27 textes. 27 échéances datées.

Cloud and AI Development Act

COM(2026) 502 final

Cadre de mesures pour renforcer l'écosystème européen du nuage et de l'IA. Son article 16 institue un cadre de souveraineté de l'informatique en nuage de l'Union, à QUATRE NIVEAUX D'ASSURANCE définis à l'annexe II. Niveau 1 : données traitées et stockées sur une infrastructure située dans l'Union. Niveau 2 : indépendance à l'égard des pays tiers et transparence de la chaîne d'approvisionnement logicielle. Niveau 3 : fournisseur détenu et contrôlé depuis l'Union, avec des critères allant jusqu'à la nationalité du personnel. Niveau 4 : transparence et contrôle complets sur la chaîne logicielle, aucune interférence d'un pays tiers.

Qui Fournisseurs de services d'informatique en nuage, et organismes du secteur public qui choisissent leur niveau d'assurance selon leur analyse de risque.

Autorité Audits conduits par les États membres

en préparation notre mesure des appels tiers éclaire le niveau 2 — indépendance et transparence de la chaîne — mais ne décerne aucun niveau

Procédure 2026/0138(COD). Motif énoncé au texte : trois fournisseurs non européens contrôlent plus de 70 % du marché européen du nuage, et relèvent de juridictions dont les lois à effet extraterritorial peuvent entrer en conflit avec le droit européen.

⚠️ proposition de la Commission — procédure législative en cours, pas encore applicable

Échéances 3 juin 2026 — Proposition adoptée par la Commission

Cloud Sovereignty Framework

Cadre d'évaluation de la Commission européenne (hors ELI)

Outil d'évaluation de la souveraineté d'un service de nuage. 48 critères en 8 catégories — stratégie, droit, exploitation, environnement, transparence de la chaîne d'approvisionnement, ouverture technologique, sécurité, conformité au droit de l'Union — notés en niveaux SEAL, de SEAL-0 (absence complète de souveraineté) à SEAL-4 (chaîne d'approvisionnement entièrement européenne, de la puce au logiciel).

Qui Tout répondant à un marché public de nuage de l'Union. La Commission encourage explicitement TOUTES les organisations, publiques comme privées, à s'en servir.

Autorité Commission européenne

en préparation notre mesure des appels tiers éclaire la catégorie « transparence de la chaîne d'approvisionnement », pas les 48 critères

Ce cadre n'est PAS une loi et n'a pas besoin de l'être : il est déjà appliqué. Les quatre attributaires d'avril 2026 sont européens — Post Telecom avec OVHcloud et CleverCloud, STACKIT, Scaleway, et Proximus avec S3NS, Clarence et Mistral.

Échéances 17 avril 2026 — Premier marché attribué sur ce cadre — 180 M€ sur six ans, quatre attributaires, exigence minimale SEAL-2

European Accessibility Act

Directive 2019/882

Exigences d'accessibilité applicables aux produits et aux services.

Qui Entreprises fournissant au public un service couvert : commerce en ligne, services bancaires aux consommateurs, transport de voyageurs, communications électroniques, livres numériques. Microentreprises de services exemptées.

En France Ordonnance n° 2023-859 du 6 septembre 2023 · décret n° 2023-931 du 9 octobre 2023 · arrêté du 9 octobre 2023

Autorité DGCCRF

Sanction Contravention de 5ᵉ classe (article R. 451-4 du code de la consommation), par manquement constaté. source

instrumenté sonde-a11y.py — 14 des 19 critères du RGAA établissables sur le document servi, le reste déclaré hors de portée

Échéances 28 juin 2022 — Transposition par les États membres · 28 juin 2025 — Applicable aux services fournis à compter de cette date

Accessibilité du secteur public

Directive 2016/2102

Accessibilité des sites internet et applications mobiles des organismes du secteur public.

Qui État, collectivités territoriales, établissements publics, délégataires de service public.

