RGPD, AI Act, DSA, DMA, DORA, NIS 2 : comment les articuler en 2026
En 1999, Lawrence Lessig posait une thèse simple : dans le monde numérique, le code informatique fait office de droit. Il contraint, autorise, interdit, et tout cela sans législateur visible.
En 2026, l’Union Européenne cherche à retourner l’argument. Ce n’est plus le code qui fait la loi : c’est la loi qui réécrit le code. RGPD, AI Act, DSA, DMA, DORA, NIS 2, Data Act, Data Governance Act, ePrivacy : neuf textes majeurs en moins de dix ans, souvent pensés en parallèle mais rarement ensemble. Chacun est légitime dans sa justification. Collectivement, c’est un empilement que même les juristes spécialisés peinent à cartographier dans sa totalité.
Ce corpus soulève une question que l’Europe esquive : à quel coût ? La densité réglementaire a un prix, et ce sont les acteurs européens qui le payent en premier. Avant d’y répondre (ou de refuser d’y répondre) encore faut-il comprendre ce qu’on a construit.
Cet article ne propose pas un résumé de plus. Il propose une lecture par le flux : suivre une donnée dans le cycle de vie d’une entreprise, identifier à chaque étape quel texte entre en jeu, et pourquoi l’articulation entre ces textes est un problème autant qu’une solution.
Le cycle de vie d’une donnée
L’entrée : d’où vient la donnée ? (RGPD, ePrivacy, Data Act)
La première question n’est pas juridique mais ontologique : qui ou quoi a produit cette donnée ? Si c’est une personne, le RGPD s’applique dès la collecte et il est nécessaire d’appliquer des concepts comme base légale, information, minimisation. Si la collecte passe par un terminal (cookie, traceur, prospection électronique), ePrivacy se superpose et conditionne le consentement en amont, avant même que le RGPD entre en jeu. Si c’est un objet connecté (capteur industriel, véhicule, équipement médical) le Data Act régit à qui appartient la donnée générée et dans quelles conditions elle peut être partagée avec le fabricant, l’utilisateur ou un tiers.
Trois textes, trois logiques d’origine. L’erreur classique est de traiter ePrivacy comme une sous-couche du RGPD, mais c’est inexact : ePrivacy est une lex specialis qui prime sur le RGPD pour tout ce qui concerne les communications électroniques.
Le traitement : que fait-on de la donnée ? (AI Act, Data Governance Act)
Une fois collectée, la donnée entre dans les processus métier. Si un système d’IA l’analyse, la classe ou génère une décision à partir d’elle, l’AI Act impose une qualification du risque du système concerné, et de ce fait des obligations proportionnelles. Un algorithme de scoring RH n’a pas les mêmes contraintes qu’un chatbot de service client, même s’ils manipulent des données similaires.
Le Data Governance Act intervient sur un autre plan : les conditions de réutilisation et de partage, notamment des données publiques et des données issues d’espaces de données sectoriels. Il pose les règles du marché secondaire de la donnée : un périmètre souvent ignoré jusqu’à ce qu’on veuille monétiser ou mutualiser un jeu de données.
La distribution : par quelle infrastructure ? (DMA)
Avant même de publier ou diffuser se pose la question du canal. Si la distribution passe par une plateforme qualifiée de gatekeeper au sens du DMA (store applicatif, moteur de recherche dominant, réseau social systémique) le texte impose des obligations structurelles à ce gatekeeper : interopérabilité, accès aux données générées sur la plateforme, interdiction des pratiques d’auto-préférence.
Le DMA n’agit pas sur la donnée individuelle mais sur les conditions de marché dans lesquelles la donnée circule. C’est un texte de régulation économique habillé en droit numérique et cela explique pourquoi il est souvent mal intégré dans les cartographies de conformité.
La diffusion : que devient la donnée une fois publique ? (DSA)
Si la donnée devient contenu (publié, indexé, partagé) le DSA prend le relais. Il régit les obligations des plateformes en matière de modération, de transparence algorithmique et de signalement des contenus illicites. Pour une entreprise qui opère sa propre plateforme ou marketplace, les obligations varient selon le volume d’utilisateurs et la nature des contenus hébergés.
