Rentrée 2026 CODIR : les 5 dossiers IA qui vont dominer les comités de direction des collectivités en septembre

Rentrée 2026 CODIR : les 5 dossiers IA qui vont dominer les comités de direction des collectivités en septembre

Rentrée 2026 CODIR : les 5 dossiers IA qui vont dominer les comités de direction des collectivités en septembre

Les 5 dossiers IA à mettre sur la table du CODIR de rentrée 2026 : sortie cloud US, NIS2, Shadow AI, formation article 4 AI Act, souveraineté outils.

Les 5 dossiers IA à mettre sur la table du CODIR de rentrée 2026 : sortie cloud US, NIS2, Shadow AI, formation article 4 AI Act, souveraineté outils.

Les 5 dossiers IA à mettre sur la table du CODIR de rentrée 2026 : sortie cloud US, NIS2, Shadow AI, formation article 4 AI Act, souveraineté outils.

8 min

Rentrée 2026 : les 5 dossiers IA à mettre sur la table du CODIR des collectivités françaises en septembre. 01 Sortie cloud américain, 02 NIS2 et responsabilité dirigeants, 03 Shadow AI, 04 Formation article 4 AI Act, 05 Souveraineté outils de réunion.
Rentrée 2026 : les 5 dossiers IA à mettre sur la table du CODIR des collectivités françaises en septembre. 01 Sortie cloud américain, 02 NIS2 et responsabilité dirigeants, 03 Shadow AI, 04 Formation article 4 AI Act, 05 Souveraineté outils de réunion.

Mis à jour : septembre 2026 | Lecture : 8 minutes

En résumé

La rentrée 2026 n'est pas une rentrée comme les autres pour les directions générales et les directions des systèmes d'information des collectivités territoriales françaises. Cinq dossiers convergent au CODIR de septembre : le plan de sortie du cloud américain lancé par la Direction interministérielle du numérique (DINUM) le 8 avril, la transposition de la directive NIS2 en septembre via la loi Résilience et la responsabilité personnelle des dirigeants qu'elle instaure, la cartographie du Shadow AI (usage clandestin d'outils d'IA générative documenté chez plus d'un agent public sur deux en avril 2026), la formation obligatoire prévue par l'article 4 de l'AI Act européen dont les sanctions sont applicables depuis le 2 août 2026, et la souveraineté des outils de réunion et de collaboration. Cet article propose pour chaque dossier un diagnostic, trois questions à poser au CODIR, un livrable à produire dans le mois, et une anticipation à six mois.

Introduction : pourquoi cette rentrée n'est pas comme les autres

Chaque rentrée voit revenir les mêmes dossiers de fond : préparation budgétaire, arbitrages RH, chantiers de mandat. Septembre 2026 en ajoute un cinquième qui ne peut plus être différé : la gouvernance de l'intelligence artificielle dans l'organisation.

Trois convergences rendent cette rentrée particulière. D'abord, les sanctions de l'article 4 du Règlement européen sur l'intelligence artificielle (AI Act) sont applicables depuis le 2 août 2026. La Commission européenne a confirmé le 1er septembre 2026 avoir adressé des demandes d'informations à plus de trente entreprises du secteur, première mise en œuvre de ses pouvoirs répressifs. Le message institutionnel est clair : le régime n'est plus incitatif.

Ensuite, la loi Résilience qui transpose la directive NIS2 en droit français doit être adoptée en septembre 2026, après un report depuis juillet. Elle instaure une responsabilité personnelle non délégable des dirigeants sur la cybersécurité, avec possibilité d'interdiction temporaire d'exercer des fonctions de direction en cas de manquement grave. La cascade de mise en conformité descend vers l'ensemble des entités importantes et essentielles, dont les collectivités territoriales de plus de 30 000 habitants.

Enfin, dans le contexte post-électoral de 2026, les nouveaux maires et présidents d'intercommunalité posent systématiquement à leur direction générale la question : « Qu'est-ce qu'on fait sur l'IA ? ». Le DGS qui n'y a pas répondu avant le prochain conseil municipal est en difficulté. Le CODIR de septembre est le moment où cette réponse se construit.

Les cinq dossiers qui suivent ne sont pas exhaustifs, mais ils couvrent l'essentiel de ce qu'une direction générale et une direction des systèmes d'information (DSI) doivent avoir arbitré avant la fin du dernier trimestre 2026. Pour un cadrage plus large sur l'adoption de l'IA dans le secteur public, consultez notre article sur les freins et leviers en 2026.

Dossier 1 : Le plan de sortie du cloud américain

Contexte

Le 8 avril 2026, la DINUM, en coordination avec l'Agence nationale de la sécurité des systèmes d'information (ANSSI) et la Direction des achats de l'État, a lancé un plan massif de sortie des dépendances numériques extra-européennes. Deux circulaires structurent cette bascule : celle du 28 janvier 2026 qui rend obligatoire le déploiement de Visio (plateforme de visioconférence de l'État) à la place de Microsoft Teams et Zoom, et celle du 5 février 2026 qui pose la souveraineté comme critère numéro un des achats numériques publics. La migration Visio doit être achevée dans tous les ministères d'ici septembre 2026. À terme, 2,5 millions d'agents publics sont concernés, dont 80 000 agents de l'Assurance maladie déjà en cours de bascule. La Plateforme des données de santé (Health Data Hub) quitte Microsoft Azure pour Scaleway d'ici fin 2026.

Le plan s'applique directement à l'État. Il ne s'impose pas encore juridiquement aux collectivités territoriales, mais il crée un précédent politique et technique. La note de la DINUM déclarant Microsoft 365 non conforme à la doctrine Cloud au Centre reste valable. L'ANSSI recommande explicitement aux collectivités l'utilisation d'offres qualifiées SecNumCloud. Une dizaine d'offres sont qualifiées en 2026 : OVHcloud, Outscale (Dassault Systèmes), Scaleway, NumSpot, ITS Integra, et bientôt Bleu (Capgemini/Orange, disponibilité commerciale second semestre 2026).

Pour aller plus loin sur le fond juridique, consultez notre article sur l'IA souveraine ou cloud américain en 2026.

Les 3 questions à poser au CODIR

  1. Quels services de notre système d'information reposent aujourd'hui sur des fournisseurs américains (Microsoft 365, Azure, Google Workspace, AWS, Zoom) et quel volume budgétaire cela représente-t-il ?

  2. Notre marché avec ces fournisseurs comporte-t-il une clause de portabilité, et à quelle échéance pouvons-nous basculer sans pénalité ?

  3. Quels services SecNumCloud pourrions-nous mettre en concurrence pour les prochains renouvellements ?

Livrable à produire dans le mois

Une cartographie des dépendances américaines de la collectivité : services concernés, contrats en cours, échéances de renouvellement, coûts annuels, alternatives SecNumCloud identifiées.

