Le cadre juridique européen du monde numérique

Cette Partie expose la grammaire commune aux différents instruments. Chaque acte du corpus numérique de l’UE est construit avec la même poignée de mouvements, et qui sait les reconnaître peut anticiper une grande partie du détail. Il en va de même pour les critiques : presque toute objection sérieuse au corpus vise l’un de ces mouvements, et non un choix de rédaction interne à un règlement donné.

La base juridique du marché intérieur et ce qu’elle impose

L’UE n’a pas de compétence générale pour légiférer en matière d’expression, de sécurité ou de moralité. Elle dispose en revanche de l’article 114 TFUE, le pouvoir d’harmoniser les règles nationales qui fragmentent le marché intérieur. Presque tout le corpus numérique est construit sur cette base. La principale exception est le GDPR lui-même, fondé sur l’article 16 TFUE, la compétence de l’Union en matière de protection des données. La base juridique en détermine la substance. Elle explique pourquoi le DSA est conçu comme un règlement sur le marché unique des services numériques et non comme une loi sur les contenus, pourquoi l’AI Act est structuré comme une réglementation de sécurité des produits, avec évaluation de la conformité et marquage CE, et non comme une charte des droits fondamentaux, et pourquoi presque tout arrive sous forme de règlement (directement applicable, sans transposition) plutôt que de directive. L’argument de vente du DSA est précisément de remplacer vingt-sept régimes nationaux par un cadre unique, ce qui relève du marché unique avant de relever de la sécurité.

La conséquence est un écart persistant entre la finalité juridique affichée (lever les obstacles aux échanges) et l’ambition réglementaire réelle (gouverner l’allocation de l’attention, l’entraînement des modèles, la structuration des marchés). Cet écart est la matière première de l’essentiel du risque contentieux du système, et nous y reviendrons à plusieurs reprises.

Le modèle GDPR, répliqué

La doctrine a décrit ce qui a suivi le GDPR comme une act-ification et une GDPR mimesis : une série rapide d’instruments reproduisant chacun la même forme institutionnelle. Papakonstantinou et De Hert ont repéré tôt le schéma. Un lexique spécialisé, un ensemble de principes, des droits calibrés sur l’hypothèse et un appareil de supervision reviennent dans le DGA, le DSA, le DMA et le règlement sur l’IA. En pratique, chaque instrument de cette note remplit les mêmes cinq cases :

Quatre choix de conception qui engendrent presque toute critique

Gradation selon le risque. Au lieu de règles uniformes, les obligations croîssent avec la taille ou la dangerosité : la pyramide graduée du DSA de l’intermédiaire au VLOP, l’échelle de l’AI Act entre risque inacceptable, élevé, de transparence et minimal, l’interrupteur binaire du DMA entre désigné et non désigné. La gradation est proportionnée en principe et produit des effets de seuil en pratique. Le seuil de 45 millions d’utilisateurs pour le VLOP, la présomption DMA de 10 000 entreprises utilisatrices et la présomption de risque systémique à 10^25 FLOP sont autant de nombres administrables tenant lieu de concepts inadministrables, et chacun a déjà produit du contentieux ou des contournements.

Sanctions indexées sur le chiffre d’affaires. Les plafonds exprimés en pourcentage du chiffre d’affaires mondial ont été conçus pour que les sanctions touchent même les entreprises dont le chiffre d’affaires dans l’UE n’est qu’une fraction du total mondial. C’est aussi le trait du corpus le plus contesté sur le plan international. Et, comme le montre l’expérience du GDPR, le montant annoncé et le montant effectivement perçu sont deux choses très différentes.

Une portée extraterritoriale fondée sur le critère du ciblage. Chaque instrument s’applique aux comportements dirigés vers l’Union, quel que soit le lieu d’établissement du fournisseur. Le Data Act atteint les fournisseurs SaaS établis hors de l’EEE qui ont des clients dans l’UE ; l’AI Act atteint les fournisseurs dont les sorties sont utilisées dans l’Union ; le GDPR atteint les responsables du traitement établis n’importe où qui offrent des biens ou des services à des personnes dans l’Union ou suivent leur comportement. C’est le mécanisme de ce qu’on appelle l’effet Bruxelles, et tout autant de l’accusation selon laquelle l’Europe réglemente des entreprises qu’elle n’accueille pas.

Corégulation par codes, lignes directrices et actes délégués. Les textes principaux sont souvent délibérément incomplets, et le détail opérationnel arrive ensuite par des lignes directrices de la Commission, des actes délégués, des codes de bonnes pratiques et des normes harmonisées. Le GPAI Code of Practice, l’acte délégué de l’article 40 du DSA sur l’accès des chercheurs et les normes harmonisées (encore incomplètes) pour l’IA à haut risque sont tous porteurs. Cela apporte de la flexibilité au détriment de la sécurité juridique. Comme le montre la Partie VIII, cela signifie aussi que le contenu effectif de la loi peut évoluer sans que le législateur se réunisse de nouveau.

Le règlement (UE) 2016/679 est l’instrument le plus ancien traité ici, et celui sur lequel tous les autres s’appuient, dont ils découpent une exception, ou avec lequel ils doivent être conciliés. Pour juger si quoi que ce soit d’autre dans le corpus fonctionnera, il faut comprendre comment le GDPR a été appliqué, et où cette application a été insuffisante.

Ce qu’il exige réellement

Le noyau opérationnel est compact. L’article 5 pose six principes de traitement et la responsabilité : licéité, loyauté et transparence ; limitation des finalités ; minimisation des données ; exactitude ; limitation de la conservation ; intégrité et confidentialité. L’article 6 fournit la liste exhaustive des bases légales (consentement, contrat, obligation légale, intérêts vitaux, mission d’intérêt public, intérêt légitime), et l’article 9 interdit le traitement des catégories particulières sauf dérogation étroite. Les articles 12–22 créent les droits de la personne concernée : information, accès, rectification, effacement, limitation, portabilité, opposition, et la protection de l’article 22 contre les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou similairement significatifs. Le chapitre IV fixe les obligations de conformité : article 25 protection des données dès la conception et par défaut, article 30 registre des activités de traitement, articles 33–34 notification des violations, article 35 analyses d’impact, articles 37–39 le DPO. Le chapitre V régit les transferts internationaux. L’article 83 fixe les plafonds de sanction sur deux niveaux.

