Le jumeau numérique peut-il devenir la boîte noire de confiance du bâtiment ?

Le fantasme du bâtiment entièrement navigable appartient depuis longtemps à la science-fiction. Avant une intervention, les équipes de secours visualisent les circulations, les forces de sécurité repèrent les accès, les techniciens consultent les réseaux placés derrière les parois et les exploitants comprennent immédiatement l’origine d’une anomalie. Cette représentation extrêmement détaillée peut accélérer les décisions, réduire les risques et améliorer la coordination. Elle contient toutefois une ambiguïté évidente : les informations qui aident les intervenants autorisés pourraient également intéresser des personnes qui ne devraient jamais y accéder.

Cette ambiguïté ne doit conduire ni à rejeter les jumeaux numériques, ni à présenter toute externalisation comme une menace. Un prestataire situé hors de France n’est pas nécessairement moins fiable qu’un prestataire national, et un hébergement européen ne garantit pas à lui seul une sécurité parfaite. Le risque dépend moins d’une frontière abstraite que de la chaîne réelle de traitement : quelles données sont transmises, à qui, dans quel environnement, avec quels droits, quelles copies, quelles sauvegardes, quels sous-traitants et quelles procédures de restitution ou de suppression ?

La sensibilité varie également selon le bâtiment. La maquette d’un local commercial vide, destinée à préparer un aménagement, ne présente pas les mêmes enjeux que le jumeau numérique d’un domicile habité, d’une usine, d’un hôpital, d’un ministère ou d’un musée contenant des œuvres irremplaçables. Une politique raisonnable ne consiste donc pas à enfermer toutes les données dans un bunker numérique, mais à définir un niveau de protection proportionné à la nature du site, aux informations traitées et aux conséquences possibles d’une divulgation.

Les textes encadrant cette matière existent déjà. Le RGPD protège les données personnelles et impose de maîtriser les sous-traitants ainsi que les transferts internationaux. L’ISO 19650-5 organise une approche de la gestion sécurisée des informations sensibles dans le BIM et l’environnement bâti. Les directives NIS2 et CER renforcent la gestion des risques cyber et la résilience de certaines entités critiques, tandis que la doctrine française prévoit des exigences spécifiques pour l’hébergement de données publiques particulièrement sensibles.

Chez MYİKKİ, notre conviction est simple : le jumeau numérique peut devenir la boîte noire de confiance du bâtiment, à condition que cette expression ne désigne pas un système opaque ou inaccessible. Il doit au contraire constituer une mémoire résiliente, compréhensible et traçable, dont chaque accès est accordé selon une finalité précise. La confiance ne vient pas du fait que tout serait centralisé, mais du fait que chacun ne voit que ce qu’il est autorisé à voir, pendant le temps nécessaire et dans un cadre vérifiable.

1. Le jumeau numérique ne contient pas seulement des plans

Une maquette numérique peut sembler moins sensible qu’une base de données bancaire ou qu’un dossier médical, parce qu’elle décrit avant tout des murs, des ouvertures, des surfaces et des équipements. Cette impression reste acceptable tant que la représentation demeure purement géométrique, anonyme et déconnectée de tout usage réel. Elle devient beaucoup plus fragile dès que le modèle est associé à une adresse, à des photographies, à des réseaux techniques, à des équipements connectés, à des documents d’exploitation ou à l’identité des personnes qui occupent le lieu.

Dans un logement, le jumeau numérique peut révéler l’organisation intérieure, les accès, la localisation de certains biens, les dispositifs de sécurité, les équipements techniques et les travaux réalisés. Si des données issues de capteurs sont ajoutées, il peut également faire apparaître des habitudes d’occupation. Une température relevée à un instant précis présente peu d’intérêt personnel, mais une série de mesures associée à l’ouverture des accès, à l’éclairage et aux usages de différentes pièces peut fournir une représentation beaucoup plus précise de la vie du foyer.

