Un texte attendu depuis deux ans
La directive européenne NIS2 devait être transposée par les États membres avant le 17 octobre 2024. En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat en mars 2025, poursuit son examen à l’Assemblée nationale à l’automne 2026. Entre-temps, l’ANSSI a publié en mars 2026 un référentiel pour aider les organisations à se préparer.
Le changement d’échelle est considérable : NIS2 étend les obligations de cybersécurité à des milliers d’entités, dont de nombreuses entreprises de taille intermédiaire et des collectivités.
L’IA générative, angle mort des politiques de sécurité
Les politiques de sécurité couvrent le réseau, les postes, la messagerie, les accès. Elles oublient souvent les outils d’IA générative, alors que ceux-ci concentrent des risques nouveaux :
- Des données sensibles copiées dans des services externes, hors de tout contrôle.
- Des comptes personnels utilisés à des fins professionnelles, sans authentification d’entreprise.
- Des connecteurs qui donnent à un service tiers l’accès à des espaces documentaires entiers.
- Aucune journalisation exploitable en cas d’incident.
Ce que NIS2 attend, appliqué à l’IA
La directive demande une gestion des risques proportionnée, la maîtrise de la chaîne d’approvisionnement numérique et la capacité à détecter et notifier les incidents. Pour l’IA, cela se traduit très concrètement :
- Inventorier les outils d’IA utilisés et les données qui y transitent.
- Réduire la dépendance à des fournisseurs tiers pour les usages sensibles.
- Contrôler les accès en s’appuyant sur l’annuaire de l’entreprise.
- Tracer les requêtes pour pouvoir enquêter en cas d’incident.
Les nouveaux risques propres à l’IA
Au-delà de la fuite de données, l’IA générative introduit des risques que les équipes sécurité commencent à intégrer :
- L’injection de consignes : un document ou une page web piégés peuvent contenir des instructions cachées qui détournent le comportement d’un assistant ou d’un agent.
- Les agents trop puissants : un agent autorisé à lire, écrire et envoyer doit être cantonné à des droits minimaux, comme n’importe quel compte de service.
- Les clés d’API dispersées : intégrées dans des scripts ou des outils d’automatisation, elles doivent être recensées, limitées et révocables rapidement.
- La dépendance à un fournisseur : une interruption de service ou un changement de conditions peut bloquer des processus devenus critiques.
Associer la DSI, la sécurité et les métiers
NIS2 fait de la cybersécurité une responsabilité de la direction. Pour l’IA, cela suppose de sortir d’une logique où chaque service adopte ses outils dans son coin. Une gouvernance simple suffit souvent : un registre des usages, une liste d’outils autorisés, des règles claires sur les données qui peuvent ou non être utilisées, et une solution interne qui rend inutile le recours aux outils non maîtrisés.
Une IA qui entre dans votre périmètre, pas qui en sort
Une IA déployée sur site s’intègre à votre politique de sécurité au lieu de la contourner : droits calqués sur votre Active Directory, aucun flux sortant, identifiant de requête sur chaque réponse. C’est l’approche de MIA et de notre API locale, qui permettent aux équipes sécurité de garder la main sur les usages de l’IA.
Sources : directive (UE) 2022/2555 (NIS2) ; projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité ; référentiel publié par l’ANSSI en mars 2026.
