03/08/2026
Cybersecurity Insights
RNS 2026 : le numérique européen a moins besoin de nouveaux diagnostics que de capacité d’exécution
Autonomie stratégique, intelligence artificielle agentique, résilience, compétences, sobriété, réglementation : la troisième édition des Rencontres Numériques de Strasbourg a couvert un spectre particulièrement large. Derrière cette diversité, un même constat se dégage. Les principaux risques sont désormais identifiés et les ambitions largement partagées. Le véritable défi consiste à arbitrer, investir, coopérer et passer à l’échelle.
Organisées par Numeum et le Cigref, les Rencontres Numériques de Strasbourg 2026 ont réuni il y a quelques mois au Parlement européen près de 200 dirigeants, directeurs des systèmes d’information, acteurs technologiques, représentants institutionnels et partenaires européens.
Le thème retenu — « Mutations numériques : de l’ambition à l’action » — traduisait une volonté claire : ne pas produire un diagnostic supplémentaire, mais confronter les acteurs du numérique aux conditions concrètes de l’exécution.
Dix ateliers ont ainsi abordé des sujets aussi différents que l’IA frugale, l’accessibilité, les dépendances technologiques, l’IA agentique, les modèles économiques du cloud, les compétences, les menaces hybrides ou la réglementation européenne.
Une ligne directrice traverse pourtant l’ensemble des travaux : le numérique est devenu simultanément un enjeu technologique, économique, social, industriel et géopolitique. Il ne peut donc plus être piloté par une succession de projets isolés ou de réponses exclusivement techniques.
De la prise de conscience à l’arbitrage
La plupart des sujets débattus aux RNS ne sont pas nouveaux :
- Les dépendances numériques de l’Europe sont documentées.
- Les entreprises connaissent les promesses et les limites de l’intelligence artificielle.
- Les risques cyber sont intégrés aux agendas des dirigeants.
- Les tensions sur les compétences et l’augmentation des coûts technologiques sont largement constatées.
Ce qui change est la nature des questions posées :
Il ne s’agit plus seulement de savoir si une organisation doit intégrer l’IA, améliorer sa résilience ou réduire ses dépendances. Il faut désormais déterminer quels usages industrialiser, quelles dépendances accepter, quelles capacités préserver, quels investissements prioriser et quels résultats mesurer.
Les Cahiers des RNS résument cette évolution par un appel à des arbitrages clairs, à des décisions assumées et à des engagements dont les impacts peuvent être évalués. L’ambition ne vaut plus seulement par sa formulation, mais par sa traduction dans les budgets, les contrats, les architectures et les modèles opérationnels.
ENSEIGNEMENT 01.
L’autonomie stratégique ne signifie pas l’autarcie
L’un des enseignements les plus structurants des RNS concerne la définition même de l’autonomie stratégique. L’objectif n’est pas de supprimer toute dépendance étrangère ni de reconstruire en Europe l’intégralité de la chaîne de valeur numérique. Une telle ambition serait peu réaliste et pourrait même conduire à des choix inefficaces.
Le véritable enjeu consiste à passer de dépendances subies à des interdépendances choisies et maîtrisées.
Une organisation peut parfaitement dépendre d’un fournisseur ou d’une technologie lorsque cette dépendance est :
- identifiée et documentée ;
- proportionnée à la valeur apportée ;
- assortie de garanties de continuité ;
- techniquement et contractuellement réversible ;
- compatible avec son niveau de risque.
Elle devient problématique lorsque l’entreprise ne connaît plus précisément son exposition, ne dispose d’aucune solution de sortie crédible ou découvre trop tard le coût réel d’une migration.
Les recommandations de l’atelier consacré à l’autonomie stratégique et à la résilience numérique traduisent cette approche pragmatique. Elles invitent notamment les organisations à intégrer une réversibilité native dans leurs contrats, à évaluer le coût complet d’entrée et de sortie d’une solution et à exiger des preuves tangibles de continuité, au-delà des seuls engagements déclaratifs ou audits périodiques.
Cette logique modifie profondément la politique d’achat. Le prix d’un service ne peut plus être évalué indépendamment :
- des coûts de migration ;
- des possibilités de portabilité ;
- de la maîtrise des données ;
- de la disponibilité des compétences ;
- des dépendances en cascade vis-à-vis de sous-traitants ;
- des effets d’un arrêt ou d’une dégradation du service.
