Conformité réglementaire en 2026 : que doivent faire les DSI du secteur public face au triptyque NIS2, l’AI Act et au RGPD ?
07/09/2026
18min
La conformité réglementaire en 2026, l’année où les trois piliers de la régulation numérique européenne entrent simultanément en phase opérationnelle pour les organismes publics. NIS2 attend sa transposition définitive en droit français via la loi Résilience. L’AI Act a franchi une étape majeure le 2 août 2026, avec des obligations de transparence et un régime de sanctions désormais applicables, tandis que les règles sur les systèmes à haut risque sont reportées à décembre 2027.
Pour les directeurs et directrices des systèmes d’information du secteur public, l’enjeu n’est plus de choisir par où commencer : c’est de comprendre que ces trois textes forment un seul et même impératif de gouvernance numérique, à traiter de façon coordonnée sous peine de disperser les ressources et de multiplier les angles morts.
Le triptyque réglementaire de 2026 : trois textes, un seul impératif
Trois règlements et directives européens convergent en 2026 pour redéfinir les obligations des organismes publics en matière numérique.
- NIS2 (directive UE 2022/2555) élargit massivement le périmètre de la cybersécurité réglementée : en France, environ 15 000 entités sont désormais concernées, contre 300 sous NIS1. Les collectivités territoriales et administrations centrales entrent pleinement dans le champ d’application. Votée au Sénat en mars 2025 puis adoptée en commission spéciale à l’Assemblée nationale en septembre 2025, la loi Résilience qui transpose NIS2 reste en attente d’examen en séance publique, annoncé pour la rentrée parlementaire. La Commission européenne a saisi la CJUE le 8 juillet 2026 contre la France pour défaut de transposition.
- L’AI Act (règlement UE 2024/1689), entré en vigueur le 1er août 2024, applique ses interdictions (article 5) et son obligation de maîtrise de l’IA (article 4) depuis le 2 février 2025, et ses obligations de transparence (article 50) depuis le 2 août 2026.
revanche, le régime des systèmes à haut risque de l’annexe III ne s’appliquera qu’au 2 décembre 2027. Les administrations qui déploient des outils d’IA dans des domaines sensibles (gestion des prestations sociales, analyse biométrique, aide à la décision administrative) sont directement visées.
- Le RGPD (règlement UE 2016/679), applicable depuis 2018, reste le socle de la gouvernance des données. La CNIL a mené 323 contrôles en 2025 et son rapport annuel, publié en mai 2026, place les administrations publiques en tête des secteurs touchés par les violations de données, avec 19 % des notifications. L’année 2026 confirme la tendance. La fuite de 2,1 millions de dossiers de l’OFII a ouvert l’année en janvier et l’ANTS a subi en avril le vol des données d’environ 12 millions de personnes. La DGFiP, déjà visée en février par un accès illégitime au fichier FICOBA, a reconnu en août une série d’intrusions survenues depuis juin, avec un bilan qui dépasse plusieurs centaines de milliers de contribuables, encore susceptible d’évoluer.
Des réglementations qui doivent être abordées conjointement
La tentation naturelle est de traiter chaque texte en silo : un chantier NIS2 confié au RSSI, un projet AI Act porté par la DSI, une mise à jour RGPD gérée par le DPO. Cette approche cloisonnée est contre-productive pour au moins trois raisons.
D’abord, les périmètres se recoupent : un système d’IA qui traite des données personnelles dans un contexte de sécurité publique est simultanément soumis à l’AI Act, au RGPD et potentiellement à NIS2. Ensuite, les ressources humaines et budgétaires sont limitées dans le secteur public : un programme de conformité intégré est structurellement plus efficace que trois programmes parallèles. Enfin, les autorités de contrôle (ANSSI, CNIL, futures autorités AI Act) coordonnent déjà leurs actions : une organisation qui répond à une logique de silo s’expose à des incohérences détectables lors des contrôles croisés.
NIS2 : nouvelles responsabilités et obligations pour les DSI du secteur public
NIS2 distingue deux catégories d’entités, essentielles (EE) et importantes (EI). Les administrations centrales de l’État relèvent des entités essentielles indépendamment de leur taille. Pour les collectivités, le projet de loi français retient des critères spécifiques : régions, départements, communes de plus de 30 000 habitants et leurs groupements. La répartition exacte entre EE et EI sera fixée par la loi et ses décrets d’application.
