Le 27 octobre 2026, le NIST a publié sa feuille de route finale de migration vers la cryptographie post-quantique. Ses échéances fédérales américaines ne deviennent pas des obligations françaises par simple publication. Pour une DSI, elles donnent surtout une raison de demander un inventaire et un calendrier à ses fournisseurs.
Ce que le NIST a réellement publié
Le rapport NIST IR 8547 organise le remplacement des mécanismes cryptographiques vulnérables à de futurs ordinateurs quantiques par des standards post-quantiques. Il distingue les usages et la complexité des migrations. Il ne donne pas une date certaine d’arrivée d’une machine capable de casser les protections actuelles.
Le NIST rappelle un objectif général de migration des systèmes fédéraux d’ici 2035. Pour les actifs fédéraux de grande valeur et les systèmes à impact élevé, il mentionne des échéances accélérées : 2030 pour l’établissement des clés, 2031 pour les signatures numériques. Ces dates ne sont pas trois échéances interchangeables.
Ce que cela change pour une entreprise française
Ce calendrier américain n’impose pas à toute PME française de remplacer sa cryptographie en 2030. Votre exposition dépend de votre activité, de vos contrats et des textes applicables. La doctrine française doit être examinée avec les recommandations de l’ANSSI, pas remplacée par une traduction du communiqué du NIST.
En revanche, certaines données restent sensibles longtemps : dossiers de santé, secrets industriels ou documents patrimoniaux. Le risque de collecte aujourd’hui pour déchiffrement ultérieur justifie de commencer par ces durées de confidentialité. Une migration prend aussi du temps parce que les bibliothèques, certificats et équipements ne dépendent pas tous du même fournisseur.
Le lien avec l’IA est dans les connexions
Un agent documentaire peut appeler un modèle, consulter une base, interroger un outil externe et déposer son résultat dans une application. Ces échanges reposent sur une chaîne de services et de protections cryptographiques. L’IA n’est pas la cause du risque quantique ; l’ajout de connecteurs multiplie simplement les dépendances à cartographier.
Ne demandez donc pas si votre chatbot est « quantum safe ». Demandez quels composants protègent chaque flux, qui les maintient et comment une évolution sera testée sans rendre les documents indisponibles.
Exemple : un cabinet patrimonial conserve des dossiers pendant des années
Situation fictive : un cabinet utilise un agent pour préparer des synthèses de dossiers familiaux. L’intégrateur promet un chiffrement « de niveau bancaire », mais son devis ne décrit ni les bibliothèques utilisées ni le calendrier de mise à jour des connecteurs.
La bonne première commande est un inventaire : données, durée de sensibilité, flux, composants et responsables. Le cabinet peut ensuite prioriser une migration et tester les échanges avec des documents fictifs. Acheter immédiatement une nouvelle appliance ne réglerait pas les dépendances oubliées.
Les engagements à demander maintenant
- Un inventaire exploitable. Recensez les mécanismes et leurs emplacements, pas seulement une liste de fournisseurs. Incluez les composants embarqués dans les outils connectés aux agents.
- Une trajectoire par composant. Demandez ce qui est disponible, expérimental ou seulement annoncé. Une date commerciale doit être distinguée d’un engagement contractuel.
- Des essais et un retour arrière. Faites mesurer compatibilité, performance et continuité de service. Toute combinaison de mécanismes doit être conçue par des spécialistes selon les recommandations applicables.
- Un budget complet. Séparez licences, intégration, renouvellement d’équipements, tests et maintenance. Faites identifier les changements inclus dans l’abonnement.
- Une preuve de réception. Un responsable doit approuver les résultats avant d’activer la nouvelle configuration sur des données sensibles.
Commencez cette semaine par un flux critique et son propriétaire. La meilleure préparation n’est pas une promesse de sécurité absolue : c’est une dépendance identifiée, un fournisseur responsable et une migration que vous pouvez vérifier.