Mes premiers jeux tournaient sur un CPC 664 : il fallait taper le code à la main en le recopiant depuis le manuel. Sont venues ensuite les disquettes — une, puis deux, puis trois, puis quatre pour le monstrueux « Espana Games 92 ». Le CD-ROM existait pourtant depuis 1984 et valait à lui seul plus de 400 disquettes, mais il n'est devenu grand public que dans les années 90. Chaque support a eu son moment, puis a fini dans un tiroir.
La clé USB est dans ce tiroir depuis un moment, et pourtant elle n'y est pas tout à fait. Elle sert encore, mais plus du tout pour les raisons d'avant. La bonne question n'est plus « transporte-t-on encore des fichiers sur une clé ? » mais « qui décide de ce qui sort de l'entreprise sur un support amovible, et sous quelle forme ? ». C'est devenu un sujet de sécurité et de conformité bien plus qu'un sujet de stockage.
Ce que le cloud a réellement remplacé
L'usage collaboratif, essentiellement. Partager un fichier, envoyer une version corrigée, livrer un rapport : tout cela se fait désormais par un lien, pas par un objet qu'on se passe de main en main. Selon les statistiques Eurostat sur l'usage du cloud par les entreprises (données extraites en janvier 2026), 52,74 % des entreprises de l'Union européenne utilisaient un service de cloud payant en 2025, contre 45,32 % en 2023 ; chez les petites entreprises, la proportion atteint 49,3 %. La bascule n'est pas totale, mais elle est nette et elle continue.
Concrètement, ce qui a disparu de mes échanges avec les clients : la clé remise en fin de mission avec les livrables, la clé qui circule entre le graphiste et l'imprimeur, la clé qui contient « la dernière version, la vraie ». Un rapport mensuel se consulte aujourd'hui dans un tableau de bord partagé — Data Studio (ex-Looker Studio) par exemple — et non sur un support qu'il faut brancher. C'est d'ailleurs l'un des premiers réflexes que je change quand j'accompagne une entreprise sur la mesure et le pilotage webmarketing : un chiffre qui vit dans un fichier transporté est un chiffre que personne ne regarde.
Les usages qui subsistent vraiment
Trois usages résistent, et ils ont un point commun : ils supposent l'absence de réseau, ou son refus délibéré.
| Usage | Pourquoi la clé reste adaptée | Point de vigilance |
|---|---|---|
| Transfert hors ligne | Site isolé, atelier sans Wi-Fi, intervention chez un client au réseau verrouillé, gros volume qu'aucune connexion ne veut avaler. | Chiffrer le support et effacer après transfert. |
| Support d'installation | Créer une clé bootable pour installer ou réparer un système reste la méthode standard. | Ne récupérer l'image que sur le site officiel de l'éditeur. |
| Sauvegarde froide | Une copie déconnectée, rangée ailleurs, n'est atteinte ni par un rançongiciel ni par une erreur de synchronisation. | La mémoire flash n'est pas un support d'archivage longue durée : on vérifie et on renouvelle. |
| Objet de communication | Une clé personnalisée reste un support publicitaire tangible sur un salon. | Une clé offerte est aussi une clé qu'un tiers a préparée : voir plus bas. |
Sur les volumes vendus aujourd'hui, je ne donnerai pas de chiffre : les données de marché disponibles publiquement sur les clés USB sont soit anciennes, soit issues d'études payantes dont on ne peut pas vérifier le périmètre. Mieux vaut aucune statistique qu'une statistique invérifiable.
La clé de sécurité FIDO2 n'est pas une clé USB
La confusion est fréquente, et elle mérite d'être levée. Une clé de sécurité matérielle se branche sur le même port, ressemble à une clé USB, mais ne stocke aucun fichier. Elle héberge des secrets cryptographiques et sert à prouver une identité. Le standard, porté par la FIDO Alliance, repose sur WebAuthn (l'interface côté navigateur) et CTAP (le dialogue entre le navigateur et le boîtier) ; les clés FIDO conservent les passkeys directement dans le matériel.