Certaines entités publiques bénéficient d’exemptions partielles, mais l’ANSSI recommande à toutes les administrations de procéder à une autoévaluation via la plateforme MonEspaceNIS2 pour déterminer leur statut exact.
Les obligations de cybersécurité à mettre en œuvre
Les obligations NIS2 se déclinent en dix mesures structurantes, parmi lesquelles figurent en priorité :
- La politique de sécurité des systèmes d’information documentée et validée par la direction ;
- La gestion formalisée des incidents de sécurité avec des procédures écrites et testées ;
- La continuité d’activité et les plans de reprise après sinistre ;
- La sécurité de la chaîne d’approvisionnement numérique (prestataires, éditeurs, infogérants) ;
- L’authentification multi-facteur et le chiffrement des données sensibles.
La mise en conformité NIS2 peut prendre entre 12 et 24 mois selon la maturité cyber de l’organisation, pour un budget de plusieurs dizaines à plusieurs centaines de milliers d’euros selon la taille de l’entité.
Se préparer aux contrôles et aux obligations de déclaration d’incidents
NIS2 impose des délais stricts de notification des incidents significatifs à l’ANSSI : une alerte initiale dans les 24 heures, une notification complète dans les 72 heures, et un rapport final détaillé sous un mois. Ces délais sont incompatibles avec des processus de gestion de crise improvisés.
Trois prérequis organisationnels sont indispensables : un dispositif de détection des incidents opérationnel (SOC interne ou externalisé), un plan de gestion de crise écrit et testé chaque année, et une chaîne de responsabilité clairement identifiée jusqu’au niveau de la direction générale. NIS2 engage en effet la responsabilité personnelle des dirigeants et dirigeantes en cas de manquement avéré. Pour les administrations, la loi Résilience fixera la manière dont cette responsabilité s’appliquera.
[SU2]@Justine RANNOU vérification des liens car j’ai vu certains ou les dates de l’application n’étaient pas correct a vérifier
AI Act : identifier les systèmes à risque et structurer la gouvernance de l’IA
Les administrations publiques françaises ont déployé des outils d’IA de façon souvent progressive et peu formalisée : chatbots d’accueil, outils d’aide à la décision pour l’attribution de prestations sociales, systèmes de reconnaissance documentaire, outils de détection de fraude, ou encore solutions de supervision des infrastructures IT. La CNIL a finalisé en 2025 ses recommandations sur l’IA et le RGPD : juridiquement non contraignantes, elles n’en dessinent pas moins ses priorités de contrôle.
Le phénomène de Shadow AI (déploiement d’outils d’IA sans validation de la DSI) constitue un risque de conformité majeur : des agents utilisent des outils grand public pour des traitements qui peuvent impliquer des données personnelles ou sensibles, hors de tout cadre de gouvernance.
La classification des systèmes d’IA selon l’AI Act
L’AI Act classe les systèmes d’IA selon quatre niveaux de risque. Dans le secteur public, les usages les plus fréquemment classés à haut risque incluent :
- Les systèmes d’aide à la décision dans l’attribution de droits ou de prestations ;
- Les outils d’analyse biométrique ou de reconnaissance faciale ;
- Les systèmes de scoring ou de profilage des usagers ;
- Les outils d’IA utilisés dans le domaine de la justice ou de la sécurité publique.
Pour les systèmes à haut risque de l’annexe III, quatre obligations s’appliqueront au 2 décembre 2027 : l’inscription dans la base de données européenne, un système de gestion des risques documenté, une supervision humaine effective et une documentation technique complète. Pour l’IA intégrée à des produits déjà réglementés (annexe I), l’échéance est fixée au 2 août 2028.
À noter : l’omnibus numérique sur l’IA, règlement (UE) 2026/1744 du 8 juillet 2026 publié au JOUE le 24 juillet et entré en vigueur le 27 juillet 2026, reporte le régime des systèmes à haut risque de l’annexe III au 2 décembre 2027 et celui de l’annexe I au 2 août 2028. En revanche, les interdictions de l’article 5 et les obligations de transparence de l’article 50 restent pleinement applicables. L’obligation de maîtrise de l’IA demeure elle aussi : les organisations doivent toujours former leurs équipes à l’usage de ces outils, mais le texte leur demande désormais des actions concrètes plutôt qu’un résultat garanti.
