DMA DSA AI Act réglementation : un même terrain de jeu pour des logiques différentes
Résumé exécutif – DMA, DSA et AI Act constituent désormais un socle cohérent de régulation numérique en Europe : marchés et plateformes structurantes (DMA), services et contenus en ligne (DSA), systèmes d’IA (AI Act). Pour un directeur juridique ou un compliance officer, l’enjeu n’est plus de traiter chaque règlement séparément, mais de bâtir un programme de conformité intégré, articulé avec le RGPD et le Data Act, afin de limiter les risques de sanctions croisées et de transformer ces contraintes en avantage de gouvernance.
Pour un directeur juridique, la réglementation européenne sur les marchés numériques, les services en ligne et l’intelligence artificielle compose désormais un seul paysage stratégique, même si chaque texte poursuit une logique propre. Le Digital Markets Act (règlement (UE) 2022/1925) encadre les marchés numériques et cible les très grandes plateformes en ligne dites « contrôleurs d’accès », tandis que le Digital Services Act (règlement (UE) 2022/2065) régit les services intermédiaires et impose des obligations renforcées de transparence, de modération des contenus illicites et de protection des droits fondamentaux des utilisateurs. L’AI Act (règlement (UE) 2024/1689), lui, crée un cadre européen pour les systèmes d’intelligence artificielle, avec un régime de risques gradué et des sanctions pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour certaines pratiques interdites (art. 71).
Dans ce triptyque, les services numériques et les plateformes en ligne ne sont plus seulement des canaux de distribution, mais des infrastructures critiques où se croisent données personnelles, algorithmes et obligations de régulation. Le DSA impose par exemple aux plateformes en ligne et aux moteurs de recherche de mettre en place une modération de contenu proportionnée, de traiter les contenus illicites avec diligence et de documenter leurs systèmes de recommandation (art. 14, 17 et 27), ce qui recoupe directement les exigences de documentation de l’AI Act pour les systèmes d’IA à haut risque (art. 11 à 18). Le DMA, de son côté, encadre les pratiques des « gatekeepers » et impose de nouvelles règles de partage de données (art. 6 et 7), ce qui renvoie à la fois au RGPD et au Data Act sur la circulation des données non personnelles.
Pour les entreprises qui opèrent des services numériques ou qui s’appuient sur des plateformes tierces, la difficulté ne vient plus seulement du respect isolé de chaque règlement, mais de la cohérence globale de la conformité. La Commission européenne a clairement affiché une volonté de convergence entre DMA, DSA, AI Act et Data Act, de sorte que la mise en place d’un cadre de gouvernance des données et des algorithmes doit être pensée comme un programme unique plutôt que comme une juxtaposition de chantiers. Le compliance officer devient alors l’architecte de cette articulation, en veillant à ce que chaque règlement soit appliqué de manière coordonnée dans l’ensemble des directions métiers.
Transparence, documentation, droits des utilisateurs : le socle commun des trois règlements
Le premier point de convergence entre ces textes tient à la transparence algorithmique et à la documentation, qui irriguent désormais tout le cadre numérique européen. Le DSA impose aux plateformes en ligne et aux réseaux sociaux de décrire de manière intelligible le fonctionnement de leurs systèmes de recommandation (art. 27), tandis que l’AI Act exige une documentation technique détaillée pour les systèmes d’IA à haut risque, incluant les jeux de données, les tests et les contrôles humains prévus (art. 11 à 18). Le DMA, lui, oblige certains services structurants à partager certaines données avec les entreprises utilisatrices, ce qui suppose une traçabilité fine des flux de données et des interfaces techniques.
Les droits des utilisateurs constituent le second pilier commun, au croisement de la protection des données personnelles, des droits fondamentaux et de la loyauté des services. Le DSA renforce les droits de recours des utilisateurs en ligne contre les décisions de modération de contenu (art. 17), impose des voies de réclamation internes et externes, et encadre la publicité ciblée, notamment à partir de données personnelles sensibles ou concernant des mineurs (art. 26). L’AI Act, de son côté, impose des obligations d’information spécifiques lorsque des services recourent à des systèmes d’IA, par exemple pour la reconnaissance d’émotions ou l’utilisation de systèmes de notation sociale (art. 5 et 52), ce qui rejoint les exigences du RGPD en matière de transparence et de base légale.
