Légalité et droits fondamentaux
Toute activité respecte le droit applicable, la dignité, la vie privée, la protection des données, la liberté d’expression, l’égalité et les droits de l’enfant.
Intérêt général · droits · responsabilité
La confiance exige des règles visibles.
Ce code transforme les valeurs de l’IBCSC en décisions vérifiables. Il encadre la recherche en cybersécurité, les publications, les formations, l’usage de l’intelligence artificielle, les partenariats et toute activité menée au nom de l’association.
Version 1.0
26 juillet 2026
Dignité avant performanceLa sécurité ne justifie pas une atteinte disproportionnée aux personnes.
Indépendance documentéeUn financeur ou partenaire ne contrôle pas les conclusions de l’Institut.
Limites annoncéesCompétence, incertitude et conflits d’intérêts restent visibles.
Droit de questionnerUne préoccupation de bonne foi peut être signalée sans représailles internes.
Un code applicable, pas une déclaration décorative.
Le code sert à préparer une activité, arbitrer un doute, documenter un refus et examiner un écart. Le respect du droit constitue le minimum. Lorsqu’une action reste techniquement possible mais humainement risquée, l’Institut choisit l’option qui protège le mieux les personnes et l’intérêt général.
- Personnes concernées
- Administrateurs, membres, salariés, bénévoles, formateurs, experts, stagiaires, prestataires et partenaires lorsqu’ils agissent au nom de l’IBCSC.
- Règle de décision
- En cas de doute sérieux, l’activité est suspendue le temps de clarifier le droit applicable, l’autorisation, l’impact et la personne responsable.
Huit engagements non négociables.
Chaque engagement doit produire une trace concrète dans le travail. Une intention positive ne compense pas une méthode intrusive, une source faible ou une responsabilité indéfinie.
Nécessité et proportionnalité
La collecte, le test et la diffusion sont limités à ce qui est réellement nécessaire. L’option la moins intrusive capable d’atteindre l’objectif est privilégiée.
Indépendance et neutralité
L’IBCSC reste indépendant des intérêts commerciaux, partisans ou personnels. Il ne se présente pas comme une autorité publique et n’utilise pas ses activités pour soutenir un parti.
Rigueur et honnêteté intellectuelle
Les faits, interprétations et hypothèses sont séparés. Les sources, dates, limites et niveaux de confiance accompagnent les conclusions importantes.
Confidentialité et minimisation
Les données personnelles, secrets, rapports et accès techniques sont protégés. Ils ne sont collectés, partagés ou conservés qu’en fonction d’un besoin défini.
Compétence et prudence
Une personne n’accepte pas une mission au-delà de ses capacités sans supervision. Les situations pénales, médicales, sociales ou juridiques sont orientées vers les services compétents.
Inclusion et accessibilité
Les activités combattent la discrimination, adaptent le langage et les supports et recherchent l’accès des personnes en situation de handicap ou éloignées du numérique.
Responsabilité et recours
Une décision importante possède un propriétaire identifiable, peut être expliquée et peut être contestée. Une erreur reconnue conduit à une correction visible et proportionnée.
Cinq portes avant une action sensible.
Ce contrôle est utilisé avant un test, une collecte, une publication, un partenariat ou le déploiement d’un outil d’IA susceptible d’affecter une personne.
-
01
Est-ce légal et autorisé ?
La base juridique, le mandat et le propriétaire du système ou des données sont connus.
-
02
Est-ce nécessaire ?
L’objectif public ne peut pas être atteint de façon raisonnable avec moins de données ou moins d’accès.
-
03
Est-ce le moyen le moins intrusif ?
Le périmètre, la durée, la cadence et la diffusion sont réduits au strict besoin.
-
04
Peut-on l’expliquer ?
Une personne concernée peut comprendre la logique, les limites et les conséquences de la décision.
-
05
Qui en répond ?
Un responsable peut arrêter l’action, traiter une contestation et organiser la correction.
La cybersécurité reste défensive, autorisée et proportionnée.
L’IBCSC observe, prévient, forme et aide à réduire le risque. Il ne mène pas d’opération clandestine, d’attribution punitive ou d’accès offensif à un système tiers.
Consulter la politique CVD- Aucun test actif sans autorisation écrite ou politique publique applicable
- Aucune exploitation au-delà de la preuve minimale nécessaire
- Aucun accès volontaire aux communications, comptes ou données d’un tiers
- Aucune conservation de secrets, jetons ou données inutiles au signalement
- Les observations OSINT utilisent des sources accessibles légalement et une finalité définie
- Les indicateurs de compromission sont partagés selon le besoin, le risque et la sensibilité
- Aucune attribution publique d’une attaque sans éléments solides, contexte et contrôle contradictoire
- Une vulnérabilité est signalée par le canal CVD et publiée uniquement après coordination
L’IA assiste le travail, elle ne dilue pas la responsabilité.