Anticipation à 6 mois

Un plan de migration pluriannuel priorisé : quelles briques basculer en 2027, en 2028, en 2029. La rentrée 2026 est le bon moment pour poser ce plan, avant que la circulaire d'application aux collectivités ne descende, ou qu'un contrôle CNIL ne force la main.

Dossier 2 : La transposition NIS2 et la responsabilité personnelle des dirigeants

Contexte

La directive européenne NIS2 (Network and Information Security 2), adoptée le 14 décembre 2022, aurait dû être transposée en droit français avant le 17 octobre 2024. La France a pris deux ans de retard. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne pour manquement, avec demande de sanctions financières. La loi Résilience, qui transpose NIS2 (ainsi que la directive REC et le règlement DORA), est attendue au vote en septembre 2026 après un report depuis juillet.

NIS2 multiplie par trente le nombre d'organisations régulées en France, passant d'environ 500 opérateurs sous NIS1 à 15 000 entités attendues. Les collectivités territoriales de plus de 30 000 habitants sont concernées, ainsi que leurs groupements et syndicats mixtes structurants. Deux catégories : entités essentielles (EE) avec sanctions jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial, entités importantes (EI) jusqu'à 7 millions ou 1,4 %.

Point structurant : NIS2 instaure une responsabilité personnelle non délégable des dirigeants. Les organes de direction approuvent formellement les mesures de cybersécurité, en supervisent la mise en œuvre effective, et suivent une formation obligatoire sur les risques cyber. En cas de manquement grave, l'ANSSI peut prononcer une interdiction temporaire d'exercer des fonctions dirigeantes.

Pour un décryptage complet de l'AI Act et du RGPD applicables aux collectivités, consultez notre article dédié : EU AI Act et RGPD 2026, guide de conformité.

Les 3 questions à poser au CODIR

  1. Sommes-nous une entité essentielle ou importante au titre de NIS2 et avons-nous procédé à notre enregistrement sur la plateforme MonEspaceNIS2 de l'ANSSI ?

  2. Nos dirigeants (DGS, élus référents, direction) ont-ils suivi une formation certifiante sur les risques cyber, et cette formation est-elle documentée ?

  3. Notre plan de conformité couvre-t-il les dix mesures obligatoires de NIS2, y compris la sécurité de la chaîne d'approvisionnement (fournisseurs SaaS, prestataires cloud, éditeurs) ?

Livrable à produire dans le mois

Une note de cadrage NIS2 en 3 pages présentée en CODIR : catégorie de rattachement, écart avec les exigences ANSSI, plan de mise en conformité prioritaire, calendrier de formation des dirigeants.

Anticipation à 6 mois

Une politique de sécurité des systèmes d'information (PSSI) actualisée, un plan de continuité et de reprise d'activité (PCA/PRA) testé, un dispositif de notification d'incidents opérationnel (alerte précoce sous 24h, notification sous 72h, rapport final sous un mois).

Dossier 3 : La cartographie et la régularisation du Shadow AI

Contexte

L'usage clandestin d'outils d'intelligence artificielle générative, communément appelé Shadow AI, n'est plus une hypothèse. Une enquête publiée en avril 2026 auprès de 2 000 agents publics issus de neuf administrations révèle que plus d'un agent sur deux utilise ChatGPT ou un équivalent dans l'exercice de ses fonctions, sans cadre validé, sans supervision, sans formation. Dans 80 % des cas, ces agents souhaitent en faire davantage. Le Syndicat national des directions générales des collectivités territoriales (SNDGCT) évaluait en septembre 2025 à 40 % la part des agents des collectivités utilisant des outils IA de façon clandestine.

Cet usage n'est pas une négligence collective. C'est une réponse pragmatique à des irritants réels (temps, complexité, volumétrie) que les outils institutionnels n'ont pas encore couverts. Le problème est que ces agents saisissent des données parfois sensibles (notes de synthèse confidentielles, brouillons de délibération, courriers RH, dossiers d'usagers) dans des services dont la localisation juridique et technique ne peut pas être documentée. Le compte-rendu d'une réunion médico-sociale, la trame d'un entretien professionnel, un texte de délibération sensible peuvent ainsi transiter par des serveurs américains sans contrôle.

L'État déploie une solution souveraine basée sur Mistral pour 10 000 agents ministériels. L'accès n'est pas encore ouvert aux collectivités : environ 70 d'entre elles négocient leur entrée dans le dispositif. Les autres attendent, mais le temps joue contre elles. Pour un guide complet sur la gouvernance IA en secteur public, consultez notre article sur l'intégration de l'IA dans son SI.

Les 3 questions à poser au CODIR

  1. Avons-nous une cartographie documentée des outils IA utilisés par nos agents, incluant les usages clandestins ?

  2. Quelles données sensibles risquent d'être exposées aujourd'hui via ces usages non validés (données personnelles d'agents, données RH, données stratégiques, données de santé) ?

  3. Disposons-nous d'un outil IA officiel et sécurisé à proposer en substitution avant la fin de l'année ?

Livrable à produire dans le mois

Un audit Shadow AI de la collectivité : outils recensés (via interrogation des services et audit des logs DNS), volumétrie estimée, cas d'usage, données à risque, priorisation.

Anticipation à 6 mois

Un plan de régularisation en trois volets : mise à disposition d'un outil IA officiel adossé à un cas d'usage prioritaire, charte IA validée de 3 pages, dispositif de contrôle continu. Pour une méthode détaillée en 30 jours, consultez notre plan opérationnel pour automatiser vos comptes-rendus IA.

Dossier 4 : La formation obligatoire des agents (article 4 AI Act)

Contexte

L'article 4 du Règlement européen sur l'intelligence artificielle impose à toute organisation qui déploie un système d'IA de garantir un niveau suffisant de maîtrise de l'IA (« AI literacy ») à son personnel. L'obligation est applicable depuis le 2 février 2025. Les sanctions le sont depuis le 2 août 2026 : jusqu'à 7,5 millions d'euros ou 1,5 % du chiffre d'affaires mondial. Aucun seuil d'effectif ne s'applique. Dès qu'un outil IA est utilisé dans l'organisation, l'obligation existe.