Deux d’entre eux pèsent de manière disproportionnée sur la suite de cette note. L’article 22 est le droit européen préexistant de la prise de décision automatisée. Il n’a pas attendu l’AI Act, et les deux classent de manière indépendante. Un système que l’AI Act place dans la catégorie à risque minimal, sans aucune obligation au titre de cet acte, reste soumis à l’article 22 s’il prend des décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou l’affectant de manière significative de façon similaire. Aucun des deux régimes n’écarte l’autre. Les AIPD de l’article 35 sont l’ancêtre conceptuel de l’évaluation des risques systémiques de l’article 34 du DSA et de l’analyse d’impact sur les droits fondamentaux de l’article 27 de l’AI Act. Une organisation qui mène les trois séparément fait un travail en double que les autorités elles-mêmes reconnaissent désormais comme tel.

La réalité de la conformité

Pour la plupart des organisations, la conformité au GDPR se résout en quatre artefacts durables : un inventaire des traitements réellement tenu à jour, une analyse défendable de la base légale par finalité, un circuit de traitement des demandes respectant le délai d’un mois, et un processus de réponse aux violations capable de trancher la notification en 72 heures. Les données d’application montrent où les organisations échouent. L’analyse du corpus CMS Enforcement Tracker constate que trois catégories d’infraction représentent environ 94 % de la valeur totale des amendes. Les manquements à la transparence des articles 12–14 sont assez saillants pour que l’EDPB en ait fait l’objet d’une action coordonnée en 2026 auprès de vingt-cinq autorités. Les régulateurs traitent aujourd’hui en moyenne 443 notifications de violation par jour, en hausse de 22 % sur un an. Le volume des dossiers croît plus vite que la capacité de les traiter.

L’application : le guichet unique et l’écart entre annoncé et perçu

L’article 56 confère à l’autorité de contrôle de l’établissement principal du responsable le rôle de chef de file dans les affaires transfrontalières, avec derrière elle la coopération de l’article 60 et le règlement des litiges par l’EDPB au titre de l’article 65. Meta, Google, Apple, Microsoft, TikTok et LinkedIn ayant toutes installé leur siège européen à Dublin, un seul régulateur national est devenu l’autorité chef de file pour l’essentiel de l’économie mondiale des plateformes. Les chiffres sont clairs. L’enquête de DLA Piper de janvier 2026 recense 7,1 milliards d’euros d’amendes GDPR signalées du 25 mai 2018 au 10 janvier 2026. Il s’agit d’amendes annoncées, non confirmées en justice ni recouvrées, et les outils de suivi qui comptent autrement donnent d’autres totaux. La seule DPC irlandaise représente quelque 4,04 milliards du total de DLA Piper, environ 57 % de la valeur totale, ainsi que huit des dix amendes les plus élevées encore en vigueur ; les deux autres sont de l’autorité néerlandaise, toutes deux contre Uber. L’Espagne, à l’inverse, arrive en tête par le nombre de décisions, plus d’un millier.

La critique de ce dispositif est ancienne ; la réponse législative vient seulement d’arriver. Le règlement (UE) 2025/2518 harmonise la recevabilité des réclamations, les droits procéduraux des parties et les délais des projets de décision dans les affaires transfrontalières. Il est entré en vigueur le 1er janvier 2026 et s’applique à partir du 2 avril 2027, ses règles d’enquête visant les réclamations introduites après cette date. En 2021, l’Irish Council for Civil Liberties a qualifié l’Irlande de pire goulet d’étranglement du GDPR, documentant l’absence de transmission des projets de décision aux autorités homologues dans la grande majorité des grandes affaires transfrontalières, et relevant que l’Espagne rendait environ dix fois plus de décisions avec un budget moindre. Max Schrems et d’autres militants avancent le même argument structurel : les affaires durent des années, les sanctions arrivent tard et les plaignants ont une place procédurale limitée. La DPC a grandi jusqu’à près de 300 agents en 2026 et est passée à une structure à trois commissaires, en partie pour réduire les goulets d’étranglement liés à un décideur unique, mais l’économie du guichet unique demeure.

Le règlement (UE) 2022/2065 a remplacé le noyau de responsabilité de la directive sur le commerce électronique de 2000 par un régime gradué de diligence raisonnable. C’est l’instrument qui montre le plus clairement ce que le corpus européen cherche à faire : gouverner la conception des systèmes plutôt que juger des contenus isolés. C’est aussi celui qui subit le feu politique le plus nourri.

La pyramide : qui doit quoi

Le DSA empile les obligations de façon cumulative sur quatre niveaux. Chaque niveau hérite de celui du dessous.

Les micro et petites entreprises sont exemptées de la plupart des obligations des plateformes en ligne (art. 19), sauf si elles sont désignées comme très grandes plateformes en ligne.

Les trois dispositions qui portent le régime

Article 16 : notification et action, et la fabrique de la connaissance

L’article 16 impose aux fournisseurs de services d’hébergement de mettre en place des mécanismes électroniques de notification facilitant des notifications suffisamment précises et dûment motivées. Son paragraphe décisif est le 16, paragraphe 3 : une notification conforme fait naître une connaissance ou une conscience effective aux fins de l’exemption de responsabilité de l’article 6 lorsqu’elle permet à un fournisseur diligent d’identifier l’illégalité sans examen juridique détaillé. C’est la charnière sur laquelle tourne désormais la responsabilité des plateformes. Cela crée aussi l’incitation structurelle sur laquelle les critiques du DSA insistent le plus. Puisque la connaissance expose à la responsabilité et que le retrait excessif n’entraîne aucune sanction équivalente, la réponse rationnelle à une notification douteuse est le retrait. Les contrepoids du DSA (exposés des motifs, recours internes, règlement extrajudiciaire des litiges) sont procéduraux plutôt que substantiels. L’article 14, paragraphe 4, impose néanmoins aux fournisseurs d’agir de manière diligente, objective et proportionnée, en tenant dûment compte des droits fondamentaux des utilisateurs, ce qui donne en principe un coût juridique au retrait excessif.

