des systèmes connectés est surveillée en continu pour détecter les comportements anormaux, et non examinée périodiquement après coup. Dans le cas de Vodafone, des vulnérabilités d'authentification étaient présentes avant la détection, créant une fenêtre d'exposition pour les données clients avant que le problème ne soit identifié et corrigé.
• Piste d'audit des actions et accès système : La capacité de produire un enregistrement complet de quels systèmes ont été accédés, par qui ou par quel agent, quand, et si cet accès a été correctement authentifié et autorisé. Les organisations qui ne peuvent pas reconstituer cette chronologie lorsque les régulateurs le demandent s'exposent à une responsabilité accrue.

La plateforme Agentic Security de Salt Security répond à ces trois exigences. La plateforme offre une découverte continue des agents, des serveurs MCP et des systèmes connectés à travers le graphe de sécurité Agentic, une surveillance comportementale qui détecte les modèles d'accès anormaux par rapport aux bases de référence établies, ainsi que la gestion de la posture et la piste d'audit dont les équipes de conformité ont besoin avant l'ouverture d'une enquête plutôt qu'après.

« Les défaillances d'authentification dans les systèmes d'entreprise agentiques et connectés figurent parmi les lacunes de gouvernance les plus courantes et les plus importantes que nous observons dans les environnements d'entreprise. La mesure d'exécution contre Vodafone rappelle que l'objectif n'est pas de trouver ces lacunes après une action réglementaire. Il s'agit de construire l'infrastructure de visibilité et de gouvernance pour les trouver en premier. » Michael Callahan, Vice-président de la stratégie cyber, Salt Security

L'orientation réglementaire générale

L'amende infligée à Vodafone fait suite à une action coercitive de 42 millions d'euros contre l'opérateur de télécommunications français Free Mobile pour une violation ayant exposé 24 millions de dossiers clients, et reflète une orientation réglementaire constante : la responsabilité des résultats concrets des systèmes connectés, et non pas seulement la documentation des intentions. La loi européenne sur l'IA, dont l'application débutera en août 2026, ajoute des exigences de gouvernance spécifiquement pour les systèmes d'IA interagissant avec les données et services d'entreprise. Des lois de gouvernance de l'IA au niveau des États du Colorado, de la Californie et du Texas établissent des cadres de responsabilité similaires aux États-Unis.

Les entreprises qui traitent la gouvernance de l'authentification dans leurs systèmes connectés et autonomes comme une préoccupation de développement plutôt que de conformité opèrent avec une hypothèse réglementaire que les régulateurs ne partagent plus.