La Commission européenne, dans son guide d'orientation de septembre 2025, recommande une formation calibrée selon l'intensité de l'usage :

  • 1 à 2 heures pour un usage occasionnel (assistant de rédaction, résumé)

  • 4 à 6 heures pour un usage régulier (production de contenu, comptes-rendus)

  • 8 à 16 heures pour un usage critique (RH, juridique, médical), complétées par un audit

Le Centre national de la fonction publique territoriale (CNFPT) a lancé en 2025 une offre nationale IA (sensibilisation, formations en ligne, événements territoriaux). Ces modules constituent une bonne base, mais ils restent généralistes. Pour un usage spécifique (par exemple un assistant de réunion IA), une formation adossée à l'outil déployé est plus efficace et plus défendable en cas de contrôle.

Le rapport IGF-IGA-IGAS remis en juillet 2026 sur le déploiement de l'IA dans les administrations publiques, commandé par le Premier ministre, confirme que la formation est le levier principal de pérennité des démarches IA. Une négociation sociale sur l'IA dans la fonction publique, annoncée par le ministre David Amiel, vise un accord à l'automne 2026.

Les 3 questions à poser au CODIR

  1. Quel est le pourcentage de nos agents ayant suivi une formation IA documentée en 2026 ?

  2. Disposons-nous d'un plan de formation IA par catégorie d'usage, adossé à des supports actualisés et à un registre de suivi ?

  3. Nos dirigeants (DGS, directeurs, adjoints) ont-ils été personnellement formés, comme l'exige indirectement l'article 4 pour ceux qui utilisent l'outil ?

Livrable à produire dans le mois

Un état des lieux de la formation IA dans la collectivité et un plan de formation à 12 mois : contenu par public, format, volume horaire, calendrier, registre de suivi.

Anticipation à 6 mois

Une couverture de formation de 80 % au moins des agents utilisateurs, un dispositif de mise à jour annuelle, une documentation prête à présenter en cas de contrôle CNIL ou d'audit.

Dossier 5 : La souveraineté des outils de réunion et de collaboration

Contexte

La réunion est le lieu où circule la majorité des informations sensibles d'une collectivité : délibérations en préparation, arbitrages RH, contentieux, projets urbains, données médico-sociales, marchés publics. C'est aussi l'endroit où les assistants d'IA générative se déploient le plus rapidement, souvent adossés aux plateformes de visioconférence existantes (Microsoft Teams, Zoom, Google Meet), ou via des solutions dédiées de transcription (Otter, Fireflies, Notta, Plaud, Copilot).

Le 10 juin 2025, Anton Carniaux, directeur juridique de Microsoft France, a admis publiquement devant le Sénat qu'il ne pouvait pas s'opposer à une injonction américaine visant des données hébergées en France, en raison du Clarifying Lawful Overseas Use of Data Act (CLOUD Act) américain. Cet aveu a été réaffirmé lors de VivaTech en juin 2026. Le compte-rendu d'une réunion sensible, généré par un assistant IA américain, est donc juridiquement accessible sur simple injonction.

La circulaire DINUM du 28 janvier 2026 impose Visio dans tous les ministères d'ici septembre 2026. Les collectivités ne sont pas juridiquement liées par ce dispositif, mais elles font face aux mêmes exigences : article 44 à 49 du Règlement général sur la protection des données (RGPD) sur les transferts internationaux, décision du Conseil d'État du 20 mars 2026 (n° 503159 et 504171) sur le Health Data Hub qui rappelle que l'autorisation d'hébergement en France n'emporte pas autorisation de transfert vers les États-Unis.

Pour un décryptage complet de ce sujet et le test pratique en 5 minutes, consultez notre article sur vos données de réunion et le CLOUD Act. Pour un comparatif des solutions du marché, notre comparatif 2026 des 5 assistants IA conformes RGPD donne une vue d'ensemble.

Les 3 questions à poser au CODIR

  1. Sur quelle infrastructure juridique et technique reposent nos outils de réunion (visioconférence, transcription, comptes-rendus automatisés) ?

  2. Quels types de réunions (conseils, CODIR, commissions, entretiens professionnels, réunions médico-sociales) sont concernés par un outil IA aujourd'hui, et sont-ils correctement encadrés ?

  3. Disposons-nous d'un outil souverain à déployer pour les réunions sensibles avant fin 2026 ?

Livrable à produire dans le mois

Un diagnostic d'exposition CLOUD Act : cartographie des outils de réunion utilisés, classification des données traitées, niveau de risque juridique et opérationnel, alternatives souveraines identifiées.

Anticipation à 6 mois

Le déploiement d'un outil de réunion IA souverain pour les usages sensibles. Les critères objectifs à vérifier lors du choix : hébergement exclusivement européen, éditeur de droit européen sans lien capitalistique américain (donc non exposé au CLOUD Act), suppression immédiate des enregistrements audio après traitement, absence de réutilisation des données pour entraîner les modèles d'IA, serveurs certifiés au minimum ISO 27001 et Hébergeur de Données de Santé (HDS) pour les organisations traitant des données médico-sociales. Pour une méthode d'évaluation du retour sur investissement, consultez notre analyse du coût et ROI d'un assistant IA de réunion en 2026.

Ce qui distingue les CODIR qui décident de ceux qui reportent

Le rapport publié par Teriagen en avril 2026, fondé sur l'accompagnement de 83 collectivités, met en évidence trois constantes chez les organisations qui obtiennent des résultats mesurables.

Elles inscrivent l'IA à l'ordre du jour dès le premier CODIR de septembre, sans attendre le budget 2027. La rentrée est la fenêtre pendant laquelle les arbitrages politiques et budgétaires sont ouverts. Attendre décembre, c'est basculer dans un cycle où le sujet est perçu comme une contrainte, pas comme un chantier structurant.

Elles nomment un sponsor au niveau direction, pas seulement un référent technique. Le sujet IA touche à la fois la RH, le juridique, la sécurité et la stratégie. Sans un DGS ou une DGA en pilotage, la démarche se dilue dans les urgences opérationnelles.

Elles produisent des livrables datés à chaque CODIR mensuel, pas des présentations d'intention. Une cartographie Shadow AI à J+30, une charte validée à J+60, un premier outil déployé à J+90. La preuve d'utilité concrète débloque les résistances internes et les budgets.

Les 3 erreurs à éviter absolument en septembre 2026

Erreur 1 : Attendre la clarification totale du cadre réglementaire avant d'agir. Le cadre s'est déjà clarifié en 2026 (AI Act applicable, NIS2 en transposition, doctrine DINUM publiée). Attendre 2027 pour clarifier davantage, c'est prendre 12 à 18 mois de retard sur ses voisines pour un gain d'incertitude marginal.

Erreur 2 : Sous-estimer la responsabilité personnelle instaurée par NIS2. Beaucoup de dirigeants considèrent encore que la cybersécurité relève de la DSI. La loi Résilience change ce paradigme : la responsabilité est désormais non délégable, avec des sanctions personnelles y compris une interdiction temporaire d'exercer.

