À l'occasion du Mois européen de la cybersécurité (ECSM) 2026, le Contrôleur européen de la protection des données (CEPD) a souligné la double nature du facteur humain, le considérant à la fois comme la principale vulnérabilité et comme une garantie essentielle.

Le CEPD rappelle que l'erreur humaine est la cause la plus fréquente des violations de données personnelles signalées par les institutions, organes et agences de l'UE (IOAUE), une tendance aggravée par des techniques comme l'hameçonnage et l'ingénierie sociale, désormais amplifiées par l'intelligence artificielle. Parallèlement, dans le contexte des décisions automatisées, le CEPD nuance l'idée que l'intervention humaine constitue une garantie suffisante, alertant sur les risques de biais d'automatisation où un opérateur fait une confiance excessive au système. Pour encadrer cette problématique, le CEPD a publié en septembre 2025 un document technique sur la surveillance humaine, suivi en mai 2026 d'une liste de contrôle destinée aux IOAUE pour évaluer la maturité de leurs mesures de supervision.

Le CEPD a également formulé des recommandations dans plusieurs avis, notamment un avis conjoint avec le Comité européen de la protection des données (CDEP) sur des propositions relatives à une loi sur la cybersécurité 2 et à la directive sur la sécurité des réseaux et de l'information (SRI 2), préconisant une formation obligatoire à la cybersécurité pour le personnel et la direction. Cette exigence est déjà présente dans le règlement sur la cybersécurité 2023/2841 pour les IOAUE. De plus, le CEPD a recommandé d'étendre le cadre européen des compétences en matière de cybersécurité à l'ensemble des employés et a mis en place des exercices de simulation d'incidents de cybersécurité pour le personnel des IOAUE.