La date limite prévue par la loi européenne sur l'IA pourrait être repoussée, mais la protection de vos données liées à l'IA ne peut pas attendre

La phase la plus exigeante de la loi européenne sur l'IA doit entrer en vigueur en août 2026, même si Bruxelles s'efforce actuellement de la repousser à 2027. Pour les équipes chargées de la sécurité et de la protection des données, cette date constitue une source de distraction. Le véritable test consiste à déterminer si vous constatez déjà que l'IA traite vos données.

Une idée réconfortante circule actuellement parmi les responsables de la sécurité. Voici comment cela se passe. Les obligations les plus contraignantes de la loi européenne sur l'IA devaient initialement entrer en vigueur en août 2026 ; le « Digital Omnibus » repoussera cette date à décembre 2027, ce qui vous laisse un peu de répit. La moitié de cette histoire est vraie. La conclusion est erronée.

Où en est réellement le calendrier ?

Voici la situation telle qu'elle se présente réellement. La loi sur l'IA est en vigueur depuis août 2024 et s'applique par étapes. Les pratiques interdites et les obligations en matière de culture de l'IA s'appliquent depuis février 2025. Les règles de gouvernance et les obligations relatives à l'IA à usage général s'appliquent depuis août 2025. Les obligations relatives aux systèmes à haut risque devaient entrer en vigueur le 2 août 2026, et cette date de mise en conformité reste d'actualité aujourd'hui. Le « Digital Omnibus », qui a fait l'objet d'un accord de principe entre les institutions de l'UE, reporterait les obligations à haut risque au 2 décembre 2027, mais il n'entrera en vigueur qu'une fois formellement adopté et publié. En attendant, la date d'août 2026 reste d'actualité. Les sanctions prévues par la loi peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial, et elles s'appliquent aux entreprises situées en dehors de l'UE qui commercialisent des systèmes d'IA sur le marché européen.

Il se peut donc que la date soit modifiée. Remarquez ce qui ne bouge pas en même temps.

La loi européenne sur l'IA s'applique par étapes. Le mois d'août 2026 reste d'actualité, à moins que le « Digital Omnibus » ne soit officiellement adopté avant cette date.

La date change, mais l'obligation reste la même

La loi sur l'IA ne remplace pas le RGPD. Ces deux dispositions s'appliquent simultanément à tout système d'IA traitant des données à caractère personnel, ce qui signifie que vos obligations actuelles en matière de protection des données ne sont pas affectées par un éventuel report du calendrier applicable aux systèmes à haut risque. Les obligations en matière de culture de l'IA et de gouvernance déjà en vigueur supposent une capacité que la plupart des organisations ne sont pas encore en mesure d'assurer : une compréhension claire et actualisée des systèmes d'IA en service au sein de l'entreprise et des données auxquelles ceux-ci ont accès. La tenue des registres, le contrôle humain et la gestion des risques ne sont pas de simples formalités administratives. Il est impossible de les réaliser sur une activité que vous ne pouvez pas voir.

C'est là que réside le fossé, et celui-ci se creuse plus rapidement que la réglementation ne progresse. Pas moins de 80 % des entreprises du classement Fortune 500 utilisent désormais des agents d'IA actifs, mais seules 14 % d'entre elles ont obtenu l'autorisation de sécurité complète pour ces derniers. Les agents et les outils d'IA accèdent à des données sensibles par des voies que les contrôles traditionnels n'ont jamais été conçus pour surveiller : les flux de travail connectés au MCP, les agents commerciaux, les automatisations mises en place par les employés et les outils d'IA « fantômes » qui n'ont fait l'objet d'aucune autorisation. La perte de données n'est plus uniquement un problème lié aux personnes. Un agent agissant pour le compte d'un employé peut transférer un dossier confidentiel en quelques secondes, et la plupart des systèmes de sécurité n'en garderont aucune trace.

À quoi ressemble concrètement la préparation ?

C'est pourquoi il ne faut pas baser votre planification sur la date limite. Que les obligations à haut risque se concrétisent en 2026 ou en 2027, le travail nécessaire pour garantir la résilience d'une organisation reste le même, et il commence dès maintenant.

Commencez par dresser un inventaire en temps réel des IA utilisées, qu’elles soient autorisées ou non, et établissez une correspondance entre celles-ci et les données auxquelles elles ont accès. Vous ne pouvez pas diriger, rendre compte ou soutenir ce que vous ne voyez pas. Incydr a été conçu pour offrir aux équipes de sécurité cette visibilité au moment même où les données circulent, que ce soit sur les terminaux, dans les navigateurs, dans les solutions SaaS ou dans les outils d'IA, couvrant ainsi l'ensemble du parcours des données d'entreprise, de leur entrée à leur sortie.

Incydr offre une visibilité de bout en bout sur les chemins empruntés par les agents et les outils d'IA pour transférer les données.

Deuxièmement, prenez rapidement le contrôle. Les délais réglementaires sont raccourcis, et un déploiement s'étalant sur plusieurs trimestres n'est d'aucune aide lorsque l'obligation est déjà en vigueur. L'avantage d'Incydr par rapport aux solutions DLP lourdes axées sur la classification de contenu réside dans sa rapidité : une visibilité utile en quelques jours seulement, plutôt qu'un programme s'étalant sur plusieurs trimestres qui perd de sa pertinence avant même d'avoir produit des résultats.

Troisièmement, évaluez l'intention, et pas seulement le contenu. Les autorités de régulation, les auditeurs et votre propre modèle de gestion des risques s'intéressent tous à la question de savoir si une exposition était due à une intention malveillante, à une négligence ou à une pratique courante. Les outils axés uniquement sur le contenu ne peuvent pas vous fournir cette information. Incydr évalue le contexte dans lequel s'inscrit le transfert de données, ce qui permet aux équipes de concentrer leur attention sur les événements présentant un risque réel, plutôt que de se laisser distraire par chaque faux positif.

Les agents étendent ce même problème à de nouveaux domaines, et c'est vers cela que s'oriente désormais cette catégorie. Lors du RSAC 2026, Mimecast a présenté en avant-première l’Agent Risk Center, une extension d’Incydr conçue pour détecter, contrôler et remédier aux fuites de données, que celles-ci soient le fait d’un collaborateur ou d’un agent agissant en son nom. Ce principe s'inscrit dans la continuité de tout ce qui précède : une vision unique de l'activité liée aux données concernant les personnes et les agents, une gouvernance mesurable et des mesures correctives qui établissent un lien entre un constat et une action. C'est la réponse logique à un environnement réglementaire qui exigera de plus en plus que vous comptabilisiez les logiciels autonomes de la même manière que vous comptabilisez les personnes.

Les équipes qui seront prêtes ne sont pas celles qui suivent le calendrier des trilogues. Ce sont eux qui considèrent août 2026 comme le catalyseur qu’il est, une raison de découvrir enfin ce que l’IA fait de leurs données. La date pourrait être reportée. Le risque est déjà bien présent.

Pour combler le déficit de préparation à l'IA, il faut commencer par une démonstration de valeur d'Incydr

Une démonstration de valeur de 30 jours, ciblant 50 à 100 utilisateurs au sein d'un service faisant un usage intensif de l'IA, tel que l'ingénierie, permet d'obtenir une vision concrète dès la première semaine. Au 30e jour, vous disposez de justificatifs, de contrôles et d'un rapport sur la gouvernance à l'intention du conseil d'administration et des autorités de régulation.