La gouvernance de l’IA comme priorité stratégique
Sans inventaire centralisé des systèmes d’IA en production, il est impossible de déterminer lesquels sont soumis à l’AI Act, lesquels nécessitent une évaluation d’impact (DPIA combinée AI Act/RGPD), et lesquels doivent être mis en conformité en priorité.
La gouvernance de l’IA n’est pas un sujet technique : c’est un sujet de pilotage stratégique qui doit être porté au niveau de la direction générale, avec une feuille de route documentée et des indicateurs de suivi.
Le report à décembre 2027 ne met rien en pause : les pratiques interdites de l’article 5 et l’obligation de maîtrise de l’IA de l’article 4, assouplie mais non supprimée par l’omnibus, s’imposent déjà, et l’inventaire reste la condition pour tenir l’échéance de 2027 sans travail en urgence.
RGPD : renforcer les fondamentaux et articuler les trois référentiels
Huit ans après son entrée en application, le RGPD reste insuffisamment appliqué dans de nombreux organismes publics. Les sanctions que la CNIL a prononcées en 2025 ont d’abord visé la sécurité des données, les cookies et la vidéosurveillance des salariés. Ces lacunes ne sont pas anecdotiques, elles révèlent des failles dans les fondamentaux de la gouvernance des données.
En 2026, trois chantiers RGPD méritent une attention particulière : la mise à jour du registre des traitements (souvent obsolète), la révision des durées de conservation des données, et le renforcement des mesures de sécurité techniques (authentification, chiffrement, gestion des accès).
L’articulation entre conformité RGPD, cybersécurité et intelligence artificielle
Les trois textes partagent une logique commune : la protection des droits fondamentaux par la maîtrise des données et des systèmes numériques. En pratique, cette articulation passe par une évaluation d’impact combinée (DPIA) obligatoire avant tout déploiement d’un système d’IA à haut risque traitant des données personnelles. Cette DPIA doit intégrer simultanément les exigences du RGPD (base légale, minimisation, droits des personnes) et celles de l’AI Act (transparence, supervision humaine, documentation des risques).
De même, les mesures de cybersécurité exigées par NIS2 (chiffrement, authentification multi-facteur, gestion des accès) sont directement alignées sur les obligations de sécurité des données du RGPD. Un programme de conformité intégré évite de financer deux fois les mêmes mesures.
Les risques en cas de non-conformité
Les sanctions peuvent se cumuler : jusqu’à 20 millions d’euros pour le RGPD, jusqu’à 10 millions d’euros pour NIS2 (entités essentielles), et jusqu’à 35 millions d’euros pour l’AI Act dans les cas les plus graves. En France, la CNIL ne peut pas prononcer d’amende contre l’État, mais les collectivités territoriales restent exposées. Pour NIS2, le sort des administrations dépendra des arbitrages de la loi Résilience.
Au-delà des amendes, les risques pour les organismes publics incluent la suspension d’activité d’un service numérique, la mise en demeure publique (avec impact réputationnel direct), et la responsabilité personnelle des dirigeants et dirigeantes désignés.
En 2026, plus de 320 collectivités françaises ont déjà été victimes de cyberattaques significatives depuis le début de l’année. Le risque n’est pas théorique.
Construire une stratégie de conformité intégrée : gouvernance, cartographie et pilotage
Une gouvernance transverse DSI/RSSI/DPO
La conformité réglementaire ne peut pas être pilotée en silo. Une instance de gouvernance transverse réunissant le ou la DSI, le ou la RSSI et le ou la DPO est le prérequis organisationnel de toute démarche sérieuse. Cette instance doit disposer d’un mandat clair, d’un budget dédié et d’un reporting régulier vers la direction générale.
Dans les organismes publics de taille intermédiaire, où ces fonctions sont parfois cumulées ou partiellement externalisées, la gouvernance transverse peut prendre la forme d’un comité mensuel avec un ordre du jour structuré autour des trois référentiels réglementaires.
