Forum InCyber 2026 lance une initiative de compétences en cybersécurité alors que le Parlement européen simplifie l'AI Act, interdit les IA « nudifier », et que la dérogation e-Privacy CSAM expire
La Commission européenne dévoile de nouveaux engagements pour la Cybersecurity Skills Academy au Forum InCyber 2026 à Lille. Les eurodéputés votent pour simplifier les exigences applicables aux systèmes à haut risque de l'AI Act et interdire les outils IA « nudifier ». La dérogation e-Privacy pour la détection volontaire de contenus CSAM expire sans renouvellement. La catégorisation du risque des agents IA s'impose comme un enjeu de gouvernance critique dans le cadre de l'application de l'AI Act. Parallèlement, l'enquête de la Commission sur sa propre faille de sécurité soulève des questions embarrassantes en matière de conformité NIS2.
1. Forum InCyber 2026 : de nouveaux engagements pour la Cybersecurity Skills Academy dévoilés à Lille
La Commission européenne a annoncé une expansion significative de son initiative Cybersecurity Skills Academy lors de la conférence Forum InCyber 2026, qui s'est ouverte le 31 mars à Lille et se poursuit jusqu'au 2 avril. Cet événement, l'un des plus grands rendez-vous européens de la cybersécurité, a servi de tremplin à de nouveaux engagements visant à combler le déficit croissant de talents en cybersécurité sur le continent.
La crise des compétences en chiffres
L'Europe est confrontée à une pénurie de main-d'œuvre en cybersécurité d'environ 500 000 professionnels, selon le dernier rapport NIS Investments de l'ENISA, publié en décembre 2025. La sixième édition de ce rapport a révélé une tendance préoccupante : les organisations déplacent leurs investissements des personnes vers la technologie, alors même que la pénurie de talents s'aggrave — créant un déséquilibre dangereux où des outils sophistiqués manquent d'opérateurs qualifiés.
⚠️ Obligation de compétences NIS2
L'article 20 de NIS2 exige que les organes de direction des entités essentielles et importantes suivent une formation en cybersécurité et proposent une formation régulière à leurs employés. La transposition nationale étant désormais en vigueur dans tous les États membres, les entités incapables de démontrer l'existence de programmes de développement des compétences adéquats s'exposent à des mesures de surveillance. Les engagements de la Skills Academy répondent directement à cette exigence de conformité au niveau de l'UE.
Ce qui a été annoncé
- Dispositifs d'attestation des compétences à l'échelle de l'UE : Cadres de certification harmonisés pour garantir la reconnaissance des qualifications en cybersécurité dans les 27 États membres
- Programmes pilotes de la Cybersecurity Skills Academy : Financés par le programme Digital Europe, ciblant les publics sous-représentés, notamment les femmes et les personnes en reconversion professionnelle
- Partenariats entre industrie et milieu universitaire : Nouveaux engagements des grandes entreprises technologiques pour co-développer des cursus alignés sur les exigences de conformité NIS2, DORA et CRA
- Rôle de coordination de l'ENISA : L'agence servira de plateforme centrale pour le suivi des déficits de compétences et l'agrégation des ressources de formation
Contexte réglementaire
Le calendrier n'est pas anodin. Avec le Threat-Led Penetration Testing (TLPT) de DORA désormais opérationnel et les obligations de signalement des vulnérabilités du CRA qui entrent en vigueur en septembre 2026, la demande de professionnels qualifiés en cybersécurité va exploser. La proposition de Cybersecurity Act révisé — actuellement en cours d'examen parlementaire — comprend également des dispositions pour le développement de la main-d'œuvre en tant que priorité stratégique de sécurité.
2. Le Parlement européen vote la simplification de l'AI Act et l'interdiction des systèmes d'IA « nudifier »
Lors d'un vote historique le 26 mars, le Parlement européen a adopté des propositions visant à simplifier le cadre de mise en œuvre de l'AI Act, tout en introduisant simultanément une interdiction catégorique des systèmes d'IA « nudifier » — des outils qui génèrent des images intimes non consenties à l'aide de l'intelligence artificielle.
