Cybersécurité des systèmes IA à haut risque : les obligations concrètes pour les entreprises en 2026

En août 2026, l’entrée en vigueur complète de l’AI Act marque un tournant pour les entreprises utilisant des systèmes d’intelligence artificielle (IA) à haut risque. Parmi les obligations les plus critiques figurent celles relatives à la cybersécurité, qui visent à garantir la robustesse, la précision et la protection des systèmes tout au long de leur cycle de vie. Pour les directions générales, juridiques et techniques, ces exigences ne sont pas seulement une contrainte réglementaire : elles constituent un levier pour sécuriser les usages sensibles et éviter des sanctions pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial selon le règlement UE 2024/1689.

Cet article détaille les obligations concrètes, les responsabilités des acteurs et les mesures à mettre en place pour se conformer à l’Article 15 de l’AI Act, tout en intégrant les recommandations de la CNIL pour une approche unifiée de la conformité.

---

1. Quels systèmes sont concernés par les obligations de cybersécurité ?

L’AI Act classe les systèmes d’IA en quatre niveaux de risque, dont les systèmes à haut risque sont soumis aux obligations les plus strictes. Sont notamment visés :

• Les outils de recrutement et gestion des ressources humaines (tri de CV, évaluation des performances).
• Les systèmes d’accès au crédit ou à l’assurance (notation de solvabilité, tarification).
• Les applications dans les infrastructures critiques (énergie, transports, santé).
• Les outils d’identification biométrique (reconnaissance faciale, empreintes digitales).
• Les systèmes utilisés dans l’éducation ou l’accès aux services publics.

Ces systèmes, listés à l’Annexe III du règlement, doivent respecter des exigences renforcées en matière de cybersécurité, robustesse et précision dès le 2 août 2026. Les entreprises qui les développent, déploient ou utilisent sont tenues de se conformer, sous peine de sanctions administratives.

---

2. Les obligations de cybersécurité selon l’Article 15 de l’AI Act

L’Article 15 du règlement européen impose trois piliers fondamentaux pour les systèmes à haut risque :

2.1. Précision et robustesse

Les systèmes doivent être conçus pour atteindre un niveau approprié de précision et de robustesse, adapté à leur usage et aux risques identifiés. Cela implique :

• Des tests rigoureux avant la mise sur le marché, incluant des scénarios de défaillance et des attaques simulées.
• Une surveillance continue pendant toute la durée de vie du système, avec des mises à jour régulières pour corriger les vulnérabilités.
• Des mécanismes de détection des biais et des erreurs, notamment pour les systèmes utilisés dans des décisions impactant les droits fondamentaux (recrutement, crédit, etc.).

Ces exigences visent à éviter les décisions automatisées erronées ou discriminatoires, qui pourraient engager la responsabilité juridique de l’entreprise.

2.2. Cybersécurité : une obligation de moyens renforcés

L’Article 15 exige que les systèmes à haut risque soient protégés contre les cybermenaces tout au long de leur cycle de vie. Les mesures techniques et organisationnelles doivent être adaptées aux circonstances et aux risques, et inclure :

• La protection contre les attaques externes : chiffrement des données, contrôle d’accès, segmentation des réseaux.
• La résilience face aux attaques internes : journalisation des accès, détection des anomalies, gestion des privilèges.
• La sécurisation des données d’entraînement : anonymisation, minimisation des données personnelles, protection contre les fuites.
• La gestion des incidents : procédures de réponse aux cyberattaques, notification des violations de données (conformément au RGPD et à la directive NIS2).

Comme le souligne la CNIL, ces obligations doivent être lues en conjonction avec les exigences du RGPD, notamment en matière de protection des données personnelles et de sécurité des traitements dans ses recommandations pour le développement des systèmes d’IA.

2.3. Documentation et traçabilité

L’AI Act impose également une documentation technique exhaustive pour démontrer la conformité des systèmes. Cette documentation doit inclure :

• Un registre des risques identifiés et des mesures mises en place pour les atténuer.
• Les preuves des tests de robustesse et de cybersécurité réalisés avant la mise en service.
• Les logs d’activité du système, permettant de retracer son fonctionnement et d’identifier d’éventuelles défaillances.
• Une déclaration UE de conformité, attestant que le système respecte les exigences de l’AI Act et, le cas échéant, du RGPD.

Cette documentation est essentielle pour répondre aux contrôles des autorités (CNIL, Office européen de l’IA) et pour limiter la responsabilité de l’entreprise en cas d’incident.