Articles 34-35 : le risque systémique, un concept délibérément ouvert

L’article 34 oblige les VLOP et VLOSE à recenser, analyser et évaluer avec diligence les risques systémiques découlant de la conception ou du fonctionnement de leur service, y compris les systèmes algorithmiques, au moins une fois par an et avant de déployer des fonctionnalités susceptibles d’avoir une incidence critique. Les catégories énumérées sont : diffusion de contenus illicites ; effets négatifs sur les droits fondamentaux ; effets négatifs sur le discours civique, les processus électoraux et la sécurité publique ; et effets liés aux violences fondées sur le genre, à la santé publique, aux mineurs et au bien-être physique et mental. L’article 34(2) exige d’évaluer comment la conception des systèmes de recommandation et les autres systèmes algorithmiques influencent ces risques, y compris par la manipulation intentionnelle et l’usage inauthentique. L’article 35 impose ensuite une atténuation proportionnée et efficace, et laisse le choix des mesures au fournisseur.

C’est la disposition la plus lourde de conséquences et la plus critiquée du DSA. Son ouverture est délibérée : une liste fermée serait obsolète en un cycle de produit. Mais les travaux d’AlgorithmWatch sur la disposition ont constaté que les parties prenantes peinaient à déterminer si un dommage donné était suffisamment systémique, que les considérants 79-89 étaient souvent perçus comme une source de confusion plutôt que de clarification, et que des critères trop précis risqueraient de pousser les plateformes à optimiser des métriques plutôt que de traiter des dommages réels, tandis que des critères trop vagues rendent le concept inadministrable. Les deux modes d’échec sont actifs.

Article 40 : l’accès aux données, et l’écart entre promesse et livraison

L’article 40 a été décrit dans la communauté de recherche comme le saint graal d’une disponibilité renouvelée des données. Il ouvre deux voies. L’article 40(12) donne accès aux données publiquement accessibles au-delà des outils volontaires des plateformes. L’article 40(4) donne aux chercheurs agréés accès aux données non publiques (journaux d’exposition, archives de modération, métriques de recommandation), demandé via le coordinateur national pour les services numériques du lieu d’établissement plutôt que directement à la plateforme. Les deux sont limitées à la finalité de recherche contribuant à la détection, à l’identification et à la compréhension des risques systémiques au titre de l’article 34(1), et pour le 40(4) également à l’évaluation des mesures d’atténuation de l’article 35. Un acte délégué est entré en vigueur le 29 octobre 2025, instituant un portail centralisé d’accès aux données du DSA, des garanties procédurales et des catalogues de données des plateformes.

Le bilan applicatif, dans l’ordre

Il existe aussi un contre-courant. En septembre 2025, le Tribunal a annulé les décisions de 2023 relatives à la redevance de surveillance pour Facebook, Instagram et TikTok, parce que la méthode de comptage des utilisateurs aurait dû être adoptée par acte délégué plutôt que par décision d’exécution. Il n’a relevé aucune erreur quant à l’obligation de payer des plateformes et a maintenu provisoirement les effets des décisions, et la Commission a formé un pourvoi contre les deux arrêts. Le DSA ne gagne pas sur tous les points.

Le règlement (UE) 2022/1925 est la rupture conceptuelle la plus nette de tout le corpus. Le droit de la concurrence classique de l’article 102 TFUE est ex post : prouver la domination, prouver l’abus, prouver les effets, plaider pendant une décennie. Le DMA écarte tout cela. On désigne l’entreprise, et une liste d’interdictions et d’obligations s’applique immédiatement, sans qu’il faille démontrer un effet anticoncurrentiel dans le cas d’espèce.

La désignation et l’ensemble des obligations

L’article 3 désigne les contrôleurs d’accès par présomption quantitative : une entreprise fournissant un service de plateforme essentiel avec un chiffre d’affaires ou une capitalisation boursière significatifs dans l’UE, au moins 45 millions d’utilisateurs finaux actifs mensuels et 10 000 entreprises utilisatrices actives annuelles dans l’Union, sur trois exercices. Les catégories de services de plateforme essentiels de l’article 2 (intermédiation, recherche, réseaux sociaux, partage de vidéos, communications, systèmes d’exploitation, navigateurs, assistants virtuels, cloud, publicité) définissent le champ. Au 14 octobre 2026, sept entreprises sont désignées, pour 23 services de plateforme essentiels : Alphabet, Amazon, Apple, Booking, ByteDance, Meta et Microsoft.

L’essentiel tient en trois articles. L’article 5 contient les interdictions d’application directe : pas de combinaison de données à caractère personnel entre services de plateforme essentiels sans consentement, avec une alternative réellement équivalente et moins personnalisée pour ceux qui refusent (5, par. 2) ; pas d’anti-orientation, de sorte que les entreprises utilisatrices doivent être libres, gratuitement, de communiquer et de promouvoir des offres auprès des utilisateurs finaux et de conclure des contrats avec eux en dehors de la plateforme (5, par. 4) ; pas d’obligation d’utiliser le service d’identification, de paiement ou le moteur de navigation du contrôleur d’accès comme condition d’accès (5, par. 7) ; pas d’entrave au signalement de manquements aux autorités nationales par les entreprises utilisatrices (5, par. 6). L’article 6 contient les obligations susceptibles d’être précisées : pas d’autopréférence dans le classement (6, par. 5) ; autoriser les boutiques d’applications tierces et le chargement latéral (6, par. 4) ; une interopérabilité gratuite et effective avec les mêmes fonctionnalités matérielles et logicielles que celles dont disposent les services du contrôleur d’accès (6, par. 7) ; la portabilité des données (6, par. 9) ; l’accès des entreprises utilisatrices à leurs propres données de performance (6, par. 10). L’article 7 impose l’interopérabilité aux services de communications interpersonnelles non fondés sur la numérotation. L’article 11 exige un rapport de conformité dans les six mois suivant la désignation, mis à jour au moins une fois par an ; l’article 13 ajoute l’obligation anti-contournement, l’article 14 l’obligation d’informer la Commission des concentrations envisagées, et l’article 15 la description, auditée de manière indépendante, des techniques de profilage des consommateurs.

