La actualidad de las empresas francesas a finales de 2026 se estructura en torno a tres ejes regulatorios y tecnológicos que modifican las prácticas operativas: el marco jurídico de la IA en el trabajo, el aumento del Cyber Resilience Act y la aparición de agentes de IA autónomos. Estos temas ya no son prospectivos, imponen decisiones concretas a las direcciones generales, DSI y DRH.
Consulta del CSE antes del despliegue de una herramienta de IA: lo que dice la jurisprudencia
El despliegue de herramientas de inteligencia artificial en las empresas ya no es un simple proyecto de TI. Según ActuIA (octubre de 2026), un juez puede suspender un proyecto de IA por falta de consulta previa del CSE. Esta decisión, que afecta especialmente al caso de la RATP, establece un precedente directo para cualquier empresa que tenga un comité social y económico.
El fundamento jurídico se basa en la obligación de información-consulta cuando un proyecto modifica las condiciones de trabajo o los métodos de supervisión. Un asistente conversacional interno, una herramienta de selección de candidaturas o un sistema de planificación automatizado entran en este ámbito.
La mayoría de las PME y ETI aún lanzan sus proyectos de IA sin formalizar esta etapa. El riesgo no es teórico: la suspensión judicial bloquea el despliegue, genera costos de retraso y degrada el diálogo social.
Es mejor integrar la consulta del CSE desde la fase de definición, incluso antes de elegir la herramienta. Para seguir estas evoluciones regulatorias y su impacto en la gestión empresarial, es posible acceder al sitio IQ Business que agrega este tipo de noticias sectoriales.
Calendario AI Act y Cyber Resilience Act: obligaciones aplicables a las empresas francesas
Dos textos europeos estructuran ahora el marco digital de las empresas. Su articulación sigue siendo poco comprendida, incluso por las direcciones jurídicas.
AI Act: lo que ya se aplica y lo que se ha pospuesto
El calendario del AI Act ha sido parcialmente revisado. Según ActuIA (actualización del 10 de octubre de 2026), las obligaciones relacionadas con los sistemas de IA de alto riesgo han sido pospuestas a través del reglamento Omnibus. Sin embargo, las empresas que utilizan sistemas de puntuación de recursos humanos, vigilancia por video inteligente o diagnóstico automatizado siguen estando afectadas a medio plazo.
Por otro lado, los requisitos de transparencia y control de la IA ya son parcialmente aplicables. Concretamente, esto significa que un empleado debe ser informado cuando interactúa con un sistema de IA, y que la empresa debe documentar los usos desplegados.
Cyber Resilience Act: una presión ampliada a los productos conectados
Entrado en vigor en septiembre de 2026, el Cyber Resilience Act supera el ámbito clásico de la ciberseguridad interna. Según Préventica (septiembre de 2026), los fabricantes y proveedores de productos que contienen elementos digitales deben garantizar su seguridad a lo largo de todo el ciclo de vida.
Para las empresas francesas que diseñan o distribuyen objetos conectados, software embebido o componentes IoT, esto implica:
- Una documentación técnica de seguridad desde la fase de diseño, no solo en el momento de la comercialización
- Un proceso de gestión de vulnerabilidades con notificación obligatoria a las autoridades competentes
- Una responsabilidad ampliada del proveedor sobre las actualizaciones de seguridad post-comercialización
Las TPE-PME subcontratistas de grandes contratistas industriales serán las primeras afectadas, ya que estos requisitos se repercuten en cascada en la cadena de suministro.
IA y ciberseguridad en las TPE-PME: el desfase que revela el barómetro France Num 2026
El barómetro France Num 2026, publicado el 29 de septiembre y difundido por Préventica el 9 de octubre, confirma una tendencia clara: la adopción de la IA en las TPE-PME se acelera, pero la ciberseguridad no avanza al mismo ritmo. La brecha entre el equipamiento tecnológico y la protección de los sistemas se amplía.
Este desfase se explica por un sesgo de prioridad. Los directivos de pequeñas estructuras invierten en IA para obtener ganancias de productividad inmediatas (redacción, relación con el cliente, contabilidad automatizada) sin presupuestar la seguridad de estos nuevos flujos de datos. Sin embargo, una herramienta de IA generativa conectada al CRM o a la mensajería crea una superficie de ataque adicional.
Un enfoque de “seguridad por diseño” aplicado a cualquier proyecto de integración de IA, incluso modesto, pasa por tres acciones concretas:
- Cartografiar los datos accesibles por cada herramienta de IA antes de su puesta en producción
- Exigir al editor una documentación sobre el tratamiento y almacenamiento de datos (localización, cifrado, duración de conservación)
- Formar a los equipos usuarios sobre los riesgos específicos relacionados con los prompts que contienen datos sensibles
Agentes de IA autónomos: gobernar sistemas que toman decisiones
El tema más estructurante para los próximos meses ya no se refiere a los chatbots ni a los asistentes de redacción. Según Économie Matin (octubre de 2026), las empresas deben prepararse para gobernar agentes de IA autónomos capaces de ejecutar tareas sin validación humana intermedia.
Un agente de IA autónomo puede realizar un pedido a un proveedor, ajustar un precio en tiempo real o desencadenar una acción de seguimiento al cliente. La diferencia con una simple herramienta de IA generativa es fundamental: el agente actúa, no solo sugiere.
Los desafíos que surgen son de orden operativo y jurídico. La trazabilidad de las decisiones tomadas por un agente debe ser asegurada, lo que supone registros utilizables y auditables. La supervisión humana debe definirse de antemano: ¿qué nivel de decisión sigue sujeto a validación? La gestión de accesos se vuelve crítica, ya que un agente con derechos amplios sobre un ERP o un sistema de pago representa un riesgo sistémico en caso de mal funcionamiento o compromiso.
Estas cuestiones no pertenecen a un futuro lejano. Los primeros despliegues de agentes autónomos en la cadena de suministro y la relación B2B ya están en curso en las ETI francesas. Las empresas que no hayan formalizado su marco de gobernanza para mediados de 2027 corren el riesgo de enfrentarse a incidentes sin un proceso de remediación.
El panorama regulatorio y tecnológico a finales de 2026 impone una lectura cruzada: AI Act, Cyber Resilience Act, diálogo social y gobernanza de agentes autónomos forman un conjunto coherente. Las direcciones que abordan estos temas en silos se exponen a redundancias costosas y a ángulos muertos jurídicos. La convergencia entre cumplimiento regulatorio, ciberseguridad y gobernanza de la IA se convierte en el verdadero tema estratégico para las empresas francesas.
