Trois acronymes suffisent désormais à résumer une grande partie du nouveau rapport de l’Europe au numérique : DSA, DMA, AI Act. Derrière eux se dessine un changement beaucoup plus profond : l’Union européenne ne cherche plus seulement à protéger les données, elle veut aussi réguler les plateformes, rééquilibrer les marchés numériques et encadrer les risques liés à l’intelligence artificielle.
Pour une direction générale ou juridique, le sujet devient vite complexe. Le Digital Services Act ne poursuit pas le même objectif que le Digital Markets Act, et l’AI Act ajoute une nouvelle couche de responsabilités.
L’enjeu est donc simple : savoir quel texte concerne quelle activité, avant de transformer une obligation réglementaire en risque opérationnel.
DSA, DMA, AI Act : pourquoi la législation européenne régule les services numériques
L’Union européenne cherche à rendre l’économie numérique plus sûre, plus équitable et plus prévisible. Dans le cadre du paquet législatif européen consacré aux services et marchés numériques, DSA, DMA et AI Act apportent trois réponses complémentaires.
- Le Digital Services Act encadre les services numériques et renforce la protection des utilisateurs en ligne.
- Le Digital Markets Act vise des marchés numériques plus équitables et contestables en régulant le pouvoir des grandes plateformes désignées comme gatekeepers.
- L’AI Act encadre l’intelligence artificielle selon une logique fondée sur les risques, tout en préservant l’innovation et les droits fondamentaux.
Cette nouvelle législation européenne ne remplace pas le RGPD : elle élargit le périmètre de la régulation numérique. Pour un dirigeant, la bonne question devient moins « quel règlement lire ? » que « quelle activité numérique est concernée ? ». C’est ce que permet de clarifier une comparaison directe des trois textes.
Digital Services Act, DMA et AI Act : état des lieux de la législation numérique en 2026
Le DSA, le DMA et l’AI Act ne réglementent pas le même objet. Le premier encadre les services numériques, le deuxième corrige certains déséquilibres des marchés numériques, tandis que le troisième organise la maîtrise des risques liés à l’intelligence artificielle.
Règlement | Ce qu’il régule | Acteurs principalement concernés | Enjeu central |
Digital Services Act (DSA) | Services intermédiaires et plateformes en ligne | Hébergeurs, marketplaces, réseaux sociaux, moteurs de recherche | Sécurité, responsabilité et transparence |
Digital Markets Act (DMA) | Marchés et services de plateforme essentiels | Grandes plateformes désignées comme gatekeepers | Équité et contestabilité des marchés |
AI Act | Développement et utilisation des systèmes d’IA | Fournisseurs, déployeurs et autres acteurs de la chaîne de valeur | Risques, sécurité et droits fondamentaux |
Cette distinction donne la bonne grille de lecture : pour comprendre ses obligations, une entreprise doit d’abord identifier sa place dans l’écosystème numérique. Le Digital Services Act fournit un premier cas particulièrement concret.
Digital Services Act (DSA) : comment le règlement sur les services numériques sécurise les plateformes
Le Digital Services Act (DSA), ou règlement sur les services numériques, fixe un cadre commun pour les services numériques proposés dans l’Union européenne. Les obligations varient selon la nature du service, sa taille et son impact, avec des exigences renforcées pour les très grandes plateformes et moteurs de recherche. Son entrée en vigueur a ouvert une phase progressive de mise en œuvre, avant que le règlement ne devienne applicable à l’ensemble de l’Union le 17 février 2024. (Source : règlement (UE) 2022/2065 – EUR-Lex)
Quels services et plateformes sont concernés par le DSA ?
Le DSA Digital Services Act couvre les services intermédiaires en ligne : fournisseurs d’accès, hébergeurs, marketplaces, réseaux sociaux, plateformes de partage de contenus, boutiques d’applications ou plateformes de voyage. Les micro et petites entreprises bénéficient d’exemptions pour certaines obligations, tandis que les VLOP (Very Large Online Platforms) et VLOSE (Very Large Online Search Engines) supportent les contraintes les plus élevées.
Que change le Digital Services Act pour les utilisateurs ?
Le texte renforce la transparence et la responsabilité des plateformes numériques. Il encadre les signalements de contenus illicites, la modération des contenus, l’obligation de motiver certaines décisions, et impose davantage de transparence sur la publicité, les systèmes de recommandation et certains algorithmes, tout en renforçant le respect des droits des utilisateurs.
