Le Centre européen de compétences en cybersécurité (ECCC) a ouvert un nouvel appel à propositions dans le cadre du programme européen « Europe numérique » le 3 septembre 2026, doté de jusqu'à 96 millions d'euros, avec dépôt des propositions jusqu'au 14 janvier 2027. L'IA est de loin le plus gros poste de cet appel : 15 millions d'euros pour les outils et services de cybersécurité fondés sur l'IA, IA générative comprise, plus 20 millions spécifiquement destinés à aider les PME à adopter des solutions d'IA cyber — 35 millions au total, soit plus d'un tiers du montant affiché.
Où sont censés aller les 96 millions restants
Les autres lignes budgétaires, telles que l'ECCC les liste elle-même : 15 millions d'euros pour les tests de préparation aux cybercrises dans les secteurs critiques, 20 millions pour aider l'écosystème européen à se conformer à la récente vague de règles européennes — NIS 2, le Cyber Resilience Act, DORA et l'AI Act —, 5 millions pour des pôles régionaux consacrés à la sécurité des câbles sous-marins, et 10 millions pour les technologies duales utilisables dans les secteurs civil et militaire. Additionnez ces six chiffres — 15, 20, 15, 20, 5, 10 — et le total est de 85 millions d'euros, pas 96 millions. Les documents de l'ECCC n'expliquent pas les 11 millions restants ; ils ne sont assignés à aucune des catégories publiées.
Le marché que ce financement tente de corriger
Cet appel intervient sur un marché structurellement déséquilibré. Des acteurs non-européens détiendraient 60 à 70 % du marché civil européen de la cybersécurité, selon un rapport BDO cité en marge de l'annonce. Le marché européen lui-même est estimé à 46 milliards d'euros en 2025 — environ un quart du marché mondial — réparti entre quelque 7 000 entreprises, dont 90 % de PME qui ne génèrent ensemble qu'un quart du chiffre d'affaires du secteur. Les investissements racontent la même histoire à une échelle plus large : en 2025, les États-Unis et Israël auraient capté 91 % des investissements mondiaux dans la cybersécurité, tandis que l'Europe hors Royaume-Uni n'aurait attiré que 1,3 milliard de dollars. Un appel de 96 millions d'euros — ou de 85 millions, selon le chiffre retenu — est une goutte d'eau face à des écarts de cette ampleur ; le cadrage même de l'ECCC traite ce programme comme un financement d'amorçage destiné à orienter l'argent public rare, pas comme une solution au problème d'échelle lui-même.
Pourquoi l'IA reçoit spécifiquement une part plus importante
L'IA joue sur les deux tableaux dans ce marché, ce qui explique sans doute pourquoi elle reçoit la plus grosse enveloppe dédiée : les mêmes modèles qui améliorent la détection, l'analyse et la réponse aux incidents renforcent aussi les capacités offensives, et les États-Unis disposent d'un avantage structurel sur les deux versants de cette équation — modèles fondamentaux, infrastructures de calcul et financement des entreprises. C'est le même écart que ce blog a couvert sous l'angle de la souveraineté des modèles quelques heures plus tôt seulement, lorsque le ministre français de l'Économie affirmait que l'IA européenne ne pouvait pas reposer sur la seule Mistral, et la même dépendance sous-jacente autour de laquelle le calendrier de mise en conformité de l'AI Act a lui-même dû s'ajuster à mesure qu'il entre en vigueur. Financer des outils cyber spécifiques à l'IA tout en facilitant la mise en conformité avec l'AI Act dans le même appel revient, pour Bruxelles, à traiter l'AI Act lui-même comme un coût supplémentaire que les fournisseurs cyber européens ont besoin d'aide pour absorber, pas seulement comme une règle qui leur est imposée.
À surveiller
- Si l'ECCC clarifie les 11 millions d'euros manquants. Six lignes budgétaires publiées totalisant 85 millions face à un chiffre affiché de 96 millions, c'est soit une réserve administrative que l'annonce n'a pas détaillée, soit un écart d'arrondi qui mérite qu'on pose directement la question.
- Qui remporte réellement les lignes IA-cyber et adoption-PME. Avec 7 000 entreprises, dont 90 % de PME qui ne génèrent qu'un quart du chiffre d'affaires du secteur, savoir si cet argent atteint cette base fragmentée ou se concentre sur une poignée d'acteurs plus importants sera le vrai test de l'objectif affiché du programme.
- Si la ligne de 10 millions sur les technologies duales suscite des réticences. Financer des technologies civilo-militaires au sein d'un programme de cybersécurité nominalement civil est le genre de détail qui tend à attirer l'attention une fois que les délégations nationales commencent à examiner les propositions.
- L'écart entre l'échéance de janvier 2027 de cet appel et le décaissement réel. L'argent d'amorçage annoncé aujourd'hui n'atteindra pas le bilan d'une PME avant longtemps — le problème de passage à l'échelle que Bruxelles désigne elle-même comme le vrai défi ne sera testé que lorsque l'argent circulera réellement.