Pour un directeur juridique, la question n’est plus de savoir si chaque règlement crée un nouveau droit, mais comment ces droits s’articulent concrètement dans les parcours utilisateurs. La cartographie doit intégrer les points de contact entre les services numériques, les plateformes en ligne et les moteurs de recherche, en identifiant où s’exercent les droits d’accès, de rectification, d’opposition ou de recours contre la modération de contenus illicites. Sur ce terrain, l’analyse des mécanismes de consentement et d’information, déjà travaillée pour le RGPD, doit être revisitée à la lumière du DSA et de l’AI Act, en s’appuyant sur une lecture fine des notions de déséquilibre significatif et de transparence, telles qu’illustrées par la jurisprudence et par des analyses comme celles proposées sur l’article 1114 du Code civil et ses implications pour les directions juridiques.
Cartographier les obligations par direction métier : une matrice de conformité numérique
La réglementation européenne sur les marchés numériques, les services en ligne et l’IA ne se pilote plus seulement depuis la direction juridique, elle se vit dans chaque service opérationnel. Pour les équipes marketing, les enjeux se concentrent sur l’usage des données personnelles, la publicité ciblée sur les réseaux sociaux, la personnalisation des services numériques et le recours à des moteurs de recherche internes ou externes dopés à l’IA, qui peuvent relever de l’AI Act si les algorithmes sont qualifiés de systèmes à haut risque. Les directions des ressources humaines, elles, doivent intégrer les exigences de l’AI Act pour les outils de recrutement algorithmique, tout en respectant la protection des données et les droits fondamentaux des candidats.
La DSI et les équipes data se trouvent au cœur de la mise en place d’un cadre numérique conforme, car elles orchestrent les flux de données, les API, les architectures cloud et les intégrations avec des plateformes tierces. Le Data Act vient compléter ce tableau en organisant l’accès et le partage des données, ce qui impose une articulation fine avec le RGPD, le DSA et les obligations de documentation de l’AI Act, notamment pour les systèmes d’IA à haut risque utilisés dans des services critiques. Les directions métiers doivent donc être accompagnées pour comprendre comment chaque règlement s’applique à leurs cas d’usage concrets, qu’il s’agisse de modération de contenu, de gestion des contenus illicites ou de paramétrage des algorithmes de recommandation.
Matrice illustrative des responsabilités
Un outil pratique consiste à bâtir une matrice « propriétaire métier / obligation clé » :
- Marketing & communication : conformité de la publicité ciblée (DSA, art. 26), gestion des consentements (RGPD, art. 6 et 7), transparence sur les systèmes de recommandation utilisés pour les campagnes.
- Ressources humaines : encadrement des outils d’IA pour le tri de CV et l’évaluation des candidats (AI Act, annexes III et IV), information des personnes concernées, analyse d’impact conjointe RGPD / AI Act.
- DSI / Data : registre des systèmes d’IA à haut risque (AI Act, art. 51), documentation technique, sécurité des données, gestion des interfaces avec les plateformes soumises au DMA.
- Direction juridique / conformité : veille réglementaire, coordination des analyses de risques, préparation des réponses aux autorités (CNIL, coordinateur des services numériques, Commission européenne).
Le rôle du compliance officer consiste alors à construire une matrice de responsabilités qui relie chaque exigence de la Commission européenne à un propriétaire opérationnel clairement identifié. Cette matrice doit couvrir les services numériques internes, les plateformes en ligne exploitées par l’entreprise, mais aussi les relations contractuelles avec les grandes plateformes, en intégrant les clauses de partage de données, de protection des données et de gestion des incidents. Dans cette logique d’orchestration, les enseignements tirés des grands chantiers de conformité, comme ceux liés à la CSRD et au paquet Omnibus analysés dans l’impact réel de la directive du 24 février sur les directions juridiques, offrent un retour d’expérience précieux pour structurer la gouvernance et les reportings.