Ce que l’application a réellement établi

Le 23 avril 2025, la Commission a adopté ses premières décisions de manquement : 500 millions d’euros contre Apple au titre de l’article 5(4) et 200 millions contre Meta au titre de l’article 5(2). Les deux sont frappées de recours. Le 23 juillet 2026, elle en a ajouté deux contre Google : 460 millions d’euros pour autopréférence dans Google Search au titre de l’article 6(5) et 430 millions pour les restrictions anti-orientation dans Google Play au titre de l’article 5(4), avec 60 jours pour se mettre en conformité. Ensemble, 890 millions d’euros, elles constituent le montant le plus élevé infligé à ce jour au titre du DMA, bien que chaque amende prise isolément soit inférieure à celle d’Apple ; il n’est pas établi que Google ait formé un recours. Le contenu interprétatif de la décision Apple, publiée en version non confidentielle le 26 mai 2025, est néanmoins la production doctrinale la plus importante du DMA à ce jour. Trois principes s’en dégagent :

• La norme est l’habilitation active, non la simple non-obstruction. L’article 5(4) oblige les contrôleurs à permettre le steering sur le plan contractuel et technologique. Il ne suffit pas d’offrir la possibilité effective de steering en se bornant à ne pas l’entraver, ce qui aurait peut-être suffi au titre de l’article 102 TFUE.
• La conformité formelle ne suffit pas. La Commission a estimé que les choix offerts par Apple aux utilisateurs n’étaient pas réellement significatifs, les développeurs se heurtant à des commissions et à des barrières techniques. Les liens sortants étaient autorisés mais assortis de commissions allant jusqu’à 17 % sur les ventes réalisées sous sept jours.
• La conformité ne peut être moyennée. L’existence d’un jeu de conditions autorisant le steering ne compensait pas d’autres jeux qui ne l’autorisaient pas : chaque jeu de conditions contractuelles doit être conforme de façon autonome.

La décision Meta a appliqué la même logique au consentement. Le modèle binaire « payer ou consentir » (environ 9,99 à 12,99 euros par mois pour un service sans publicité, ou le consentement à la combinaison complète des données) a été jugé ne pas offrir l’alternative réellement équivalente et moins consommatrice de données qu’exige l’article 5, paragraphe 2. En décembre 2025, la Commission a pris acte de l’engagement de Meta d’offrir aux utilisateurs de l’UE, à partir de janvier 2026, le choix entre une publicité entièrement personnalisée et une option moins personnalisée partageant moins de leurs données.

Deux autres évolutions définissent la situation actuelle. D’abord, les procédures de spécification au titre de l’article 6, paragraphe 7 : en septembre 2024, la Commission a ouvert deux procédures sur l’obligation d’interopérabilité d’Apple pour iOS et iPadOS ; le 19 mars 2025, elle a adopté deux décisions de spécification, l’une précisant comment Apple doit ouvrir neuf fonctionnalités de connectivité d’iOS aux appareils connectés tiers, l’autre comment elle doit traiter les demandes d’interopérabilité des développeurs. Le même instrument a depuis été appliqué à Google : le 16 juillet 2026, la Commission a adopté deux décisions de spécification, l’une au titre de l’article 6, paragraphe 7, qui impose à Android d’offrir aux assistants d’IA concurrents l’accès dont disposent les services d’IA de Google, y compris l’activation par commande vocale et l’exécution d’actions dans les applications, les changements devant atteindre les utilisateurs à partir de juillet 2027 ; l’autre au titre de l’article 6, paragraphe 11, qui fixe la manière dont Google doit partager des données de recherche anonymisées avec les moteurs de recherche concurrents, y compris les chatbots d’IA dotés de fonctions de recherche, à partir de janvier 2027. Les décisions de spécification n’emportent pas d’amende ; les amendes infligées à Google le 23 juillet 2026, évoquées plus haut, résultent de décisions de manquement distinctes. Ensuite, le 8 juillet 2026, le Tribunal a rejeté dans leur intégralité les recours d’Apple contre sa désignation comme contrôleur d’accès, confirmant les obligations relatives à l’App Store et à iOS et fermant la voie par laquelle les contrôleurs d’accès désignés pouvaient contester les obligations d’interopérabilité au stade de la désignation. Apple a répondu par une escalade politique, affirmant publiquement que le DMA ne fonctionne pas et devrait être abrogé, et laissant entendre un report du déploiement européen de nouvelles fonctionnalités d’IA.

Le réexamen de 2026 : ce que la Commission a choisi de ne pas faire

L’article 53 imposait un réexamen au plus tard le 3 mai 2026. Le rapport de la Commission, nourri de plus de 450 contributions à la consultation, a conclu que le DMA apporte une valeur ajoutée par rapport à l’hypothèse de règles nationales fragmentées, n’impose aucune obligation directe aux PME et s’articule de manière cohérente avec le reste du corpus numérique. Malgré une forte demande des parties prenantes, le réexamen a conclu que les travaux futurs devraient se concentrer sur l’application de l’existant plutôt que sur l’élargissement du champ. Le BEUC, entre autres, avait demandé d’étendre l’interopérabilité aux réseaux sociaux, au cloud et aux infrastructures d’IA. La Commission entend conclure les enquêtes sur AWS et Azure dans les douze mois suivant leur ouverture le 18 novembre 2025, soit vers novembre 2026, et rendre compte de l’enquête sectorielle dans les dix-huit mois, vers mai 2027. Ce sont des objectifs, non des délais juridiques.