Un modèle local peut réduire certains transferts de données, mais ne garantit ni confidentialité, ni exactitude, ni absence de biais. Le risque dépend des données, du modèle, de l’hébergement, des accès et de l’usage réel.
Contrôle humain
Une personne compétente reste responsable des décisions, publications et conseils. Elle peut refuser, corriger ou arrêter le système.
Traçabilité
L’outil, la version, la finalité et les contrôles importants sont documentés lorsque l’IA influence un résultat significatif.
Données maîtrisées
Aucune donnée personnelle, confidentielle ou protégée n’est envoyée à un service externe sans nécessité, base valable et garanties adaptées.
Vérification
Les citations, faits techniques, traductions, images et recommandations produits avec l’aide d’un modèle sont contrôlés avant diffusion.
Équité et accessibilité
Les effets sur différents publics sont examinés. Un résultat discriminatoire ou inaccessible n’est pas accepté comme une simple limite technique.
Robustesse et sécurité
Les risques de fuite, injection de prompt, contenu malveillant, dépendance, indisponibilité et détournement d’usage sont évalués.
Culture de l’IA
Les personnes qui utilisent un système comprennent sa finalité, ses limites, les erreurs probables et les procédures de vérification.
L’IBCSC n’utilise pas une décision entièrement automatisée pour accuser publiquement une personne, écarter un candidat, déterminer l’accès à une formation ou trancher une question touchant aux droits sans examen humain adapté.
Former les jeunes sans banaliser l’intrusion.
Les cours destinés aux élèves et étudiants développent la curiosité technique dans un cadre légal, supervisé et respectueux. La capacité de faire ne vaut jamais autorisation de faire.
- 01
Environnements autorisés
Les exercices utilisent des laboratoires, machines, comptes et jeux de données créés ou explicitement autorisés pour la formation.
- 02
Protection adaptée à l’âge
Le contenu, les échanges, les horaires et la supervision tiennent compte de l’âge, de la maturité et des règles applicables aux mineurs.
- 03
Données minimales
Les inscriptions ne demandent que les informations nécessaires. Les identifiants personnels et productions des apprenants ne deviennent pas du matériel promotionnel par défaut.
- 04
Conduite des encadrants
Les formateurs maintiennent une relation professionnelle, refusent le harcèlement et les humiliations et signalent une situation préoccupante par le canal prévu.
- 05
Accès équitable
Le manque de matériel, de revenu, de maîtrise linguistique ou une situation de handicap est traité comme une contrainte à réduire, pas comme un manque de mérite.
- 06
Progression responsable
La réussite inclut la documentation, le travail collectif, la sécurité, le respect du périmètre et la capacité à demander de l’aide.
Un partenariat finance une action, pas une conclusion.
Les conventions définissent l’objectif, les responsabilités, les données, la visibilité, les paiements ou contributions et les conditions d’arrêt. La mission d’intérêt général et la sécurité des bénéficiaires restent prioritaires.
Indépendance éditoriale
Un partenaire ne choisit pas le résultat d’une analyse, d’une alerte ou d’une recommandation.
Visibilité identifiable
Le sponsoring, la fourniture de matériel et tout contenu soutenu sont présentés sans publicité dissimulée.
Conflits déclarés
Une relation personnelle, financière ou professionnelle pertinente est déclarée avant la décision.
Accès limité
Le partenariat ne donne pas automatiquement accès aux données, systèmes, bénéficiaires ou rapports restreints.
Cadeaux et avantages
Un avantage personnel susceptible d’influencer une décision est refusé ou déclaré et traité par une personne non concernée.
Droit de refus
L’IBCSC peut refuser ou arrêter une coopération incompatible avec le droit, la sécurité, l’indépendance ou ce code.
Publier avec précision, contexte et possibilité de correction.
Les publications doivent aider le lecteur à décider sans amplifier inutilement la peur, exposer une victime ou transformer une hypothèse en fait établi.
- Sources et dates
- Les affirmations importantes renvoient à une source identifiable et précisent la période d’observation.
- Faits et interprétation
- Les éléments confirmés, l’analyse et les hypothèses sont distingués avec un niveau de confiance adapté.
- Protection des personnes
- Noms, images, identifiants et détails techniques sont minimisés lorsqu’ils peuvent exposer une victime ou faciliter un abus.
- IA et contributions
- L’aide substantielle d’un outil d’IA, d’un partenaire ou d’un auteur externe est indiquée lorsque cela éclaire la méthode ou les limites.