Le Digital Services Act ne supprime donc pas les contenus problématiques par principe : il organise surtout les procédures, responsabilités et contrôles destinés à rendre l’environnement numérique plus sûr et prévisible.
Quelles sanctions en cas de non-respect du DSA ?
Pour les très grandes plateformes ou moteurs relevant du contrôle direct de la Commission européenne, une décision de non-conformité peut conduire à une amende allant jusqu’à 6 % du chiffre d’affaires annuel mondial du fournisseur. Ce niveau de sanction montre que le DSA n’est plus un simple cadre de bonnes pratiques : il fait entrer la responsabilité des plateformes dans une logique de conformité contrôlée. (Source : règlement (UE) 2022/2065 – EUR-Lex)
Le DSA illustre ainsi une régulation centrée sur la responsabilité des services en ligne. Le Digital Markets Act adopte une autre logique : limiter le pouvoir économique de certains acteurs structurants.
Digital Markets Act : comment le DMA régule les géants du numérique et les marchés numériques
Le Digital Markets Act (DMA), ou règlement sur les marchés numériques, ne cherche pas d’abord à sécuriser les contenus ou les échanges en ligne. Il vise à rendre les marchés numériques plus équitables et plus contestables, à améliorer le fonctionnement du marché intérieur et à imposer des obligations spécifiques aux grandes plateformes désignées comme gatekeepers par la Commission européenne.
Qui sont les gatekeepers visés par le Digital Markets Act ?
Le DMA cible les entreprises qui contrôlent des services de plateforme essentiels : moteurs de recherche, boutiques d’applications, réseaux sociaux, systèmes d’exploitation, services de messagerie, publicité en ligne ou intermédiation. La qualification de gatekeeper repose sur des critères précis et sur une désignation par la Commission européenne ; elle ne s’applique donc pas automatiquement à toute grande entreprise numérique.
Quelles pratiques le DMA cherche-t-il à encadrer ?
La logique est concrète. Les gatekeepers doivent notamment permettre certaines formes d’interopérabilité, donner aux entreprises utilisatrices accès aux données qu’elles génèrent et leur permettre de promouvoir leurs offres en dehors de la plateforme.
À l’inverse, le Digital Markets Act interdit certaines pratiques susceptibles de verrouiller un marché, comme favoriser ses propres services dans les classements ou empêcher un utilisateur de désinstaller certaines applications préinstallées.
En cas de non-respect, les amendes peuvent atteindre 10 % du chiffre d’affaires annuel mondial, et jusqu’à 20 % en cas d’infractions répétées. Le DMA traite donc le pouvoir de marché ; l’AI Act, lui, déplace l’attention vers les risques créés par l’intelligence artificielle. (Source : Commission européenne – About the Digital Markets Act)
AI Act 2026 : comment la législation européenne encadre l’intelligence artificielle
L’AI Act complète le Digital Services Act et le Digital Markets Act sans poursuivre le même objectif. Là où le DSA encadre les services en ligne et le DMA le pouvoir des gatekeepers, ce règlement organise la maîtrise des risques liés aux systèmes d’intelligence artificielle.
Une réglementation fondée sur le niveau de risque
L’AI Act distingue plusieurs niveaux de risque. Certaines pratiques sont interdites ; les modèles d’IA à usage général et certains systèmes soumis à des exigences de transparence relèvent de régimes spécifiques.
Depuis le 2 août 2026, une grande partie du règlement est applicable, avec plusieurs calendriers particuliers. Les obligations de transparence concernant notamment certains contenus générés ou manipulés par IA s’appliquent désormais, tandis que les règles visant les modèles d’IA à usage général sont en vigueur depuis août 2025.
Les ajustements adoptés en 2026 ont toutefois repoussé certaines obligations relatives aux systèmes à haut risque à 2027 ou 2028. Pour une entreprise, le calendrier ne peut donc pas être résumé à une seule date : il dépend du type de système, du rôle joué dans la chaîne de valeur et du niveau de risque. (Source : Commission européenne – AI Act)
Pour approfondir ce sujet, voir l’article d’ISD Executive sur l’AI Act et la gouvernance de l’IA.
Ces règlements restent distincts, mais une même activité peut relever de plusieurs textes.