L’autonomie stratégique devient ainsi une discipline de gestion du risque et de création de valeur, et non un simple marqueur d’origine géographique.
À l’échelle européenne, les participants appellent également à diversifier les fournisseurs, à consolider des communs numériques et des projets open source viables, ainsi qu’à mieux accompagner financièrement les alternatives européennes jusqu’au passage à l’échelle. Ils proposent enfin d’utiliser davantage la commande publique, la fiscalité et le droit de la concurrence comme instruments de politique industrielle.
ENSEIGNEMENT 02.
L’IA agentique déplace le sujet des outils vers les processus
Les premiers déploiements d’IA générative ont souvent porté sur l’amélioration de la productivité individuelle : rédaction, recherche, synthèse, génération de code ou assistance documentaire.
L’IA agentique introduit un changement plus profond. Un agent n’est plus seulement conçu pour répondre à une demande ponctuelle. Il peut recevoir un objectif, mobiliser différents outils, enchaîner plusieurs tâches et interagir avec le système d’information pour exécuter une partie d’un processus.
L’atelier consacré à l’industrialisation des agents IA décrit ainsi une rupture entre deux logiques :
- l’IA générative assiste le travail humain ;
- l’IA agentique commence à exécuter le travail organisé.
Le gain potentiel ne porte donc plus seulement sur quelques minutes économisées par un collaborateur. Il concerne la reconfiguration de processus complets, leur vitesse d’exécution, leur disponibilité et la répartition des rôles entre les équipes et les systèmes automatisés.
Cette évolution impose toutefois de dépasser rapidement la logique du démonstrateur.
Un agent performant dans un environnement contrôlé n’est pas nécessairement prêt à être connecté à des données sensibles, à des applications métiers ou à des mécanismes de décision. Le passage à l’échelle suppose notamment de traiter :
- la qualité et la traçabilité des données ;
- la gestion des identités et des habilitations ;
- la supervision des actions exécutées ;
- les mécanismes de validation humaine ;
- la maîtrise des erreurs et comportements imprévus ;
- la sécurité de la chaîne technique ;
- la responsabilité associée aux décisions ;
- la mesure de la valeur réellement produite.
L’industrialisation sera donc autant organisationnelle et managériale que technologique.
Les écarts de maturité observés pendant l’atelier sont d’ailleurs significatifs : certaines entreprises expérimentent déjà des systèmes agentiques à une échelle avancée, tandis que d’autres en sont encore à l’identification des premiers cas d’usage.
Le principal risque serait de répondre à cette différence de maturité par une course indifférenciée à l’adoption. Toutes les tâches n’ont pas vocation à être confiées à des agents, et tous les processus ne justifient pas la même complexité technique.
La question utile n’est donc plus seulement : « Que peut faire l’IA ? », mais plutôt : « Que peut-on lui confier de manière utile, sûre, économiquement pertinente et durable ? »
90% des outils d’IA utilisés
par les collaborateurs échappent à la DSI
ENSEIGNEMENT 03.
La valeur de l’IA doit être appréciée au-delà de la productivité immédiate
Les RNS ont également rappelé que la valeur de l’intelligence artificielle ne peut être évaluée uniquement à travers les gains de temps ou les économies de personnel.
Trois dimensions doivent être intégrées simultanément :
- la performance économique ;
- les conséquences humaines et cognitives ;
- l’impact environnemental.
Lors de la plénière consacrée à l’intégration de l’IA, les débats ont notamment porté sur l’appauvrissement cognitif, la transformation de l’emploi et l’empreinte environnementale des modèles. L’enjeu consiste à construire un modèle dans lequel les collaborateurs perçoivent l’IA comme un levier de transformation de leur activité, et non comme un outil qu’ils contribueraient eux-mêmes à développer contre leur propre métier.
Cette exigence rejoint les travaux consacrés à l’IA frugale. Les participants ont défendu une approche fondée sur le « juste besoin » : choisir un modèle adapté au cas d’usage plutôt que mobiliser systématiquement les solutions les plus puissantes et les plus généralistes.
