EU AI Act et cybersécurité : ce que les formateurs doivent savoir en 2026

Rappel : qu'est-ce que l'EU AI Act et quel est son calendrier

Le Règlement (UE) 2024/1689, plus connu sous le nom d'EU AI Act, a été publié au Journal officiel de l'Union européenne le 12 juillet 2024. Il est entré en vigueur le 1er août 2024, mais son application est échelonnée sur trois ans selon la criticité des systèmes IA concernés.

Ce règlement s'inscrit dans une séquence réglementaire européenne que les formateurs en cybersécurité connaissent bien : après le RGPD en 2018, puis la directive NIS2 en 2022, l'AI Act constitue le troisième pilier d'un cadre de gouvernance numérique qui s'étoffe à grande vitesse. Comme pour le RGPD en son temps, les entreprises françaises et leurs prestataires de formation doivent anticiper sans attendre la date butoir.

L'approche du texte repose sur une classification par niveau de risque : certains usages de l'IA sont purement et simplement interdits, d'autres sont soumis à des obligations renforcées selon leur potentiel d'impact sur les droits fondamentaux ou la sécurité des personnes. Le tableau ci-dessous récapitule les grandes étapes d'applicabilité.

Calendrier d'applicabilité de l'EU AI Act

Ce calendrier a une implication directe pour les établissements de formation : le 2 août 2026 marque l'entrée dans une nouvelle phase réglementaire pour tout système IA utilisé dans un contexte d'évaluation ou d'admission d'apprenants. Les organismes de formation qui n'ont pas encore audité leurs outils ont un retard à rattraper.

Ce qui entre en vigueur en 2026 : obligations concrètes

La date du 2 août 2026 est la plus structurante pour le secteur de l'éducation et de la formation professionnelle. À partir de cette date, les systèmes IA listés à l'Annexe III du règlement doivent respecter un ensemble d'exigences techniques et organisationnelles avant d'être déployés ou maintenus en production.

L'Annexe III mentionne explicitement l'éducation et la formation professionnelle parmi les domaines à haut risque. Plus précisément, sont concernés les systèmes IA qui :

• déterminent l'accès ou l'orientation des personnes vers des établissements d'enseignement ou des programmes de formation professionnelle ;
• évaluent les apprenants, qu'il s'agisse d'évaluation formative automatisée, de correction automatique d'examens, ou de systèmes de détection de triche.

Pour ces systèmes, les obligations concrètes incluent notamment :

• La mise en place d'un système de gestion des risques documenté et itératif ;
• La gouvernance des données d'entraînement : documentation des jeux de données, gestion des biais, traçabilité ;
• La production d'une documentation technique permettant à une autorité de contrôle de vérifier la conformité ;
• La capacité à assurer une surveillance humaine effective sur les décisions prises par le système ;
• Des mesures de robustesse, précision et cybersécurité du système lui-même.

Ce dernier point est particulièrement important pour nos lecteurs : le règlement impose explicitement que les systèmes IA à haut risque soient résilients face aux tentatives de manipulation ou d'exploitation. La cybersécurité du système IA devient une exigence réglementaire, pas seulement une bonne pratique.

Concernant les sanctions, le règlement prévoit des amendes graduées selon la nature et la gravité de l'infraction. Sans entrer dans des détails que la jurisprudence nationale viendra préciser, les montants peuvent être significatifs pour les organisations qui déploient des systèmes non conformes.

Les formations cybersécurité directement impactées

La question que se posent beaucoup de formateurs est la suivante : "Mon cours est-il concerné, ou s'agit-il d'un sujet pour d'autres filières ?" La réponse est nuancée, mais elle penche clairement vers "oui".

En tant qu'enseignant, vous êtes potentiellement un opérateur IA

Si vous utilisez dans votre pratique pédagogique des outils IA — plateforme de correction automatique, système de recommandation de parcours, outil de détection d'IA dans les copies — et que ces outils influencent une décision d'évaluation ou d'orientation, vous êtes susceptible d'être qualifié d'opérateur d'un système IA à haut risque au sens du règlement.

Cela ne signifie pas que vous devez renoncer à ces outils. Cela signifie que vous devez vous assurer :

1. que le fournisseur de l'outil a bien rempli ses obligations de fournisseur (documentation, marquage CE pour les systèmes haut risque si applicable) ;
2. que votre organisation a défini une politique d'usage incluant les exigences de surveillance humaine ;
3. que vous êtes en mesure de justifier, si nécessaire, les décisions prises avec l'appui de l'outil.

En tant que formateur cyber, votre syllabus doit évoluer

L'obligation d'AI literacy (Art. 4), applicable depuis février 2025, vise les employeurs — mais elle crée un effet d'entraînement direct sur la formation professionnelle. Les entreprises qui doivent s'assurer que leurs salariés comprennent les IA qu'ils utilisent vont chercher des formations qui traitent ce sujet. Les cursus qui intègrent l'AI Act dans leur contenu seront mieux positionnés que ceux qui l'ignorent.