Erreur 3 : Traiter les cinq dossiers séparément. Ils sont interconnectés. La cartographie Shadow AI nourrit le choix d'outil souverain, qui alimente le plan de sortie cloud américain, qui structure le plan NIS2, qui rend la formation obligatoire crédible. Une gouvernance IA unifiée coûte moins cher qu'une somme de projets isolés.

FAQ : questions fréquentes sur les dossiers IA du CODIR de rentrée 2026

Est-il obligatoire de traiter tous ces dossiers cette rentrée ?

Non. La rentrée 2026 est le bon moment pour poser un cadre stratégique et arbitrer les priorités. Toutes les collectivités n'ont pas la même exposition ou la même maturité. Le minimum viable consiste à inscrire au moins deux des cinq dossiers (généralement Shadow AI + formation article 4 AI Act) à l'ordre du jour du CODIR de septembre, puis à les traiter dans les 90 jours.

Notre collectivité fait moins de 30 000 habitants, sommes-nous concernés par NIS2 ?

Le seuil formel se situe à 30 000 habitants pour l'application directe de NIS2 aux communes, mais les groupements de coopération intercommunale, les syndicats mixtes structurants, les collectivités responsables d'infrastructures essentielles (eau, énergie, transports, santé) peuvent être concernés indépendamment de la taille de la commune. La classification exacte relève de l'ANSSI. Dans le doute, une consultation préalable est recommandée.

Le plan de sortie du cloud américain s'applique-t-il juridiquement aux collectivités ?

Non, pas juridiquement pour l'instant. La circulaire DINUM du 8 avril 2026 s'impose aux ministères et aux administrations d'État. Les collectivités restent libres. Mais l'ANSSI recommande explicitement l'usage d'offres SecNumCloud, et la doctrine française pose la souveraineté comme critère numéro un depuis la circulaire du 5 février 2026. Le mouvement politique est engagé, il ne se retournera pas.

Combien de temps faut-il pour former nos agents à l'IA ?

Selon les recommandations de la Commission européenne (septembre 2025) : 1 à 2 heures pour un usage occasionnel, 4 à 6 heures pour un usage régulier, 8 à 16 heures pour un usage critique. Une collectivité moyenne peut viser un plan de formation à 12 mois qui couvre 80 % des agents utilisateurs. Le CNFPT propose des modules gratuits, complémentaires d'une formation adossée à l'outil déployé.

Quel budget prévoir pour l'ensemble de ces chantiers ?

Le poste principal reste le temps humain (mobilisation d'une équipe projet interne pendant plusieurs mois). En budget externe, une collectivité de 30 000 habitants peut mobiliser entre 15 000 et 40 000 euros pour couvrir : accompagnement à l'audit Shadow AI, licences d'un outil souverain, formation initiale et récurrente, prestations juridiques ponctuelles (mise à jour de la PSSI, cartographie NIS2). Le mécanisme des mutualisations intercommunales permet de diviser significativement ces coûts pour les petites communes.

Peut-on faire ces cinq chantiers en interne, sans prestataire externe ?

Oui, à condition de disposer d'un binôme DSI + délégué à la protection des données (DPO) expérimenté, avec un sponsor au niveau direction et un pilote projet motivé. Pour les collectivités sans équipe numérique structurée, un accompagnement externe réduit significativement le risque d'échec. Les mutualisations intercommunales, les structures de coopération (agences départementales du numérique, GIP, syndicats mixtes du numérique) et le programme « Territoires d'IA » copiloté par l'État et la Banque des Territoires sont des ressources à mobiliser.

Que dire aux élus qui posent la question « qu'est-ce qu'on fait sur l'IA » ?

Le mieux est de leur présenter un plan structuré en 5 dossiers, avec des livrables datés et un calendrier à 12 mois. Cette présentation transforme une inquiétude politique diffuse en une démarche pilotée. Elle positionne la direction générale comme moteur de la démarche, pas comme obstacle. Elle sécurise l'élu qui doit rendre des comptes à ses administrés sur la maîtrise du numérique dans sa collectivité.

Que faire si notre collectivité n'a rien encore engagé sur l'IA en septembre 2026 ?

Commencer immédiatement par l'audit Shadow AI (dossier 3), qui peut être conduit en 7 à 10 jours et livre un état des lieux factuel exploitable en CODIR. Cet audit débloque naturellement les autres dossiers. Pour une méthode détaillée en 30 jours, consultez notre plan opérationnel pour automatiser vos comptes-rendus IA.

Sources

Les sources sont ordonnées par autorité décroissante.

Textes réglementaires

  • Règlement (UE) 2024/1689, EU AI Act, article 4 (formation) et article 99 (sanctions)

  • Règlement (UE) 2016/679, RGPD, articles 44 à 49

  • Directive (UE) 2022/2555, NIS2 (transposition française prévue septembre 2026 via la loi Résilience)

  • Clarifying Lawful Overseas Use of Data Act, 2018 (États-Unis)

Autorités publiques et juridictions

  • Conseil d'État, décision n° 503159 et 504171 du 20 mars 2026 (Health Data Hub, projet DARWIN EU)

  • ANSSI, Référentiel SecNumCloud 3.2 (mars 2026) et plateforme MonEspaceNIS2

  • CNIL, Bilan annuel 2025 (486,8 millions d'euros de sanctions, ×9 vs 2024)

  • DINUM, séminaire interministériel du 8 avril 2026

  • Sénat, audition de Microsoft France du 10 juin 2025 (commission d'enquête sur la commande publique)

  • Circulaire du 28 janvier 2026 (généralisation obligatoire de Visio dans les ministères)

  • Circulaire du 5 février 2026 (nouvelle doctrine d'achats numériques avec souveraineté comme critère n°1)

  • Commission européenne, communiqué du 1er septembre 2026 (demandes d'informations à plus de trente entreprises IA)

Rapports institutionnels et études

  • Rapport IGF-IGA-IGAS, Déploiement de l'IA dans les administrations publiques, juillet 2026 (mission commandée par le Premier ministre)

  • Teriagen, Bilan IA collectivité territoriale, retour d'expérience 83 organisations accompagnées, avril 2026

  • SNDGCT, Étude sur l'usage des outils IA dans les collectivités, septembre 2025 (40 % d'usage clandestin)

  • Observatoire Data Publica, Baromètre 2025 sur les collectivités, la donnée et l'IA

  • Avanoo/Économie Matin, Enquête sur 2 000 agents publics de neuf administrations, avril 2026

  • Abraxio, Baromètre Budget DSI 2027, juin 2026

Médias spécialisés

  • Localtis/Banque des Territoires, « Usages clandestins de l'IA dans les collectivités », avril 2026

  • Banque des Territoires, « Face aux géants américains, les collectivités lancent leur plan pour reprendre la main sur le numérique », juin 2026

  • L'Usine Digitale, « L'État jette Microsoft hors de ses systèmes critiques », avril 2026

  • La Gazette des Communes, dossier « Ces collectivités qui prennent le train de l'IA », juin 2026

  • CIO Online, « Le Health Data Hub sort d'Azure pour basculer fin 2026 vers un cloud SecNumCloud », février 2026

  • SICTIAM, « Intelligence artificielle : quelles obligations réglementaires pour les collectivités ? », septembre 2026

Cet article fait partie d'une série consacrée à l'IA souveraine et au secteur public. Consultez aussi :

Pour une démonstration de NeoMeet, réservez un rendez-vous avec l'équipe Neova.