En France Loi n° 2005-102 du 11 février 2005, article 47 ; sanctions à l'article 47-1

Autorité ARCOM

Sanction 50 000 € au maximum pour le manquement du I de l'article 47 ; 25 000 € pour ceux des III et IV ; renouvelable si le manquement perdure six mois après une sanction. source

instrumenté sonde-a11y.py — 14 des 19 critères du RGAA établissables sur le document servi, le reste déclaré hors de portée

RGPD

Règlement 2016/679

Protection des personnes physiques à l'égard du traitement des données à caractère personnel.

Qui Tout responsable de traitement ou sous-traitant établi dans l'Union, et hors de l'Union lorsqu'il vise des personnes qui s'y trouvent.

En France Loi n° 78-17 du 6 janvier 1978 modifiée

Autorité CNIL

Échéances 25 mai 2018 — Applicable

ePrivacy — traceurs et communications

Directive 2002/58/CE (hors ELI)

Vie privée dans les communications électroniques : traceurs, cookies, prospection.

Qui Tout éditeur déposant ou lisant une information sur le terminal d'un utilisateur.

En France Article 82 de la loi n° 78-17

Autorité CNIL

Le Digital Omnibus propose d'en moderniser les règles sur les traceurs.

Data Act

Règlement (UE) 2023/2854

Règles équitables d'accès aux données et d'utilisation des données générées par les produits connectés.

Qui Fabricants, détenteurs de données, fournisseurs de services connexes, et les utilisateurs de produits connectés.

Autorité à désigner par les États membres

Échéances 11 janvier 2024 — Entrée en vigueur · 12 septembre 2025 — Applicable — droits d'accès et de transmission · 12 septembre 2026 — Obligation de conception : produits mis sur le marché à compter de cette date

Data Governance Act

Règlement 2022/868

Gouvernance européenne des données : réutilisation, intermédiation, altruisme.

Qui Organismes du secteur public, services d'intermédiation de données.

⚠️ abrogation proposée par le Digital Omnibus (COM(2025) 837) — encore applicable

Échéances 24 septembre 2023 — Applicable

Libre flux des données non personnelles

Règlement 2018/1807

Interdiction des exigences de localisation des données non personnelles.

Qui Fournisseurs et utilisateurs de services de traitement de données.

⚠️ abrogation proposée par le Digital Omnibus (COM(2025) 837) — encore applicable

Données ouvertes

Directive 2019/1024

Données ouvertes et réutilisation des informations du secteur public.

Qui Organismes du secteur public et entreprises publiques.

⚠️ abrogation proposée par le Digital Omnibus (COM(2025) 837) — encore applicable

Échéances 17 juillet 2021 — Transposition

Digital Services Act

Règlement 2022/2065

Marché unique des services numériques : modération, transparence, signalement.

Qui Hébergeurs, places de marché, réseaux sociaux, moteurs de recherche.

Autorité ARCOM (coordinateur pour les services numériques en France)

Échéances 17 février 2024 — Applicable à tous les services visés

Digital Markets Act

Règlement 2022/1925

Marchés contestables et équitables dans le secteur numérique.

Qui Contrôleurs d'accès désignés par la Commission.

Autorité Commission européenne

Échéances 2 mai 2023 — Applicable

Équité plateformes-entreprises (P2B)

Règlement 2019/1150

Équité et transparence pour les entreprises utilisatrices de services d'intermédiation.

Qui Places de marché, magasins d'applications, moteurs de recherche.

⚠️ abrogation proposée par le Digital Omnibus (COM(2025) 837) — encore applicable

AI Act

Règlement (UE) 2024/1689

Règles harmonisées sur l'intelligence artificielle, par niveau de risque.

Qui Fournisseurs, déployeurs, importateurs et distributeurs de systèmes d'IA.

Modifié par le règlement (UE) 2026/1744 du 8 juillet 2026, en vigueur le 27 juillet 2026.