Sanctions croisées et risques cumulatifs : penser les manquements en mode portefeuille
La force de frappe de ces nouveaux textes tient autant à l’ampleur des sanctions qu’à leur possible cumul pour un même manquement. L’AI Act prévoit des amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour certaines pratiques d’IA interdites, et 15 millions d’euros ou 3 % pour les systèmes à haut risque non conformes (art. 71), ce qui place la conformité IA au même niveau de criticité que le RGPD pour les entreprises internationales. Le DSA et le DMA prévoient eux aussi des sanctions significatives, pouvant aller jusqu’à 6 % du chiffre d’affaires mondial pour des violations graves des obligations imposées aux plateformes et aux services structurants (DSA, art. 52 ; DMA, art. 30).
Un même incident peut ainsi déclencher plusieurs régimes de responsabilité, par exemple lorsqu’une plateforme en ligne combine une modération de contenu défaillante, une gestion insuffisante des contenus illicites et l’usage d’un système d’IA non conforme pour la recommandation ou la priorisation des contenus. Dans un tel scénario, les autorités nationales compétentes, la Commission européenne et les autorités de protection des données peuvent intervenir simultanément, chacune au titre de son règlement ou de sa législation de référence. La CNIL, désignée comme autorité de régulation de l’AI Act en France, jouera un rôle central dans l’articulation entre protection des données, AI Act et DSA, en coordination avec les autres régulateurs sectoriels.
Cas pratique chiffré : une marketplace européenne réalisant 2 milliards d’euros de chiffre d’affaires mondial annuel utilise un système d’IA à haut risque non conforme pour classer les offres, tout en ne respectant pas ses obligations de retrait rapide de contenus manifestement illicites. En théorie, elle pourrait être exposée à une amende pouvant aller jusqu’à 60 millions d’euros au titre du DSA (6 % de 1 milliard si l’infraction est limitée à l’UE) et jusqu’à 140 millions d’euros au titre de l’AI Act (7 % de 2 milliards pour une pratique interdite), même si, en pratique, les autorités tiendront compte du principe de proportionnalité et de non bis in idem.
Pour un directeur juridique, la gestion du risque doit donc être pensée en portefeuille, en identifiant les scénarios de non-conformité qui exposent l’entreprise à des sanctions croisées DMA, DSA, AI Act et Data Act. Cette approche suppose une cartographie fine des services numériques, des plateformes en ligne et des flux de données, mais aussi une revue contractuelle approfondie avec les fournisseurs de technologies et les partenaires, notamment sur les clauses de responsabilité, de force majeure et de hardship, à la lumière des enseignements contractuels détaillés dans l’analyse sur les clauses de force majeure et de hardship après la pandémie. L’objectif n’est plus seulement de limiter le montant potentiel des amendes, mais de réduire la probabilité de déclenchement simultané de plusieurs régimes de sanctions pour un même incident numérique.
Gouvernance, données et IA : articuler RGPD, Data Act et triptyque DMA DSA AI Act
La réglementation européenne sur les marchés numériques, les services en ligne et l’intelligence artificielle ne se comprend pleinement qu’en la replaçant dans l’écosystème plus large du droit des données et du numérique. Le RGPD reste la pierre angulaire de la protection des données personnelles, mais il est désormais complété par le Data Act, qui organise l’accès et le partage des données non personnelles, et par le DSA, qui encadre la responsabilité des intermédiaires en ligne. Dans ce contexte, les entreprises doivent concevoir un cadre numérique intégré qui couvre à la fois la collecte, le traitement, le partage et la gouvernance des données, qu’elles soient personnelles ou non.
Les obligations de documentation et de transparence imposées par l’AI Act pour les systèmes d’IA à haut risque rejoignent les exigences de tenue de registres et d’analyses d’impact du RGPD (art. 30 et 35), ce qui offre une opportunité de mutualiser les processus de conformité. Les services numériques qui recourent à des systèmes d’IA pour la modération de contenu, la détection de contenus illicites ou la personnalisation des interfaces doivent ainsi être évalués à la fois sous l’angle de la protection des données, des droits fondamentaux et des nouvelles règles de responsabilité issues du DSA. Les plateformes qui opèrent des réseaux sociaux ou des moteurs de recherche doivent, quant à elles, intégrer dans leur gouvernance des données les exigences du DMA en matière de partage de données avec les entreprises utilisatrices et de non-discrimination.
