S1 / Institutions publiques et régulateurs
Administrations et régulateurs détiennent des données que la loi protège : secrets légaux, données personnelles, informations de contrôle. Depuis l’été 2026, SecNumCloud n’est plus une doctrine mais une obligation pour les données sensibles de l’État, et l’AI Act range l’accès aux prestations publiques parmi les usages à haut risque. Chaque projet d’IA ou de cloud doit désormais prouver où vont les données, qui y accède et qui décide.
Soumettre un briefQualifier chaque projet au regard de SecNumCloud, de l’AI Act et du secret applicable, puis chiffrer les scénarios d’hébergement et d’outillage avant tout engagement budgétaire.
Rédiger les pièces techniques des marchés (hébergement, journalisation, réversibilité, droit d’audit), analyser les offres et piloter les prestataires jusqu’à la recette ; votre service juridique valide le respect de la commande publique.
Concevoir une assistance documentaire privée et cloisonnée, la piloter sur un corpus anonymisé et mesurer sa qualité avant toute extension, l’agent habilité gardant la décision.
Cartographier habilitations et flux, préparer les analyses d’impact (RGPD et droits fondamentaux), la mention algorithmique des décisions et le dossier de preuves attendu au titre de NIS2.
Autres secteurs
Pas au titre de l’article 31 de la loi SREN, qui vise les administrations de l’État, certains de leurs opérateurs et six groupements d’intérêt public. Une proposition de loi déposée à l’Assemblée nationale vise à l’étendre aux plus grandes collectivités ; rien n’empêche de l’exiger dès aujourd’hui dans un marché.
Oui pour les pratiques interdites, depuis février 2025, et pour la transparence des échanges avec une IA, depuis le 2 août 2026. Les obligations des systèmes à haut risque de l’annexe III, dont l’accès aux prestations publiques, s’appliquent le 2 décembre 2027.
Pour des données publiques ou non sensibles, avec des règles d’usage écrites, souvent oui. Pour des données couvertes par un secret ou d’une sensibilité particulière, il faut un environnement maîtrisé dont l’hébergement et la non-réutilisation des données sont garantis par contrat.
Analyse indépendante, pas un avis juridique. Faits vérifiés au 29 octobre 2026.