Tronc commun / CEJM / CEJM appliqué — La régulation européenne du numérique

CEJM appliqué — La régulation européenne du numérique

L'Union européenne a construit en quelques années un ensemble de textes qui encadre le numérique : données, plateformes, intelligence artificielle, cybersécurité. Savoir qui fait quoi est devenu une compétence professionnelle.

1. Le paysage réglementaire

2. Règlement ou directive

La distinction, vue au thème 2, commande tout le reste.

Conséquence pratique : le RGPD s'est appliqué le même jour partout, le 25 mai 2018. NIS 2, étant une directive, dépend de la loi de transposition de chaque État — d'où des calendriers et des périmètres qui varient d'un pays à l'autre.

3. DMA et DSA

Les deux textes répondent au diagnostic du thème 1 : les effets de réseau produisent spontanément des positions dominantes que le droit de la concurrence classique, trop lent, ne parvenait pas à corriger. Le DMA agit ex ante — il pose des interdictions par avance, au lieu de sanctionner après enquête.

4. L'AI Act

Premier cadre juridique complet au monde sur l'intelligence artificielle. Son approche est graduée par le risque : plus l'usage est risqué pour les droits fondamentaux, plus les obligations sont lourdes.

S'y ajoute un régime propre aux modèles d'IA à usage général : documentation technique, respect du droit d'auteur, résumé des données d'entraînement, et obligations renforcées pour les modèles présentant un risque systémique.

Sanctions : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites — un plafond supérieur à celui du RGPD.

Articulation à comprendre : le RGPD encadre les données utilisées, l'AI Act encadre le système lui-même. Les deux se cumulent. Entraîner un modèle sur des données personnelles sans base légale reste une violation du RGPD, indépendamment de la conformité à l'AI Act.

5. NIS et NIS 2

NIS (Network and Information Security) est la première directive européenne sur la cybersécurité, adoptée en 2016. Elle visait les opérateurs de services essentiels et les fournisseurs de services numériques, dans un périmètre étroit et interprété différemment selon les États.

NIS 2, adoptée en 2022, corrige ces défauts.

Les obligations

• Analyse de risques et politique de sécurité des systèmes d'information.
• Gestion des incidents : détection, traitement, retour d'expérience.
• Continuité d'activité : sauvegardes, gestion de crise, PRA — voir la fiche PRA, PCA et sauvegardes.
• Sécurité de la chaîne d'approvisionnement, y compris les prestataires.
• Chiffrement, authentification multifacteur, communications sécurisées.
• Formation à la cybersécurité, y compris des dirigeants.

La notification d'incident

Ne pas confondre les deux délais de 72 heures. Le RGPD impose une notification à la CNIL en cas de violation de données personnelles ; NIS 2 impose une notification au CSIRT en cas d'incident de sécurité significatif, même sans données personnelles concernées. Une attaque peut déclencher les deux, ou une seule.

En France, c'est l'ANSSI qui pilote la mise en œuvre de NIS 2 et qui héberge le CERT-FR.

6. Data Act et Cyber Resilience Act

Le Data Act s'attaque directement au vendor lock-in : c'est la traduction réglementaire de la clause de réversibilité vue dans la fiche Contrats et services informatiques.

7. Ce que cela implique concrètement

Le fil conducteur commun à tous ces textes est l'accountability : il ne suffit plus d'être conforme, il faut pouvoir le prouver, documents à l'appui. C'est le même principe que celui posé par l'article 5.2 du RGPD, désormais étendu à la cybersécurité, à l'IA et aux produits.