La cartographie commune des risques, données et systèmes
La cartographie est le point de départ de toute démarche de conformité. Elle doit couvrir trois dimensions complémentaires :
- Les actifs numériques critiques et leur niveau de criticité métier (périmètre NIS2) ;
- Les traitements de données personnelles et leurs bases légales (périmètre RGPD) ;
- Les systèmes d’IA en production ou en cours de déploiement, classés par niveau de risque (périmètre AI Act).
Cette cartographie tripartite permet d’identifier les zones de recouvrement (un système d’IA qui traite des données personnelles dans un contexte critique est soumis aux trois textes simultanément) et de prioriser les actions selon leur impact réglementaire réel.
Les indicateurs à suivre pour piloter la conformité
Un tableau de bord de conformité réglementaire doit comporter au minimum :
- Le taux de couverture des actifs critiques par des mesures de sécurité NIS2 ;
- Le temps écoulé entre la découverte d’un incident et sa déclaration à l’ANSSI (objectif : moins de 24 heures, le délai fixé par NIS2 pour la première alerte);
- Le pourcentage de traitements RGPD disposant d’une base légale documentée et d’une durée de conservation définie ;
- Le nombre de systèmes d’IA inventoriés, classifiés et dont la conformité AI Act est documentée ;
- Le nombre de DPIA réalisées ou en cours pour les systèmes à haut risque.
Les priorités immédiates pour les DSI du secteur public
Évaluer son niveau de maturité réglementaire
Avant de lancer des chantiers de conformité, il est indispensable de disposer d’une photographie honnête de la situation actuelle. Cette évaluation doit couvrir les trois référentiels simultanément et produire un état des lieux factuel : quels textes s’appliquent, quelles obligations sont déjà satisfaites, où se situent les écarts les plus critiques.
L’ANSSI met à disposition depuis mars 2026 le Référentiel Cyber France (ReCyF), qui liste les mesures recommandées pour atteindre les objectifs de sécurité fixés par NIS2. Les entités qui appliquent le ReCyF peuvent s’en prévaloir lors d’un contrôle. C’est un point de départ concret pour les équipes IT du secteur public.
Les trois chantiers prioritaires d’ici la fin de l’année
Trois chantiers sont prioritaires pour le second semestre 2026 :
- L’inventaire des systèmes d’IA: recenser tous les outils d’IA en production, les classifier selon l’AI Act et identifier ceux qui nécessitent une mise en conformité immédiate ;
- La mise à jour du dispositif de gestion des incidents: s’assurer que les processus de détection, qualification et notification sont formalisés, opérationnels et testés, conformément aux délais NIS2 ;
- La révision du registre des traitements RGPD: mettre à jour les durées de conservation, vérifier les bases légales et documenter les mesures de sécurité associées à chaque traitement.
Transformer les contraintes réglementaires en levier de modernisation
La conformité réglementaire est souvent perçue comme un coût subi. Elle peut être vécue différemment si elle est intégrée dans une démarche de modernisation du SI. Les chantiers NIS2 (cartographie des actifs, supervision, gestion des incidents) sont des prérequis à toute migration cloud sécurisée. Les exigences AI Act (documentation, supervision humaine, gestion des risques) sont des pratiques de gouvernance qui améliorent la qualité et la fiabilité des projets IA. Et le renforcement du RGPD (minimisation des données, durées de conservation) est un levier de rationalisation des bases de données et de réduction de la dette technique.
Les DSI qui sauront articuler ces trois chantiers dans une feuille de route cohérente transformeront une contrainte réglementaire en programme de transformation numérique maîtrisé.
Ce que Blue Soft a appris en appliquant cette démarche
L’approche intégrée défendue dans cet article, nous ne l’avons pas imaginée pour nos clients. Nous l’avons d’abord construite pour nous-mêmes, à partir d’un constat simple : les trois réglementations demandent au fond la même chose, savoir ce que l’on possède, maîtriser ce que l’on déploie et former ceux qui l’utilisent.
Pour l’intelligence artificielle, la norme ISO 42001 nous sert de colonne vertébrale. Elle nous impose déjà ce que l’AI Act attendra demain : un inventaire tenu à jour des systèmes d’IA, une évaluation des risques avant chaque déploiement, un suivi dans la durée. Nos référents IA font vivre ce cadre sur le terrain. Présents dans les équipes, ils répondent aux questions d’usage avant qu’elles ne deviennent des incidents, repèrent les outils adoptés sans validation et alimentent l’inventaire. Le Shadow AI décrit plus haut, c’est précisément ce qu’ils empêchent.