---

3. Qui est responsable de la conformité ?

L’AI Act distingue deux acteurs principaux, chacun avec des obligations spécifiques :

3.1. Les fournisseurs (développeurs de systèmes IA)

Les fournisseurs sont responsables de :

• La conception et le développement du système, en veillant à ce qu’il respecte les exigences de l’Article 15.
• L’évaluation de conformité avant la mise sur le marché, incluant des tests de robustesse et de cybersécurité.
• L’apposition du marquage CE et l’enregistrement du système dans la base de données européenne des systèmes IA à haut risque.
• La fourniture d’une documentation technique complète aux déployeurs.

3.2. Les déployeurs (entreprises utilisatrices)

Les déployeurs, même s’ils n’ont pas développé le système, sont co-responsables de sa conformité. Leurs obligations incluent :

• La vérification de la conformité du système avant son déploiement (marquage CE, documentation technique).
• La supervision humaine des décisions automatisées, notamment pour les usages critiques (recrutement, crédit, etc.).
• La mise en place de mesures organisationnelles pour garantir la cybersécurité et la robustesse du système en production.
• La notification des incidents aux autorités compétentes (CNIL, Office européen de l’IA).

Comme le rappelle MDP Data Protection, les déployeurs restent responsables du choix des données transmises au système et de la finalité de son utilisation, même lorsqu’ils utilisent un outil tiers dans leur analyse des obligations 2026.

---

4. Comment se préparer concrètement ?

Pour répondre aux exigences de l’AI Act et éviter les sanctions, les entreprises doivent engager dès maintenant une démarche structurée :

4.1. Cartographier les systèmes IA

• Identifier les systèmes à haut risque utilisés ou développés en interne.
• Classer les usages selon leur niveau de risque (Annexe III de l’AI Act).
• Documenter les flux de données et les mesures de sécurité existantes.

4.2. Renforcer la cybersécurité

• Auditer les vulnérabilités des systèmes IA, notamment ceux exposés à des données sensibles.
• Mettre en place des mesures techniques : chiffrement, contrôle d’accès, segmentation des réseaux.
• Former les équipes à la détection des cybermenaces et à la réponse aux incidents.

4.3. Documenter et tracer

• Créer un registre des risques et des mesures d’atténuation.
• Conserver les logs d’activité des systèmes pour permettre une traçabilité en cas d’incident.
• Préparer une déclaration UE de conformité pour chaque système à haut risque.

4.4. Désigner un responsable de la conformité

• Nommer un référent IA (potentiellement le Délégué à la Protection des Données - DPO), chargé de superviser la conformité aux réglementations (AI Act, RGPD, NIS2).
• Intégrer la cybersécurité dans la gouvernance globale de l’entreprise, en collaboration avec les directions juridiques, techniques et métiers.

---

5. Conclusion : anticiper pour transformer la contrainte en opportunité

L’entrée en vigueur de l’Article 15 de l’AI Act en août 2026 n’est pas seulement une échéance réglementaire : c’est une opportunité pour les entreprises de renforcer leur gouvernance de l’IA et de sécuriser leurs usages sensibles. En intégrant dès maintenant les exigences de cybersécurité, robustesse et traçabilité, les directions peuvent éviter des sanctions lourdes et limiter leur exposition juridique.

Pour y parvenir, une approche unifiée est indispensable :

• Coordonner les efforts entre les équipes juridiques, techniques et métiers.
• S’appuyer sur les recommandations de la CNIL pour articuler conformité RGPD et AI Act.
• Documenter systématiquement les mesures mises en place pour prouver la conformité.

En 2026, la cybersécurité des systèmes IA à haut risque ne sera plus une option, mais un pilier de la responsabilité des entreprises. Celles qui anticiperont ces obligations se doteront d’un avantage concurrentiel, tout en protégeant leurs actifs stratégiques et la confiance de leurs parties prenantes.

Sources

• Article 15 : Précision, robustesse et cybersécurité | Loi européenne sur l'intelligence artificielle - EU Artificial Intelligence Act
• Article 15: Exactitude, robustesse et cybersécurité | AI Act Service Desk - AI Act Service Desk (Commission européenne)
• Développement des systèmes d’IA : les recommandations de la CNIL pour respecter le RGPD | CNIL - CNIL
• AI Act 2026 : obligations des systèmes IA à haut risque - MDP Data Protection