Pour le compliance officer, l’enjeu est de bâtir une gouvernance des données qui ne soit pas fragmentée par règlement, mais structurée autour de principes communs de minimisation, de traçabilité, de sécurité et de redevabilité. Cette gouvernance doit couvrir les systèmes d’IA internes, les relations avec les fournisseurs de services numériques et les partenariats avec les grandes plateformes, en veillant à ce que chaque flux de données soit cartographié et rattaché à un fondement juridique clair. Une telle approche permet non seulement de répondre aux exigences de la Commission européenne en matière de conformité, mais aussi de renforcer la confiance des utilisateurs et des partenaires, en montrant que la vertu de la législation ne se limite pas à éviter les sanctions, mais qu’elle structure un avantage compétitif durable dans l’économie numérique.
Calendrier 2026 2027 et rôle du compliance officer comme chef d’orchestre
Les prochaines années verront la pleine montée en puissance de ces règlements, avec des échéances qui imposent une planification rigoureuse aux directions juridiques. Le DSA et le DMA sont désormais applicables pour les grandes plateformes et les très grands services numériques, tandis que l’AI Act entre en vigueur par paliers, avec une étape clé pour les systèmes d’IA à haut risque à l’été 2026, ce qui laisse un délai limité pour adapter les processus internes. La désignation de la CNIL comme autorité de régulation de l’AI Act en France renforce encore la centralité de la conformité numérique dans les priorités des régulateurs nationaux.
Timeline indicative : en 2024, les obligations principales du DSA sont entrées en application pour les très grandes plateformes et moteurs de recherche désignés par la Commission ; en 2025, le DMA produit pleinement ses effets pour les contrôleurs d’accès notifiés ; entre 2025 et 2027, l’AI Act déploie progressivement ses exigences, avec une interdiction rapide de certaines pratiques d’IA jugées inacceptables, puis la mise en conformité des systèmes à haut risque et, enfin, l’encadrement des modèles d’IA à usage général. Cette séquence impose d’anticiper les impacts réglementaires au moins 12 à 18 mois avant chaque jalon.
Dans ce contexte, le compliance officer doit assumer un rôle de chef d’orchestre, en coordonnant les travaux des équipes juridiques, IT, data, marketing, RH et métiers autour d’une feuille de route unique. Cette feuille de route doit articuler les exigences du DSA en matière de modération de contenu et de gestion des contenus illicites, les obligations du DMA sur les pratiques de marché des grandes plateformes et les contraintes de l’AI Act sur les systèmes d’IA à haut risque, tout en intégrant les évolutions du Data Act et des autres textes sectoriels. La clé réside dans une veille législative structurée, capable d’anticiper les lignes directrices de la Commission européenne et des autorités nationales, plutôt que de subir les clarifications a posteriori.
Pour un directeur juridique, cette orchestration suppose de repenser la fonction conformité comme un centre de compétences numériques, capable de dialoguer d’égal à égal avec les équipes techniques et les partenaires technologiques. Les services numériques et les plateformes en ligne de l’entreprise doivent être cartographiés non seulement en termes de fonctionnalités, mais aussi en termes de risques réglementaires, de flux de données et de droits des utilisateurs, afin de prioriser les chantiers à fort impact. À cette condition, la vertu de la législation européenne sur le numérique peut être transformée en levier de gouvernance et de confiance, plutôt qu’en simple contrainte subie par les entreprises exposées aux nouveaux règlements.
Chiffres clés de la régulation numérique européenne
- Le DSA et le DMA prévoient des amendes pouvant atteindre jusqu’à 6 % du chiffre d’affaires mondial annuel des entreprises en cas de violations graves (DSA, art. 52 ; DMA, art. 30), ce qui place ces textes au même niveau de dissuasion que le RGPD pour les grands acteurs numériques.
