Plan IA360 : le guide complet pour les entreprises

Le président du gouvernement espagnol a présenté le Plan IA360 le 21 septembre 2026 (les citations du Plan dans cet article sont une traduction de l'auteur à partir de l'original espagnol, qui n'a pas de version officielle en français). L'événement s'intitulait « IA360 : Plan pour un déploiement responsable de l'IA ». Le document compte 15 pages — la dernière, blanche —, s'organise en 8 domaines d'action et détaille 14 projets phares, numérotés de 1 à 14. Le communiqué de presse de La Moncloa le décrit comme « une feuille de route avec des actions concrètes à mener au cours des 12 prochains mois » — la formule vient du communiqué, pas du PDF lui-même ; le texte du Plan précise que les domaines « seront développés entre 2026 et 2027 ». L'objectif affiché : placer l'Espagne parmi les cinq premières puissances mondiales « à partir d'une IA responsable et éthique ».

Qu'est-ce que le Plan IA360 (et ce qu'il n'est pas)

Le point de départ que le Plan documente lui-même explique cette ambition. L'Espagne occupe la 7e place mondiale et la 2e place européenne dans l'indice de dynamisme de l'IA de l'université de Stanford (novembre 2025, données jusqu'à 2024), devant le Japon, le Canada, la France et l'Allemagne, et a progressé depuis la 31e place qu'elle occupait en 2019. En matière de gouvernance, le Plan situe l'Espagne à la 2e position mondiale et l'attribue à trois atouts : l'AESIA (première agence européenne de supervision de l'IA), un bac à sable réglementaire déjà achevé — le premier de l'Union — et la famille de modèles ouverts ALIA. En infrastructures, elle dispose en outre de deux usines d'IA opérationnelles, le BSC à Barcelone et le CESGA en Galice.

L'écart se situe dans l'adoption : seulement 21,1 % des entreprises de 10 salariés ou plus utilisaient l'IA au premier trimestre 2025 (enquête sur l'usage des TIC de l'INE), contre 44,2 % de la population en âge de travailler qui utilise déjà l'IA générative selon Microsoft (données du premier trimestre 2026 ; l'Espagne, 6e pays au monde en matière d'adoption). Le Plan reconnaît aussi une faiblesse en matière de talent : 23e place mondiale sur ce pilier et 25e sur 32 en concentration de professionnels.

Avec ces chiffres en tête, ce qui compte n'est pas de savoir si le Plan est ambitieux, mais ce qui change dès demain. La réponse courte : rien, pour l'instant. Le Plan IA360 est une feuille de route politique, pas une norme. Il ne modifie aucune obligation légale. Ce qui oblige aujourd'hui quiconque utilise ou met sur le marché des systèmes d'IA reste le règlement européen, expliqué dans le guide de conformité à l'AI Act. Ce qu'apporte le Plan est autre chose : un calendrier de projets avec de l'argent à venir et, sur quelques fronts très concrets, une nouvelle conformité qui touchera bien ceux qui travaillent avec l'administration.

En un coup d'œil : les 14 projets phares

Le Plan regroupe ses 14 projets en 8 domaines. Ce tableau résume l'objectif et le jalon daté de chacun, à partir du document lui-même.

Le calendrier réel, mois par mois

Sur les 14 projets phares, seuls sept ont un jalon en 2026. Le reste se situe en 2027 ou après.

Ce qui se passe en 2026

• Octobre : approbation de la réglementation des centres de données et pilote du bouclier cyber quantique avec le secteur financier.
• Octobre/novembre : Plan de modernisation de la cryptographie post-quantique espagnole et plan contre l'IA offensive.
• Automne : mesures réglementaires sur le talent et sur la loi sur les scale-ups.
• Avant la fin de l'année : noyau technique de l'Institut de sécurité de l'IA et premier pilote du Réseau NEURONA (100 PME, deux régions).
• 3 novembre : lancement de l'Alliance ibéro-américaine de l'IA.

2027

• Février : début de la construction de la gigafactory d'IA.
• Premier trimestre : négociation avec les régions sur l'IA dans le programme éducatif, premier appel du Marathon IA, canal WhatsApp 060 et signature du protocole sur les mineurs.
• Premier semestre : conception et pilote contrôlé du chèque IA pour les entreprises.
• Au cours de l'année : assistant de la Carpeta Ciudadana, alphabétisation citoyenne à l'IA, extension du Réseau NEURONA à 10 régions et 5 000 entreprises.
• Avant la fin de l'année : appel général du chèque (600 M€) et lancement précommercial du bouclier de cybersécurité.