Mis à jour : septembre 2026 | Lecture : 8 minutes

En résumé

La rentrée 2026 n'est pas une rentrée comme les autres pour les directions générales et les directions des systèmes d'information des collectivités territoriales françaises. Cinq dossiers convergent au CODIR de septembre : le plan de sortie du cloud américain lancé par la Direction interministérielle du numérique (DINUM) le 8 avril, la transposition de la directive NIS2 en septembre via la loi Résilience et la responsabilité personnelle des dirigeants qu'elle instaure, la cartographie du Shadow AI (usage clandestin d'outils d'IA générative documenté chez plus d'un agent public sur deux en avril 2026), la formation obligatoire prévue par l'article 4 de l'AI Act européen dont les sanctions sont applicables depuis le 2 août 2026, et la souveraineté des outils de réunion et de collaboration. Cet article propose pour chaque dossier un diagnostic, trois questions à poser au CODIR, un livrable à produire dans le mois, et une anticipation à six mois.

Introduction : pourquoi cette rentrée n'est pas comme les autres

Chaque rentrée voit revenir les mêmes dossiers de fond : préparation budgétaire, arbitrages RH, chantiers de mandat. Septembre 2026 en ajoute un cinquième qui ne peut plus être différé : la gouvernance de l'intelligence artificielle dans l'organisation.

Trois convergences rendent cette rentrée particulière. D'abord, les sanctions de l'article 4 du Règlement européen sur l'intelligence artificielle (AI Act) sont applicables depuis le 2 août 2026. La Commission européenne a confirmé le 1er septembre 2026 avoir adressé des demandes d'informations à plus de trente entreprises du secteur, première mise en œuvre de ses pouvoirs répressifs. Le message institutionnel est clair : le régime n'est plus incitatif.

Ensuite, la loi Résilience qui transpose la directive NIS2 en droit français doit être adoptée en septembre 2026, après un report depuis juillet. Elle instaure une responsabilité personnelle non délégable des dirigeants sur la cybersécurité, avec possibilité d'interdiction temporaire d'exercer des fonctions de direction en cas de manquement grave. La cascade de mise en conformité descend vers l'ensemble des entités importantes et essentielles, dont les collectivités territoriales de plus de 30 000 habitants.

Enfin, dans le contexte post-électoral de 2026, les nouveaux maires et présidents d'intercommunalité posent systématiquement à leur direction générale la question : « Qu'est-ce qu'on fait sur l'IA ? ». Le DGS qui n'y a pas répondu avant le prochain conseil municipal est en difficulté. Le CODIR de septembre est le moment où cette réponse se construit.

Les cinq dossiers qui suivent ne sont pas exhaustifs, mais ils couvrent l'essentiel de ce qu'une direction générale et une direction des systèmes d'information (DSI) doivent avoir arbitré avant la fin du dernier trimestre 2026. Pour un cadrage plus large sur l'adoption de l'IA dans le secteur public, consultez notre article sur les freins et leviers en 2026.

Dossier 1 : Le plan de sortie du cloud américain

Contexte

Le 8 avril 2026, la DINUM, en coordination avec l'Agence nationale de la sécurité des systèmes d'information (ANSSI) et la Direction des achats de l'État, a lancé un plan massif de sortie des dépendances numériques extra-européennes. Deux circulaires structurent cette bascule : celle du 28 janvier 2026 qui rend obligatoire le déploiement de Visio (plateforme de visioconférence de l'État) à la place de Microsoft Teams et Zoom, et celle du 5 février 2026 qui pose la souveraineté comme critère numéro un des achats numériques publics. La migration Visio doit être achevée dans tous les ministères d'ici septembre 2026. À terme, 2,5 millions d'agents publics sont concernés, dont 80 000 agents de l'Assurance maladie déjà en cours de bascule. La Plateforme des données de santé (Health Data Hub) quitte Microsoft Azure pour Scaleway d'ici fin 2026.

Le plan s'applique directement à l'État. Il ne s'impose pas encore juridiquement aux collectivités territoriales, mais il crée un précédent politique et technique. La note de la DINUM déclarant Microsoft 365 non conforme à la doctrine Cloud au Centre reste valable. L'ANSSI recommande explicitement aux collectivités l'utilisation d'offres qualifiées SecNumCloud. Une dizaine d'offres sont qualifiées en 2026 : OVHcloud, Outscale (Dassault Systèmes), Scaleway, NumSpot, ITS Integra, et bientôt Bleu (Capgemini/Orange, disponibilité commerciale second semestre 2026).

Pour aller plus loin sur le fond juridique, consultez notre article sur l'IA souveraine ou cloud américain en 2026.

Les 3 questions à poser au CODIR

  1. Quels services de notre système d'information reposent aujourd'hui sur des fournisseurs américains (Microsoft 365, Azure, Google Workspace, AWS, Zoom) et quel volume budgétaire cela représente-t-il ?

  2. Notre marché avec ces fournisseurs comporte-t-il une clause de portabilité, et à quelle échéance pouvons-nous basculer sans pénalité ?

  3. Quels services SecNumCloud pourrions-nous mettre en concurrence pour les prochains renouvellements ?

Livrable à produire dans le mois

Une cartographie des dépendances américaines de la collectivité : services concernés, contrats en cours, échéances de renouvellement, coûts annuels, alternatives SecNumCloud identifiées.

Anticipation à 6 mois

Un plan de migration pluriannuel priorisé : quelles briques basculer en 2027, en 2028, en 2029. La rentrée 2026 est le bon moment pour poser ce plan, avant que la circulaire d'application aux collectivités ne descende, ou qu'un contrôle CNIL ne force la main.

Dossier 2 : La transposition NIS2 et la responsabilité personnelle des dirigeants

Contexte

La directive européenne NIS2 (Network and Information Security 2), adoptée le 14 décembre 2022, aurait dû être transposée en droit français avant le 17 octobre 2024. La France a pris deux ans de retard. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne pour manquement, avec demande de sanctions financières. La loi Résilience, qui transpose NIS2 (ainsi que la directive REC et le règlement DORA), est attendue au vote en septembre 2026 après un report depuis juillet.