- L’AI Act autorise des sanctions allant jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour certaines pratiques d’IA interdites, et jusqu’à 15 millions d’euros ou 3 % pour les systèmes à haut risque non conformes (art. 71), ce qui crée un risque financier cumulé considérable pour les entreprises combinant plusieurs usages d’IA.
- La Commission européenne a identifié plusieurs dizaines de très grandes plateformes en ligne et moteurs de recherche soumis aux obligations renforcées du DSA, ce qui impacte directement les entreprises qui s’appuient sur ces intermédiaires pour leurs services numériques et leurs campagnes marketing.
- En France, la CNIL a déjà prononcé plusieurs dizaines de sanctions liées à la protection des données personnelles depuis l’entrée en application du RGPD, pour un montant cumulé de plusieurs centaines de millions d’euros, ce qui illustre la capacité des autorités à utiliser pleinement l’arsenal répressif européen.
FAQ sur DMA, DSA, AI Act et conformité numérique
Comment articuler concrètement RGPD, DSA et AI Act dans une même politique de conformité ?
La meilleure approche consiste à construire un référentiel unique de gouvernance des données et des algorithmes, qui intègre les exigences de transparence, de documentation, de gestion des risques et de droits des utilisateurs communes aux trois textes. Ce référentiel doit être décliné par type de service numérique et de plateforme en ligne, avec des fiches pratiques pour chaque cas d’usage, plutôt que par règlement pris isolément. Une telle structuration permet de mutualiser les analyses d’impact, les registres de traitement et les audits de systèmes d’IA, tout en facilitant le dialogue avec les différentes autorités de contrôle.
Quels sont les services les plus exposés aux sanctions croisées DMA, DSA et AI Act ?
Les services numériques qui combinent une forte exposition au public, un recours intensif aux données personnelles et l’usage de systèmes d’IA pour la recommandation ou la modération de contenu sont les plus à risque. Il s’agit notamment des plateformes en ligne de type marketplace, des réseaux sociaux, des moteurs de recherche internes ou externes et des services de publicité ciblée. Pour ces services, une cartographie détaillée des flux de données, des algorithmes utilisés et des mécanismes de recours des utilisateurs est indispensable pour limiter le risque de sanctions cumulatives.
Quel rôle spécifique joue la CNIL dans l’application de l’AI Act en France ?
La CNIL a été désignée comme autorité de régulation de l’AI Act en France, en complément de son rôle historique en matière de protection des données personnelles. Elle sera donc compétente pour contrôler la conformité des systèmes d’IA à haut risque, en lien avec les exigences de documentation, de gestion des risques et de transparence prévues par l’AI Act. Cette double casquette renforce l’importance d’une approche intégrée de la conformité données et IA pour les entreprises opérant sur le territoire français.
Comment prioriser les chantiers de conformité face à la multiplication des textes numériques européens ?
La priorisation doit se faire en fonction du risque combiné, en croisant l’impact potentiel sur les droits fondamentaux des utilisateurs, l’exposition financière liée aux sanctions et la criticité business des services concernés. Les services numériques à fort trafic, les plateformes structurantes et les systèmes d’IA à haut risque doivent être traités en premier, avec des plans d’action clairs et des responsables identifiés. Une fois ces chantiers structurants engagés, les directions juridiques peuvent étendre progressivement la démarche aux services à moindre risque, en capitalisant sur les outils et méthodes déjà déployés.
Faut il renégocier les contrats avec les fournisseurs de technologies pour intégrer DMA, DSA et AI Act ?
Une revue contractuelle est fortement recommandée, en particulier pour les contrats avec les grandes plateformes numériques, les fournisseurs de services cloud et les éditeurs de solutions d’IA. Les clauses relatives au partage de données, à la responsabilité en cas de non conformité réglementaire, à la coopération avec les autorités et à la gestion des incidents doivent être mises à jour pour refléter les nouvelles obligations issues du DMA, du DSA et de l’AI Act. Cette renégociation permet de mieux répartir les risques et de s’assurer que les engagements contractuels sont alignés avec les exigences de la Commission européenne et des autorités nationales.