- Corrections
- Une erreur significative est corrigée rapidement. La nature de la correction et sa date restent compréhensibles pour le lecteur.
Un conflit d’intérêts se gère avant la décision.
Un conflit peut être réel, potentiel ou simplement perçu. Le déclarer ne constitue pas une faute. Le dissimuler peut fragiliser la décision et la confiance.
- 01
Déclarer
La personne décrit le lien, l’avantage ou la relation pertinente dès qu’elle en a connaissance.
- 02
Évaluer
Une personne non concernée estime le risque d’influence, l’apparence de partialité et les mesures possibles.
- 03
Se retirer si nécessaire
L’accès au dossier, la discussion, le vote ou la représentation externe peuvent être limités.
- 04
Documenter
La décision, la mesure choisie et sa durée sont conservées de façon proportionnée.
Une préoccupation éthique doit pouvoir être examinée.
Toute personne peut signaler de bonne foi une conduite, une décision, un conflit ou un risque contraire à ce code. Le message doit décrire les faits connus, les personnes ou activités concernées et toute urgence de protection.
Canal éthique info@ibcsc.beN’envoyez pas de secret technique ou de preuve de vulnérabilité par ce canal. Utilisez la politique CVD pour une faille de sécurité. La confidentialité est recherchée, sans promesse absolue lorsqu’une obligation légale ou une protection urgente exige un relais.
- 01
Réception limitée
L’accès au message est restreint aux personnes nécessaires à l’examen et à la protection immédiate.
- 02
Conflit vérifié
Si le signalement concerne le destinataire habituel, le dossier est transmis à un administrateur ou examinateur non concerné.
- 03
Examen contradictoire
Les faits, documents, règles et réponses utiles sont examinés sans présumer la faute ni exposer inutilement le déclarant.
- 04
Décision et suivi
Les mesures, raisons, limites et voies de suivi sont consignées et communiquées dans la mesure appropriée.
- Accusé de réception humain
- 5 jours ouvrables
- Première évaluation
- 15 jours ouvrables
- Mise à jour si le dossier reste ouvert
- Tous les 30 jours
Une règle sans conséquence n’est pas une protection.
Une réponse tient compte de la gravité, de l’intention, de l’impact, de la répétition, de la coopération et de la possibilité de réparer. Elle respecte les statuts, conventions et droits applicables.
- Conseil, clarification de la règle ou formation complémentaire
- Correction, retrait ou mise à jour d’un contenu, d’un accès ou d’une décision
- Supervision renforcée, limitation d’une mission ou retrait d’un dossier
- Suspension ou fin d’une collaboration selon le cadre applicable
- Signalement à une autorité ou un service compétent lorsqu’une obligation ou un danger le justifie
Le code est réexaminé au moins une fois par an et après un incident significatif, une évolution juridique importante ou le lancement d’une activité présentant un nouveau risque.
Des références publiques pour rendre le code vérifiable.
Ces sources guident l’interprétation du code. Elles ne remplacent pas l’examen du droit applicable, un avis professionnel ni les politiques détaillées de l’IBCSC.
Questions sur l’application du code.
Le code ne peut pas anticiper chaque situation. Ces réponses expliquent comment traiter les cas les plus fréquents.
Le code remplace-t-il le règlement de travail, les statuts ou la loi ?
Non. Il complète les règles applicables et ne réduit aucun droit ou devoir légal. En cas de contradiction, le droit applicable et les textes obligatoires prévalent.
Puis-je signaler une situation sans preuve complète ?
Oui, si le signalement est fait de bonne foi et distingue ce qui a été observé de ce qui reste supposé. N’effectuez pas vous-même une intrusion, une surveillance ou une collecte excessive pour obtenir une preuve.
Une utilisation de l’IA doit-elle toujours être rendue publique ?
Pas pour chaque correction mineure. Une information est attendue lorsque l’IA influence substantiellement un contenu, une recommandation, une image, une évaluation ou une décision et que cette information aide le public à apprécier le résultat.
Un partenaire peut-il relire un contenu financé ?
Il peut vérifier les faits qui le concernent ou la conformité d’une mention convenue, mais il ne peut pas imposer une conclusion, supprimer une critique fondée ou transformer un contenu pédagogique en publicité cachée.
Que faire si la question concerne une vulnérabilité ?
Utilisez la page de divulgation coordonnée. Elle précise le périmètre autorisé, le canal, les règles de test et les modalités de publication.
Une organisation crédible accepte que ses méthodes soient questionnées.
Utilisez le canal éthique pour une conduite, une décision ou un conflit. Pour une vulnérabilité technique, suivez la politique de divulgation coordonnée afin de protéger les utilisateurs et les preuves.