Sur les données personnelles, nous avons cessé de former séparément au RGPD et à l’IA. Une seule session traite les deux, parce que le premier risque RGPD d’aujourd’hui naît d’un usage mal maîtrisé de l’IA : un document confidentiel collé dans un outil grand public suffit à créer une violation. Cette formation conjointe répond du même coup à l’obligation de maîtrise de l’IA et aux priorités de contrôle de la CNIL.
Notre démarche de certification ISO 27001 complète l’ensemble. Elle organise déjà l’essentiel de ce que NIS2 exigera : une politique de sécurité portée par la direction, la gestion des incidents, la continuité d’activité, la surveillance des prestataires.
C’est cette méthode, éprouvée en interne, que nos consultants déploient ensuite chez leurs clients. Un état des lieux croisé des trois réglementations tient en quelques jours et vous dit où concentrer vos moyens.
Questions fréquentes
Mon administration est-elle concernée par NIS2 même si elle ne se considère pas comme une infrastructure critique ?
Probablement oui. NIS2 élargit considérablement le périmètre par rapport à NIS1 : le projet de loi français couvre les administrations de l’État ainsi que les régions, les départements, les communes de plus de 30 000 habitants et leurs groupements. L’outil MonEspaceNIS2 de l’ANSSI permet de réaliser une autoévaluation rapide. En cas de doute, il est préférable d’anticiper : la mise en conformité prend entre 12 et 24 mois.
Quels systèmes d'IA du secteur public sont classés à haut risque par l'AI Act ?
Les systèmes d’aide à la décision dans l’attribution de droits ou de prestations sociales, les outils de profilage des usagers, les systèmes biométriques et les outils utilisés dans le domaine de la justice ou de la sécurité publique sont généralement classés à haut risque au titre de l’annexe III. Depuis l’omnibus numérique du 8 juillet 2026, les obligations attachées à ce statut s’appliqueront au 2 décembre 2027 et non au 2 août 2026. La classification, elle, reste à faire dès maintenant. Une cartographie des systèmes d’IA en production est indispensable pour déterminer le niveau de risque applicable à chaque outil. Le calendrier d’application et les fiches publiés par l’AI Act Service Desk de la Commission européenne, complétés par les recommandations IA de la CNIL, constituent les références pour initier cette classification.
Peut-on cumuler des sanctions RGPD et AI Act pour le même incident ?
Oui. Les sanctions peuvent se cumuler en cas de violation touchant simultanément plusieurs textes. Un incident impliquant un système d’IA à haut risque qui traite des données personnelles sans base légale valide peut théoriquement exposer l’organisme à des sanctions au titre du RGPD (jusqu’à 20 millions d’euros) et de l’AI Act (jusqu’à 15 millions d’euros pour un manquement aux obligations « haut risque », 35 millions d’euros s’il s’agit d’une pratique interdite). Dans le secteur public, l’AI Act laisse aux États membres le soin de déterminer si et dans quelle mesure les amendes administratives s’appliquent aux autorités publiques : le risque financier dépend donc de la transposition nationale. L’impact réputationnel et opérationnel, lui, reste entier.
Par où commencer quand les ressources internes sont limitées ?
La priorité absolue est l’évaluation de maturité : elle permet de concentrer les ressources sur les écarts les plus critiques plutôt que de disperser les efforts. En parallèle, l’inventaire des systèmes d’IA et la mise à jour du registre des traitements RGPD sont deux chantiers à fort impact qui peuvent être conduits simultanément avec des ressources modestes. Un accompagnement externe ciblé sur ces phases d’évaluation et de priorisation est souvent le meilleur investissement initial.
La loi Résilience est-elle déjà applicable en France ?
La loi Résilience, qui transpose la directive NIS2 en droit français, est attendue pour le second semestre 2026 après plusieurs reports. En l’absence de texte définitif, les administrations doivent néanmoins anticiper : l’ANSSI recommande d’utiliser le Référentiel Cyber France (ReCyF), disponible depuis mars 2026, comme base de travail. Les entités qui s’y conforment peuvent s’en prévaloir lors des futurs contrôles.