Point d’articulation à ne pas manquer : DSA et DMA s’appliquent souvent aux mêmes acteurs (les grandes plateformes) mais avec des objets distincts. Le DMA régule la structure du marché, le DSA régule les contenus. Les confondre génère des angles morts dans l’analyse de conformité.
La protection : et si tout saute ? (DORA, NIS 2)
La résilience opérationnelle est le dernier maillon. NIS 2 élargit le périmètre des entités soumises à des obligations de cybersécurité, y compris des acteurs de taille intermédiaire dans des secteurs critiques. DORA couvre spécifiquement le secteur financier avec des exigences renforcées sur la gestion des risques liés aux tiers et les tests de résilience.
La règle de lex specialis s’applique ici sans ambiguïté : dans la finance, DORA prime sur NIS 2. Hors secteur financier, NIS 2 est le texte de référence. Traiter les deux comme interchangeables est une erreur d’analyse qui a des conséquences pratiques sur la désignation des responsables et la hiérarchie des obligations déclaratives.
La gouvernance numérique intégrée
Et si on arrêtait de raisonner texte par texte ?
On pourrait croire que l’erreur structurelle la plus fréquente est de mal connaître un texte, or c’est de les traiter en silos. Un DPO qui ne parle pas au RSSI. Un juriste AI Act qui ignore le Data Governance Act. Un service conformité qui découvre le DMA au moment d’un référencement sur une plateforme tierce.
Le cycle de vie d’une donnée ne respecte pas les frontières réglementaires et la gouvernance ne devrait pas non plus.
Sauf que cette transversalité n’a jamais été outillée au niveau législatif. Les textes ont été produits par des directions générales différentes, sur des calendriers différents, avec des définitions qui ne se recoupent pas toujours. Le terme « donnée » n’a pas strictement le même périmètre dans le RGPD, le Data Act et le Data Governance Act. Les notions de responsabilité varient. Les autorités de contrôle compétentes se chevauchent. Ce n’est pas seulement un détail technique, on considère cela comme un défaut de conception que les praticiens absorbent quotidiennement, sans que le législateur n’en tire de conséquences visibles.
Ce que le corpus impose en creux est donc une lecture transversale que personne n’a formellement organisée : identifier les points de jonction entre textes, anticiper les conflits de normes, désigner clairement qui est responsable de quoi à chaque étape du flux. Les outils RegTech peuvent utilement cartographier les obligations et automatiser la veille mais l’articulation entre textes, notamment là où les logiques se heurtent, reste un exercice d’analyse juridique que l’outil ne fait pas à la place du juriste. Et que le législateur européen n’a pas fait non plus.
Le législateur européen semble cependant prendre la mesure du problème. Le 19 novembre 2025, la Commission a présenté un Digital Omnibus, consistant en deux textes visant à simplifier le corpus : l’un amendant le RGPD, ePrivacy, NIS 2 et le Data Act, l’autre amendant l’AI Act. Les propositions sont significatives : le Data Governance Act serait fusionné dans le Data Act, supprimant un texte autonome que cet article mentionne comme structurant. Plus notable encore, les règles d’accès aux terminaux actuellement portées par ePrivacy migreraient vers le RGPD, effaçant précisément la distinction de lex specialis sur laquelle repose une partie de l’analyse de conformité actuelle.
Ces propositions sont encore en cours de discussion et n’ont aucun effet juridique à ce stade. Mais leur existence dit quelque chose : on envisage de réécrire un corpus avant même qu’il soit pleinement appliqué. C’est moins une réforme qu’un aveu.
Se situer dans le paysage réglementaire
Entrepreneur / PME numérique
Le socle obligatoire commence au RGPD et ePrivacy, les deux sont indissociables dès qu’un site collecte des données via formulaire ou traceur. Le premier angle mort fréquent est de traiter ePrivacy comme une sous-couche du RGPD alors qu’il prime sur lui pour toute collecte via terminal, comme mentionné précédemment. L’AI Act entre en jeu dès qu’un outil tiers intégré en production (outil de scoring, de génération de contenu, de recommandation) relève d’une catégorie à risque. Être utilisateur et non développeur du système ne dispense pas des obligations.
