NIS2 et IA : ce que la directive exige de votre usage de l’IA
En bref
NIS2 ne réglemente pas l’IA, mais la concerne : un service d’IA fait partie de vos systèmes d’information et de votre chaîne d’approvisionnement. En septembre 2026, la France n’a pas encore transposé la directive, et la Commission européenne l’a saisie devant la Cour de justice. Les entités concernées ont pourtant intérêt à se préparer : maîtrise des fournisseurs d’IA, alerte sous 24 heures en cas d’incident important, et implication de la direction.
Où en est NIS2 en France
La directive NIS2 (UE) 2022/2555 devait être transposée en octobre 2024. En France, le projet de loi « résilience » a été adopté par le Sénat en mars 2025, mais n’avait pas été définitivement voté à l’été 2026. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’UE contre la France pour défaut de transposition, en demandant des sanctions financières. Les délais de notification et les clauses fournisseurs sont dans Notification NIS2 et fournisseurs d’IA.
En attendant, l’ANSSI a publié en mars 2026 le Référentiel Cyber France (ReCyF), non contraignant à ce stade, et ouvert l’espace MonEspaceNIS2 pour préparer les entités. Les obligations seront celles de la directive : enregistrement, mesures de gestion des risques et notification des incidents importants. Les Pays-Bas (depuis le 15 août 2026) et l’Allemagne (depuis décembre 2025) appliquent déjà leur loi de transposition.
Là où NIS2 et l’IA se rejoignent
- Gestion des risques (article 21) : les applications d’IA ont leur place dans votre analyse de risques, comme tout système d’information. Quelles données, quels accès, que se passe-t-il en cas de panne ?
- Sécurité de la chaîne d’approvisionnement : un service d’IA externe est un fournisseur. NIS2 demande d’évaluer les pratiques de sécurité des fournisseurs et de les encadrer contractuellement. Face à un grand fournisseur d’IA étranger, votre marge est faible.
- Notification (article 23) : un incident important donne lieu à une alerte précoce sous 24 heures, une notification avec première évaluation sous 72 heures et un rapport final sous un mois. Un incident d’IA, comme une fuite de données via un service d’IA, peut en relever.
- Direction (article 20) : elle approuve les mesures, supervise leur mise en œuvre, doit suivre une formation et peut voir sa responsabilité engagée.
Cinq questions auxquelles votre direction doit pouvoir répondre
- Quels services d’IA l’organisation utilise-t-elle, officiellement ou non ? Voir Shadow AI.
- Quelles données y sont saisies, et chez quels fournisseurs se trouvent-elles ?
- Que se passe-t-il si un service d’IA tombe en panne ou change ses conditions ?
- Pouvons-nous détecter et signaler un incident lié à un service d’IA sous 24 heures ?
- Pouvons-nous démontrer qui a fait quoi avec l’IA ? Voir Le règlement européen sur l’IA en 2026 pour le recoupement avec l’AI Act.
Raccourcir la chaîne d’approvisionnement
Plus il y a de services d’IA externes, plus il y a de fournisseurs à évaluer, contractualiser et surveiller. Exploiter l’IA sur votre propre infrastructure retire ce maillon : aucun fournisseur de modèle externe ne traite vos données ni ne peut tomber en panne.
Avec werqly, des modèles open-weight tournent sur votre propre nœud, dans votre salle serveur, relié à votre fournisseur d’identité. Le journal d’audit de werqly AI Control alimente votre SIEM : un incident d’IA suit la même détection et la même procédure de notification que vos autres systèmes. En gestion interne, werqly est avant tout un éditeur de logiciel ; avec l’infogérance werqly Pro ou werqly Cloud, werqly est un fournisseur de votre chaîne, à évaluer comme les autres. La certification ISO 27001 de werqly est en cours. Voir aussi Qu’est-ce que l’IA privée ?
Questions fréquentes
Questions sur ce sujet
NIS2 s’applique-t-elle déjà en France ?
Pas encore : en septembre 2026, la loi de transposition n’était pas définitivement adoptée, et la Commission européenne a saisi la Cour de justice le 8 juillet 2026. L’ANSSI invite toutefois les entités à se préparer, notamment avec le Référentiel Cyber France et MonEspaceNIS2.
Un service d’IA fait-il partie de la chaîne d’approvisionnement NIS2 ?
Oui. Un service d’IA externe traite vos données et fait partie de vos systèmes d’information. NIS2 demande d’évaluer la sécurité de ces fournisseurs et de l’encadrer contractuellement, comme pour les autres prestataires informatiques.
Une fuite via un chatbot d’IA doit-elle être notifiée au titre de NIS2 ?
Si c’est un incident important, oui : alerte précoce sous 24 heures et notification avec première évaluation sous 72 heures, une fois la loi applicable. Indépendamment, la notification des violations de données à la CNIL au titre du RGPD s’applique déjà.
La direction est-elle personnellement responsable au titre de NIS2 ?
Les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre et suivre une formation. Leur responsabilité peut être engagée en cas de manquement. Les risques liés à l’IA ont donc leur place à l’ordre du jour de la direction.
Sources
- ANSSI — MonEspaceNIS2
- Directive NIS2 — directive (UE) 2022/2555
- NIS 2 Directive — état de la transposition en France (anglais)
Cet article est une information générale, pas un conseil juridique. Les règles et les recommandations évoluent ; en cas de doute, consultez les sources citées ou votre juriste ou DPO.