Données opérationnelles, BI, IA et jumeaux numériques des installations : audit, conseil, formation et assistance technique pour le pétrole, le gaz et les mines

Cadre réglementaire et normatif des données, de l'IA et des jumeaux numériques

Le règlement européen sur l'intelligence artificielle

Le règlement (UE) 2024/1689 du 13 juin 2024 fixe des règles harmonisées selon le niveau de risque des systèmes d'IA : pratiques interdites, systèmes à haut risque, obligations de transparence pour certains usages et régime propre aux modèles à usage général. Les obligations dépendent du rôle. Le fournisseur développe un système ou le fait développer pour le mettre sur le marché sous son nom ; le déployeur l'utilise sous sa propre autorité. Un exploitant qui adopte un outil d'analyse est en général déployeur. Un bureau d'études ou une société de services qui construit un modèle et le propose à ses clients peut devenir fournisseur.

Le calendrier a été modifié. Les interdictions et l'obligation de sensibilisation des personnels à l'IA (article 4) s'appliquent depuis le 2 février 2025, les règles sur les modèles à usage général depuis le 2 août 2025. Le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026, reporte les obligations des systèmes à haut risque de l'annexe III au 2 décembre 2027 et celles des systèmes intégrés dans des produits de l'annexe I au 2 août 2028, et reformule l'article 4 en obligation de moyens. Le texte consolidé fait foi : il se consulte avant de fixer une échéance interne.

Pour les hydrocarbures et les mines, l'annexe III se lit avec attention : elle vise notamment les composants de sécurité dans la gestion et l'exploitation des infrastructures critiques, dont la fourniture de gaz. La surveillance d'état de machines, les tableaux de bord ou la recherche documentaire ne sont pas, en soi, concernés ; le classement dépend de l'usage précis et revient à l'organisation qui met le système en service.

RGPD, règlement sur les données et secret des affaires

Les données d'exploitation sont d'abord des mesures de machines, mais elles contiennent souvent des données personnelles : identifiants d'opérateurs dans les journaux d'événements, noms dans les ordres de travail et les permis, géolocalisation des engins et des personnes, images de caméras. Le règlement (UE) 2016/679 (RGPD) et la loi n° 78-17 du 6 janvier 1978 s'appliquent alors : finalité déterminée, minimisation, durée de conservation, information des personnes, sécurité, analyse d'impact lorsque le risque est élevé. Un dispositif qui contrôle l'activité des salariés suppose en outre l'information et la consultation du comité social et économique (article L. 2312-38 du code du travail). La CNIL publie des recommandations sur le développement de systèmes d'IA conformes au RGPD (règlement général sur la protection des données).

Le règlement (UE) 2023/2854, dit règlement sur les données, est applicable depuis le 12 septembre 2025. Il organise l'accès aux données générées par les produits connectés et les services connexes, machines industrielles comprises, et leur partage, et il encadre le changement de fournisseur de services de traitement de données en nuage. L'obligation de conception qui rend ces données accessibles par défaut s'applique aux produits mis sur le marché à partir du 12 septembre 2026. En pratique, un exploitant relit ses contrats d'achat d'équipements connectés et de télémaintenance : qui accède aux données d'un compresseur, à quelles conditions, avec quelle portabilité.

Les données de puits, de gisement et de plan minier relèvent en outre du secret des affaires (articles L. 151-1 et suivants du code de commerce, issus de la directive (UE) 2016/943). Leur circulation est encadrée par les contrats du donneur d'ordre et par les licences d'acquisition des données.

Cybersécurité industrielle et référentiels de données

Une plateforme de données qui reçoit des mesures de procédé crée un chemin entre le réseau industriel et le système d'information. La série IEC (International Electrotechnical Commission, Commission électrotechnique internationale) 62443 est le référentiel de sécurité des systèmes d'automatisation et de contrôle industriels, et l'ANSSI publie des guides sur la cybersécurité des systèmes industriels. La directive (UE) 2022/2555, dite NIS2, n'est pas encore transposée en droit français à la date de rédaction : nous suivons son état d'avancement sans promettre de conformité.

