En 2026, les fuites de données se multiplient dans les institutions françaises, révélant une crise de confiance sans précédent entre l’administration, l’état et les citoyens, les entreprises et leurs clients… Entre incertitude généralisée et risques systémiques, les institutions font face à un choc que l’on peut qualifier de « cosmologique » : la confiance en la sécurité et l’efficacité des systèmes numériques s’érode. Les organisations souvent obsédées par le contrôle, la formalisation et les normes[1], semblent actuellement dépassées par la gestion de crises à répétition en matière de fuites de données. Chaque dysfonctionnement, chaque cyberattaque se transforme en une épreuve de résilience. Tout ce qui ne peut pas être décrit ou formalisé, inscrit dans des règles ou des procédures constitue un risque et renforce la perception d’incertitude. En produisant une situation anxiogène le manque d’information et l’incertitude provoquent un stress délétère pour l’organisation, les collaborateurs, les clients et les usagers. Ces situations imprévues, non anticipées contraignent les organisations à s’adapter et à organiser une communication de crise[2].
Des fuites de données en cascade : le symptôme d’un système en crise
Les organisations ont traversé de nombreuses crises ces 20 dernières années. Les aléas géopolitiques (attentats du 11 septembre), climatiques (Tsunami en 2004), financiers (crise de 2008), politiques (attentats de 2015), sanitaires (2020). Le comportement des acteurs a été conduit à évoluer dans ces situations imprévisibles : les individus s’adaptent en fonction de leur expérience passée, confrontés à la complexité de la situation. Les fuites de données constituent une nouvelle crise d’envergure ! En effet, les fuites de données se sont succèdées en 2026, illustrant une vulnérabilité inédite des institutions françaises. Une fuite de données a ainsi touché le fichier FICOBA, géré par la DGFiP (Direction générale des finances publiques) en février 2026. Environ 1,2 million de comptes (noms, adresses et IBAN) ont été consultés illégalement[3]. En avril 2026, c’est au tour de l’agence nationale des titres sécurisés (ANTS) de déplorer un incident de sécurité impliquant une divulgation de données issues de comptes particuliers et professionnels du portail ants.gouv.fr. Ces incidents exposent les usagers à des tentatives d’escroquerie[4].
Les fuites se succèdent pour la DGFIP avec une fuite de données en juin qui n’a été officiellement révélée que le 12 août. La protection des données nécessitera désormais encore plus de vigilance, de formation et de prévention pour s’adapter aux défis futurs.
Les fuites se suivent et se ressemblent…
C’est plus récemment au tour de l’éducation nationale et santé publique France d’annoncer une cyberattaque. Après la fuite de données concernant les élèves en avril 2026, peu médiatisée[5] c’est au tour des données du personnel de l’éducation nationale fin juillet 2026[6].
Le 11 août 2026, un prestataire de Santé publique France est victime d’une cyberattaque, près de 80 000 donnéesde contact concernées[7].
Ces incidents ne sont isolés, il s’agit de manifestations d’une défaillance organisationnelle : une rigidité bureaucratique qui étouffe l’initiative humaine et une gestion des risques défaillante, où la méfiance systémique remplace la confiance[8].
L’incertitude comme nouvelle norme : quand les institutions perdent le contrôle
Ces fuites de données répétées créent un climat d’incertitude permanent pour les usagers, les et les agents publics. Cette incertitude est renforcée par l’illusion du contrôle total : Les procédures et réglementations se multiplient, mais les failles de sécurité prouvent qu’elles ne protègent pas. Pire, elles aggravent la vulnérabilité en créant une fausse sécurité.
Cette incertitude peut produire également une démotivation des agents désarmés par des systèmes verrouillés, incapables de prendre des décisions autonomes, qui finissent par perdre le sens de leur mission. La défiance se généralise !
Le choc cosmologique : quand les crises ébranlent les cadres de référence
Les théories de Karl E. Weick sur les épisodes cosmologiques offrent un éclairage précieux sur la situation actuelle. Selon Weick, un choc cosmologique survient lorsque les individus ou les organisations sont confrontés à un événement si inattendu et grave qu’il remet en cause leurs modèles mentaux et leur identité même. Dans de tels cas, la sidération peut s’emparer des acteurs, entraînant une désorganisation et une perte de sens[9].
