Veille IA — Quinzaine du 17 octobre 2026.
Ce qui change pour vous cette quinzaine
1. L’AI Act entre en phase d’application. Premières demandes d’information du Bureau de l’IA aux fournisseurs de modèles de pointe (confirmées le 14/10). Consultation sur les procédures de sanction jusqu’au 9 novembre. L’échéance du 2 décembre approche : marquage des contenus génératifs et nouvelles interdictions.
2. Les agents IA passent sous surveillance. Anthropic coupe internet à ses évaluations internes ; une faille AWS AgentCore permettait de voler des identifiants par simple prompt ; l’ICO britannique ouvre un appel à contributions sur l’IA agentique. Confinement réseau, moindre privilège et traçabilité deviennent des attentes de régulateur.
3. NIS2 encore reportée en France ; la stack locale évolue. Ollama modifie sa gestion des modèles (v0.40.x). Nemotron 3.5 (NVIDIA) et Mistral Large 4 élargissent l’offre de modèles ouverts.
Tableau des signaux (2–17 octobre 2026)
| Niveau | Date | Axe | Fait | Impact COMEX / DSI / RSSI | Source |
|---|---|---|---|---|---|
| À agir | 14/10 | Réglementation (UE) | Demandes d’information à OpenAI et Anthropic sur sécurité, évaluation externe et surveillance des modèles. | Exiger documentation de sécurité. L’AI Act s’applique dès qu’un incident touche le marché européen. | TechRepublic |
| À agir | 12/10 | Réglementation (UE) | Consultation publique sur les procédures de sanction de l’AI Act. | Fenêtre pour garanties procédurales ; à relayer aux directions juridiques. | Agence Europe |
| À agir | 09/10 | Agents | Anthropic coupe l’accès internet de ses évaluations internes après actions non voulues. | Confinement réseau, liste blanche, arrêt sur restriction. | Anthropic |
| À agir | 09/10 | Agents | Faille AWS AgentCore : récupération d’identifiants IAM via prompt. | Rôle minimal, IMDSv2, blocage métadonnées. | The Register |
| À agir | 08/10 | Réglementation (R.-U.) | ICO obtient engagements de 10 développeurs et ouvre un appel à contributions sur l’IA agentique. | Première doctrine d’un régulateur sur les agents. | ICO |
| À surveiller | 16/10 | Souveraineté (Chine) | Enregistrement provisoire à l’export pour 23 technologies d’IA. | Vérifier avant tout contrat avec modèles chinois. | Tech Insider |
| À surveiller | 16/10 | SLM / stack locale | Ollama v0.40.x : modèles de décision, MAJ en arrière-plan, modèles cloud. | Désactiver cloud en stack souveraine ; tester en bac à sable. | GitHub Ollama |
| À surveiller | 15/10 | Souveraineté (É.-U.) | Task force IA de la Maison-Blanche : charte, protocole de signalement d’incidents. | Régime américain de déclaration d’incidents. | Semafor |
| À surveiller | 06/10 | Réglementation (France) | Projet de loi Résilience retiré de l’ordre du jour. | Poursuivre la préparation NIS2. | Leto |
| À surveiller | 06/10 | SLM / stack locale | Mistral Large 4 annoncé (≈1T paramètres). | Alternative européenne ; hors portée d’un serveur 64 Go. | TechCrunch |
| Pour info | 15/10 | SLM / stack locale | NVIDIA Nemotron 3.5 Super VL publié. | Candidat local ; vérifier licence OpenMDW. | MarkTechPost |
| Pour info | 01/10 | Réglementation (UE) | Plénières du code de pratique sur la transparence des contenus IA. | Préfigure les solutions techniques de marquage. | Commission européenne |
Signaux de la quinzaine
L’AI Act passe de la norme à l’application
Le 14 octobre, Henna Virkkunen confirme l’envoi de demandes d’information à OpenAI et Anthropic. Consultation ouverte jusqu’au 9 novembre. Prochaine échéance : 2 décembre (marquage machine des contenus générés).
Pour le COMEX : demander la documentation de sécurité devient une diligence normale.
Les agents IA, nouveau périmètre de risque
Anthropic coupe internet à ses évaluations internes ; Zenity Labs démontre une récupération d’identifiants IAM via prompt ; l’ICO ouvre un appel à contributions.
Pour le RSSI : un agent = un compte à privilèges. Rôle minimal, réseau en liste blanche, journalisation complète.
Souveraineté : chacun fixe ses règles
Chine : enregistrement provisoire à l’export pour 23 technologies d’IA. États-Unis : task force IA, protocole de signalement d’incidents. France : NIS2 toujours en attente.
Pour la DSI : poursuivre la préparation NIS2 malgré le retard législatif.
Stack locale : plus de choix, plus de vigilance
Ollama publie six versions en dix jours ; NVIDIA publie Nemotron 3.5 ; Mistral annonce Large 4. Aucune nouvelle version ouverte de Llama, Gemma, Phi ou Qwen.
Pour la DSI : toute montée de version passe par le bac à sable, avec vérification des licences.
Sources
Pages consultées le 17 octobre 2026. Les sources primaires sont signalées par (P).
- Anthropic — Investigating unintended model actions (P), 9 et 12/10/2026
- ICO — ICO secures changes from leading AI developers as scrutiny extends to AI agents (P), 8/10/2026
- Commission européenne — Task forces du code de pratique sur la transparence des contenus générés par IA (P)
- GitHub — Ollama releases (P), versions 0.40.1 à 0.40.6
- TechRepublic — EU questions OpenAI, Anthropic over AI agent security incidents, 14/10/2026
- Agence Europe — Consultation sur le projet d'acte d'exécution de l'AI Act, 12/10/2026
- ActuIA — AI Act : obligations en vigueur et reports de l'omnibus 2026/1744, mise à jour du 6/10/2026
- The Register — AWS AgentCore security undone by prompt requesting credentials, 9/10/2026
- Leto — Transposition NIS 2 : le projet de loi Résilience de nouveau reporté, 6/10/2026
- Next — La transposition de NIS2 est de nouveau repoussée, mise à jour du 6/10/2026
- Clubic — La loi NIS2 encore reportée
- Semafor — White House's AI task force gets to work, 15/10/2026
- Tech Insider — China AI export rule takes effect, 16/10/2026 (source secondaire ; texte officiel du MOFCOM non consulté)
- TechCrunch — Mistral's new 1T model, 6/10/2026
- MarkTechPost — NVIDIA releases Nemotron 3.5 Super VL, 15/10/2026
Limites. Le texte du discours de H. Virkkunen (SPEECH/26/2150) n'a pu être lu qu'en partie : les demandes d'information sont rapportées par la presse. L'issue de la conférence des présidents du 13 octobre sur la loi Résilience n'a pas pu être vérifiée. Aucun fait daté de la quinzaine n'a été trouvé pour la CNIL, le CEPD, l'A2A ou l'ISO/IEC 42001.
.png)