Pour une TPE, c'est aujourd'hui le moyen le plus solide de protéger les comptes critiques : messagerie du dirigeant, accès bancaire, administration du site, compte publicitaire. Deux clés par compte sensible, une en usage courant et une rangée en secours, et le problème de l'hameçonnage sur ces comptes se réduit fortement. Rien à voir, donc, avec le support de stockage dont parle le reste de cet article.
Le risque n'est pas la clé, c'est l'appareil qu'on ne maîtrise pas
Un port USB accepte tout ce qu'on y branche. Une clé trouvée sur un parking, une clé récupérée sur un stand, une clé prêtée par un prestataire : dans les trois cas, personne dans l'entreprise ne sait ce qu'elle contient ni ce qu'elle déclare être. Un périphérique peut se présenter au système comme un clavier et taper des commandes tout seul. La règle est simple et ne coûte rien : aucun support d'origine inconnue ne se branche sur un poste de l'entreprise. Jamais, pas même « juste pour voir ce qu'il y a dessus ».
Le second angle mort concerne le chiffrement. Beaucoup de dirigeants pensent que leur PC chiffré protège aussi ce qu'ils copient dessus. C'est faux. La documentation Microsoft sur BitLocker (mise à jour le 24 août 2026) le dit explicitement : le chiffrement automatique de l'appareil ne couvre que le lecteur système et les disques fixes, il ne chiffre pas les lecteurs externes ou USB. Il faut donc une action délibérée, avec BitLocker To Go sur les éditions Pro, Entreprise et Éducation de Windows, ou avec un conteneur chiffré.
Du côté français, la fiche « chiffrement, hachage, signature » du guide de la sécurité des données personnelles de la CNIL recommande AES avec un mode de construction approprié et des clés de 128, 192 ou 256 bits, et cite VeraCrypt pour la mise en œuvre de conteneurs chiffrés. C'est gratuit, multiplateforme, et cela règle la question en une demi-heure de prise en main.
Perdre une clé, c'est peut-être une violation de données
C'est le point que les dirigeants découvrent le plus tard. Au sens du RGPD, une violation de données personnelles est une perte de disponibilité, d'intégrité ou de confidentialité, accidentelle ou illicite. Une clé égarée dans un train avec un export de clients, un fichier de paie ou des CV correspond exactement à cette définition.
La CNIL rappelle les obligations : tout incident doit être documenté en interne dans un registre, même lorsqu'il ne présente pas de risque ; dès qu'un risque existe, la notification à l'autorité intervient dans les meilleurs délais et au plus tard 72 heures après la prise de connaissance ; en cas de risque élevé, les personnes concernées doivent être informées. La procédure de notification passe par un service en ligne dédié aux organismes, et un dépassement du délai doit être justifié.
Et voici pourquoi le chiffrement change tout : la CNIL prévoit des dérogations à l'information des personnes lorsque les données sont chiffrées ou lorsque le risque a été neutralisé. Une clé chiffrée perdue reste un incident à documenter, mais elle n'expose personne. Une clé en clair perdue, c'est un courrier à envoyer à chaque personne figurant dans le fichier.
Que l'article 34 ne soit pas décoratif, une décision publiée le montre : le 3 septembre 2026, la CNIL a prononcé une sanction de 500 000 euros à l'encontre de l'Hôpital privé de la Loire, retenant à la fois un manquement à la sécurité (article 32) et le défaut d'information de 202 246 tiers de confiance dont les données avaient été exposées, sur une brèche touchant 524 867 patients. Le cas ne concerne pas un support amovible, mais la logique de sanction est la même : l'obligation d'informer ne dépend pas de la manière dont les données ont fuité.