DSA, DMA, AI Act et RGPD : protection des données et sécurité numérique
Le DSA, le DMA, l’AI Act et le RGPD ne fonctionnent pas en silos. Une même activité numérique peut relever de plusieurs textes dès qu’elle combine plateforme, données personnelles, pouvoir de marché et intelligence artificielle.
Prenons une plateforme utilisant l’IA pour personnaliser ses recommandations. Le Digital Services Act peut encadrer la transparence du système ; le RGPD régit le traitement des données personnelles ; l’AI Act ajoute ses propres exigences ; et le Digital Markets Act peut imposer des contraintes si l’entreprise est désignée gatekeeper.
La grille de lecture devient alors :
activité numérique → données → technologie → position de marché → règles applicables
Le Comité européen de la protection des données souligne explicitement les interactions entre DSA et RGPD, notamment lorsque les obligations de transparence, de publicité ou de systèmes de recommandation impliquent des traitements de données personnelles. Le DMA et l’AI Act s’articulent eux aussi avec le droit européen de la protection des données, qui constitue déjà un cadre de protection structurant pour les organisations. (Source : EDPB – Interplay between the DSA and the GDPR)
Pour les dirigeants et juristes, l’enjeu n’est donc plus de gérer chaque réglementation séparément, mais de construire une gouvernance numérique capable d’identifier ces chevauchements. Le coût d’une mauvaise lecture ne se limite pas à une éventuelle sanction : audits dupliqués, contrats à reprendre, projets retardés ou responsabilités mal attribuées peuvent également créer de la perte opérationnelle.
Micro-diagnostic : votre organisation est-elle exposée à plusieurs textes ? Si un même service collecte des données personnelles, utilise un système d’IA, s’appuie sur une plateforme ou intervient dans un écosystème numérique réglementé, une analyse texte par texte devient vite insuffisante. Dans ce cas, la cartographie croisée constitue généralement le meilleur point de départ ; pour approfondir le volet données, le certificat Sécurité et conformité des données apporte un cadre opérationnel complémentaire.
DSA, DMA, AI Act : quelle stratégie de mise en conformité pour les dirigeants ?
La priorité n’est pas de lancer trois projets de conformité séparés. Pour piloter la régulation numérique européenne, il faut partir des activités, identifier les textes applicables puis attribuer les responsabilités.
1. Cartographier les activités numériques
Recensez les plateformes, services en ligne, traitements de données, systèmes d’intelligence artificielle et fournisseurs critiques. L’objectif est d’identifier le rôle de l’entreprise : fournisseur, déployeur, intermédiaire, plateforme ou, dans des cas spécifiques, gatekeeper.
2. Relier chaque activité aux règles applicables et préparer la mise en conformité
Une grille simple permet d’avancer :
activité → données → technologie → rôle → réglementation → obligation → responsable
Toutes les exigences du DSA, du DMA et de l’AI Act ne concernent pas toutes les entreprises. Une qualification précise permet de cibler la mise en conformité, d’éviter les angles morts et de ne pas transformer les nouvelles technologies numériques en source de sur-conformité inutile.
3. Clarifier les responsabilités internes
Juridique, compliance, DSI, data, cybersécurité, achats, RH et métiers doivent savoir qui décide, contrôle et documente. L’AI Act impose notamment aux fournisseurs et déployeurs de prendre des mesures pour assurer un niveau suffisant de maîtrise de l’IA aux personnes concernées.
4. Auditer fournisseurs et procédures
Contrats, accès aux informations, responsabilités, contrôles et procédures d’escalade doivent être examinés dans la chaîne de valeur numérique.
5. Installer une gouvernance commune
Le bon objectif est une conformité pilotable, documentée et révisable. Si chaque direction conserve son propre tableau de risques sans responsable transversal, les doublons et les zones grises apparaissent rapidement.
Micro-diagnostic : trois éléments doivent pouvoir être retrouvés rapidement. Savez-vous quels services numériques ou systèmes d’IA sont utilisés, qui en porte la responsabilité et quelles preuves de conformité sont disponibles ? Si l’une de ces réponses manque, la priorité n’est probablement pas d’ajouter une procédure, mais de fiabiliser la gouvernance existante.
Si vous êtes dirigeant, juriste ou responsable compliance confronté à ces arbitrages, l’Executive MBA Compliance permet de travailler précisément la cartographie des risques, la gouvernance et la prise de décision réglementaire, avec l’objectif de rendre la conformité réellement pilotable.
