14 septembre 2026
Au cours de la dernière décennie, le mouvement des entreprises vers le cloud pour leurs applications critiques s'est considérablement accéléré. Gartner projette que 70 % des entreprises auront recours à des solutions cloud sectorielles d'ici 2027, contre moins de 15 % en 2023. Cette dynamique est portée par la rapidité, la scalabilité et la maîtrise des coûts : les organisations peuvent ajuster leurs ressources informatiques sans supporter des coûts d'infrastructure fixes prohibitifs. Le cloud permet également aux entreprises de moderniser leurs applications tout en concentrant leurs investissements sur les résultats métier.
Dans le même temps, la dépendance croissante envers des infrastructures technologiques et des chaînes d'approvisionnement tierces, que les entreprises ne maîtrisent pas en dernier ressort, a engendré des risques de cybersécurité accrus et souvent inédits, susceptibles de compromettre la confidentialité, l'intégrité et l'accessibilité des informations critiques. Une récente analyse de l'Agence de l'Union européenne pour la cybersécurité (ENISA) portant sur 5 000 incidents a mis en évidence un schéma récurrent : les cybercriminels exploitent les chaînes d'approvisionnement numériques, dont l'interconnexion amplifie considérablement l'impact d'une compromission.
Si la réglementation a longtemps peiné à suivre le rythme de l'adoption technologique, elle rattrape désormais son retard. Un effort concerté et coordonné vise à construire une architecture intégrée de cybersécurité, de résilience et de souveraineté numérique, plutôt que de s'appuyer sur un seul texte réglementaire.
L'environnement réglementaire entre dans une nouvelle phase. Les entreprises font face à des exigences croissantes : démontrer objectivement et de manière transparente leur cyber-résilience. Les régulateurs réclament des signalements d'incidents plus rapides, une gouvernance renforcée et une responsabilité mieux prouvable.
Le cadre réglementaire européen couvre la cyber-résilience (notamment NIS2 et le Cyber Resilience Act (CRA)1: les logiciels applicatifs sont-ils sécurisés tout au long de leur cycle de vie ?) ainsi que le projet de cadre de souveraineté cloud, dont l'ambition est de garantir le contrôle des technologies et des données. Ces textes font évoluer la cybersécurité d'une discipline essentiellement technique vers un modèle réglementaire intégré, fondé sur le principe du « sécurisé dès la conception » (secure-by-design).
Passer à :
La charge réglementaire devient une charge de la preuve
La prochaine grande panne technologique ne partira peut-être pas d'un centre de données
L'IA rend la question de la souveraineté encore plus complexe
Les entreprises ont tendance à assimiler l'existence de politiques de cybersécurité à une préparation suffisante à la conformité.
Si la mise en place d'une politique de cybersécurité constitue un pilier essentiel de la conformité réglementaire, elle ne saurait se substituer à l'identification, à la priorisation et à la remédiation continues des vulnérabilités. Le cadre de cybersécurité émergent fait évoluer la question de « Disposez-vous du contrôle ? » vers « Apportez-moi la preuve. »
Pour illustrer l'importance de cette distinction, le cadre de souveraineté cloud de la Commission européenne de 2026 évalue la souveraineté selon 48 critères regroupés en huit catégories, notamment :
Les modèles traditionnels de reprise après sinistre sont conçus autour de défaillances techniques : pannes de centres de données, cyberattaques et défaillances réseau.
Mais c'est le risque géopolitique qui s'impose comme une menace de plus en plus prégnante. Cette distinction modifie fondamentalement la façon dont les entreprises se préparent aux réglementations découlant de l'extraterritorialité juridique étrangère, de la domination structurelle des hyperscalers non européens sur le marché, et des vulnérabilités opérationnelles liées aux conflits commerciaux. À titre d'exemple, des lois étrangères telles que le U.S. CLOUD Act autorisent des gouvernements étrangers à exiger l'accès à des données hébergées par des prestataires nationaux, même si les serveurs physiques se trouvent sur le territoire européen.
En juin 2026, la Commission européenne a proposé un ensemble plus large de mesures en faveur de la souveraineté technologique, couvrant les semi-conducteurs, l'IA, le cloud computing et l'open source, ainsi qu'un cadre commun à l'ensemble de l'Union européenne (UE) pour évaluer la souveraineté cloud et IA. Cette proposition marque un changement de paradigme : il ne s'agit plus de réguler la technologie principalement sous l'angle de la vie privée, de la sécurité et de la cybersécurité, mais de réduire activement la dépendance stratégique de l'Europe envers des fournisseurs technologiques non européens.2
Les organisations envoient rapidement des données vers des modèles et services d'IA qui peuvent fonctionner à travers des chaînes d'infrastructure complexes : fournisseurs de modèles, interfaces de programmation applicative (Application Programming Interface – API), services cloud, bases de données vectorielles et environnements tiers de traitement des données.
