Le tournant réglementaire que nous avons franchi en juillet 2026
Juillet 2026 n’a pas été un mois calme pour la réglementation numérique.
La première grande échéance d’audit de NIS2 est passée au début du mois - le premier test formel permettant de savoir si les organisations européennes avaient mis en œuvre les mesures de cybersécurité exigées par la directive. Les obligations de l’AI Act de l’UE applicables aux systèmes d’IA à haut risque sont entrées en application en août, à l’issue d’une période de mise en conformité qui s’est achevée ce mois-ci. DORA est pleinement en vigueur depuis janvier, et les premières évaluations prudentielles des programmes de gestion du risque lié aux TIC des entités financières sont en cours.
Pour les organisations qui ont consacré le premier semestre 2026 à se préparer, juillet a été un moment de validation. Pour le nombre important de celles qui ne l’ont pas fait, l’heure des comptes a sonné.
Voici ce que l’activité de conformité de ce mois révèle sur l’orientation du marché.
Les trois choses que juillet a confirmées
1. Le déficit documentaire est bien réel. Dans les évaluations NIS2, DORA et AI Act de l’UE, le constat le plus constant est que les organisations ont mis en œuvre des mesures de sécurité, mais ne peuvent pas le prouver. Les contrôles d’accès existent, mais les journaux d’audit qui les documentent sont modifiables. Des évaluations des risques ont été menées, mais les données sur lesquelles elles reposent ne font l’objet d’aucune vérification d’intégrité. Les données d’entraînement ont été sélectionnées, mais aucune preuve horodatée n’indique quand elles ont été constituées.
La conformité ne porte plus sur ce que vous avez fait. Elle porte sur ce que vous pouvez prouver.
2. La gouvernance de l’IA rattrape le déploiement de l’IA. Depuis trois ans, l’adoption de l’IA dans les entreprises va plus vite que la gouvernance. L’échéance d’application de l’AI Act de l’UE en juillet est le premier grand moment réglementaire où cet écart entraîne des conséquences formelles en matière de contrôle de l’application. Les organisations qui ont traité la gouvernance de l’IA comme une simple case à cocher de conformité informatique découvrent qu’elle exige des investissements d’infrastructure.
3. L’intégrité des données est le fil conducteur. Tous les cadres qui ont été au centre de l’attention ce mois-ci - NIS2, DORA, AI Act de l’UE, RGPD - ont l’intégrité des données pour fondement technique. Les organisations qui gèrent la conformité le plus efficacement sont celles qui l’ont compris tôt et ont bâti une infrastructure d’intégrité des données partagée plutôt que des silos de conformité distincts.
Sur quoi se concentrer en août et au-delà
Pour les organisations en retard sur l’un des trois cadres :
Commencez par l’infrastructure d’intégrité des données. C’est l’investissement qui porte ses fruits sur les trois cadres à la fois. Une couche de vérification cryptographique de l’intégrité, appliquée à vos actifs de données les plus critiques, répond aux exigences de socle technique de NIS2, de DORA et de l’AI Act de l’UE en une seule mise en œuvre.
Comblez le déficit documentaire avant l’audit. Si vous avez mis en œuvre des mesures de sécurité sans pouvoir le prouver, c’est le problème de la preuve qui est prioritaire. Les pistes d’audit cryptographiques, les dossiers de preuves à l’intégrité vérifiée et une journalisation résistante à la falsification doivent figurer sur votre liste d’actions immédiates.
Confrontez vos systèmes d’IA aux catégories à haut risque. Si vous ne savez pas avec certitude si l’un de vos déploiements d’IA relève du haut risque au sens de l’AI Act de l’UE, cette évaluation doit avoir lieu ce mois-ci, et non lors de la prochaine revue trimestrielle.
Les ressources de conformité pour les entreprises de ROOTKey couvrent les trois cadres. Le simulateur de conformité NIS2 vous propose une évaluation de votre niveau de préparation en 15 minutes. Commencez l’évaluation dès aujourd’hui.
- Juillet 2026 : premier cycle d’audit NIS2, évaluations prudentielles DORA en cours, clôture imminente de la période d’application de l’AI Act de l’UE aux systèmes à haut risque.
- Le déficit de conformité le plus courant dans les trois cadres : des organisations qui ont mis en œuvre des mesures, mais ne peuvent pas le prouver.
- L’infrastructure d’intégrité des données est le socle technique commun à NIS2, à DORA et à l’AI Act de l’UE.
- Pour août : comblez le déficit documentaire, réalisez l’évaluation de classification des risques de l’IA et commencez à mettre en place des pistes d’audit cryptographiques.
- Suivez notre blog pour nos synthèses mensuelles sur la conformité - et retrouvez tous les articles publiés en juillet pour des analyses approfondies de chaque sujet.