Les entreprises françaises et européennes abordent la fin 2025 et l’horizon 2026 dans un contexte où trois forces convergent : un cadre réglementaire européen qui entre en application par vagues successives, des usages de l’intelligence artificielle qui progressent plus vite que leur gouvernance, et des exigences de cyberrésilience qui remontent désormais toute la chaîne fournisseur.
Ces dynamiques ne relèvent plus de la prospective. Elles modifient dès maintenant les arbitrages opérationnels, les budgets et les relations commerciales entre donneurs d’ordre et prestataires.
Réglementation européenne et calendrier opérationnel des entreprises
Le réflexe habituel consiste à traiter la réglementation comme un sujet juridique, délégué aux directions conformité. Les textes européens récents changent la donne parce qu’ils touchent directement la conception des produits, l’accès aux données et les contrats fournisseurs.
Le Data Act européen s’applique depuis septembre 2025. Il encadre l’accès aux données générées par les produits connectés et leur partage avec les fournisseurs de services cloud. Pour une entreprise qui commercialise un objet connecté, cela signifie repenser l’architecture de collecte, les conditions générales d’utilisation et les engagements contractuels avec ses partenaires cloud dès la phase de conception.
Côté intelligence artificielle, l’AI Act entre progressivement en application. Les entreprises qui développent ou intègrent des systèmes d’IA doivent anticiper les obligations de classification, de documentation et de supervision humaine prévues par le texte.
Le calendrier précis reste mouvant, ce qui rend la veille réglementaire indispensable. Suivre les actualités business de Je ne sais quoi permet d’ajuster sa feuille de route au fil des publications officielles.
DORA, applicable depuis janvier 2025 aux entités financières, renforce les exigences liées aux risques numériques. La transposition française de NIS2 a pris du retard, mais les donneurs d’ordre n’attendent pas le texte définitif : ils demandent déjà à leurs fournisseurs de démontrer leur niveau de préparation. Un prestataire IT qui ne peut pas documenter sa posture de cyberrésilience risque de perdre des appels d’offres, indépendamment du calendrier législatif.
IA en entreprise : l’écart entre adoption et productivité réelle
Les outils d’IA générative se sont diffusés rapidement dans les équipes marketing, les services clients et la production de contenu. Pour autant, l’adoption de l’IA ne suffit pas à générer un gain de productivité mesurable. L’organisation du travail, la qualité des données disponibles et la formation des équipes conditionnent les bénéfices réels.
Concrètement, une entreprise qui déploie un assistant IA pour ses commerciaux sans revoir le processus de qualification des prospects obtient souvent un effet cosmétique : les emails sont mieux rédigés, mais le taux de conversion ne bouge pas. Le gain se situe dans la réorganisation du workflow autour de l’outil, pas dans l’outil lui-même.
Gouvernance des données et gestion des risques IA
Dans de nombreuses entreprises françaises, la gouvernance de l’IA progresse moins vite que ses usages. L’écart entre la maturité des données (qualité, accessibilité, documentation) et la structuration des usages IA constitue un risque opérationnel autant qu’un frein à la performance.
Les questions concrètes qui se posent aux directions :
- Quels jeux de données alimentent les modèles utilisés, et sont-ils documentés de manière à satisfaire les futures exigences de l’AI Act sur la traçabilité ?
- Qui valide les résultats produits par un système d’IA avant qu’ils ne servent à une décision commerciale ou RH ?
- Comment l’entreprise mesure-t-elle le retour sur investissement de ses projets IA au-delà du simple comptage d’heures économisées ?
Ces interrogations ne trouvent pas de réponse universelle. Elles dépendent du secteur, de la taille de l’entreprise et du niveau de maturité numérique de chaque organisation.
Cyberrésilience et chaîne fournisseur : un critère de sélection commerciale
La cyberrésilience a longtemps été perçue comme un sujet de direction des systèmes d’information. Elle devient un critère de sélection commerciale. Les grands groupes, sous pression de DORA et dans l’attente de NIS2, intègrent des exigences de sécurité dans leurs cahiers des charges fournisseurs.
Pour une PME ou une ETI positionnée comme sous-traitant, cela change la nature de l’investissement en cybersécurité. Il ne s’agit plus seulement de se protéger contre une attaque, mais de documenter sa posture de sécurité pour conserver l’accès à ses marchés. Les audits de sécurité, les certifications ISO 27001, les plans de continuité d’activité deviennent des prérequis commerciaux avant d’être des obligations légales.
La difficulté pour les entreprises de taille intermédiaire tient au coût et à la complexité de ces démarches. Les référentiels existent, mais les ressources humaines qualifiées en cybersécurité restent rares. Le marché du recrutement dans ce domaine reste tendu, ce qui pousse certaines entreprises vers des services managés externalisés.
Modèles économiques et plateformes : ce que la donnée change dans les services
Les modèles par abonnement et les plateformes de services continuent de se développer, mais la tendance de fond porte moins sur le format commercial que sur la manière dont l’accès aux données clients redéfinit la proposition de valeur. Une entreprise qui vend un logiciel en mode SaaS ne vend pas seulement une fonctionnalité : elle vend la capacité à exploiter les données d’usage pour améliorer le service en continu.
Le Data Act change ici l’équation. Les fournisseurs de services cloud et les éditeurs de logiciels doivent désormais prévoir les modalités de portabilité et d’accès aux données pour leurs clients. Pour les entreprises utilisatrices, c’est une opportunité : la dépendance à un fournisseur unique (vendor lock-in) devient un risque identifié et négociable contractuellement.
Hyper-personnalisation et limites opérationnelles
La personnalisation des parcours clients grâce aux plateformes de données (CDP) et au machine learning est souvent présentée comme acquise. En pratique, la qualité des données first-party reste le facteur limitant pour la majorité des entreprises de taille moyenne. Sans donnée fiable, la personnalisation produit des résultats incohérents qui dégradent l’expérience client au lieu de l’améliorer.
Les entreprises qui tirent un bénéfice réel de ces outils sont celles qui ont investi en amont dans la structuration de leur base de données, la gestion du consentement et la formation de leurs équipes marketing à l’interprétation des indicateurs.
Les tendances business actuelles partagent un point commun : elles récompensent les entreprises qui investissent dans l’organisation et la gouvernance plutôt que dans l’accumulation d’outils. La réglementation européenne accélère ce mouvement en imposant des standards de traçabilité, de portabilité et de résilience. Les entreprises qui structurent leur approche dès maintenant ne font pas de la conformité anticipée, elles sécurisent leur accès aux marchés de demain.