NIS2 multiplie par trente le nombre d'organisations régulées en France, passant d'environ 500 opérateurs sous NIS1 à 15 000 entités attendues. Les collectivités territoriales de plus de 30 000 habitants sont concernées, ainsi que leurs groupements et syndicats mixtes structurants. Deux catégories : entités essentielles (EE) avec sanctions jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial, entités importantes (EI) jusqu'à 7 millions ou 1,4 %.

Point structurant : NIS2 instaure une responsabilité personnelle non délégable des dirigeants. Les organes de direction approuvent formellement les mesures de cybersécurité, en supervisent la mise en œuvre effective, et suivent une formation obligatoire sur les risques cyber. En cas de manquement grave, l'ANSSI peut prononcer une interdiction temporaire d'exercer des fonctions dirigeantes.

Pour un décryptage complet de l'AI Act et du RGPD applicables aux collectivités, consultez notre article dédié : EU AI Act et RGPD 2026, guide de conformité.

Les 3 questions à poser au CODIR

  1. Sommes-nous une entité essentielle ou importante au titre de NIS2 et avons-nous procédé à notre enregistrement sur la plateforme MonEspaceNIS2 de l'ANSSI ?

  2. Nos dirigeants (DGS, élus référents, direction) ont-ils suivi une formation certifiante sur les risques cyber, et cette formation est-elle documentée ?

  3. Notre plan de conformité couvre-t-il les dix mesures obligatoires de NIS2, y compris la sécurité de la chaîne d'approvisionnement (fournisseurs SaaS, prestataires cloud, éditeurs) ?

Livrable à produire dans le mois

Une note de cadrage NIS2 en 3 pages présentée en CODIR : catégorie de rattachement, écart avec les exigences ANSSI, plan de mise en conformité prioritaire, calendrier de formation des dirigeants.

Anticipation à 6 mois

Une politique de sécurité des systèmes d'information (PSSI) actualisée, un plan de continuité et de reprise d'activité (PCA/PRA) testé, un dispositif de notification d'incidents opérationnel (alerte précoce sous 24h, notification sous 72h, rapport final sous un mois).

Dossier 3 : La cartographie et la régularisation du Shadow AI

Contexte

L'usage clandestin d'outils d'intelligence artificielle générative, communément appelé Shadow AI, n'est plus une hypothèse. Une enquête publiée en avril 2026 auprès de 2 000 agents publics issus de neuf administrations révèle que plus d'un agent sur deux utilise ChatGPT ou un équivalent dans l'exercice de ses fonctions, sans cadre validé, sans supervision, sans formation. Dans 80 % des cas, ces agents souhaitent en faire davantage. Le Syndicat national des directions générales des collectivités territoriales (SNDGCT) évaluait en septembre 2025 à 40 % la part des agents des collectivités utilisant des outils IA de façon clandestine.

Cet usage n'est pas une négligence collective. C'est une réponse pragmatique à des irritants réels (temps, complexité, volumétrie) que les outils institutionnels n'ont pas encore couverts. Le problème est que ces agents saisissent des données parfois sensibles (notes de synthèse confidentielles, brouillons de délibération, courriers RH, dossiers d'usagers) dans des services dont la localisation juridique et technique ne peut pas être documentée. Le compte-rendu d'une réunion médico-sociale, la trame d'un entretien professionnel, un texte de délibération sensible peuvent ainsi transiter par des serveurs américains sans contrôle.

L'État déploie une solution souveraine basée sur Mistral pour 10 000 agents ministériels. L'accès n'est pas encore ouvert aux collectivités : environ 70 d'entre elles négocient leur entrée dans le dispositif. Les autres attendent, mais le temps joue contre elles. Pour un guide complet sur la gouvernance IA en secteur public, consultez notre article sur l'intégration de l'IA dans son SI.

Les 3 questions à poser au CODIR

  1. Avons-nous une cartographie documentée des outils IA utilisés par nos agents, incluant les usages clandestins ?

  2. Quelles données sensibles risquent d'être exposées aujourd'hui via ces usages non validés (données personnelles d'agents, données RH, données stratégiques, données de santé) ?

  3. Disposons-nous d'un outil IA officiel et sécurisé à proposer en substitution avant la fin de l'année ?

Livrable à produire dans le mois

Un audit Shadow AI de la collectivité : outils recensés (via interrogation des services et audit des logs DNS), volumétrie estimée, cas d'usage, données à risque, priorisation.

Anticipation à 6 mois

Un plan de régularisation en trois volets : mise à disposition d'un outil IA officiel adossé à un cas d'usage prioritaire, charte IA validée de 3 pages, dispositif de contrôle continu. Pour une méthode détaillée en 30 jours, consultez notre plan opérationnel pour automatiser vos comptes-rendus IA.

Dossier 4 : La formation obligatoire des agents (article 4 AI Act)

Contexte

L'article 4 du Règlement européen sur l'intelligence artificielle impose à toute organisation qui déploie un système d'IA de garantir un niveau suffisant de maîtrise de l'IA (« AI literacy ») à son personnel. L'obligation est applicable depuis le 2 février 2025. Les sanctions le sont depuis le 2 août 2026 : jusqu'à 7,5 millions d'euros ou 1,5 % du chiffre d'affaires mondial. Aucun seuil d'effectif ne s'applique. Dès qu'un outil IA est utilisé dans l'organisation, l'obligation existe.

La Commission européenne, dans son guide d'orientation de septembre 2025, recommande une formation calibrée selon l'intensité de l'usage :

  • 1 à 2 heures pour un usage occasionnel (assistant de rédaction, résumé)

  • 4 à 6 heures pour un usage régulier (production de contenu, comptes-rendus)

  • 8 à 16 heures pour un usage critique (RH, juridique, médical), complétées par un audit

Le Centre national de la fonction publique territoriale (CNFPT) a lancé en 2025 une offre nationale IA (sensibilisation, formations en ligne, événements territoriaux). Ces modules constituent une bonne base, mais ils restent généralistes. Pour un usage spécifique (par exemple un assistant de réunion IA), une formation adossée à l'outil déployé est plus efficace et plus défendable en cas de contrôle.

Le rapport IGF-IGA-IGAS remis en juillet 2026 sur le déploiement de l'IA dans les administrations publiques, commandé par le Premier ministre, confirme que la formation est le levier principal de pérennité des démarches IA. Une négociation sociale sur l'IA dans la fonction publique, annoncée par le ministre David Amiel, vise un accord à l'automne 2026.