2028-2030

• 2028 : ouverture de la gigafactory d'IA.
• 2028/2029 : 100 000 accélérateurs d'IA opérationnels.
• 2030 : de 21,1 % à 55 % des entreprises utilisant l'IA (Réseau NEURONA) ; 25 000 entreprises transformées et investissement privé x5 (chèque) ; de 13 à 50 licornes (loi sur les scale-ups).

Ce calendrier est celui du Plan, pas de l'AI Act : les dates qui constituent déjà une obligation légale aujourd'hui figurent dans le calendrier de l'AI Act.

Ce qui vous oblige aujourd'hui, et ce n'est pas le Plan

Le Plan IA360 ne change aucune date du règlement (UE) 2024/1689, l'AI Act. Ce règlement est applicable de manière générale depuis le 2 août 2026. Les chapitres I et II s'appliquent depuis le 2 février 2025, sauf les lettres b bis) et b ter) de l'article 5, paragraphe 1, et les paragraphes 1 bis et 1 ter, applicables à partir du 2 décembre 2026. Le chapitre III section 4, les chapitres V, VII et XII et l'article 78 s'appliquent depuis le 2 août 2025 (sauf l'article 101), et les articles 102 à 110, depuis le 27 juillet 2026. Pour le risque élevé, l'annexe III a un délai jusqu'au 2 décembre 2027 et l'annexe I jusqu'au 2 août 2028 : ce sont les dates modifiées par le règlement (UE) 2026/1744, du 8 juillet 2026, l'Omnibus numérique. L'Omnibus a fait plus que déplacer des dates : il a entièrement réécrit l'article 4 sur l'alphabétisation à l'IA et inséré dans l'article 5 deux nouvelles interdictions — les lettres b bis) et b ter) — et deux paragraphes, 1 bis et 1 ter, qui en délimitent la portée. Les deux interdictions s'appliquent à partir du 2 décembre 2026, et le règlement est expliqué en détail dans l'Omnibus numérique sur l'IA. Les comportements interdits sont détaillés dans les pratiques d'IA interdites en Europe ; les allègements pour les PME, dans les allègements des articles 11 et 63.

L'Espagne n'a toujours pas de loi propre sur l'IA. Le projet de loi organique pour le bon usage et la gouvernance de l'intelligence artificielle (dossier 121/000096) a été déposé le 28 mai 2026 et se trouve devant la Commission de l'économie, du commerce et de la transformation numérique. Son délai d'amendements, prorogé, expire le 23 septembre 2026. Au 22 septembre 2026, il est toujours en cours d'examen parlementaire et n'est pas publié au BOE (Journal officiel espagnol). Ce que régit ce projet est détaillé dans ce que régit le projet de loi espagnole sur l'IA. Il en va de même pour NIS2 : au 22 septembre 2026, aucune loi espagnole la transposant n'est publiée au BOE, de sorte que la transposition reste en attente.

Un projet du Plan rejoint bien une obligation déjà existante : la stratégie d'alphabétisation à l'IA pour les citoyens, gratuite et sans prérequis, prévue pour 2027. C'est le versant citoyen d'une obligation que l'AI Act impose déjà aux entreprises depuis que ses chapitres I et II sont applicables, le 2 février 2025. Il convient de lire cette obligation dans sa rédaction en vigueur : l'Omnibus a remplacé l'article 4 dans son intégralité, qui demande aujourd'hui aux fournisseurs et aux déployeurs d'adopter des « mesures pour soutenir la promotion de l'alphabétisation en matière d'IA » de leur personnel, et précise que cela « n'exige pas que les fournisseurs ou les déployeurs garantissent un niveau spécifique d'alphabétisation en matière d'IA à une personne en particulier ». Le détail, dans l'alphabétisation à l'IA de l'article 4.

