Priorités 2026 : la conformité dans le trio de tête de 61 % des ETI, selon le CESIN
Le CESIN a tiré de ses « Instantanés » du premier semestre 2026, une série de 21 mini-sondages hebdomadaires menés auprès de ses membres, un constat que le média Silicon a rapporté le 17 septembre 2026 : le responsable de la sécurité des systèmes d'information consacre de plus en plus de temps à hiérarchiser, et non plus seulement à protéger. La conformité réglementaire arrive en tête des priorités pour 2026, et d'autant plus nettement que l'organisation est petite : elle figure parmi les trois chantiers prioritaires de 72 % des TPE/PME, 61 % des ETI et 46 % des grandes entreprises. Pour un DPO d'ETI, c'est la mesure d'un budget d'attention qui se partage.
Ce que mesurent les Instantanés du CESIN
Trois fronts ressortent de ces sondages, menés auprès des seuls membres du club.
Sur l'IA générative, l'encadrement suit mal l'adoption : 27 % des répondants, plutôt issus d'organisations de taille intermédiaire, n'ont défini aucune politique d'usage. Côté développement, 18 % seulement disposent d'une politique spécifique pour les développeurs, quand 34 % en autorisent l'installation de manière générale et 34 % par exception. Les outils de transcription et de synthèse de réunions soulèvent, selon le club, les mêmes interrogations : accès aux données, stockage, conservation.
Sur la conformité, la hiérarchie s'inverse avec la taille, et la différence est de méthode : les grandes structures répartissent leurs efforts entre IA, tiers et gouvernance, les plus petites les concentrent sur la seule conformité.
Sur les fournisseurs, une donnée se détache : 52 % des ETI interrogées estiment ne pas être directement concernées par le règlement européen sur la cyber-résilience (Cyber Resilience Act), tout en étant clientes de fournisseurs qui, eux, le sont. S'y ajoutent les effets de la consolidation du marché : 74 % des ETI disent avoir constaté une explosion des coûts après le rachat d'un fournisseur, et 41 % des répondants pointent un enfermement technologique.
Pourquoi c'est important pour un DPO
Le CESIN ne traite ici ni du RGPD ni du règlement sur l'IA. La lecture conformité, elle, est immédiate. Sans politique d'usage de l'IA générative, les traitements nés de ces outils n'entrent dans aucun cadre écrit : le registre de l'article 30 du RGPD ne les connaît pas, la durée de conservation de l'article 5.1.e n'est fixée par personne, et la sécurité de l'article 32 se juge sur un périmètre que le DPO ignore. C'est le cas des outils de transcription : ils traitent des données de salariés chez un prestataire, ce que l'article 28 encadre par un contrat, pas par des conditions acceptées d'un clic. Le règlement sur l'IA ajoute sa couche avec son article 4, qui demande au déployeur d'assurer un niveau suffisant de maîtrise de l'IA chez ceux qui l'utilisent pour son compte. Leto avait déjà relevé cet écart entre adoption et gouvernance.
Le chiffre sur le Cyber Resilience Act est le plus opérationnel. Les obligations du texte pèsent sur les fabricants, importateurs et distributeurs de produits comportant des éléments numériques, pas sur les organisations qui les achètent : répondre « nous ne sommes pas concernés » est juridiquement exact et pratiquement trompeur. Une ETI cliente hérite du calendrier de correction de ses fournisseurs, et c'est elle qui en répond devant la CNIL, au titre de l'article 32 et de ses contrats de sous-traitance. Les normes techniques de l'ETSI et le calendrier d'application du texte donnent la matière des questions à poser. Le CESIN, lui, avait déjà interpellé les candidats à la présidentielle en juillet sur la souveraineté numérique.
Ce que ça change pour les organisations
- Recenser les usages d'IA générative déjà installés, transcription de réunions comprise, et les porter au registre des traitements avant d'écrire la politique : on ne cadre pas ce qu'on n'a pas listé.
- Fixer une durée de conservation pour les transcriptions générées, et savoir où elles sont stockées.
- Traiter les environnements de développement enrichis à l'IA comme un traitement à part entière : une autorisation « de manière générale » signifie qu'aucun jeu de données de test n'est hors de portée de l'outil.
- Demander aux fournisseurs de produits numériques, à la prochaine revue contractuelle, comment ils se préparent au Cyber Resilience Act. La réponse documente l'article 32 autant que le règlement.
- Écrire l'arbitrage lui-même : si la conformité absorbe la majorité des moyens, le dire à la direction en fait une décision d'entreprise plutôt qu'un choix par défaut du RSSI ou du DPO.
Ce que Leto en pense
Le chiffre le plus intéressant n'est ni 27 % ni 72 %, c'est 52 % : des ETI qui se croient hors du champ d'un texte structurant la sécurité des produits qu'elles achètent. Il faut le lire pour ce qu'il est, une mesure déclarative auprès des membres d'un club de RSSI, donc un échantillon auto-sélectionné et non représentatif, dont le CESIN ne publie pas le détail. Reste que l'écart entre « pas concerné » et « client d'un fournisseur concerné » se répète à chaque texte cyber, NIS 2 compris, et qu'il se referme par le contrat avant de se refermer par l'outil. Sur ces sujets, Leto ne fait pas de la conformité mais de la sensibilisation des équipes. Et la remarque de Fabrice Bru, président du CESIN, vaut pour les DPO autant que pour les RSSI : « Les repères évoluent, les priorités aussi, et les réponses d'hier ne suffisent plus toujours. »
Sources