Les 3 questions à poser au CODIR

  1. Quel est le pourcentage de nos agents ayant suivi une formation IA documentée en 2026 ?

  2. Disposons-nous d'un plan de formation IA par catégorie d'usage, adossé à des supports actualisés et à un registre de suivi ?

  3. Nos dirigeants (DGS, directeurs, adjoints) ont-ils été personnellement formés, comme l'exige indirectement l'article 4 pour ceux qui utilisent l'outil ?

Livrable à produire dans le mois

Un état des lieux de la formation IA dans la collectivité et un plan de formation à 12 mois : contenu par public, format, volume horaire, calendrier, registre de suivi.

Anticipation à 6 mois

Une couverture de formation de 80 % au moins des agents utilisateurs, un dispositif de mise à jour annuelle, une documentation prête à présenter en cas de contrôle CNIL ou d'audit.

Dossier 5 : La souveraineté des outils de réunion et de collaboration

Contexte

La réunion est le lieu où circule la majorité des informations sensibles d'une collectivité : délibérations en préparation, arbitrages RH, contentieux, projets urbains, données médico-sociales, marchés publics. C'est aussi l'endroit où les assistants d'IA générative se déploient le plus rapidement, souvent adossés aux plateformes de visioconférence existantes (Microsoft Teams, Zoom, Google Meet), ou via des solutions dédiées de transcription (Otter, Fireflies, Notta, Plaud, Copilot).

Le 10 juin 2025, Anton Carniaux, directeur juridique de Microsoft France, a admis publiquement devant le Sénat qu'il ne pouvait pas s'opposer à une injonction américaine visant des données hébergées en France, en raison du Clarifying Lawful Overseas Use of Data Act (CLOUD Act) américain. Cet aveu a été réaffirmé lors de VivaTech en juin 2026. Le compte-rendu d'une réunion sensible, généré par un assistant IA américain, est donc juridiquement accessible sur simple injonction.

La circulaire DINUM du 28 janvier 2026 impose Visio dans tous les ministères d'ici septembre 2026. Les collectivités ne sont pas juridiquement liées par ce dispositif, mais elles font face aux mêmes exigences : article 44 à 49 du Règlement général sur la protection des données (RGPD) sur les transferts internationaux, décision du Conseil d'État du 20 mars 2026 (n° 503159 et 504171) sur le Health Data Hub qui rappelle que l'autorisation d'hébergement en France n'emporte pas autorisation de transfert vers les États-Unis.

Pour un décryptage complet de ce sujet et le test pratique en 5 minutes, consultez notre article sur vos données de réunion et le CLOUD Act. Pour un comparatif des solutions du marché, notre comparatif 2026 des 5 assistants IA conformes RGPD donne une vue d'ensemble.

Les 3 questions à poser au CODIR

  1. Sur quelle infrastructure juridique et technique reposent nos outils de réunion (visioconférence, transcription, comptes-rendus automatisés) ?

  2. Quels types de réunions (conseils, CODIR, commissions, entretiens professionnels, réunions médico-sociales) sont concernés par un outil IA aujourd'hui, et sont-ils correctement encadrés ?

  3. Disposons-nous d'un outil souverain à déployer pour les réunions sensibles avant fin 2026 ?

Livrable à produire dans le mois

Un diagnostic d'exposition CLOUD Act : cartographie des outils de réunion utilisés, classification des données traitées, niveau de risque juridique et opérationnel, alternatives souveraines identifiées.

Anticipation à 6 mois

Le déploiement d'un outil de réunion IA souverain pour les usages sensibles. Les critères objectifs à vérifier lors du choix : hébergement exclusivement européen, éditeur de droit européen sans lien capitalistique américain (donc non exposé au CLOUD Act), suppression immédiate des enregistrements audio après traitement, absence de réutilisation des données pour entraîner les modèles d'IA, serveurs certifiés au minimum ISO 27001 et Hébergeur de Données de Santé (HDS) pour les organisations traitant des données médico-sociales. Pour une méthode d'évaluation du retour sur investissement, consultez notre analyse du coût et ROI d'un assistant IA de réunion en 2026.

Ce qui distingue les CODIR qui décident de ceux qui reportent

Le rapport publié par Teriagen en avril 2026, fondé sur l'accompagnement de 83 collectivités, met en évidence trois constantes chez les organisations qui obtiennent des résultats mesurables.

Elles inscrivent l'IA à l'ordre du jour dès le premier CODIR de septembre, sans attendre le budget 2027. La rentrée est la fenêtre pendant laquelle les arbitrages politiques et budgétaires sont ouverts. Attendre décembre, c'est basculer dans un cycle où le sujet est perçu comme une contrainte, pas comme un chantier structurant.

Elles nomment un sponsor au niveau direction, pas seulement un référent technique. Le sujet IA touche à la fois la RH, le juridique, la sécurité et la stratégie. Sans un DGS ou une DGA en pilotage, la démarche se dilue dans les urgences opérationnelles.

Elles produisent des livrables datés à chaque CODIR mensuel, pas des présentations d'intention. Une cartographie Shadow AI à J+30, une charte validée à J+60, un premier outil déployé à J+90. La preuve d'utilité concrète débloque les résistances internes et les budgets.

Les 3 erreurs à éviter absolument en septembre 2026

Erreur 1 : Attendre la clarification totale du cadre réglementaire avant d'agir. Le cadre s'est déjà clarifié en 2026 (AI Act applicable, NIS2 en transposition, doctrine DINUM publiée). Attendre 2027 pour clarifier davantage, c'est prendre 12 à 18 mois de retard sur ses voisines pour un gain d'incertitude marginal.

Erreur 2 : Sous-estimer la responsabilité personnelle instaurée par NIS2. Beaucoup de dirigeants considèrent encore que la cybersécurité relève de la DSI. La loi Résilience change ce paradigme : la responsabilité est désormais non délégable, avec des sanctions personnelles y compris une interdiction temporaire d'exercer.

Erreur 3 : Traiter les cinq dossiers séparément. Ils sont interconnectés. La cartographie Shadow AI nourrit le choix d'outil souverain, qui alimente le plan de sortie cloud américain, qui structure le plan NIS2, qui rend la formation obligatoire crédible. Une gouvernance IA unifiée coûte moins cher qu'une somme de projets isolés.

FAQ : questions fréquentes sur les dossiers IA du CODIR de rentrée 2026

Est-il obligatoire de traiter tous ces dossiers cette rentrée ?

Non. La rentrée 2026 est le bon moment pour poser un cadre stratégique et arbitrer les priorités. Toutes les collectivités n'ont pas la même exposition ou la même maturité. Le minimum viable consiste à inscrire au moins deux des cinq dossiers (généralement Shadow AI + formation article 4 AI Act) à l'ordre du jour du CODIR de septembre, puis à les traiter dans les 90 jours.