Les Small Language Models, plus spécialisés et moins consommateurs de ressources, peuvent par exemple présenter plusieurs avantages : coût inférieur, exécution locale, meilleure maîtrise des données et réduction de certains risques d’erreur. Certaines organisations commencent également à introduire un score de durabilité dans l’évaluation de leurs projets numériques, afin de confronter le gain attendu au coût environnemental de la solution.
La sobriété ne doit donc pas être comprise comme un renoncement à l’innovation. Elle constitue au contraire une méthode d’arbitrage permettant de limiter les déploiements surdimensionnés et d’améliorer la robustesse économique des projets.
ENSEIGNEMENT 04.
3,8M€ c’est le coût moyen d’une violation de données en 2025
Selon IBM – Cost of a Data Breach Report 2025
La résilience numérique devient une composante de la performance
La résilience a longtemps été principalement associée à la continuité d’activité, à la reprise après sinistre ou à la cybersécurité. Elle prend désormais une portée plus large.
Être résilient signifie pouvoir :
- poursuivre une activité malgré une attaque ou une défaillance ;
- adapter rapidement une architecture ou un processus ;
- remplacer un fournisseur critique ;
- mobiliser des compétences alternatives ;
- conserver une capacité de décision sous contrainte ;
- absorber un choc sans remettre en cause l’ensemble du modèle opérationnel.
Cette capacité ne relève plus seulement de la protection. Elle devient un facteur d’agilité et de compétitivité.
Une entreprise qui connaît précisément ses dépendances, dispose de scénarios de continuité crédibles et peut faire évoluer rapidement ses choix technologiques est également mieux placée pour innover, négocier et saisir de nouvelles opportunités.
La résilience ne doit donc pas être traitée comme un coût périphérique ajouté après la conception d’un service. Elle doit être intégrée dès l’origine aux choix d’architecture, aux contrats, aux modèles de gouvernance et aux processus d’achat.
3,8M€ c’est le coût moyen d’une violation de données en 2025
ENSEIGNEMENT 05.
Les menaces hybrides imposent de sortir de la coopération déclarative
Les travaux de l’atelier consacré aux menaces numériques hybrides apportent un éclairage particulièrement important.
Les frontières entre cybercriminalité, espionnage, sabotage, influence et confrontation géopolitique deviennent de plus en plus difficiles à tracer. Une organisation peut être visée pour des raisons financières, politiques, économiques ou stratégiques — parfois simultanément.
Les menaces dites régaliennes ne concernent donc plus uniquement l’État ou les opérateurs les plus sensibles. Les grands groupes, les collectivités, les établissements de santé, les PME et leurs prestataires sont intégrés, volontairement ou non, à un environnement de confrontation plus large.
Face à ce risque systémique, la coopération public-privé apparaît indispensable. Mais les participants ont également identifié une limite : les appels à la coopération se multiplient plus rapidement que les dispositifs réellement opérationnels.
La juxtaposition d’initiatives, de plateformes et de communautés ne garantit ni leur efficacité ni leur passage à l’échelle. Elle peut même complexifier la circulation de l’information et disperser les ressources.
L’atelier recommande donc de renforcer les acteurs et dispositifs existants plutôt que de créer systématiquement de nouvelles structures. Des organisations telles que l’InterCERT France ou Cybermalveillance.gouv.fr sont citées comme des points d’appui autour desquels développer des coopérations plus structurées.
Cette coopération doit être conçue de manière opérationnelle :
- quelles informations partager ?
- avec qui ?
- dans quels délais ?
- selon quel niveau de confiance ?
- avec quelles garanties juridiques ?
- et comment transformer un signal individuel en protection collective ?
Le sujet n’est plus d’affirmer qu’il faut coopérer, mais de construire les mécanismes permettant de le faire rapidement, massivement et en confiance.
ENSEIGNEMENT 06.
L’Europe doit transformer la réglementation en politique industrielle
L’Union européenne dispose d’une capacité reconnue à définir des normes et à encadrer les usages numériques. Cette puissance réglementaire a permis d’établir des exigences fortes en matière de protection des données, de cybersécurité, d’intelligence artificielle ou de responsabilité des plateformes.
Les RNS soulignent cependant une tension persistante : la réglementation européenne protège et organise le marché, mais elle ne produit pas encore systématiquement un avantage industriel pour les entreprises européennes.