Plus structurellement, les métiers de la conformité et de la gestion des risques numériques sont en train d'absorber une nouvelle couche réglementaire. Le DPO, qui travaillait déjà à l'intersection du RGPD et de la cybersécurité, voit ses responsabilités s'étendre vers la gouvernance des systèmes IA. Les certifications comme la CIPP/E commencent à intégrer des modules sur l'AI Act. Les cours de GRC (Gouvernance, Risques, Conformité) doivent désormais couvrir le cycle de vie réglementaire IA.

L'exception cybersécurité : à connaître et à enseigner

L'article 2, paragraphe 3 du règlement prévoit une exception importante : les systèmes IA développés ou utilisés exclusivement à des fins de sécurité nationale sont exclus du champ d'application. Dans la pratique, cela couvre principalement les systèmes IA des services de renseignement et de défense.

Pour les outils de cybersécurité défensive du secteur privé — SIEM enrichi par IA, détection d'anomalies comportementales, analyse de logs par machine learning — la situation est plus nuancée. Ces outils ne bénéficient pas automatiquement de l'exemption, et leur classification dépend du contexte d'usage et de l'impact de leurs outputs sur des décisions significatives.

C'est un point technique à enseigner dans les cours de sécurité de l'IA : la frontière entre outil de cybersécurité exempté et système IA à risque soumis au règlement n'est pas toujours évidente, et sa détermination relève d'une analyse au cas par cas.

Intégrer l'AI Act dans le syllabus : propositions pratiques

Voici une approche par niveau, conçue pour être opérationnelle rapidement sans nécessiter une refonte complète du programme.

Niveau socle (BTS, Bachelor, Licence Pro)

Un module d'une à deux heures suffit à ce stade, avec les objectifs suivants :

• Comprendre la logique de classification par niveaux de risque (pratiques interdites, haut risque, risque limité, risque minimal) ;
• Identifier les pratiques interdites applicables depuis février 2025 (manipulation subliminale, notation sociale généralisée, identification biométrique en temps réel dans l'espace public) ;
• Faire le lien avec le RGPD : l'AI Act et le RGPD se cumulent pour les systèmes IA traitant des données personnelles — ce qui est très souvent le cas.

Ce module s'insère naturellement en introduction d'un cours de conformité ou de droit numérique, ou en conclusion d'un cours sur les architectures IA.

Niveau intermédiaire (Master 1, Ingénieur 3e année)

À ce niveau, le traitement peut s'approfondir sur deux axes :

Axe technique : quelles exigences de sécurité et de robustesse le règlement impose-t-il aux systèmes haut risque ? Comment ces exigences se traduisent-elles en pratiques d'ingénierie (tests adversariaux, gestion des biais, journalisation des décisions) ?

Axe organisationnel : comment une organisation met-elle en place un système de gestion des risques IA conforme ? Qui est responsable de quoi entre le fournisseur du modèle, l'intégrateur et l'opérateur final ?

Un atelier de cas pratique — par exemple, analyser un outil IA fictif de tri de CV et déterminer s'il est haut risque, quelles obligations s'appliquent, et quelles mesures mettre en place — est pédagogiquement très efficace à ce niveau.

Niveau avancé (Master 2, Executive, certifications professionnelles)

Les programmes avancés peuvent aller jusqu'à :

• L'analyse comparative avec d'autres cadres (NIST AI RMF, ISO/IEC 42001, guidelines de l'ENISA sur la sécurité de l'IA) ;
• Les enjeux d'audit des modèles : comment vérifier qu'un modèle IA respecte les exigences de documentation et de traçabilité du règlement ?
• Les transparency requirements pour les modèles GPAI : que doit publier un fournisseur de grand modèle de langage pour être conforme aux obligations d'août 2025 ?
• La question de la responsabilité en chaîne : dans un système IA composé de plusieurs briques (modèle fondationnel + fine-tuning + application), qui porte quelles obligations ?

Outils IA utilisés en cours de cyber : que vérifier

De nombreux formateurs utilisent désormais des outils IA dans leur pratique pédagogique — pour générer des scénarios d'attaque fictifs, enrichir des supports, automatiser la création de QCM, ou analyser les résultats d'une promotion. Voici une checklist de questions à se poser avant de continuer à utiliser ces outils à partir d'août 2026.

L'outil influence-t-il une décision sur un apprenant ?

C'est la question centrale. Un outil qui génère des ressources pédagogiques sans influencer de décision individuelle reste hors du périmètre haut risque. En revanche, dès qu'un système IA intervient dans la notation, l'orientation, la détection de fraude académique avec impact disciplinaire, ou l'admission à un programme, il peut entrer dans la catégorie haut risque de l'Annexe III.

Le fournisseur a-t-il publié sa documentation de conformité ?

À partir du 2 août 2026, les fournisseurs de systèmes IA à haut risque sont tenus de fournir une documentation technique et une déclaration UE de conformité. Si un éditeur ne peut pas produire ces éléments, c'est un signal d'alerte.

