Le 8 juillet 2026, la Commission européenne a présenté son plan d’action sur l’IA en cybersécurité. L’idée de départ est simple : l’intelligence artificielle sert autant à détecter des failles et automatiser la défense qu’à industrialiser les attaques. Un modèle puissant entre de mauvaises mains, et l’ampleur du problème change d’échelle.
Pas de nouveau règlement ici. La Commission s’appuie sur ce qui existe déjà : l’AI Act, le Cyber Resilience Act, qui ne sera pleinement applicable que fin 2027, le règlement sur la cybersolidarité, et NIS2. Trois axes de travail. Préparer le terrain vers une IA sûre. Renforcer la préparation cyber de l’UE. Monter en échelle ses capacités.
Le calendrier, lui, se resserre sur la fin d’année. L’ENISA doit publier ses lignes directrices sur les menaces liées à l’IA au troisième trimestre. Puis, au quatrième trimestre, un « Grand Défi » européen sur les solutions de cybersécurité basées sur l’IA, un volet formation via la Cybersecurity Skills Academy, et une campagne pour accélérer les correctifs sur les logiciels libres critiques. Une capacité européenne d’évaluation des modèles d’IA est promise pour 2027.
Pour un RSSI ou un DSI, ça ne change rien dans l’immédiat. Aucune obligation nouvelle, aucune sanction associée. Une feuille de route, pas un texte contraignant, et surtout un texte qui ne s’applique pas aux modèles développés hors UE, très majoritairement américains. Ce qui vaut la peine d’être suivi, en revanche, c’est le calendrier ENISA de fin d’année : ces lignes directrices risquent de devenir une référence de facto pour évaluer les usages internes de l’IA en sécurité, bien avant qu’une obligation légale n’existe.
Bruxelles assume d’ailleurs la limite. Structurer un cadre commun sans avoir la main sur les acteurs qui comptent vraiment dans ce domaine, ça revient à coordonner sans lever. Reste à voir si cette feuille de route débouche sur des capacités concrètes. Les États-Unis et la Chine, eux, n’attendent personne.