Le règlement (UE) 2024/1689 est entré en vigueur le 1^er août 2024 comme la première loi horizontale et complète sur l’IA au monde. Structurellement, c’est une réglementation de sécurité des produits : évaluation de la conformité, documentation technique, organismes notifiés, marquage CE, surveillance après commercialisation. Ce choix détermine à la fois ses forces et la manière précise dont il échoue aujourd’hui à arriver dans les temps.

Les quatre niveaux

Risque inacceptable (article 5), applicable depuis le 2 février 2025, couvre les techniques manipulatrices ou trompeuses altérant substantiellement le comportement ; l’exploitation de vulnérabilités liées à l’âge, au handicap ou à la situation socioéconomique ; la notation sociale conduisant à un traitement préjudiciable dans des contextes sans lien ; la prédiction du risque criminel individuel fondée uniquement sur le profilage ; le moissonnage non ciblé d’images faciales pour des bases de reconnaissance faciale ; l’inférence des émotions sur le lieu de travail et dans les établissements d’enseignement ; la catégorisation biométrique déduisant des attributs sensibles ; et l’identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives, sous réserve d’exceptions étroites.

Haut risque (article 6 et annexes) comporte deux portes d’entrée. Article 6(1) : le système est un composant de sécurité d’un produit couvert par la législation d’harmonisation de l’Union listée à l’annexe I. Article 6(2) : le système relève de l’annexe III (biométrie ; infrastructures critiques ; éducation ; emploi et gestion des travailleurs ; accès aux services essentiels, dont la solvabilité et la tarification de l’assurance ; répression ; migration et contrôle des frontières ; administration de la justice et processus démocratiques). L’article 6(3) fournit le filtre : un système de l’annexe III n’est pas à haut risque lorsqu’il ne présente pas de risque important de préjudice, mais le fournisseur doit documenter cette appréciation et enregistrer le système. Le chapitre III impose ensuite les obligations de fond : gestion des risques (art. 9), gouvernance des données (art. 10), documentation technique (art. 11), journalisation (art. 12), transparence envers les déployeurs (art. 13), contrôle humain (art. 14), exactitude et cybersécurité (art. 15), évaluation de la conformité (art. 43), enregistrement (art. 49). L’article 25 est le piège le plus souvent manqué. Un distributeur, importateur ou déployeur devient fournisseur, et assume l’intégralité des obligations, s’il appose son nom ou sa marque sur un système à haut risque, le modifie substantiellement ou en modifie la destination.

Risque de transparence (article 50) emporte des devoirs d’information : les utilisateurs doivent être informés qu’ils interagissent avec un système d’IA ; les contenus synthétiques doivent être marqués dans un format lisible par machine ; les hypertrucages et les textes générés par IA portant sur des questions d’intérêt public doivent être déclarés.

Risque minimal n’emporte aucune obligation propre à ce niveau, même si l’obligation de maîtrise de l’IA de l’article 4 s’applique aux fournisseurs et aux déployeurs de tous les systèmes d’IA. La Commission considère elle-même que la grande majorité des systèmes d’IA actuellement utilisés dans l’Union, comme les filtres anti-spam et les jeux vidéo utilisant l’IA, relèvent de cette catégorie. Il vaut la peine de le dire clairement, car on affirme souvent que l’AI Act réglemente toute l’IA. Ce n’est pas le cas, et il n’a jamais prétendu le faire.

Chapitre V : l’IA à usage général, et la controverse sur le calcul

Le chapitre V (articles 51 à 56) est un régime distinct superposé au reste, et c’est là que se posent les questions relatives aux modèles de pointe. L’article 3, point 63, définit un modèle GPAI comme un modèle entraîné sur de grandes quantités de données, présentant une généralité significative, capable d’exécuter de manière compétente un large éventail de tâches distinctes et pouvant être intégré dans des systèmes en aval. Les lignes directrices de la Commission de juillet 2025 ajoutent un critère indicatif de plus de 10^23 FLOP d’entraînement. Tout fournisseur de GPAI est soumis à l’article 53 : la documentation technique de l’annexe XI ; un dossier d’information de l’annexe XII destiné aux fournisseurs en aval ; une politique de respect du droit d’auteur de l’Union ; et un résumé public suffisamment détaillé des contenus d’entraînement. L’article 53, paragraphe 2, exempte partiellement les modèles publiés sous une licence réellement libre et ouverte, mais cette exemption ne s’applique pas du tout aux modèles présentant un risque systémique.

L’article 51 classe ensuite un sous-ensemble comme GPAI présentant un risque systémique : les modèles dotés de capacités à fort impact (51, par. 1, point a), ou désignés par décision de la Commission (51, par. 1, point b). L’article 51, paragraphe 2, fournit la présomption opérationnelle : une puissance de calcul cumulée d’entraînement supérieure à 10^25 FLOP. L’article 55 ajoute ensuite les obligations propres aux modèles de pointe : évaluation du modèle selon des protocoles normalisés, y compris des tests adverses documentés ; évaluation et atténuation des risques systémiques au niveau de l’Union ; suivi et signalement rapide des incidents graves ; protection adéquate en matière de cybersécurité. Les articles 53 et 55 étant rédigés à un niveau d’abstraction élevé, le détail opérationnel se trouve dans le code de bonnes pratiques pour les GPAI, finalisé le 10 juillet 2025 après trois projets et un texte final. Les analystes du CSET de Georgetown ont estimé que le chapitre sûreté et sécurité fixe une norme minimale de gestion des risques des modèles de pointe allant bien au-delà des pratiques du secteur de l’époque, à condition d’être largement adopté. Cette condition compte, car le code est volontaire. Volontaire ne veut pas dire juridiquement indifférent. L’adhésion est la voie que la Commission et le Comité IA ont confirmée comme moyen adéquat de démontrer le respect des obligations du chapitre V. Un fournisseur qui la refuse n’échappe pas aux obligations, seulement à cette manière de s’en acquitter.

