Régulation IA et cybermenaces : l'UE renforce son cadre d'accès aux données et sanctions

L’Union européenne poursuit son renforcement des dispositifs de régulation numérique avec deux évolutions majeures : d’une part, la finalisation des modalités d’accès aux systèmes d’intelligence artificielle, et d’autre part, l’élargissement de son régime de sanctions en matière de cybermenaces.

Accès aux systèmes d’IA : la Commission européenne précise ses exigences

Le 9 avril 2026, la Commission européenne clôt la consultation publique sur son projet de règlement d’exécution relatif à la conduite de certaines procédures au titre du Règlement IA. Ce texte définit les conditions dans lesquelles la Commission pourra exiger un accès aux éléments techniques des modèles d’IA, notamment auprès des fournisseurs.

Les obligations imposées aux fournisseurs incluent la transmission, dans des délais raisonnables, de tous les éléments nécessaires à l’évaluation, tels que :

• Les interfaces de programmation applicatives (API),
• L’accès interne aux systèmes,
• Le code source et les poids des modèles,
• L’infrastructure d’hébergement des modèles.

Le projet de texte prévoit également la possibilité pour la Commission de demander la désactivation des mesures de journalisation pouvant tracer ses accès, ainsi que l’autorisation d’inspecter et de modifier les interactions avec l’état du système. Les niveaux d’accès accordés devront être alignés sur ceux dont disposent les propres employés du fournisseur.

Ce règlement d’exécution entrera en vigueur le vingtième jour suivant sa publication au Journal officiel de l’Union européenne.

Sanctions cyber : l’UE cible des entités chinoises et iraniennes

Le 16 mars 2026, le Conseil de l’Union européenne a adopté des mesures restrictives à l’encontre de trois entités impliquées dans des cyberattaques menaçant la sécurité de l’UE ou de ses États membres. Ces mesures s’inscrivent dans le cadre du régime de sanctions cyber de l’UE, visant à limiter les ressources financières des acteurs malveillants.

Les entités sanctionnées sont :

• Integrity Technology Group (Chine) : accusée de fournir des produits ayant compromis plus de 65 000 dispositifs entre 2022 et 2023 ;
• Anxun Information Technology (Chine) et ses deux cofondateurs : associés à des services de piratage ciblant des infrastructures critiques ;
• Emennet Pasargad (Iran) : impliquée dans des activités incluant l’accès illégal à une base de données d’abonnés français, la perturbation de services SMS suédois et la diffusion de désinformation via des panneaux publicitaires lors des Jeux Olympiques de Paris 2024.

Ces entités font l’objet d’un gel des avoirs, et les ressortissants ainsi que les entreprises de l’UE sont interdits de mettre à leur disposition des fonds ou des ressources économiques. Avec ces nouvelles inscriptions, le régime de sanctions cyber de l’UE s’applique désormais à sept entités. Le règlement est entré en vigueur à la date de sa publication.

Perspectives pour les acteurs concernés

Ces deux évolutions réglementaires imposent aux acteurs technologiques et financiers de revoir leurs dispositifs de conformité. Les entreprises développant ou utilisant des systèmes d’IA devront se préparer à répondre aux demandes d’accès de la Commission, tandis que les institutions financières et les opérateurs critiques devront intégrer les nouvelles restrictions dans leurs processus de gestion des risques cyber et de conformité aux sanctions.

Source : Digital https://digitalpolicyalert.org/