L'argent : le chèque IA pour les entreprises et le Réseau NEURONA

Le chèque IA pour les entreprises financera des services d'IA fournis par des entreprises technologiques européennes qui utilisent des modèles fondamentaux comme intrant et apportent leur propre valeur ajoutée : développement, intégration, connaissance sectorielle, traitement des données ou refonte des processus. Le Plan le dit sans détour : « le chèque ne financera pas le simple abonnement à des licences ». Sa conception, et le Plan l'écrit au conditionnel, « inclurait des paiements par étapes et des conditions relatives à la formation des travailleurs à l'IA », ainsi que l'intégration de l'IA aux processus internes, avec un diagnostic préalable de maturité, un cas d'usage concret et une mesure ultérieure de l'impact sur la productivité. Rien de tout cela n'est acquis tant qu'il n'y a pas de bases réglementaires.

L'objectif est de transformer 25 000 entreprises et de multiplier par cinq l'investissement privé en 2030 par rapport à 2024. Mais la conception et la préparation réglementaire, avec un pilote contrôlé, n'arrivent pas avant le premier semestre 2027, et l'appel général — doté de 600 millions d'euros — n'est déployé qu'avant la fin de 2027. Aujourd'hui, il n'existe ni bases réglementaires, ni appel à candidatures, ni montant par entreprise. Les aides à l'IA qui existent vraiment aujourd'hui, face à ce qui circule sur les réseaux, sont détaillées dans quelles aides à l'IA figurent réellement au BOE.

Une précision s'impose : le Kit Digital et le Kit Consulting ont leurs appels clos, et le chèque de l'IA360 n'est la prolongation d'aucun des deux. Si vous cherchez ces aides, voici le Kit Consulting et son accompagnement en intelligence artificielle et l'état actuel de son appel à candidatures.

Le chèque est lié au Réseau NEURONA : un réseau public-privé et territorial de centres de démonstration et de déploiement de l'IA. L'entreprise, selon la formule du Plan, « voit l'intelligence artificielle fonctionner dans son secteur, la teste avec ses propres données et la déploie par abonnement », à moins de 50 kilomètres. Il s'appuie sur les AI Factories, le Réseau espagnol de supercalcul, RETECH, les espaces de données, les centres technologiques et Acelera Pyme, et le Plan indique que ce processus « peut être particulièrement pertinent pour la PME, qui a une barrière d'entrée plus élevée ». Objectif : de 21,1 % à 55 % des entreprises utilisant l'IA en 2030. Le premier pilote, 100 PME dans deux régions, arrive avant la fin de 2026 ; l'extension à 10 régions et 5 000 entreprises, en 2027. Par où commencer en attendant, dans le guide pour savoir par où commencer avec l'IA dans votre PME.

Si vous travaillez avec l'administration, voici ce qu'il faut surveiller

Aucun de ces projets ne crée aujourd'hui d'obligation pour une entreprise. Ce qu'ils annoncent, c'est une réglementation future qui, une fois approuvée, pourra bien toucher les fournisseurs de l'administration et les secteurs réglementés. C'est pourquoi il convient de les suivre, non parce qu'il y aurait déjà quelque chose à respecter. L'AESIA exercera la surveillance du marché au titre de l'AI Act, avec l'appui d'un nouvel Institut de sécurité de l'intelligence artificielle créé en son sein — l'agence dont le statut a été approuvé par le Real Decreto 729/2023, de 22 de agosto. Ce qu'elle fait exactement, dans les fonctions de l'AESIA.

L'Institut aura des accords avec l'INCIBE, le Centre cryptologique national, le Département de la sécurité nationale, l'AEPD (l'agence espagnole de protection des données) et le BSC. Il évaluera les modèles les plus avancés avant et après leur déploiement (accès anticipé par des accords volontaires avec les développeurs, coopération avec le Bureau européen de l'IA), fixera une méthodologie d'évaluation, conseillera l'Administration générale de l'État par un rapport périodique sur les modèles de pointe, définira des protocoles de réponse aux incidents impliquant des modèles ou des agents avancés, et coopérera avec les instituts homologues d'autres pays. Jalon : noyau technique initial avant la fin de 2026.