Simplification de l'AI Act
Les commissions IMCO et LIBE du Parlement ont fait adopter des amendements qui clarifient et rationalisent plusieurs aspects des exigences de l'AI Act applicables aux systèmes à haut risque :
- Dates d'application claires : Suppression de l'ambiguïté sur l'entrée en vigueur des obligations spécifiques selon les catégories de systèmes d'IA
- Évaluations de conformité proportionnées : Modulation des exigences d'évaluation en fonction du risque réel plutôt que l'application de normes uniformes à toutes les catégories à haut risque
- Exemptions pour les PME : Périodes de transition prolongées et exigences documentaires réduites pour les petites et moyennes entreprises déployant des IA à haut risque
- Lignes directrices d'interprétation harmonisées : Définitions normalisées pour éviter des mises en œuvre nationales divergentes susceptibles de fragmenter le marché unique
📊 Mise à jour du calendrier de mise en œuvre : Avec le vote de simplification, le Parlement a de facto confirmé que les exigences applicables aux systèmes d'IA à haut risque s'appliqueront à partir du 2 août 2026 — soit dans à peine quatre mois. Les organisations doivent finaliser leurs évaluations de conformité, préparer leur documentation technique et s'enregistrer dans la base de données de l'UE avant cette échéance.
Interdiction des IA « nudifier »
L'interdiction des systèmes d'IA « nudifier » ajoute une nouvelle pratique interdite au titre de l'article 5 de l'AI Act. Les eurodéputés ont classé ces outils comme présentant un « risque inacceptable » pour les droits fondamentaux, en particulier la dignité, la vie privée et la protection contre les violences fondées sur le genre.
L'interdiction couvre :
- Les systèmes d'IA qui génèrent ou modifient des images pour représenter des personnes dans des situations intimes sans leur consentement
- Les plateformes de diffusion qui hébergent sciemment de tels systèmes ou en facilitent l'accès
- Les services commerciaux proposant la « nudification » comme fonctionnalité, quel que soit l'objectif déclaré
🔶 Intersection RGPD et AI Act
L'interdiction des « nudifiers » renforce les protections du RGPD existantes en matière de données biométriques (article 9) et de droit à l'effacement (article 17). Les victimes d'images intimes générées par IA peuvent désormais invoquer à la fois le cadre des pratiques interdites de l'AI Act et les protections du RGPD relatives aux catégories particulières de données. Les autorités nationales de protection des données disposent d'outils d'application supplémentaires, les sanctions prévues par l'AI Act pouvant atteindre jusqu'à 35 millions € ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites.
3. La dérogation e-Privacy CSAM expire : fin de la détection volontaire
Dans une décision controversée aux implications considérables, le Parlement européen a voté contre le renouvellement de la dérogation temporaire aux règles e-Privacy qui permettait aux fournisseurs de services en ligne de détecter volontairement des contenus pédopornographiques (CSAM) dans les communications privées.
Ce que cela signifie
Depuis 2021, un règlement provisoire fournissait une base légale permettant à des plateformes comme Meta, Google et Microsoft de scanner les messages privés à la recherche de contenus CSAM connus grâce à une technologie de hachage. Sans renouvellement, ces activités de scan volontaire deviennent juridiquement problématiques au regard de la directive e-Privacy, qui protège la confidentialité des communications électroniques.
| Aspect | Avant expiration | Après expiration |
|---|---|---|
| Scan volontaire de contenus CSAM | ✅ Légal sous dérogation | ❌ En conflit avec e-Privacy |
| Technologie de hachage | ✅ Autorisée | ⚠️ Incertitude juridique |
| Responsabilité des plateformes | Refuge légal pour le scan de bonne foi | Risque de plaintes pour atteinte à la vie privée |
| Signalement au NCMEC | En cours depuis les plateformes de l'UE | Baisse significative attendue |
L'impasse réglementaire
Cette expiration met en lumière la tension non résolue entre le projet de règlement CSAM (souvent appelé « Chat Control ») et les droits fondamentaux à la vie privée. Le Conseil de l'UE et le Parlement restent en désaccord sur le périmètre des obligations de scan côté client, plusieurs cours constitutionnelles d'États membres ayant exprimé des préoccupations sur la surveillance de masse.