Calendrier, application et le report qui a vraiment eu lieu

L’application échelonnée : interdictions et obligations de maîtrise de l’IA à partir du 2 février 2025 ; obligations relatives aux GPAI et structures de gouvernance à partir du 2 août 2025 ; la date générale d’application au 2 août 2026 ; les systèmes intégrés de l’annexe I initialement à partir du 2 août 2027. Puis le calendrier a glissé. L’AI Omnibus, proposé le 19 novembre 2025, a été détaché du Digital Omnibus plus large précisément parce que les échéances d’août 2026 approchaient. Le Parlement a adopté son mandat le 26 mars 2026 par 569 voix contre 45 ; le Conseil son orientation générale le 13 mars. Le deuxième trilogue politique, le 28 avril 2026, s’est achevé sans accord après une douzaine d’heures. Le point de blocage était l’articulation de l’AI Act avec le droit sectoriel existant de la sécurité des produits ; sur le report lui-même, les trois institutions avaient déjà convergé. L’accord a suivi le 7 mai, le Parlement l’a approuvé le 16 juin, le Conseil a donné son approbation finale le 29 juin, et le règlement est entré en vigueur le 27 juillet 2026, six jours avant l’échéance qu’il modifiait. Le report est réel, partiel et inégal au sein du niveau. Interdictions, obligations relatives aux GPAI et transparence restent toutes sur la trajectoire initiale ou presque. Au sein du niveau à haut risque, les deux voies ont bougé de façon différente : les systèmes autonomes de l’annexe III sont passés du 2 août 2026 au 2 décembre 2027, seize mois ; les systèmes intégrés à des produits de l’annexe I du 2 août 2027 au 2 août 2028, douze. L’Omnibus a aussi ajouté deux nouvelles interdictions à l’article 5, applicables à partir du 2 décembre 2026, et a réécrit l’obligation de maîtrise de l’IA de l’article 4, qui passe d’une obligation de garantir un niveau suffisant à une obligation de prendre des mesures pour le favoriser. Le même instrument a donc à la fois reporté, élargi et assoupli l’acte.

Le règlement (UE) 2023/2854 est l’instrument le moins commenté et, pour quiconque exploite des services cloud ou des produits connectés, l’un des plus perturbateurs sur le plan opérationnel de tout le corpus. Là où le GDPR régit les données à caractère personnel, le Data Act régit les données des produits et des services en tant que telles, personnelles ou non. Ces données sont principalement non personnelles, industrielles et générées par des machines, et le GDPR prévaut dès que des données personnelles sont en jeu. Le Data Act redistribue le contrôle de ces données par défaut.

Le changement de fournisseur cloud : le tranchant le plus vif

Le chapitre VI compte neuf articles (art. 23 à 31) sur cinquante et, pour l’industrie du logiciel, représente l’essentiel du poids pratique du règlement. Il impose aux fournisseurs de services de traitement de données de supprimer tous les obstacles précommerciaux, commerciaux, techniques, contractuels et organisationnels qui empêchent un client de passer à un autre fournisseur ou à une infrastructure sur site. L’article 25 prescrit le contenu contractuel obligatoire, et les chiffres sont nets : délai de préavis maximal pour engager le changement, deux mois ; période de transition pendant laquelle le changement s’opère, 30 jours calendaires (ou, en cas d’impossibilité technique, une alternative justifiée ne dépassant pas sept mois) ; période de récupération des données après la période de transition, au moins 30 jours ; effacement complet de toutes les données exportables à la fin de la récupération. Pour l’IaaS, les fournisseurs doivent permettre l’équivalence fonctionnelle dans le nouvel environnement. À partir du 12 janvier 2027, tous les frais de changement de fournisseur sont purement et simplement interdits.

L’échelonnement, et pourquoi les dates comptent ici plus que d’ordinaire

La cybersécurité est la partie du corpus où l’UE a choisi les directives plutôt que les règlements, et elle en paie le prix. Les obligations de fond sont raisonnables et largement peu controversées ; l’exécution a été la pire de tout l’acquis numérique.

L’article 21 de NIS2 fixe dix mesures de base de gestion des risques, dont l’analyse des risques, la gestion des incidents, la continuité des activités, la sécurité de la chaîne d’approvisionnement, la cyberhygiène, les politiques de cryptographie et l’authentification multifacteur. L’article 23 organise la cascade de notification : alerte précoce dans les 24 heures, notification de l’incident dans les 72 heures, rapport final dans un délai d’un mois. L’article 20 est la disposition qui change les comportements : les organes de direction doivent approuver et superviser les mesures de gestion des risques et peuvent être tenus responsables des violations commises par l’entité (art. 20, par. 1) ; pour les entités essentielles, l’article 32, paragraphe 6, exige en outre que les personnes physiques responsables puissent être tenues responsables du manquement à leurs obligations. Pour les entités essentielles, les États membres doivent prévoir des amendes maximales d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires mondial.

Le 19 novembre 2025, la Commission a publié le Digital Omnibus. C’est le développement le plus significatif dans ce domaine depuis le GDPR. Son importance tient moins à son contenu qu’à ce qu’il concède : que le corpus que l’Union a mis six ans à construire est suffisamment lourd et incohérent en interne pour exiger une réparation structurelle avant même d’avoir fini d’arriver.

Les deux voies, et leurs destins fort différents

Le paquet s’est scindé immédiatement. L’AI Omnibus (COM(2025) 836) a été détaché parce que les échéances de l’AI Act d’août 2026 étaient imminentes ; il est entré en vigueur le 27 juillet 2026. Le Data Omnibus (COM(2025) 837), qui porte les modifications du GDPR, d’ePrivacy, du Data Act, du DGA et de NIS2, non. Il demeure devant le Conseil. Les quatre réformes principales du GDPR proposées par la Commission étaient : un critère relatif à l’entité pour la donnée personnelle à l’article 4, paragraphe 1 ; un nouvel article 41 bis habilitant la Commission à fixer, par voie d’actes d’exécution, les moyens et critères permettant de déterminer quand des données pseudonymisées cessent d’être personnelles ; le transfert du consentement aux cookies vers un nouvel article 88 bis du GDPR ; et un nouvel article 88 quater prévoyant une base expresse d’intérêt légitime pour l’entraînement des modèles d’IA.