Le deuxième front est la cryptographie post-quantique, et un détail mérite attention : le décret royal qui l'organise est le seul jalon de ce projet que le Plan laisse sans date. Le bouclier de cybersécurité avancée comprend un décret royal établissant un cadre commun pour la transition post-quantique « dans le secteur public et dans les domaines soumis à une réglementation sectorielle de cybersécurité », précédé d'un pilote avec le secteur financier (octobre 2026) et du Plan de modernisation de la cryptographie post-quantique espagnole, un consortium entre la SETT et un groupe d'entreprises (octobre ou novembre 2026). Quiconque fournit des services sous l'ENS (cadre national de sécurité espagnol) ou sous les obligations de NIS2 ferait bien de le suivre de près, même si le Plan ne précise pas comment il s'articulera avec chaque cadre.

Le troisième front : la Carpeta Ciudadana intégrera un assistant et ajoutera WhatsApp comme canal, « avec les garanties du cadre national de sécurité et de la réglementation de protection des données ». WhatsApp 060 arrive au premier trimestre 2027 ; l'assistant, au cours de cette même année. Parmi les atouts que le Plan s'attribue figure le bac à sable réglementaire que l'Espagne a déjà achevé, le premier de l'Union. Ce cycle est terminé, donc pour en intégrer un nouveau il faudra attendre que l'autorité compétente publie un appel : comment participer au bac à sable IA espagnol.

Centres de données : le décret royal d'octobre

Le domaine des infrastructures s'appuie sur deux projets qui vont de pair. La gigafactory d'IA mobilise 5 000 millions d'euros d'investissement public-privé, dont 719 millions publics, et est reliée au PERTE Chip. L'objectif est « la plus grande infrastructure de calcul du sud de l'Europe », avec 100 000 accélérateurs opérationnels en 2028 ou 2029. La construction démarre en février 2027 ; l'ouverture, en 2028.

Cette infrastructure a besoin de règles : le projet de décret royal sur les centres de données régit la durabilité énergétique et environnementale, la résilience et la souveraineté numérique. La consultation publique a été ouverte par le MITECO le 27 août 2026, et aujourd'hui le délai de présentation des observations est déjà clos. Il fixe des exigences générales pour les centres d'une puissance d'accès égale ou supérieure à 1 MW, et des obligations de communication pour ceux d'une puissance informatique égale ou supérieure à 500 kW ; il transpose partiellement la directive (UE) 2023/1791. Le Plan justifie l'urgence : les permis d'accès au réseau déjà demandés « dépassent largement les 2,5 GW de demande effective […] prévus pour 2030 ». La norme privilégie les énergies renouvelables et l'usage efficace de l'eau et du sol ; la gigafactory sera conçue pour s'y conformer dès le départ. Jalon d'approbation : octobre 2026. Le dossier complet, sur la ficha de audiencia pública del MITECO.

Talent, scale-ups et R&D

Le Plan reconnaît une faiblesse de départ : 23e place mondiale sur le pilier talent de l'indice de dynamisme de l'IA, et 25e sur 32 en concentration de professionnels. Deux projets tentent d'y remédier, avec des mesures réglementaires annoncées pour l'automne 2026.

Le premier crée des centres d'intérêt national avec plus d'agilité pour recruter des chercheurs, améliore la carrière scientifique — promotion interne, primes d'ancienneté également pour le personnel technique et davantage de compatibilité pour les chercheurs publics avec des activités d'enseignement et de recherche à temps partiel — et ajoute des réductions permanentes des cotisations de sécurité sociale pour le personnel dédié à la R&D et à l'innovation technologique.

Le second est la loi sur les scale-ups, qui prolonge la loi sur les startups : elle étend le soutien de cinq années supplémentaires après les cinq premières, et étend la limite de sept ans dont bénéficient déjà les entreprises à base scientifique ou deeptech — sans que le Plan précise le nouveau délai —, avec davantage de déductions pour la R&D+I et des incitations à l'embauche de chercheurs. Objectif : doubler le taux d'entreprises qui passent à l'échelle jusqu'au niveau de l'Irlande et passer de 13 à 50 licornes en 2030.

Le Plan situe le développement technologique dans le contexte de Quantum Spain et de la collaboration entre le CNS-BSC et NVIDIA pour un accélérateur européen d'IA combinant le CPU RISC-V du BSC avec un GPU et une interconnexion NVIDIA : « premier matériel avancé au label européen » pour le calcul haute performance et l'IA, ainsi qu'un ensemble de modèles ouverts spécialisés en défense, énergie, climat et santé. Aucun de ces éléments n'a, pour l'instant, de jalon propre avec une date.