📌 Implications au regard du RGPD : Les fournisseurs de services qui poursuivent le scan volontaire sans dérogation s'exposent à des plaintes au titre de l'article 5, paragraphe 1, point a), du RGPD (licéité) et de l'article 5, paragraphe 1, de la directive e-Privacy (confidentialité des communications). Le Comité européen de la protection des données a exhorté les législateurs à trouver une solution équilibrant protection de l'enfance et droits fondamentaux — mais aucun compromis ne s'est encore matérialisé.
4. Gouvernance du risque des agents IA : un défi réglementaire émergent
Alors que les entreprises déploient rapidement des agents IA autonomes capables de raisonner, de planifier et d'exécuter des actions à travers les systèmes de l'entreprise, un déficit critique de gouvernance apparaît dans le cadre de l'AI Act. Les experts du secteur avertissent que les approches actuelles de catégorisation des risques sont insuffisantes pour le paradigme de l'IA agentique.
Trois catégories de risque pour les agents IA
Des chercheurs en sécurité ont proposé un cadre de risque fondé sur deux variables : l'accès (les systèmes et données qu'un agent peut atteindre) et l'autonomie (le degré d'indépendance de son fonctionnement) :
| Type d'agent | Niveau d'accès | Autonomie | Profil de risque |
|---|---|---|---|
| Chatbots agentiques | Confiné à la plateforme | Déclenché par l'humain | Faible–Moyen |
| Agents locaux | Héritent des permissions de l'utilisateur | Délégué par l'utilisateur | Moyen–Élevé |
| Agents de production | À l'échelle de l'entreprise | Totalement autonome | Critique |
Défis d'alignement avec l'AI Act
La classification par niveau de risque de l'AI Act (minimal, limité, élevé, inacceptable) a été conçue principalement pour des systèmes d'IA statiques aux résultats prévisibles. Les systèmes d'IA agentiques qui étendent dynamiquement leur propre accès, enchaînent des appels d'outils et prennent des décisions autonomes à travers de multiples systèmes d'entreprise ne s'inscrivent pas aisément dans ces catégories.
- Héritage d'identité : Les agents locaux fonctionnant sous les identifiants des employés créent des chaînes de permissions invisibles qui contournent la gouvernance IAM centralisée — une préoccupation directe au titre de l'article 21 de NIS2
- Risque lié à la chaîne d'approvisionnement : Les agents téléchargeant des plugins tiers depuis des écosystèmes publics introduisent du code non vérifié avec des permissions héritées — ce qui recoupe les exigences de sécurité des produits du CRA
- Implications au titre de DORA : Les institutions financières déployant des agents autonomes qui interagissent avec des systèmes TIC doivent les évaluer dans le cadre de leur gestion des risques liés aux tiers TIC au titre du chapitre V de DORA
🔶 Alerte sur le déficit de conformité
Avec les exigences applicables aux systèmes à haut risque de l'AI Act qui entrent en vigueur en août 2026, les organisations déployant des agents IA de production dans les infrastructures critiques, la finance ou les processus RH doivent déterminer dès maintenant si leurs systèmes agentiques relèvent de la catégorie à haut risque au titre de l'annexe III. Le vote de simplification aide à clarifier les échéances, mais la question fondamentale de la classification des agents à comportement dynamique reste non résolue sur le plan réglementaire.
5. Enquête sur la faille de la Commission européenne : la conformité NIS2 sous la loupe
L' enquête en cours de la Commission européenne sur la faille de son infrastructure web publique — révélée le 24 mars après que des attaquants ont compromis des sites hébergés sur Europa — continue de soulever des questions embarrassantes sur la conformité de l'institution elle-même aux réglementations qu'elle promeut.
