Quand une équipe IT découvre un lundi matin que son fournisseur cloud a modifié ses conditions de traitement des données pour se conformer à une nouvelle réglementation européenne, la veille technologique cesse d’être un luxe. L’actualité informatique de cette année se caractérise par une accélération réglementaire qui touche directement les choix d’architecture, les contrats fournisseurs et la sécurité des produits numériques.
Cyber Resilience Act et obligations de sécurité produit en 2026
Les concurrents parlent beaucoup de cybersécurité en général. On va parler d’un texte précis qui change la donne pour les éditeurs de logiciels et les fabricants de matériel connecté : le Cyber Resilience Act (CRA).
Depuis le 11 septembre 2026, les obligations de notification d’incidents du CRA sont entrées en vigueur. Concrètement, tout éditeur ou fabricant qui commercialise un produit numérique dans l’Union européenne doit signaler les vulnérabilités activement exploitées dans des délais contraints.
Le CRA ne s’arrête pas là. Il pose une trajectoire vers des exigences de sécurité « par défaut », avec un marquage CE obligatoire et des obligations complètes à partir de décembre 2027. Pour suivre les actualités informatiques sur Bargento permet de garder un œil sur ces échéances réglementaires qui impactent les cycles de développement.
Pour une équipe produit, cela signifie intégrer la sécurité dès la conception, documenter les composants logiciels (SBOM), et prévoir un processus de signalement. Les retours varient sur la charge réelle que cela représente selon la taille de l’entreprise, mais le calendrier, lui, ne bouge plus.
Souveraineté cloud : du discours stratégique à la contrainte réglementaire
On entendait « souveraineté numérique » depuis des années sans conséquence opérationnelle directe. Ce n’est plus le cas.
La Commission européenne a publié le 3 juin 2026 une proposition de Cloud and AI Development Act. Ce texte introduit un cadre unifié pour évaluer la « souveraineté » des services cloud, avec un impact direct sur les marchés publics et les choix d’hébergement des entreprises qui travaillent avec le secteur public.
En pratique, si on répond à un appel d’offres public ou si on traite des données sensibles pour un organisme européen, le choix du prestataire cloud devra respecter des critères de souveraineté formalisés. Ce n’est plus une préférence, c’est une grille d’évaluation réglementaire.
Ce que ça change pour les architectes SI
Les équipes qui ont construit leur infrastructure sur un hyperscaler américain ne sont pas condamnées, mais elles doivent cartographier leurs flux de données et identifier les workloads concernés. Le multicloud devient une nécessité réglementaire, pas un choix technique.
Plusieurs fournisseurs européens positionnent des offres de « géopatriation », un terme qui désigne le rapatriement de données et de traitements vers des infrastructures juridiquement européennes. Le mouvement est amorcé, les délais de migration restent le point critique.
DORA et risque tiers ICT : les contrats fournisseurs sous contrôle
Le règlement DORA (Digital Operational Resilience Act), applicable depuis le 17 janvier 2025, produit ses premiers effets concrets en 2026. Les autorités de supervision intensifient leurs contrôles sur le risque tiers ICT et les clauses contractuelles associées.
Pour les entreprises du secteur financier (et leurs prestataires technologiques), cela se traduit par des exigences précises :
- Les contrats avec les fournisseurs ICT critiques doivent inclure des clauses de résilience opérationnelle, de droit d’audit et de stratégie de sortie documentée
- Les tests de résilience (y compris des tests de pénétration avancés) doivent couvrir les dépendances tierces, pas uniquement les systèmes internes
- Un registre centralisé des prestataires ICT tiers doit être maintenu et transmis aux régulateurs sur demande
En dehors du secteur financier, DORA crée un précédent. Les bonnes pratiques qu’il impose sur la gestion des fournisseurs IT se diffusent comme standard de marché. Un contrat cloud sans clause de sortie documentée devient un signal d’alerte.
AI Act européen : le calendrier réel après le Digital Omnibus
L’AI Act a fait couler beaucoup d’encre, mais son calendrier a évolué. L’entrée en vigueur du Digital Omnibus on AI le 27 juillet 2026 a repoussé certaines obligations liées aux systèmes d’IA à haut risque.
Plusieurs exigences clés sont toutefois applicables depuis le 2 août 2026. Pour les équipes qui déploient de l’intelligence artificielle en production, la priorité opérationnelle se concentre sur trois points :
- La classification du niveau de risque de chaque système d’IA déployé, selon la grille mise à jour par le Digital Omnibus
- La documentation technique et la traçabilité des décisions algorithmiques pour les systèmes classés à haut risque
- La mise en place d’une supervision humaine effective, pas symbolique, sur les processus décisionnels automatisés
Ce report partiel ne doit pas créer un faux sentiment de confort. Les entreprises qui attendent les échéances finales pour se conformer accumulent une dette de conformité qui sera coûteuse à résorber.
Lien avec la stratégie données et cloud
L’AI Act, le Cloud and AI Development Act et DORA ne sont pas des textes isolés. Ils forment un écosystème réglementaire où les choix d’hébergement, de sous-traitance et de gouvernance des données s’imbriquent. Une décision d’architecture cloud prise sans considérer les trois textes expose à des requalifications en cascade.
Pour les DSI et responsables conformité, la veille sur l’actualité informatique n’est plus un exercice de curiosité technologique. C’est un outil de gestion des risques. Les textes européens publiés cette année redessinent les contraintes opérationnelles sur le cloud, la sécurité produit, les contrats fournisseurs et le déploiement de l’IA. Chaque trimestre apporte son lot d’échéances concrètes, et les équipes qui les anticipent gardent une longueur d’avance sur celles qui les subissent.