Échéances 2 février 2025 — Pratiques interdites et obligation de littératie en IA · 2 août 2025 — Modèles à usage général et gouvernance · 2 décembre 2026 — Transparence des contenus générés par IA · 2 août 2027 — Bacs à sable réglementaires nationaux · 2 décembre 2027 — IA à haut risque autonome (annexe III) — reporté du 2 août 2026 · 2 août 2028 — IA à haut risque intégrée à un produit (annexe I)

Digital Omnibus on AI

Règlement (UE) 2026/1744

Simplification de la mise en œuvre de l'AI Act ; report des règles sur le haut risque.

Qui Les mêmes acteurs que l'AI Act.

Échéances 27 juillet 2026 — Entrée en vigueur

NIS 2

Directive 2022/2555

Niveau élevé commun de cybersécurité dans l'Union.

Qui Entités essentielles et importantes de dix-huit secteurs.

Autorité ANSSI

Échéances 17 octobre 2024 — Transposition par les États membres

Résilience des entités critiques (CER)

Directive 2022/2557

Résilience des entités critiques face aux perturbations, au-delà du numérique.

Qui Entités critiques désignées par les États membres.

DORA

Règlement 2022/2554

Résilience opérationnelle numérique du secteur financier.

Qui Entités financières et leurs prestataires informatiques tiers critiques.

Autorité ACPR · AMF

Cyber Resilience Act

Règlement 2024/2847

Exigences horizontales de cybersécurité pour les produits comportant des éléments numériques.

Qui Fabricants, importateurs et distributeurs de produits connectés et de logiciels.

Échéances 11 juin 2026 — Notification des organismes d'évaluation de la conformité · 11 septembre 2026 — Signalement des vulnérabilités activement exploitées · 11 décembre 2027 — Obligations principales

Cybersecurity Act

Règlement 2019/881

Mandat de l'ENISA et cadre européen de certification de cybersécurité.

Qui Fournisseurs de produits, services et processus TIC.

eIDAS 2 — portefeuille européen d'identité

Règlement (UE) 2024/1183

Cadre européen d'identité numérique ; modifie le règlement (UE) n° 910/2014.

Qui États membres, prestataires de services de confiance, services exigeant une identification forte.

Échéances 17 septembre 2014 — eIDAS 1 — applicable

Interoperable Europe Act

Règlement (UE) 2024/903

Interopérabilité des services publics numériques dans l'Union.

Qui Organismes du secteur public fournissant des services numériques transfrontaliers.

Échéances 11 avril 2024 — Entrée en vigueur · 12 juillet 2024 — Applicable · 12 janvier 2025 — Évaluations d'interopérabilité et partage de solutions

Contenus et services numériques

Directive 2019/770

Contrats de fourniture de contenus et de services numériques, y compris lorsque le prix payé est la donnée personnelle.

Qui Tout professionnel fournissant un contenu ou un service numérique à un consommateur.

En France Code de la consommation, articles L. 224-25-1 et suivants

Vente de biens

Directive 2019/771

Conformité des biens, y compris les biens comportant des éléments numériques et leurs mises à jour.

Qui Tout vendeur de biens à un consommateur.

Omnibus consommateurs

Directive 2019/2161

Modernisation des règles de protection des consommateurs : avis en ligne, classements, annonces de réduction de prix.

Qui Places de marché et commerçants en ligne.

Autorité DGCCRF

Droit d'auteur dans le marché unique numérique

Directive 2019/790

Droit d'auteur et droits voisins ; fouille de textes et de données ; responsabilité des plateformes de partage.

Qui Plateformes de partage de contenus, éditeurs de presse, utilisateurs de fouille de données pour l'entraînement de modèles.

En France Code de la propriété intellectuelle

Liberté des médias (EMFA)

Règlement (UE) 2024/1083

Cadre commun pour les services de médias dans le marché intérieur.

Qui Fournisseurs de services de médias et très grandes plateformes en ligne.