Grande entreprise – secteur non financier
Le portefeuille est complet : RGPD, ePrivacy, AI Act, NIS 2, DSA selon l’activité, Data Governance Act dès qu’un projet implique du partage ou de la réutilisation de données sectorielles. Deux points d’articulation à ne pas sous-estimer : NIS 2 a élargi le périmètre des entités concernées bien au-delà des opérateurs critiques historiques et la qualification doit de ce fait être vérifiée, pas seulement supposée. Le DGA reste le texte le plus ignoré du corpus, alors qu’il conditionne la légalité de modèles économiques entiers dès qu’on touche à la donnée comme actif partagé.
Acteur du secteur financier
DORA restructure le cadre de référence. Il prime sur NIS 2 pour les entités financières mais NIS 2 reste applicable sur les périmètres que DORA ne couvre pas explicitement, ce qui suppose une lecture en complémentarité et non en substitution. L’AI Act ajoute une couche spécifique sur les systèmes de scoring, de détection de fraude et de conseil automatisé. Cela crée un point critique : un incident causé par un système IA est simultanément un incident opérationnel au sens de DORA, avec ses délais de notification propres : 4 heures suivant la classification. La procédure de gestion des incidents IA doit être intégrée au dispositif DORA, et pas seulement traitée en silo par l’équipe conformité AI Act.
Plateforme numérique / marketplace
DSA et DMA s’appliquent souvent simultanément mais sur des objets radicalement distincts : l’un régule les contenus, l’autre la structure du marché. Les traiter comme un bloc homogène génère des angles morts dans l’analyse de conformité. La qualification de gatekeeper au sens du DMA est un seuil à surveiller activement : les obligations associées sont sans commune mesure avec le régime standard DSA, et le franchissement du seuil peut intervenir plus vite que prévu dans une trajectoire de croissance. L’AI Act se superpose dès que la plateforme intègre des systèmes de recommandation ou de modération algorithmique.
La conformité comme question politique
Neuf textes en dix ans, et pourtant aucun architecte d’ensemble.
Le mille-feuille réglementaire européen n’est pas le produit d’une vision globale cohérente, mais plutôt celui d’une succession de réponses législatives à des urgences perçues. Le RGPD répondait aux scandales de données, le DSA et le DMA aux excès des plateformes, l’AI Act à la panique suscitée par l’IA générative, DORA à la fragilité systémique du secteur financier. Chaque texte avait sa justification, mais aucun n’a été conçu en regardant ce que les autres faisaient déjà.
Le résultat est un corpus que les juristes spécialisés peinent eux-mêmes à cartographier dans sa totalité en dépit de leur compétence, et ce parce que l’articulation entre textes n’a jamais été réellement travaillée au niveau législatif. Les conflits de normes, les zones grises, les chevauchements de compétence entre autorités de contrôle sont gérées par les praticiens au cas par cas, souvent dans l’incertitude.
Pendant ce temps, les économies qui dominent l’innovation numérique avancent sans équivalent réglementaire. Ce n’est pas un argument pour l’absence de règles mais une raison de se poser la question honnêtement : est-ce que l’Europe évalue le coût systémique qu’elle impose à ses propres acteurs ? Est-ce que la densité réglementaire produit la protection qu’elle promet, ou produit-elle surtout de la complexité exportée vers les entreprises qui n’ont pas les moyens de la digérer ?
La réponse n’est pas dans cet article. Mais en 2026, alors que plusieurs textes sont encore en phase d’application progressive et que la doctrine des autorités de contrôle se construit en temps réel, c’est la bonne question à poser, avant la prochaine directive.
L’analyse, le cadrage juridique et les choix éditoriaux de cet article relèvent d’un travail humain. La rédaction a bénéficié d’une assistance par IA, intégralement relue, corrigée et validée par l’auteure.
Rédigé par Anne-Sophie, Juriste en droit des affaires et droit du numérique | 15 ans d’expérience
Diplômée en droit international des affaires et certifiée CIPP/E, Anne-Sophie a construit son expertise en entreprise, au contact des enjeux contractuels et réglementaires liés à l’innovation technologique et au numérique.
Elle accompagne depuis 3 ans les entrepreneurs et startups dans la sécurisation de leurs usages de l’IA : rédaction et négociation de contrats, mise en conformité RGPD et AI Act et gouvernance opérationnelle avec une approche concrète, adaptée aux réalités du terrain