Dans un bâtiment industriel, les enjeux changent de nature. La maquette peut documenter les lignes de production, les machines critiques, les réseaux d’énergie, les zones de stockage, les circulations internes et les opérations de maintenance. Ces informations ne relèvent pas toujours du RGPD, mais elles peuvent concerner le secret des affaires, la propriété intellectuelle, la sécurité économique et la continuité d’activité. Une donnée peut donc être stratégique sans être personnelle.

Dans un bâtiment public, un établissement de santé, un site politique ou un équipement culturel, certaines couches peuvent concerner les locaux techniques, les systèmes de contrôle d’accès, les dispositifs de vidéosurveillance, les zones de réserve, les itinéraires d’intervention ou les dépendances critiques. Toutes les informations ne doivent évidemment pas être classées secrètes, mais leur regroupement dans une interface unique peut produire une connaissance beaucoup plus sensible que chacun des documents pris séparément.

L’ISO 19650-5 reconnaît cette diversité en proposant une approche adaptée à la sensibilité des informations produites, utilisées ou conservées dans le cadre du BIM et du cycle de vie des actifs. Le risque ne vient donc pas du jumeau numérique lui-même, mais de l’écart éventuel entre la richesse de ce qu’il contient et la faiblesse des règles qui déterminent qui peut le consulter, le copier ou l’exporter.

2. Risque réel ou fantasme : ce qu’il faut distinguer

Le débat sur les données BIM peut facilement basculer dans deux excès. Le premier consiste à considérer qu’une maquette technique serait sans danger parce qu’elle ne contient pas nécessairement de noms ou d’informations financières. Le second consiste à imaginer que tout modèle numérique constituerait automatiquement un plan d’attaque prêt à l’emploi. Ces deux positions sont trop simples pour décrire la réalité.

Une maquette standard d’un petit bâtiment, dépourvue d’adresse, de photographie, de système de sûreté et de données d’usage, présente généralement une sensibilité limitée. Sa divulgation pourrait constituer une violation contractuelle ou porter atteinte à la propriété intellectuelle, mais elle ne produirait pas nécessairement un risque immédiat pour les personnes. À l’inverse, une représentation très détaillée contenant l’organisation intérieure, les réseaux critiques, les accès, les alarmes et les données d’occupation appelle une protection beaucoup plus forte.

Le danger ne vient pas toujours d’une information spectaculaire. Il peut résulter du croisement de plusieurs couches relativement banales. Un plan, une photographie, une adresse, un historique de maintenance et une liste d’équipements peuvent, une fois réunis, donner une lecture extrêmement précise d’un site. C’est cette capacité de corrélation qui doit guider la classification, et non le seul examen de chaque fichier pris isolément.

L’externalisation ne doit pas davantage être caricaturée. Des équipes internationales peuvent travailler dans des environnements parfaitement sécurisés, avec une chaîne contractuelle claire, des accès limités et des contrôles sérieux. À l’inverse, un prestataire proche géographiquement peut conserver des copies sur des postes personnels ou utiliser des services cloud mal configurés. Le risque est organisationnel, technique et juridique avant d’être géographique, même si la localisation des données et le droit applicable restent évidemment déterminants.

L’objectif n’est donc pas de faire peur aux propriétaires ou aux professionnels, mais de replacer le jumeau numérique dans une logique normale de gestion des risques. Plus la représentation est détaillée, plus les accès sont nombreux et plus les conséquences d’une fuite sont fortes, plus le niveau de gouvernance doit être élevé.

3. Externaliser la modélisation : où se situe réellement l’exposition ?

La production à distance d’une maquette présente de nombreux avantages. Elle permet de mobiliser des compétences spécialisées, d’absorber rapidement des volumes importants, de réduire certains coûts et de rendre le Scan-to-BIM accessible à des projets qui ne pourraient pas financer une équipe interne. L’externalisation n’est donc pas une anomalie, elle constitue une pratique normale de la filière numérique.