Votre organisation dispose-t-elle d'une politique d'usage IA ?

L'obligation d'AI literacy de l'Art. 4 implique que les organisations définissent quelles compétences sont nécessaires pour utiliser de façon appropriée les systèmes IA dans le contexte professionnel. Un établissement de formation sans politique IA formalisée accumule un risque de non-conformité.

La surveillance humaine est-elle effective ?

Le règlement insiste sur la nécessité d'une supervision humaine réelle, pas purement formelle. Si un formateur valide automatiquement les décisions d'un système IA sans les examiner, la condition n'est pas remplie. Cela a des implications concrètes sur les processus de travail.

Classification des outils IA courants en contexte pédagogique

Ressources officielles et veille réglementaire

Textes de référence

Le texte consolidé du Règlement (UE) 2024/1689 est disponible sur EUR-Lex, la base de données du droit de l'Union européenne. Il est accessible en français dans son intégralité. Pour travailler efficacement avec le règlement, il est utile de se concentrer d'abord sur :

• L'Annexe I : définition des techniques d'IA couvertes ;
• L'Annexe III : liste des systèmes IA à haut risque, dont le point 3 sur l'éducation ;
• Le Chapitre III : obligations applicables aux systèmes haut risque ;
• Les Articles 51 à 56 : obligations spécifiques aux modèles GPAI.

L'Office européen de l'IA

La Commission européenne a mis en place un Office de l'IA (AI Office) au sein de la DG CONNECT pour superviser l'application du règlement, notamment pour les modèles GPAI. Ses publications et lignes directrices constituent une source de référence primaire pour la veille réglementaire.

Situation française en 2026

À la date de rédaction de cet article (août 2026), l'autorité nationale française chargée de la supervision de l'AI Act n'est pas encore définitivement désignée. Plusieurs acteurs institutionnels sont impliqués dans les travaux préparatoires, mais aucune nomination formelle n'a été officialisée. Il convient de suivre les communications officielles du gouvernement et de la CNIL pour rester à jour sur ce point.

Outils de veille pour les formateurs

Pour une veille efficace sans y consacrer trop de temps, quelques approches pratiques :

• Abonnez-vous aux newsletters de l'ENISA : l'Agence européenne pour la cybersécurité publie régulièrement des documents sur l'intersection entre IA et cybersécurité, incluant des recommandations directement exploitables en formation ;
• Suivez le registre européen de l'IA : le règlement prévoit la création d'une base de données publique des systèmes IA à haut risque déployés dans l'UE — un outil pédagogique précieux pour illustrer les cas concrets en cours ;
• Participez aux groupes de travail sectoriels : plusieurs fédérations professionnelles de la formation ont lancé des groupes de travail sur l'adaptation des certifications au cadre IA.

Ce qu'il faut retenir

L'EU AI Act n'est plus un texte futur à surveiller : il est déjà partiellement applicable depuis février 2025, et sa phase la plus structurante pour le secteur de l'éducation entre en vigueur le 2 août 2026. Pour les formateurs en cybersécurité, l'impact est double.

En tant qu'utilisateurs d'outils IA, les établissements et organismes de formation doivent auditer leurs pratiques : tout système IA qui influe sur l'évaluation ou l'orientation d'un apprenant peut être qualifié de haut risque au sens de l'Annexe III, avec les obligations de documentation, de surveillance humaine et de cybersécurité que cela implique.

En tant qu'enseignants, le règlement crée une obligation de mise à jour du syllabus. L'AI literacy est désormais une exigence légale pour les employeurs (Art. 4), la gouvernance et la sécurité des systèmes IA sont des compétences professionnelles de plus en plus recherchées, et les parcours de conformité — GRC, CIPP/E, rôle DPO — intègrent désormais une dimension IA incontournable.

Les points d'action concrets à mettre en oeuvre dès maintenant :

1. Auditer les outils IA utilisés en contexte pédagogique et identifier ceux susceptibles d'entrer dans la catégorie haut risque ;
2. Intégrer au moins une heure de sensibilisation à la classification des risques IA dans tout cursus cyber de niveau bac+2 et au-delà ;
3. Exiger la documentation de conformité aux fournisseurs d'outils IA pédagogiques, notamment ceux traitant des données d'évaluation ;
4. Mettre à jour les modules GRC et conformité pour couvrir le cycle de vie réglementaire IA (AI Act + RGPD + NIS2) comme système cohérent ;
5. Suivre la désignation de l'autorité nationale française pour anticiper les premières mises en demeure et décisions de contrôle.

La réglementation IA européenne suit la même trajectoire que le RGPD : une phase de montée en charge, puis une normalisation des pratiques tirée par les premières décisions de contrôle. Les formateurs qui anticipent seront mieux positionnés pour accompagner leurs apprenants et leurs commanditaires dans cette transition.

Retrouvez tous nos contenus sur la réglementation, les tendances IA et les bonnes pratiques pédagogiques en cybersécurité sur cyberteachers.org.