Une organisation structurée peut alors poser la question stratégique suivante : comment réguler sans freiner l’innovation européenne ?
Régulation numérique, simplification et compétitivité : quel équilibre en 2026 ?
La régulation numérique européenne poursuit deux objectifs qui peuvent sembler contradictoires : mieux protéger les utilisateurs et les droits fondamentaux, tout en maintenant un environnement favorable à l’innovation et à la compétitivité. Le DSA, le DMA et l’AI Act traduisent cette recherche d’équilibre.
Le débat porte désormais moins sur la nécessité de réguler que sur la complexité du cadre. La Commission européenne a fait de la simplification une priorité afin de réduire les charges administratives et les chevauchements réglementaires. Cette évolution ne remet pas en cause les objectifs de protection ; elle traduit plutôt la recherche d’un cadre plus lisible et plus facile à appliquer. (Source : Commission européenne – Simplification)
La question stratégique devient alors celle de la proportionnalité : sécuriser l’économie numérique sans transformer la conformité en obstacle à l’investissement. Cette tension explique aussi pourquoi le calendrier réglementaire européen a autant évolué entre 2023 et 2026.
Législation numérique européenne : état des lieux et dates clés de 2023 à 2026
La régulation numérique européenne s’est déployée par étapes. Cet état des lieux distingue les principales échéances déjà applicables et les jalons qui structurent encore la mise en conformité en 2026.
Année | Étape clé |
2023 | Le DMA devient applicable le 2 mai ; les premiers gatekeepers sont désignés en septembre. |
2024 | Le DSA devient pleinement applicable le 17 février ; l’AI Act entre en vigueur le 1er août. |
2025 | Premières obligations de l’AI Act, puis règles sur les modèles d’IA à usage général. |
2026 | Une grande partie de l’AI Act devient applicable le 2 août ; certains calendriers relatifs aux systèmes à haut risque sont ajustés. |
Pour les dirigeants et juristes, ces dates marquent le passage d’une phase d’anticipation à une gouvernance réglementaire continue.
FAQ Digital Services Act : DSA, protection des données, DMA et AI Act
Quelle différence entre le DSA et le DMA ?
Le Digital Services Act encadre les responsabilités des services intermédiaires et des plateformes en ligne, notamment en matière de contenus illicites, de transparence et de protection des utilisateurs. Le Digital Markets Act poursuit un autre objectif : rendre les marchés numériques plus équitables et contestables en imposant des obligations aux grandes plateformes désignées comme gatekeepers.
Quelles entreprises sont concernées par le Digital Services Act ?
Le DSA concerne les fournisseurs de services intermédiaires proposés dans l’Union européenne : accès à internet, hébergement, marketplaces, réseaux sociaux, boutiques d’applications ou plateformes de voyage, par exemple. Les obligations sont proportionnées au rôle et à la taille du service.
Le DSA concerne-t-il uniquement les grandes plateformes ?
Non. Le Digital Services Act s’applique bien au-delà des VLOP (Very Large Online Platforms) et VLOSE (Very Large Online Search Engines). Les micro et petites entreprises bénéficient toutefois d’exemptions à certaines obligations, tandis que les très grandes plateformes supportent des exigences renforcées liées notamment aux risques systémiques.
Quelle différence entre le DSA, le DMA et l’AI Act ?
La distinction peut se résumer ainsi : DSA = services numériques et responsabilité ; DMA = pouvoir de marché ; AI Act = risques liés à l’intelligence artificielle. Une même entreprise peut néanmoins relever simultanément de plusieurs textes. Comprendre cette architecture est une première étape ; l’enjeu durable consiste désormais à l’intégrer dans les décisions de gouvernance et de transformation numérique.
Sécurité numérique et gouvernance : faire du DSA, du DMA et de l’AI Act un enjeu stratégique
Le Digital Services Act, le DMA et l’AI Act ne sont plus de simples sujets de veille juridique. Ils redéfinissent la manière dont les organisations conçoivent leurs services, choisissent leurs technologies, encadrent l’intelligence artificielle et répartissent les responsabilités.
Pour les dirigeants et juristes, l’enjeu est désormais de relier conformité, stratégie et transformation. Si votre fonction vous conduit à arbitrer entre droit, risque, innovation et décision stratégique, l’Executive DBA d’ISD Executive permet d’approfondir cette lecture comparée, notamment à travers le séminaire consacré aux réglementations comparées du numérique et de l’IA.