Côté données, plusieurs référentiels servent de langage commun. La série IEC 62264 (ISA-95) décrit les niveaux entre le procédé, la supervision, l'exécution de production et l'entreprise. IEC 62541 définit OPC UA (OPC Unified Architecture, architecture unifiée de l'OPC Foundation), interface courante pour exposer des données de procédé de façon structurée. La norme ISO 14224 fixe, pour les industries du pétrole, de la pétrochimie et du gaz naturel, la collecte et l'échange des données de fiabilité et de maintenance : taxonomie des équipements, modes et causes de défaillance. ISO (International Organization for Standardization, Organisation internationale de normalisation) 15926 traite l'intégration des données de cycle de vie des installations de procédé, ISO 23247 propose un cadre de jumeau numérique écrit pour la fabrication, et ISO/IEC 42001 décrit un système de management de l'IA. Pour le sous-sol, les formats Energistics (WITSML, PRODML, RESQML) et le forum OSDU (Open Subsurface Data Universe, plateforme de données du sous-sol) structurent l'échange des données de forage, de production et de réservoir. Ces normes sont volontaires, sauf si un contrat ou un texte les rend applicables.

Les enjeux d'un exploitant ou d'un sous-traitant

Relier chaque donnée à l'équipement qui l'a produite

Un capteur de pression sans équipement associé, une alarme sans horodatage fiable, un ordre de travail dont la cause de panne est un texte libre : ce sont les obstacles ordinaires. Les historiens de procédé enregistrent des milliers de tags dont les noms changent d'une unité à l'autre, les unités de mesure ne sont pas toujours cohérentes, les capteurs dérivent, les arrêts programmés laissent des trous. En mine, le dispatching des engins, les relevés topographiques, les résultats de laboratoire et le plan minier vivent chacun dans leur outil.

Avant tout modèle, le travail utile consiste à établir une nomenclature des équipements, un dictionnaire des tags, des contrôles de qualité et un lignage des données, sur le modèle de la taxonomie d'ISO 14224. Les obligations de mesure, de quantification, de déclaration et de vérification des émissions de méthane du règlement (UE) 2024/1787 demandent aussi des chaînes de données traçables, de la mesure jusqu'au rapport.

Sécurité des procédés : une analyse n'est pas une barrière

Une analyse, un modèle ou un assistant se place sur le chemin de la décision, jamais sur celui de la protection. Les fonctions instrumentées de sécurité relèvent de la sécurité fonctionnelle (IEC 61511) et leur intégrité repose sur des architectures, des essais et une gestion des modifications qui n'admettent pas un composant probabiliste non qualifié. Un modèle d'apprentissage qui détecte une dérive peut déclencher une inspection, ajuster une priorité de maintenance ou alerter un opérateur. Il ne remplace pas une barrière, ne change pas un seuil d'alarme et n'écrit pas dans le procédé sans décision d'exploitation formalisée.

La remontée des données se fait donc en lecture seule, par des chemins validés avec les responsables de cybersécurité industrielle. Un modèle qui multiplie les alertes dégrade aussi la sécurité s'il surcharge l'opérateur : la gestion des alarmes (IEC 62682) rappelle qu'une alerte supplémentaire a un coût. Pour un assistant génératif interrogeant des documents techniques, la règle est la même : citer les sources, signaler l'incertitude et laisser la validation à un ingénieur.

Confidentialité et hébergement des données d'exploitation

Les données sismiques, de puits et de gisement, les plans miniers et les modèles géologiques sont des actifs confidentiels, parfois la propriété d'un État ou d'un partenaire de l'exploitant. Un outil d'IA en ligne, une plateforme en nuage ou un partage avec un prestataire ne sont acceptables que si le contrat et la licence des données l'autorisent. Les questions à poser sont simples : où les données sont hébergées, qui y accède (télémaintenance de l'éditeur comprise), quelles lois étrangères peuvent viser l'hébergeur, si l'éditeur peut s'en servir pour entraîner ses propres modèles, comment les récupérer en fin de contrat.