Le risque apparaît lorsque le commanditaire perd la visibilité sur le parcours des données. Un nuage de points peut être transféré vers une plateforme collaborative, téléchargé sur plusieurs postes, synchronisé dans un autre cloud, sauvegardé automatiquement, puis transmis à un sous-traitant chargé d’une partie du modèle. La chaîne peut être parfaitement légitime, mais elle doit être connue, documentée et contrôlée. Dans le cas contraire, le propriétaire ignore combien de copies existent et qui peut encore y accéder après la fin du contrat.

La CNIL rappelle que la responsabilité ne s’arrête pas au prestataire direct. Le responsable du traitement doit examiner les sous-traitants ultérieurs, la localisation des traitements, les accès administrateurs, les sauvegardes et les mesures de sécurité. Pour les transferts hors de l’Espace économique européen, il doit également identifier le fondement juridique applicable et vérifier si des mesures complémentaires sont nécessaires.

Une autre question émergente concerne la réutilisation des données pour entraîner ou améliorer des systèmes d’intelligence artificielle. Un fichier transmis pour produire une maquette ne devrait pas être employé pour un usage secondaire sans information claire, base juridique et accord contractuel approprié. Cette précaution devient particulièrement importante lorsque les images ou modèles représentent des logements, des personnes, des biens privés ou des installations industrielles.

La bonne stratégie n’est donc pas d’interdire toute production distante, mais d’organiser une externalisation maîtrisée. Le projet peut être pseudonymisé, découpé en zones, débarrassé de certaines métadonnées ou confié à des opérateurs différents selon le niveau de sensibilité. Le meilleur prix reste un critère légitime, mais il ne doit pas être obtenu au prix d’une perte complète de visibilité sur la donnée.

4. Du logement au site stratégique, toutes les données ne se protègent pas de la même manière

La sécurité d’un jumeau numérique doit commencer par une classification de l’actif. Cette étape paraît évidente, mais elle est souvent absente des cahiers des charges, qui décrivent la précision attendue, les formats de livraison et les délais sans préciser le niveau de sensibilité du bâtiment ni les restrictions associées.

Pour un logement, le principal enjeu porte sur la vie privée, la sécurité des occupants et la maîtrise de leurs informations. Une analyse d’impact relative à la protection des données peut devenir nécessaire lorsque le traitement combine plusieurs sources, utilise de nouvelles technologies ou présente un risque élevé pour les personnes. Une maquette associée à des données de capteurs, à des images de l’intérieur et à des profils d’usage mérite donc une attention très différente d’un relevé géométrique anonyme.

Dans un site industriel, le cahier des charges doit intégrer le secret des affaires, la continuité d’activité et la sécurité de la chaîne d’approvisionnement. La géométrie générale peut parfois être partagée, tandis que les réseaux critiques, les processus industriels ou les dispositifs de sûreté restent dans une couche distincte, accessible à un nombre beaucoup plus limité de personnes.

Pour les bâtiments publics et les entités critiques, les directives NIS2 et CER renforcent les exigences de gestion des risques, de cybersécurité et de résilience. Elles ne signifient pas que chaque fichier IFC devient automatiquement une donnée stratégique, mais elles imposent aux organisations concernées de comprendre comment leurs dépendances numériques peuvent affecter la continuité de leurs services essentiels.

Le patrimoine culturel offre une illustration particulièrement claire. La rénovation d’un musée comme le Louvre nécessite une connaissance extrêmement précise des ouvrages, des flux, des conditions de conservation et des contraintes architecturales. Cette connaissance peut aider à mieux restaurer, surveiller et exploiter le site. Elle doit néanmoins être séparée des informations détaillées relatives aux dispositifs de sûreté, aux réserves ou aux procédures d’intervention.

Une architecture sécurisée ne consiste donc pas à créer un modèle unique réunissant toutes les couches du bâtiment. Elle consiste à permettre plusieurs vues, avec des niveaux d’information adaptés à chaque métier. L’architecte, le restaurateur, le mainteneur, l’équipe de sécurité et le prestataire chargé d’un lot particulier ne doivent pas nécessairement travailler sur la même version ni disposer des mêmes droits.