Les régulateurs ont réagi, durement

L’EDPB et l’EDPS ont adopté l’avis conjoint 1/2026 sur l’AI Omnibus et l’avis conjoint 2/2026 sur le Data Omnibus. Ils ont soutenu de manière générale les objectifs de simplification, mais sur le cœur du Data Omnibus (avis conjoint 2/2026), ils ont été sans ambiguïté : la modification de la définition des données à caractère personnel va bien au-delà d’un ajustement ciblé et restreindrait sensiblement la notion ; le pouvoir d’adopter des actes d’exécution de l’article 41 bis ne devrait pas être confié à la Commission ; l’article 88 quater est inutile, un avis existant de l’EDPB ayant déjà confirmé que l’intérêt légitime peut servir de base au développement de l’IA. La réponse du Conseil a évolué dans les deux sens. En mai 2026, les textes de compromis successifs de la présidence chypriote avaient supprimé trois des quatre principales réformes du GDPR proposées par la Commission, et fin juin la présidence a retiré son texte du COREPER faute de majorité qualifiée. Le compromis révisé de la présidence irlandaise du 3 septembre 2026 (ST 12535/26, document à diffusion restreinte publié par noyb et depuis rendu public dans le registre du Conseil) a ensuite rétabli une clause d’intérêt légitime pour l’IA sous la forme d’un nouvel article 88 bis, sans les garanties de la Commission, notamment le droit inconditionnel d’opposition. Il a aussi déplacé le traitement des données pseudonymisées dans un nouvel article 25 bis inspiré de l’arrêt EDPS c. SRB, et renvoyé le consentement aux cookies à la directive ePrivacy. Un nouveau texte révisé a servi de base à la réunion du groupe Antici du 25 septembre (ST 13112/26), et le 2 octobre le secrétariat général du Conseil a soumis au Coreper un projet de mandat de négociation de 163 pages (ST 13886/26, document à diffusion restreinte obtenu par Agence Europe). Le texte devait être soumis au vote du Coreper II le 11 octobre 2026 ; selon Agence Europe, il n’a été ni discuté ni voté, après un premier report le 7 octobre sous la pression de l’Allemagne et de la France. Agence Europe a rapporté le 20 octobre qu’une version révisée, renforçant la protection des secrets d’affaires et prévoyant un rapport de la Commission sur la proportionnalité des obligations des PME, devait être examinée par le Coreper le 21 octobre ; aucun résultat de cette réunion n’avait été publié lors de la vérification, le 21 octobre 2026. Au Parlement, le dossier est toujours devant la commission conjointe ITRE–LIBE, qui a reçu son projet de rapport en juin 2026 et des amendements en juillet mais n’a pas voté. Au 21 octobre 2026, aucun mandat du Conseil n’a été signalé, et il n’y a ni position du Parlement ni trilogue ; aucune des modifications proposées du GDPR, de la directive ePrivacy ou du Data Act n’est du droit en vigueur.

Lu comme un tout plutôt que comme sept chantiers de conformité séparés, le cadre numérique européen présente six tensions qui expliquent l’essentiel de ce qui suit.

1. L’écart entre ambition et capacité est la variable maîtresse

Tous les instruments traités ici promettent plus de supervision que leur superviseur ne peut en fournir. On peut donc s’attendre à ce que l’application demeure sélective, lente et concentrée sur un petit nombre de très grandes entreprises.

2. Application annoncée et application réalisée sont des grandeurs distinctes

Annoncé ne veut pas dire perçu : la DPC irlandaise a perçu de l’ordre de 20 millions d’euros face à plus de 4 milliards infligés. Trois questions s’appliquent à tout chiffre affiché en une : est-il définitif ? a-t-il été perçu ? le comportement a-t-il changé ? À la troisième on répond souvent oui quand aux deux premières on répond non. Le résultat qui compte est le changement de comportement. La recette, non.

3. Le flou est une délégation, et la délégation déplace le pouvoir vers l’exécutif

Les standards opérationnels de ce corpus (risque systémique, capacités à fort impact, interopérabilité effective, alternative réellement équivalente) sont presque tous ouverts. Le contenu effectif de la loi est fixé par les lignes directrices de la Commission, les actes délégués, les codes de bonnes pratiques et les normes harmonisées, plutôt que par le législateur.

4. Le chevauchement est délibéré, et son coût pèse sur ceux qui se conforment

Un seul système de recommandation peut mobiliser simultanément les articles 6, 22 et 35 du GDPR, les articles 27, 34, 35 et 38 du DSA, les devoirs de transparence de l’AI Act et l’article 5(2) du DMA si l’opérateur est contrôleur d’accès. La stratégie rationnelle de conformité consiste à bâtir un jeu de contrôles unique, mappé sur plusieurs régimes.

5. Le corpus est désormais un objet de politique étrangère

Toutes les entreprises désignées comme contrôleurs d’accès et presque toutes les VLOP sont non européennes. Cela pèse sur le calendrier des décisions, sur le choix entre amendes et engagements, et sur la viabilité politique d’un élargissement du champ d’application.

6. Le pendule a oscillé, et il oscillera de nouveau

2016-2024 a été la phase d’accumulation. 2025-2027 est la phase de consolidation. Mais la consolidation est contestée de l’intérieur : le Conseil n’a toujours pas arrêté de mandat sur les réformes du GDPR proposées par la Commission elle-même, tandis que les colégislateurs ont utilisé l’AI Omnibus pour ajouter de nouvelles interdictions au moment même où ils reportaient le niveau à haut risque. Simplification et expansion se produisent dans le même instrument.