Certains donneurs d'ordre exigent un hébergement qualifié selon le référentiel SecNumCloud de l'ANSSI (Agence nationale de la sécurité des systèmes d'information). Pour les projets à l'étranger, le contrôle des exportations (règlement (UE) 2021/821) peut viser certains logiciels et certaines technologies, ce qui se vérifie avec un conseil spécialisé avant tout échange.

Rôles et responsabilités

L'exploitant et le donneur d'ordre

L'exploitant reste responsable de la sécurité de ses installations, de la qualité de ses données de référence, de ses décisions d'exploitation et de la conformité de ses traitements. Il désigne le propriétaire de chaque jeu de données, fixe les usages autorisés, valide un modèle avant de s'en servir dans une décision et applique sa gestion des modifications aux logiques, aux seuils et aux interfaces. Dans les établissements Seveso, cette gestion des modifications fait partie du système de gestion de la sécurité.

Plusieurs fonctions interviennent : ingénieurs données et data scientists, responsables intégrité et maintenance qui utilisent les résultats, responsable de la sécurité des systèmes d'information, responsable cybersécurité industrielle, référent données personnelles, juristes et direction de site. Un projet de données qui oublie l'une d'elles s'arrête souvent au moment de la mise en service.

Les prestataires, les éditeurs et les hébergeurs

Le sous-traitant qui intervient sur site reçoit des exigences en cascade : confidentialité, accès, sécurité du poste de travail, interdiction d'outils d'IA externes, hébergement en Europe. L'éditeur d'une plateforme répond de son produit et de ses mises à jour, l'hébergeur de la disponibilité et de la sécurité de l'infrastructure. Le RGPD distingue le responsable de traitement du sous-traitant, le règlement sur l'IA distingue le fournisseur du déployeur, et un prestataire qui construit un modèle pour son client peut changer de rôle d'un texte à l'autre.

Les contrats gagnent à écrire noir sur blanc la propriété des modèles et des données dérivées, la réversibilité, la journalisation des accès, les droits d'audit et le sort des données à la fin de la mission.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous auditons des chaînes de données et des usages d'IA, du capteur au rapport. Nous conseillons sur l'architecture, la gouvernance et le choix des cas d'usage. Nous concevons des modèles de données, des tableaux de bord, des pipelines, des prototypes de modèle ou d'assistant et des maquettes numériques. Nous déployons un pilote sur une unité ou un site, avec recette et plan de généralisation. Nous formons les équipes sur leurs propres jeux de données, anonymisés si nécessaire.

Nos missions d'assistance technique sont réalisées par des intervenants encadrés par Optédif, dans le cadre d'un contrat de prestation portant sur un objectif, un livrable ou un périmètre défini avec vous, au forfait ou en récurrent. La première réponse intervient sous 48 heures ouvrées, le devis après un échange sur le périmètre et les contraintes de confidentialité.

Ce que nous ne faisons pas

Nous ne délivrons ni certification, ni attestation, ni habilitation, ni autorisation. Nous ne sommes ni organisme notifié ou habilité, ni prestataire qualifié par l'ANSSI. Nous ne signons ni analyse de risques, ni validation d'une fonction de sécurité, ni classement d'un système au regard du règlement sur l'IA : ces décisions appartiennent à l'exploitant. Nos échanges de méthode ne valent pas consultation juridique.

Nous ne distribuons ni licence ni plateforme et nous ne sommes pas partenaires commerciaux des éditeurs : les marques citées appartiennent à leurs titulaires, et nous formons, conseillons et intervenons sur ces outils. Nous n'écrivons pas dans vos systèmes de contrôle-commande. Nous ne plaçons pas de personnel sous votre autorité. Nous n'intervenons pas sur des données soumises au contrôle des exportations ou à une confidentialité renforcée sans cadre contractuel défini au préalable avec vous.

Références officielles

• Règlement (UE) 2024/1689 sur l'intelligence artificielle et règlement (UE) 2026/1744 qui le modifie, sur EUR-Lex.
• Règlement (UE) 2016/679 (RGPD) et CNIL.
• Règlement (UE) 2023/2854 sur les données.
• ANSSI, pour la cybersécurité des systèmes industriels.
• Légifrance, pour le code du travail et le code de commerce.