Derniers développements
Selon les informations de The Register, la Commission a confirmé que des données ont été exfiltrées de ses systèmes cloud hébergeant les sites Europa, mais n'a fourni que très peu de détails sur l'ampleur, l'impact ou le vecteur d'attaque. L'institution notifie les « entités de l'Union » dont les données pourraient avoir été affectées.
Il s'agit du deuxième incident de sécurité de la Commission en 2026, après la révélation en février de la compromission des téléphones mobiles du personnel — exposant potentiellement des noms et des numéros. Par ailleurs, BleepingComputer a rapporté qu'un acteur malveillant pourrait avoir accédé à l' environnement cloud AWS de la Commission, revendiquant l'exfiltration de plus de 350 Go de données.
⚠️ La question de crédibilité NIS2
La communication minimaliste de la Commission contraste fortement avec les exigences de transparence qu'elle impose aux entités régulées au titre de NIS2. L'article 23 exige que les entités essentielles signalent les incidents significatifs aux autorités compétentes dans un délai de 24 heures (alerte précoce), 72 heures (notification de l'incident), et un mois (rapport final). Bien que les institutions de l'UE relèvent d'un cadre distinct (règlement 2023/2841), l'image renvoyée par l'organe chargé de faire appliquer NIS2 peinant à gérer la divulgation de son propre incident est — pour le dire diplomatiquement — peu flatteuse.
Implications pour DORA et le risque de concentration cloud
La faille met également en lumière un risque que les dispositions de DORA sur la concentration des tiers TIC (article 29) visaient à traiter : une dépendance excessive envers un unique fournisseur cloud pour les systèmes critiques. Si l'environnement AWS de la Commission a effectivement été le point d'entrée, cela valide la logique réglementaire derrière l'exigence de DORA en matière de stratégies de sortie et de planification de résilience multi-cloud — des exigences que les entités financières doivent désormais mettre en œuvre.
Vue d'ensemble : tableau de suivi réglementaire d'avril 2026
Alors que le T2 2026 débute, le cadre réglementaire numérique de l'UE entre dans sa phase la plus déterminante. Voici où en sont les principaux instruments :
| Réglementation | Statut | Prochaine échéance critique |
|---|---|---|
| NIS2 | Transposition nationale en vigueur | Application par la surveillance en cours |
| DORA | Pleinement applicable depuis janvier 2025 | Cycles de tests TLPT en cours |
| AI Act | Pratiques interdites et IA à usage général en vigueur | Exigences à haut risque : 2 août 2026 |
| CRA | En vigueur, phase de mise en œuvre | Signalement des vulnérabilités : sept. 2026 |
| RGPD | Pleinement applicable | Coordination de l'application contre les IA « nudifier » |
| Cybersecurity Act révisé | Examen parlementaire | Position du Conseil attendue au T3 2026 |
| Cybersecurity Skills Academy | Élargie lors du Forum InCyber | Lancement des programmes pilotes au T2 2026 |
La convergence de ces cadres réglementaires crée à la fois une complexité de conformité et une opportunité stratégique. Les organisations qui bâtissent des structures de gouvernance unifiées couvrant NIS2, DORA et l'AI Act constateront que les investissements se cumulent — un cadre d'évaluation des risques conçu pour une réglementation satisfait souvent les exigences de plusieurs autres.
Naviguer dans le labyrinthe réglementaire de l'UE
Suivez les exigences de conformité NIS2, DORA, CRA, RGPD et AI Act avec des mises à jour en temps réel.
Découvrir KENSAI →Publié par KENSAI Intelligence · Briefing réglementations de sécurité · 1 avril 2026
Sources : Commission européenne, Parlement européen, Forum InCyber, ENISA, The Register, BleepingComputer, SecurityWeek, HelpNetSecurity