Tout ce que contiennent les Parties I à IX décrit une Union qui légifère bien et produit peu. C’est désormais le diagnostic officiel, non une critique extérieure.

Le diagnostic : ce que Draghi a réellement dit

The Future of European Competitiveness de Mario Draghi (septembre 2024) est le document charnière de cette période. Draghi affirme explicitement que l’écart de productivité entre l’UE et les États-Unis s’explique en grande partie par le secteur technologique. Environ 70 % des modèles d’IA de fondation ont été développés aux États-Unis depuis 2017, et trois hyperscalers américains détiennent plus de 65 % du marché mondial et européen du cloud. Le premier opérateur européen ne détient que 2 % du marché de l’UE, et la part cumulée des fournisseurs européens était tombée sous 16 % en 2021. Le constat sans détour de Draghi est que l’Union a perdu le marché du cloud. Il a toutefois identifié des segments où les entreprises européennes conservent une position crédible (la robotique autonome, avec environ 22 % de l’activité mondiale, les services d’IA avec environ 17 %) et soutenu que le coup décisif est l’intégration verticale de l’IA dans les points forts industriels européens : pharmacie, énergie, automobile. Draghi a aussi désigné le corpus réglementaire lui-même comme une partie du problème : un enchevêtrement complexe de règles qui se chevauchent et produisent un retard d’innovation.

La réponse : le Tech Sovereignty Package

Le 3 juin 2026, la Commission a publié l’European Technological Sovereignty Package, qui positionne la seconde Commission von der Leyen en transition de superpuissance réglementaire à puissance productive. Sa pièce maîtresse, le Cloud and AI Development Act, repose sur une double base juridique : l’article 114 TFUE (marché intérieur) et l’article 173, paragraphe 3, TFUE (compétitivité industrielle). Le Chips Act (règlement (UE) 2023/1781) repose déjà sur le même couple de bases juridiques.

Ce que les données suggèrent que l’Europe devrait vraiment faire

1. Réparer d’abord la couche physique. Permis, raccordement au réseau et délais de mise sous tension sont le désavantage européen mesurable, et ils relèvent entièrement des politiques européennes.
2. Privilégier l’adoption plutôt que la création. Il est peu probable que l’Europe remporte la course aux modèles de fondation ; elle peut plausiblement l’emporter sur la productivité en intégrant verticalement les modèles existants dans les secteurs où elle est déjà en tête.
3. Résoudre le capital de croissance, non le capital d’amorçage. Le mode d’échec récurrent est celui d’entreprises européennes qui se créent avec succès puis ne parviennent pas à changer d’échelle.
4. Faire de la souveraineté un objet d’évaluation du risque plutôt que de déclaration : identifier quelles menaces précises à la souveraineté prioriser, et en quantifier probabilité et conséquence.
5. Réduire la charge cumulée par l’architecture, non par des exonérations. L’échec de l’Omnibus jusqu’ici suggère que des dérogations de fond sans réforme institutionnelle n’accomplissent pas grand-chose.

Deux questions, délibérément tenues séparées parce qu’elles appellent des réponses différentes. Premièrement : mesuré à l’aune des objectifs qu’il s’est fixés, le corpus fonctionne-t-il ? Deuxièmement : ce corps de règles limite-t-il le pouvoir de l’État sur les citoyens, ou en construit-il l’infrastructure ?

Première partie : un bilan au regard des affirmations de l’UE elle-même

Le schéma est constant. L’UE excelle à définir des obligations et à établir des normes qui voyagent à l’international, se débrouille correctement pour forcer des changements de comportement chez les grandes entreprises, et échoue sur une application rapide, définitive et recouvrable. Elle promet systématiquement trop sur les délais et dote trop peu la supervision. C’est une critique réelle, mais elle porte sur l’exécution plutôt que sur la sincérité : rien ne prouve sérieusement que les objectifs affichés soient prétextuels.

Deuxième partie : la question verticale, entreprises contre États

Ici, le tableau change nettement. Presque chaque instrument de cette note encadre le pouvoir privé. Les limites au pouvoir public sont plus minces, et le plus minces là où les enjeux sont les plus élevés. L’article 4, paragraphe 2, TUE réserve la sécurité nationale aux États membres, et l’AI Act ne s’applique pas aux systèmes d’IA mis sur le marché, mis en service ou utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale (art. 2, par. 3). La Cour de justice a toutefois refusé qu’une finalité de sécurité nationale fasse sortir du droit de l’Union une législation nationale obligeant les fournisseurs à transmettre des données de communications aux services de renseignement (Privacy International, C-623/17), ce qui limite la portée de l’exclusion. L’analyse du CDT désigne le danger précis. L’AI Act définit les activités répressives de façon assez large pour qu’elles recoupent la sécurité nationale, de sorte qu’une autorité pourrait échapper aux restrictions sur l’identification biométrique en temps réel en invoquant la seule sécurité nationale.

Les contrepoids sont réels et ne doivent pas être minimisés

La Charte des droits fondamentaux lie les États membres lorsqu’ils mettent en œuvre le droit de l’Union, et la CJUE l’a utilisée à maintes reprises contre des mesures de surveillance, de la manière la plus constante dans la jurisprudence sur la conservation des données, de Digital Rights Ireland à Tele2 puis à La Quadrature du Net. Les interdictions de l’article 5 lient aussi les autorités publiques : la notation sociale par les pouvoirs publics, la police prédictive fondée uniquement sur le profilage et la reconnaissance des émotions sur le lieu de travail et à l’école sont purement et simplement interdites, pour les États comme pour les entreprises. Rares sont les juridictions comparables à avoir adopté une liste contraignante d’une telle ampleur. La supervision indépendante est structurellement ancrée : l’EDPS contrôle les institutions de l’Union elles-mêmes et s’est publiquement opposé à des propositions législatives de la Commission. Et, selon la lecture de cette note, le Parlement européen a été, sur toute cette période, l’un des défenseurs institutionnels les plus constants de la vie privée.