Le paysage informatique de 2026 se redessine sous l’effet conjugué de nouvelles réglementations européennes et d’une accélération technique qui touche autant les grands groupes que les PME. Deux axes structurent les choix à venir : la conformité réglementaire, devenue un prérequis opérationnel, et l’intégration maîtrisée de l’intelligence artificielle dans les processus métier.
Cyber Resilience Act : ce que change le marquage CE cyber pour les produits numériques
Le règlement (UE) 2024/2847, dit Cyber Resilience Act, impose un calendrier contraignant. À partir du 11 septembre 2026, tout fabricant d’un produit comportant des éléments numériques vendu dans l’UE devra déclarer en moins de 24 heures toute vulnérabilité activement exploitée ou tout incident grave. L’amende peut atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial.
A lire en complément : Découvrez comment un garage en ligne se transforme en assistant auto complet
L’échéance suivante, fixée au 11 décembre 2027, concerne la mise sur le marché : routeurs domestiques, caméras connectées, logiciels SaaS devront tous satisfaire à des exigences de cybersécurité et porter un marquage CE « cyber ». Nous recommandons de retrouver dès maintenant des informations sur Digitale Naïve en informatique pour mesurer l’ampleur des obligations sectorielles.
Parmi les livrables attendus, la production d’un SBOM (Software Bill of Materials) détaillant l’ensemble des dépendances logicielles, y compris open source, constitue un chantier lourd pour les éditeurs qui n’ont jamais documenté leur chaîne de composants. Les équipes DevSecOps doivent intégrer cette cartographie dans leur pipeline CI/CD bien avant la date butoir.
A voir aussi : Comment rénover sa maison de façon écologique et économique en 2024
AI Act et modèles génératifs : obligations déjà en vigueur pour les entreprises
Le calendrier de l’AI Act européen est souvent mal compris. Les pratiques interdites (manipulation cognitive, scoring social) sont effectives depuis le 2 février 2025. Les obligations sur les modèles d’IA générative de base (GPAI, type GPT ou Mistral) s’appliquent depuis le 2 août 2025.
Les obligations à haut risque, elles, sont repoussées au 2 août 2028. Ce décalage crée une zone grise : une PME qui déploie un chatbot de service client utilise un modèle GPAI déjà réglementé, mais peut ne pas être soumise aux contraintes « haut risque » avant deux ans. Nous observons que cette asymétrie pousse certaines structures à reporter toute mise en conformité, ce qui revient à parier sur un calendrier politique incertain.
- Documenter la provenance des données d’entraînement utilisées par le modèle GPAI intégré, même via une API tierce
- Mettre en place un registre des cas d’usage IA au sein de l’organisation, en distinguant les niveaux de risque
- Prévoir un audit de conformité interne avant fin 2027 pour les systèmes susceptibles de basculer en catégorie « haut risque »
La difficulté principale reste l’identification des composants IA embarqués dans des outils SaaS que l’entreprise utilise sans en maîtriser l’architecture. Un CRM augmenté par de l’IA générative peut, selon son usage, relever d’obligations différentes.
NIS 2 et DORA : la cybersécurité devient une obligation métier pour les PME
NIS 2 élargit considérablement le périmètre des entités concernées par rapport à la directive précédente. Des secteurs comme la gestion des déchets, la fabrication de dispositifs médicaux ou les services postaux entrent dans le champ d’application. Pour une PME industrielle qui n’a jamais eu de RSSI, l’obligation de notification d’incident et de gestion des risques supply chain représente un changement de paradigme.
DORA, de son côté, cible le secteur financier avec une approche de résilience opérationnelle numérique. Les prestataires IT qui fournissent des services à des banques ou des assureurs se retrouvent eux-mêmes soumis à des exigences contractuelles renforcées.
L’effet cascade est le point à surveiller. Un éditeur de logiciel de comptabilité hébergé en cloud, fournissant une mutuelle régionale, devra prouver sa conformité DORA à son client. La chaîne de sous-traitance IT devient un vecteur de responsabilité juridique directe.
Maturité numérique des PME françaises : freins réels et leviers sous-estimés
La digitalisation des PME reste très inégale. Les freins les plus documentés ne sont pas techniques mais organisationnels : résistance au changement des équipes terrain, absence de sponsor au comité de direction, budget IT perçu comme un centre de coût plutôt qu’un levier de gestion.
Les entreprises qui réussissent leur transition partagent un trait commun : elles commencent par un cas d’usage précis, mesurable en moins de trois mois. Automatiser le traitement des factures fournisseurs, par exemple, produit des résultats visibles rapidement et crée un effet d’entraînement sur les équipes.
- Nommer un référent numérique interne, même à temps partiel, pour centraliser les remontées terrain
- Privilégier les outils SaaS avec un accompagnement à l’adoption plutôt que des solutions sur mesure longues à déployer
- Intégrer la formation continue aux nouvelles pratiques numériques dans le plan de développement des compétences
- Mesurer l’efficacité de chaque outil déployé sur un indicateur métier concret (délai de traitement, taux d’erreur, satisfaction client)
L’externalisation de l’infogérance gagne du terrain dans les structures de moins de 250 salariés. Le recours à un prestataire managé permet de couvrir la maintenance, la supervision et la conformité réglementaire sans recruter une équipe IT complète.
Transition énergétique et Green IT : un critère de choix matériel et logiciel
La réduction de l’empreinte énergétique du parc informatique n’est plus un argument marketing. Les politiques d’achat responsable intègrent désormais la durée de vie des matériaux, la réparabilité et la consommation électrique des équipements en fonctionnement.
Côté logiciel, l’écoconception applicative réduit la consommation de ressources serveur et allonge la durée de vie du matériel client. Un applicatif web optimisé consomme moins de bande passante, sollicite moins le processeur et fonctionne sur des machines plus anciennes, ce qui retarde le renouvellement du parc.
Le choix d’un hébergeur cloud affichant un PUE (Power Usage Effectiveness) documenté et un mix énergétique vérifiable devient un critère de sélection au même titre que la latence ou le prix au gigaoctet. Les appels d’offres publics intègrent de plus en plus ces exigences dans leurs cahiers des charges.
Les mois à venir concentrent une densité réglementaire rare en informatique. Cyber Resilience Act, AI Act, NIS 2, DORA : chaque texte impose des livrables concrets, des délais précis et des sanctions financières lourdes. Pour les PME comme pour les grands comptes, la conformité réglementaire conditionne désormais l’accès au marché, pas seulement la gestion du risque.