Notre collectivité fait moins de 30 000 habitants, sommes-nous concernés par NIS2 ?

Le seuil formel se situe à 30 000 habitants pour l'application directe de NIS2 aux communes, mais les groupements de coopération intercommunale, les syndicats mixtes structurants, les collectivités responsables d'infrastructures essentielles (eau, énergie, transports, santé) peuvent être concernés indépendamment de la taille de la commune. La classification exacte relève de l'ANSSI. Dans le doute, une consultation préalable est recommandée.

Le plan de sortie du cloud américain s'applique-t-il juridiquement aux collectivités ?

Non, pas juridiquement pour l'instant. La circulaire DINUM du 8 avril 2026 s'impose aux ministères et aux administrations d'État. Les collectivités restent libres. Mais l'ANSSI recommande explicitement l'usage d'offres SecNumCloud, et la doctrine française pose la souveraineté comme critère numéro un depuis la circulaire du 5 février 2026. Le mouvement politique est engagé, il ne se retournera pas.

Combien de temps faut-il pour former nos agents à l'IA ?

Selon les recommandations de la Commission européenne (septembre 2025) : 1 à 2 heures pour un usage occasionnel, 4 à 6 heures pour un usage régulier, 8 à 16 heures pour un usage critique. Une collectivité moyenne peut viser un plan de formation à 12 mois qui couvre 80 % des agents utilisateurs. Le CNFPT propose des modules gratuits, complémentaires d'une formation adossée à l'outil déployé.

Quel budget prévoir pour l'ensemble de ces chantiers ?

Le poste principal reste le temps humain (mobilisation d'une équipe projet interne pendant plusieurs mois). En budget externe, une collectivité de 30 000 habitants peut mobiliser entre 15 000 et 40 000 euros pour couvrir : accompagnement à l'audit Shadow AI, licences d'un outil souverain, formation initiale et récurrente, prestations juridiques ponctuelles (mise à jour de la PSSI, cartographie NIS2). Le mécanisme des mutualisations intercommunales permet de diviser significativement ces coûts pour les petites communes.

Peut-on faire ces cinq chantiers en interne, sans prestataire externe ?

Oui, à condition de disposer d'un binôme DSI + délégué à la protection des données (DPO) expérimenté, avec un sponsor au niveau direction et un pilote projet motivé. Pour les collectivités sans équipe numérique structurée, un accompagnement externe réduit significativement le risque d'échec. Les mutualisations intercommunales, les structures de coopération (agences départementales du numérique, GIP, syndicats mixtes du numérique) et le programme « Territoires d'IA » copiloté par l'État et la Banque des Territoires sont des ressources à mobiliser.

Que dire aux élus qui posent la question « qu'est-ce qu'on fait sur l'IA » ?

Le mieux est de leur présenter un plan structuré en 5 dossiers, avec des livrables datés et un calendrier à 12 mois. Cette présentation transforme une inquiétude politique diffuse en une démarche pilotée. Elle positionne la direction générale comme moteur de la démarche, pas comme obstacle. Elle sécurise l'élu qui doit rendre des comptes à ses administrés sur la maîtrise du numérique dans sa collectivité.

Que faire si notre collectivité n'a rien encore engagé sur l'IA en septembre 2026 ?

Commencer immédiatement par l'audit Shadow AI (dossier 3), qui peut être conduit en 7 à 10 jours et livre un état des lieux factuel exploitable en CODIR. Cet audit débloque naturellement les autres dossiers. Pour une méthode détaillée en 30 jours, consultez notre plan opérationnel pour automatiser vos comptes-rendus IA.

Sources

Les sources sont ordonnées par autorité décroissante.

Textes réglementaires

  • Règlement (UE) 2024/1689, EU AI Act, article 4 (formation) et article 99 (sanctions)

  • Règlement (UE) 2016/679, RGPD, articles 44 à 49

  • Directive (UE) 2022/2555, NIS2 (transposition française prévue septembre 2026 via la loi Résilience)

  • Clarifying Lawful Overseas Use of Data Act, 2018 (États-Unis)

Autorités publiques et juridictions

  • Conseil d'État, décision n° 503159 et 504171 du 20 mars 2026 (Health Data Hub, projet DARWIN EU)

  • ANSSI, Référentiel SecNumCloud 3.2 (mars 2026) et plateforme MonEspaceNIS2

  • CNIL, Bilan annuel 2025 (486,8 millions d'euros de sanctions, ×9 vs 2024)

  • DINUM, séminaire interministériel du 8 avril 2026

  • Sénat, audition de Microsoft France du 10 juin 2025 (commission d'enquête sur la commande publique)

  • Circulaire du 28 janvier 2026 (généralisation obligatoire de Visio dans les ministères)

  • Circulaire du 5 février 2026 (nouvelle doctrine d'achats numériques avec souveraineté comme critère n°1)

  • Commission européenne, communiqué du 1er septembre 2026 (demandes d'informations à plus de trente entreprises IA)

Rapports institutionnels et études

  • Rapport IGF-IGA-IGAS, Déploiement de l'IA dans les administrations publiques, juillet 2026 (mission commandée par le Premier ministre)

  • Teriagen, Bilan IA collectivité territoriale, retour d'expérience 83 organisations accompagnées, avril 2026

  • SNDGCT, Étude sur l'usage des outils IA dans les collectivités, septembre 2025 (40 % d'usage clandestin)

  • Observatoire Data Publica, Baromètre 2025 sur les collectivités, la donnée et l'IA

  • Avanoo/Économie Matin, Enquête sur 2 000 agents publics de neuf administrations, avril 2026

  • Abraxio, Baromètre Budget DSI 2027, juin 2026

Médias spécialisés

  • Localtis/Banque des Territoires, « Usages clandestins de l'IA dans les collectivités », avril 2026

  • Banque des Territoires, « Face aux géants américains, les collectivités lancent leur plan pour reprendre la main sur le numérique », juin 2026

  • L'Usine Digitale, « L'État jette Microsoft hors de ses systèmes critiques », avril 2026

  • La Gazette des Communes, dossier « Ces collectivités qui prennent le train de l'IA », juin 2026

  • CIO Online, « Le Health Data Hub sort d'Azure pour basculer fin 2026 vers un cloud SecNumCloud », février 2026

  • SICTIAM, « Intelligence artificielle : quelles obligations réglementaires pour les collectivités ? », septembre 2026

Cet article fait partie d'une série consacrée à l'IA souveraine et au secteur public. Consultez aussi :

Pour une démonstration de NeoMeet, réservez un rendez-vous avec l'équipe Neova.