Une politique interne tient sur une page
Inutile de rédiger une charte de quarante pages que personne ne lira. Sur les missions où j'ai vu ce sujet traité correctement, le document tenait en quelques lignes affichées près des postes :
- aucun support d'origine inconnue ou offert n'est branché sur un poste de l'entreprise ;
- toute donnée personnelle ou confidentielle qui sort sur un support amovible est chiffrée, sans exception ;
- on nomme les supports autorisés et on sait qui détient quoi ;
- la clé est un moyen de transport, jamais l'unique exemplaire d'un fichier ;
- une perte ou un vol se signale immédiatement à une personne identifiée, le jour même — le compteur des 72 heures démarre à la prise de connaissance ;
- les supports en fin de vie sont effacés puis détruits physiquement.
La clé USB n'a donc pas disparu : elle a changé de statut. Elle est passée d'outil de travail quotidien à équipement de secours, encadré, chiffré, tracé. Si vos équipes continuent de se passer des fichiers sur clé, c'est souvent moins un attachement au support qu'un signe que l'outil en ligne n'existe pas, ou qu'il est trop pénible à utiliser. Dans ce cas, le problème à traiter n'est pas la clé : c'est l'espace de travail qu'on n'a pas mis en place, ou le site professionnel qui ne joue pas encore son rôle de point d'entrée pour vos clients.
Questions fréquentes
Faut-il interdire complètement les clés USB en entreprise ?
L'interdiction totale est rarement tenable dans une TPE ou une PME, car certains usages restent légitimes : transfert hors ligne, clé d'installation système, sauvegarde déconnectée. La règle réaliste consiste à n'autoriser que des supports fournis et identifiés par l'entreprise, systématiquement chiffrés, et à bannir tout support d'origine inconnue. Dans les environnements très sensibles, le blocage technique des ports USB avec une liste d'exceptions reste possible.
Comment chiffrer une clé USB simplement ?
Sous Windows Pro, Entreprise ou Éducation, BitLocker To Go chiffre un support amovible en quelques clics depuis l'explorateur de fichiers ; le chiffrement automatique de l'appareil, lui, ne couvre pas les lecteurs externes. Sur les autres configurations ou pour un usage multiplateforme, un conteneur chiffré VeraCrypt fait le travail gratuitement. La CNIL recommande l'algorithme AES avec des clés de 128, 192 ou 256 bits.
La perte d'une clé USB doit-elle être signalée à la CNIL ?
Oui, dès lors que la clé contenait des données personnelles et que la perte présente un risque pour les personnes concernées : il s'agit d'une violation de données au sens du RGPD. La notification intervient dans les meilleurs délais, au plus tard 72 heures après la prise de connaissance, via le service en ligne de la CNIL. Même sans risque, l'incident doit être consigné dans le registre interne des violations.
Une clé de sécurité FIDO2 sert-elle à stocker des fichiers ?
Non. Une clé de sécurité FIDO2 se branche sur un port USB mais ne contient pas de mémoire de stockage accessible : elle héberge des secrets cryptographiques et sert uniquement à prouver votre identité lors d'une connexion. Elle repose sur les standards WebAuthn et CTAP portés par la FIDO Alliance, et constitue aujourd'hui une protection efficace contre l'hameçonnage sur les comptes sensibles.
Une clé USB est-elle un bon support de sauvegarde ?
Elle convient comme copie déconnectée d'appoint, ce qui est précieux face aux rançongiciels et aux erreurs de synchronisation, mais elle ne constitue pas une stratégie de sauvegarde à elle seule. La mémoire flash se dégrade et une clé se perd facilement : il faut plusieurs copies, sur des supports de nature différente, dont une hors des locaux. Une sauvegarde jamais testée en restauration ne compte pas comme une sauvegarde.
Peut-on encore livrer des fichiers à un client sur clé USB ?
C'est possible mais rarement optimal : le client doit brancher un support qu'il n'a pas produit, et vous perdez la trace de ce qui a été remis et quand. Un espace de partage en ligne avec des accès nominatifs et une date d'expiration est plus sûr et plus simple à justifier. La clé garde son intérêt pour les très gros volumes ou quand le client travaille dans un environnement sans accès réseau.