L'utilisation généralisée des modèles d'IA et des données d'entraînement introduit un nouveau problème de souveraineté. Il ne suffit plus de demander « Où se trouve notre base de données ? » Les organisations doivent désormais poser des questions plus précises :
La gouvernance de l'IA, la cybersécurité, la gouvernance cloud et la souveraineté numérique convergent. Les traiter comme des programmes de gouvernance distincts risque de devenir de plus en plus difficile à justifier.
Les organisations les mieux préparées à la prochaine génération de réglementations ne seront pas nécessairement celles qui disposent des équipes de conformité les plus importantes. Ce seront celles capables de produire des preuves vérifiables de leurs contrôles.
Cela implique que les organisations doivent mener une évaluation d'impact complète, en portant une attention particulière aux sept dimensions de conformité au cadre de souveraineté numérique de l'UE :
Les organisations qui réussissent avec l'IA construisent une responsabilité explicite au sein des réalités des écosystèmes cloud modernes. Elles sont en mesure de démontrer, de manière efficace, transparente et responsable, à travers l'ensemble de leur stack technologique, ce qui s'est passé, pourquoi, et que cela s'est produit dans un cadre de confiance.
Téléchargez le rapport complet ABBYY 2026 « Who Answers for AI: The Governance Gap » pour accéder à l'ensemble des données, aux analyses marché par marché, et comprendre comment les organisations leaders transforment la gouvernance en avantage concurrentiel. Découvrez également les résultats français du rapport ABBYY dans notre infographie « Responsabilité en matière d’IA et déficit de gouvernance ».
Les entreprises mesurent couramment la dette technique. Il est temps qu'elles commencent également à mesurer la dette de conformité et la dette de souveraineté.
La dette de conformité s'accumule lorsque les produits, les processus et l'infrastructure se développent plus vite que la capacité de l'organisation à démontrer sa conformité réglementaire.
La dette de souveraineté s'accumule lorsque les organisations deviennent progressivement dépendantes de technologies qu'elles ne peuvent ni exploiter, ni migrer, ni remplacer, ni contrôler de manière autonome.
L'une comme l'autre peuvent rester invisibles pendant des années. Jusqu'au moment où quelque chose se produit : un régulateur demande des preuves, une vulnérabilité critique apparaît, un fournisseur modifie son architecture, une relation géopolitique se dégrade, un fournisseur critique devient indisponible, un fournisseur d'IA change ses conditions d'utilisation, ou un régulateur conteste un transfert de données.
À ce moment précis, ce qui était hier une commodité architecturale peut devenir demain une responsabilité engageant le conseil d'administration.
La question de cybersécurité la plus importante pour 2027 ne sera peut-être pas : « Avons-nous subi une violation ? » Mais plutôt : « Dans quelle mesure notre capacité à opérer dépend-elle de technologies, de données, de fournisseurs et de juridictions que nous ne maîtrisons pas en dernier ressort, et serions-nous en mesure de prouver demain à un régulateur que nous comprenons et gérons ce risque ? »
Si la direction ne peut pas répondre à cette question avec des preuves concrètes, l'organisation fait face à un problème plus vaste que la cybersécurité. /p>
Rejoignez ABBYY et notre partenaire SVA le 23 septembre pour comprendre ce que le BSI C5 implique pour les organisations soumises à des exigences de conformité strictes, et pourquoi l'assurance sur l'ensemble de la chaîne de traitement Document AI est essentielle.
Références
Andrew Pery
Expert en transformation digitale et évangéliste de l'éthique de l'IA chez ABBYY
Andrew Pery est évangéliste de l'éthique de l'IA au sein d'ABBYY, société spécialisée dans l'automatisation intelligente. Son expertise couvre les technologies d'intelligence artificielle (IA), les logiciels applicatifs, la confidentialité des données et l'éthique de l'IA. Il a rédigé et présenté plusieurs articles sur l'utilisation éthique de l'IA et coécrit actuellement un ouvrage pour l'American Bar Association. Il est titulaire d'un Master en droit avec mention de la Northwestern University Pritzker School of Law, ainsi que des certifications Certified Information Privacy Professional (CIPP/C), (CIPP/E) et Certified Information Professional (CIP/AIIM).
Retrouvez Andrew sur LinkedIn.