Ce que le Plan ne dit pas

Un document de 15 pages qui réorganise la politique de tout un secteur laisse des vides. Il vaut la peine de les nommer : ce sont eux qui déterminent si une entreprise peut planifier dès aujourd'hui à partir du Plan, ou doit se contenter de l'attendre.

1. Il n'y a pas de cadre financier global. Seulement des postes isolés : 5 000 millions pour la gigafactory (719 millions publics), environ 300 millions pour le bouclier de cybersécurité et 600 millions pour le chèque.
2. Le chèque n'a ni appel ni bases réglementaires. Sa « préparation réglementaire » est fixée pour le premier semestre 2027, avec un pilote contrôlé.
3. Il ne fixe ni montant par entreprise, ni intensité de l'aide, ni critères d'éligibilité du chèque. Ces trois éléments restent pour plus tard.
4. Il ne crée pas de nouvelles obligations légales. Les obligations d'aujourd'hui viennent de l'AI Act, pas de ce Plan.
5. L'Accord tripartite est convoqué, pas défini. Les partenaires sociaux sont convoqués en octobre 2026, avec des tables sectorielles, un observatoire permanent du marché du travail et une table sur la culture. Son contenu ne figure pas dans le document.

Et la donnée qui ordonne tout : sur les 14 projets phares, seuls sept ont un jalon en 2026. Le reste — y compris la partie la mieux dotée — c'est 2027 ou plus tard.

Que faire dans les 90 prochains jours

Rien de tout cela n'exige une réaction immédiate, sauf une chose : les obligations de l'AI Act déjà en vigueur, indépendamment du fait que le Plan avance ou prenne du retard.

1. Faites l'inventaire de vos systèmes d'IA. Avec le modèle d'inventaire des systèmes d'IA.
2. Classez le risque de chaque système. L'AI Act traite différemment un système interdit, un système à haut risque et un système à risque minimal : le classificateur de risque de l'AI Act résout ce tri.
3. Rédigez ou mettez à jour votre politique interne d'usage de l'IA. L'AI Act n'exige pas ce document, mais c'est le moyen habituel de démontrer à un client ou un auditeur les mesures d'alphabétisation de l'article 4 : le modèle de politique d'usage de l'IA en entreprise.
4. Calculez votre exposition réelle aux sanctions. Pour savoir si le risque justifie d'investir maintenant ou d'attendre, avec le calculateur de sanctions de l'AI Act.
5. Envisagez un système de gestion formel. Si vous développez ou intégrez de l'IA de façon habituelle, la norme ISO 42001 de gestion de l'IA organise la conformité dans un cadre auditable.
6. Notez le 23 septembre et le 2 décembre 2026. Fin du délai d'amendements de la loi espagnole sur l'IA, et date d'application des deux nouvelles interdictions de l'article 5 : générer ou manipuler des images, vidéos ou contenus audio réalistes des parties intimes d'une personne identifiable ou de cette personne se livrant à des activités sexuellement explicites sans son consentement, et générer ou manipuler du matériel ou des spectacles d'abus sexuels sur mineurs au sens de la directive 2011/93/UE. Aucune des deux dates ne dépend du Plan IA360.

Ce qui n'a pas encore de sens, c'est de réserver un budget pour le chèque : il n'y a pas d'appel auquel se présenter. Ce qui en a un, c'est de préparer le diagnostic de maturité et le cas d'usage que le Plan anticipe : si l'appel arrive en 2027 avec cette conception, celui qui l'aura déjà fait partira avec une longueur d'avance.

Questions fréquentes

Sources

• Plan IA360, La Moncloa, 21 septembre 2026.
• Nota de prensa de La Moncloa sobre la presentación del plan, 21 septembre 2026, d'où provient la description du Plan comme feuille de route à douze mois.
• Règlement (UE) 2024/1689 (AI Act), art. 113, et règlement (UE) 2026/1744 (« Omnibus numérique »), du 8 juillet 2026.
• Real Decreto 729/2023, de 22 de agosto, statut fondateur de l'AESIA (BOE-A-2023-18911).
• Projet de décret royal sur les centres de données : consultation publique du MITECO, ouverte le 27 août 2026.
• Projet de loi organique pour le bon usage et la gouvernance de l'IA, dossier 121/000096. En cours d'examen : pas encore en vigueur.