La multiplication des textes, l’incertitude sur leur articulation et les divergences d’application entre États membres peuvent générer des coûts importants, en particulier pour les acteurs de taille intermédiaire.
L’atelier consacré à la réglementation et à la compétitivité formule donc une ambition plus offensive : faire du droit européen un véritable instrument de stratégie industrielle.
Cela suppose notamment :
- une trajectoire réglementaire plus lisible ;
- une plus grande stabilité des règles ;
- une réduction de la fragmentation entre les 27 marchés nationaux ;
- une meilleure articulation entre souveraineté, sécurité et compétitivité ;
- un cadre favorisant l’émergence et le passage à l’échelle des acteurs européens.
La réglementation ne doit plus être seulement évaluée à travers la charge de conformité qu’elle génère. Elle doit aussi être jugée sur sa capacité à instaurer la confiance, structurer la demande et soutenir un marché européen de production numérique.
L’Europe ne pourra pas durablement se satisfaire d’être le continent qui encadre le mieux des technologies principalement produites et contrôlées ailleurs.
Quels chantiers engager dans les organisations ?
Au-delà des recommandations adressées aux institutions, les travaux des RNS peuvent être traduits en quelques chantiers immédiats pour les entreprises et administrations.
- Cartographier les dépendances réelles
La cartographie doit dépasser la liste des fournisseurs directs. Elle doit intégrer les composants techniques, les sous-traitants, les compétences rares, les données, les interfaces et les conditions de sortie.
- Réintroduire la réversibilité dans les décisions d’achat
La réversibilité doit être testée, chiffrée et contractualisée. Une clause théorique ne suffit pas lorsque les données, les compétences ou les outils de migration ne sont pas disponibles.
- Sélectionner les usages d’IA selon leur valeur réelle
Le nombre de cas d’usage ou de licences déployées ne constitue pas un indicateur suffisant. Il faut mesurer les effets sur les délais, la qualité, les risques, les coûts, les compétences et l’expérience des utilisateurs.
- Traiter la résilience comme une capacité opérationnelle
Les dispositifs de continuité doivent être confrontés à des scénarios réalistes : indisponibilité d’un fournisseur, compromission d’une chaîne de sous-traitance, perte de compétences, rupture géopolitique ou indisponibilité prolongée d’un service cloud.
- Participer à des coopérations qui produisent des effets mesurables
L’efficacité d’un écosystème ne se mesure pas au nombre de groupes de travail créés, mais à sa capacité à partager rapidement des informations utiles, mutualiser des moyens et produire des réponses concrètes.
- Utiliser la conformité comme un levier de conception
Les exigences réglementaires peuvent devenir une manière de différencier une offre, d’améliorer la confiance et de faciliter l’accès à certains marchés — à condition d’être intégrées dès la conception et non traitées comme une couche documentaire tardive.
Passer à l’action signifie accepter de choisir
La principale leçon des RNS 2026 n’est probablement pas technologique.
Elle concerne la capacité des organisations et de l’écosystème européen à effectuer des choix explicites.
- Choisir les dépendances que l’on accepte.
- Choisir les processus que l’on souhaite automatiser.
- Choisir les capacités que l’on veut préserver.
- Choisir les investissements que l’on considère comme stratégiques.
- Choisir les coopérations auxquelles on donne réellement les moyens de fonctionner.
Le numérique européen ne manque ni d’expertise, ni d’initiatives, ni de cadres de réflexion. Il lui manque encore trop souvent la continuité entre l’ambition politique, la décision économique et l’exécution opérationnelle.
C’est précisément cette continuité que les RNS cherchent à construire.
La contribution d’Almond
Dans le cadre de son engagement auprès de Numeum, Nolwenn Le Ster, Directrice des Opérations d’Almond, a contribué aux travaux préparatoires de l’atelier 3 consacré à l’autonomie stratégique et à la résilience numérique, notamment à la structuration de son déroulé et de ses axes de réflexion. La co-présidence de l’atelier à Strasbourg a ensuite été assurée par Térence Goudriaan et Emmanuel Sardet.
Cette contribution s’inscrit dans une conviction portée par Almond : la cybersécurité et la résilience ne peuvent être dissociées des choix technologiques, des dépendances économiques et de la capacité des organisations à conserver leur liberté d’action.