5. RGPD, ISO 19650-5, NIS2 et SecNumCloud : les textes sont déjà là

Le RGPD constitue le premier cadre à prendre en compte lorsque le jumeau numérique contient des informations relatives à des personnes identifiées ou identifiables. Il impose de définir les finalités, de limiter les données collectées, de prévoir des durées de conservation, de sécuriser les accès et de contracter avec les sous-traitants. Il introduit également les principes de protection dès la conception et par défaut, qui correspondent parfaitement à l’architecture attendue d’un jumeau numérique responsable.

Le RGPD ne couvre cependant pas l’ensemble des informations sensibles du bâtiment. Une implantation industrielle, un réseau critique ou un plan de sûreté peuvent présenter un risque élevé sans contenir de données personnelles. L’ISO 19650-5 complète cette lecture en proposant une approche spécifique de la sécurité de l’information dans le BIM et l’environnement bâti, depuis la commande jusqu’à l’exploitation et à la fin de vie de l’actif.

Les directives NIS2 et CER s’appliquent, selon leurs critères, à certaines organisations et infrastructures essentielles. Elles renforcent respectivement la cybersécurité et la résilience physique des entités critiques, deux dimensions qui convergent naturellement dans un jumeau numérique. Une attaque informatique peut produire des conséquences physiques, tandis qu’une information technique peut faciliter une atteinte à l’infrastructure réelle.

En France, la qualification SecNumCloud fournit un cadre élevé pour certaines offres cloud. Elle ne signifie toutefois pas qu’une application hébergée sur une infrastructure qualifiée devient automatiquement conforme ou sécurisée. Le client reste responsable de la configuration des accès, du chiffrement, de la gestion des identités et de l’analyse des risques. Un immeuble peut être construit sur d’excellentes fondations tout en conservant une fenêtre ouverte, et le cloud n’échappe pas à cette logique.

Le principal problème n’est donc pas l’absence de réglementation, mais son intégration encore insuffisante dans les marchés de captation, de modélisation et d’hébergement. Un cahier des charges sérieux devrait traiter la sécurité avec le même soin que la précision géométrique, le niveau de détail et les formats de livraison.

6. Une boîte noire de confiance ne doit pas devenir un coffre-fort centralisé vulnérable

L’expression « boîte noire » évoque une mémoire capable de conserver des informations fiables malgré un incident. Elle ne doit pas être interprétée comme un système fermé dont personne ne comprendrait le fonctionnement. La confiance exige au contraire une architecture explicable, des responsabilités identifiées, des journaux d’accès lisibles et des règles de réversibilité claires.

Centraliser toutes les données dans une seule base accessible par un administrateur universel serait une solution séduisante par sa simplicité, mais dangereuse par sa concentration. Plus la plateforme rassemble d’informations, plus l’impact potentiel d’une compromission augmente. La bonne architecture repose donc sur le cloisonnement, la séparation des couches, le chiffrement et une gestion fine des habilitations.

La segmentation spatiale constitue une mesure particulièrement adaptée au bâtiment. Un artisan intervenant dans une cuisine peut recevoir les dimensions, les réseaux connus, les photos et les documents relatifs à cette cuisine, sans accéder aux autres pièces du logement. Une entreprise chargée de la façade peut consulter l’enveloppe, les matériaux et les diagnostics nécessaires, sans disposer des plans détaillés de l’intérieur.

La minimisation doit aussi s’appliquer à la production. Le modeleur n’a pas toujours besoin de connaître le nom du propriétaire, l’usage exact du site ou son adresse complète. Une pseudonymisation, un découpage du modèle et la suppression des métadonnées inutiles peuvent réduire fortement l’exposition sans empêcher la prestation.