Les fuites de données à répétition constituent un choc cosmologique pour les institutions françaises provoquant un effondrement de la confiance. Les citoyens et les agents publics réalisent que les systèmes numériques, censés garantir la sécurité et l’efficacité, sont en réalité vulnérables et inefficaces. Les organisations quant à elles subissent les risques à défaut de les avoir suffisamment anticipés.
Un exemple révélateur : l’absurdité bureaucratique face à l’incertitude
Prenons le cas récent d’un contribuable confronté à une simple erreur d’adresse sur son avis d’imposition. Plutôt que de corriger rapidement l’erreur, l’administration lui demande de prouver qu’il n’est pas sous tutelle ! Cet épisode illustre parfaitement le décalage entre la réalité et les procédures et une mauvaise gestion du risque: l’institution, obsédée par le contrôle, transforme une simple correction en une épreuve absurde, générant de l’incertitude et de la défiance. Le contribuable, confronté à une demande incompréhensible, voit ses croyances en la rationalité du système s’effondrer. Les échanges engagés par ce contribuable avec l’administration fiscale et le DPO ont montré ensuite une inertie du système, l’absence de respect et le refus d’admettre des manquements graves au RGPD. Ce cas montre comment la méfiance et la rigidité des procédures aggravent les risques (perte de temps, colère des usagers, image dégradée de l’institution) au lieu de les réduire.
Repenser la gestion des risques et adapter la communication de crise : de la méfiance à la résilience
Weick (1993), a ouvert la voie de l’analyse de la résilience organisationnelle. Il la définit comme suit : « la résilience s’entendrait comme la construction d’un système d’actions organisées et sur le maintien de ce système face aux situations » (p.628-652). Face à cette crise de confiance et à l’incertitude généralisée, les organisations doivent repenser leur approche. Trois principes clés peuvent guider cette réflexion :
- Accepter l’incertitude : les risques ne peuvent pas être éliminés, mais ils peuvent être mieux gérés. Les institutions doivent anticiper les crises plutôt que de les subir.
- Redonner du pouvoir aux collaborateurs : les agents/salariés doivent pouvoir corriger une erreur sans escalade hiérarchique ou validation algorithmique. La confiance doit remplacer la défiance.
- Envisager une co-construction des processus : les collaborateurs doivent pouvoir s’approprier les outils numériques. Tout blocage doit pouvoir être résolu par un jugement éclairé, et non par une procédure incomprise.
La technologie, censée simplifier les démarches, a malheureusement renforcé la méfiance et étouffé les initiatives.
À l’ère de l’IA et de la dématérialisation, les organisations doivent désormais comprendre que la confiance ne s’acquiert pas par décret ou avec des procédures, mais avec davantage de transparence, de simplicité et la reconnaissance de l’humain comme acteur clé de la résilience.
[1] Diard, C. (2024) note de lecture. La gestion innovante des normes, Laurent Cappelletti et Nicolas Dufour (2023), Géreso, 2ème édition, 245 pages. ACCRA, 21(3), 72-75. https://doi.org/10.3917/accra.021.0064d.
[2] https://acteurspublics.fr/articles/apres-la-cyberattaque-de-la-dgfip-des-mesures-durgence-mais-des-questions-qui-demeurent/
[3] https://www.economie.gouv.fr/actualites/ficoba-tout-savoir-lacces-illegitime-au-fichier-national-des-comptes-bancaires
[4] https://www.village-justice.com/articles/donnees-personnelles-ficoba-grande-evasion,58601.html
[5] https://www.education.gouv.fr/incident-de-securite-affectant-les-donnees-de-certains-eleves-de-l-education-nationale-504443
[6] https://www.education.gouv.fr/incident-de-securite-affectant-les-donnees-de-personnels-de-l-education-nationale-505407
[7] https://www.franceinfo.fr/internet/securite-sur-internet/cyberattaques/un-prestataire-de-sante-publique-france-victime-d-une-cyberattaque-pres-de-80-000-donnees-de-contact-concernees_8146196.html
[8] https://courriercadres.com/management-par-la-confiance-ce-que-les-dysfonctionnements-de-la-dgfip-revelent-de-nos-organisations/
[9] Autissier, D. et Vandangeon-Derumez, I. (2021). Définition de la résilience organisationnelle par K. E. Weick. Question(s) de management, 35(5), 43-49. https://doi.org/10.3917/qdm.215.0043.
