Entré en vigueur le 1er août 2024, l’IA Act européen est appliqué par étapes. Depuis février 2025, certains usages de l’IA sont déjà interdits dans l’Union européenne, notamment les systèmes de notation sociale et plusieurs dispositifs de manipulation comportementale. Le calendrier concernant les systèmes à haut risque a toutefois été ajusté début mai 2026 par la Commission européenne, avec une application désormais prévue à partir de décembre 2027 pour plusieurs catégories sensibles.
Le règlement prévoit des sanctions pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel pour les infractions les plus graves.
Les projets IA basculent dans le périmètre des RSSI
Pour les DSI et les RSSI, l’IA Act rapproche désormais les projets IA des sujets déjà traités en cybersécurité ou en conformité. Les entreprises devront documenter les usages considérés comme “à haut risque” dans certains domaines (ressources humaines, santé, éducation, justice, infrastructures critiques…), encadrer les accès aux modèles, tracer les données utilisées et mettre en place des mécanismes de supervision sur les systèmes considérés comme sensibles.
L’article 15 fixe des exigences de robustesse et de cybersécurité
L’IA Act impose aussi des exigences techniques. L’article 15 prévoit que les systèmes d’IA à haut risque puissent résister aux erreurs, aux incohérences et aux tentatives de manipulation.
Pour les équipes IT et cyber, cela pose des questions très opérationnelles : qui peut accéder aux modèles, quelles données sont utilisées pour l’entraînement, comment détecter une altération des réponses générées ou encore comment limiter les attaques visant à contourner les consignes initiales des modèles d’IA générative (“prompt injection”), déjà observées sur plusieurs outils d’IA générative.
Les agences européennes alertent déjà sur plusieurs scénarios de risque
LANSSI évoque notamment les risques de fuite de données sensibles via les outils d’IA générative, mais aussi les attaques visant à altérer les données d’entraînement utilisées par les modèles.
L’ENISA s’intéresse également aux usages de l’IA dans les environnements critiques et aux nouveaux points d’exposition que ces outils peuvent créer dans les systèmes d’information, en particulier lorsqu’ils sont connectés à des données internes ou à des services métiers.
Shadow AI : les usages avancent plus vite que les règles internes
Des assistants IA sont déjà utilisés dans certaines fonctions métiers, souvent avec un accès à des données internes, sans validation formelle des équipes cyber ou conformité. Dans beaucoup d’organisations, les usages se développent encore au fil des initiatives locales : copilotes bureautiques, outils de résumé automatique, génération de code ou moteurs de recherche augmentés par l’IA.
Avec l’IA Act, ces déploiements devront être documentés et encadrés, en particulier lorsqu’ils donnent accès à des données internes ou à des processus métiers sensibles.
Les DSI et RSSI vont devoir reprendre la main sur les usages IA
Jusqu’ici, beaucoup de projets IA ont été lancés directement dans les métiers, parfois sans validation des équipes IT ou cybersécurité. Avec l’application progressive de l’IA Act, les DSI et RSSI doivent identifier les outils utilisés, clarifier les règles d’usage et mieux encadrer les échanges avec les modèles d’IA générative.
Cette évolution favorise aussi l’émergence de nouvelles fonctions de sécurity IA chez plusieurs éditeurs cyber, notamment autour du contrôle des accès, de la supervision des usages ou de l’identification des outils IA non autorisés. CATO Networks développe par exemple AI Security, avec des mécanismes de contrôle des accès, de supervision des usages et d’identification des outils IA non autorisés.