Enfin, la preuve ne doit pas être confondue avec le stockage. Une empreinte cryptographique peut permettre de vérifier l’intégrité d’un document, mais elle ne protège pas le document lui-même contre une lecture non autorisée. La blockchain peut donc contribuer à la traçabilité et à la vérification des versions, tandis que la confidentialité continue de dépendre du chiffrement, des habilitations et de l’architecture.

7. L’approche MYİKKİ : partager l’usage sans abandonner la donnée

MYİKKİ considère que la donnée du bâtiment doit rester placée sous le contrôle de son propriétaire ou de l’organisation qui en assume la responsabilité. Le jumeau numérique ne constitue pas une vitrine ouverte par défaut, mais un espace privé dans lequel chaque accès répond à une finalité précise.

Lorsqu’un artisan intervient, il ne reçoit pas nécessairement le modèle complet. Il accède à la zone du projet, aux documents utiles, aux réseaux connus et aux équipements concernés. Le propriétaire conserve la possibilité d’accorder, limiter ou retirer cet accès, ce qui protège à la fois la confidentialité du bien et la lisibilité de l’espace de travail du professionnel.

La production du modèle doit également être adaptée à la sensibilité du site. Un logement courant peut être traité dans un environnement européen sécurisé, avec une pseudonymisation et une chaîne de sous-traitance maîtrisée. Une usine peut nécessiter un cloisonnement plus strict, des exports limités et des opérateurs vérifiés. Un bâtiment stratégique peut imposer une production locale, une infrastructure dédiée et des personnels habilités.

La MYİKKİ Box permet de traiter certaines données au plus près du bâtiment, en évitant que tous les signaux bruts soient systématiquement transmis à une plateforme distante. Cette logique réduit l’exposition, à condition que le boîtier lui-même soit correctement sécurisé, mis à jour et authentifié.

Le RWL, Real World Legacy, intervient enfin sur la preuve. Les documents complets, les photographies et les informations personnelles restent conservés dans des espaces sécurisés. Seuls l’empreinte, la date, la version et le lien avec l’événement peuvent être inscrits dans la couche de confiance lorsqu’une certification devient utile.

Cette architecture ne promet pas une sécurité absolue, qui n’existe dans aucun système numérique. Elle propose une gouvernance proportionnée, où la sécurité technique, les contrats, les procédures et les usages sont alignés. Le meilleur jumeau numérique n’est pas celui qui prétend tout savoir, mais celui qui sait également ne pas tout montrer.

Le jumeau numérique peut donc devenir la boîte noire de confiance du bâtiment, à condition de rester sélectif, gouverné et réversible. Sa valeur vient de sa capacité à conserver une mémoire précise, tandis que sa légitimité dépend de la manière dont cette mémoire est protégée.

Dans la science-fiction, le bâtiment navigable permet aux équipes autorisées d’intervenir plus vite. Dans la réalité, la véritable innovation consiste à leur donner cette capacité sans créer, au passage, un plan détaillé disponible pour tous les autres.

Le futur du BIM ne se jouera donc pas uniquement sur la qualité des rendus ou la rapidité de la modélisation. Il se jouera sur une question beaucoup plus décisive : qui possède la clé du bâtiment numérique ?

Chez MYİKKİ, cette clé doit rester entre les mains de son propriétaire.

Sources utiles

• ISO, ISO 19650-5:2020, gestion sécurisée de l’information dans le BIM et le cadre bâti.
• CNIL, transferts de données hors de l’Union européenne et mesures de protection complémentaires.
• CNIL, sécurité de la sous-traitance, localisation des données et chaîne des prestataires.
• CNIL, analyses d’impact, minimisation et protection des données dès la conception.
• CNIL, responsabilité partagée dans les environnements cloud.
• ANSSI, qualification SecNumCloud et recommandations relatives aux systèmes sensibles.
• DINUM, doctrine « Cloud au centre » de l’État.
• Union européenne, directive NIS2.
• Union européenne, directive CER.