La conformité numérique ne se limite plus au RGPD : l’AI Act, le DSA, le Data Act et le règlement P2B imposent de nouvelles obligations aux entreprises qui traitent des données, utilisent l’intelligence artificielle ou exploitent une plateforme. Deshoulières Avocats traite ces textes ensemble : un audit de conformité numérique, puis la mise en conformité, conclue par la remise d’une attestation de conformité numérique signée.
Qui est concerné par la conformité numérique ?
Presque toutes les organisations le sont, à des degrés divers :
- toute entreprise, association ou administration qui traite des données personnelles (clients, salariés, adhérents) ;
- toute organisation qui utilise un outil d’intelligence artificielle, même un assistant conversationnel mis à disposition des salariés ;
- les hébergeurs, plateformes et places de marché ;
- les fabricants de produits connectés et les fournisseurs de services en nuage ;
- les plateformes qui mettent en relation des professionnels avec leurs clients.
Quels sont les principaux textes de la conformité numérique ?
Le RGPD : protéger les données personnelles
Applicable depuis le 25 mai 2018, le RGPD impose de tenir un registre des traitements, d’informer les personnes, de choisir une base légale pour chaque traitement, de sécuriser les données, d’encadrer les sous-traitants et, pour les traitements à risque, de réaliser une analyse d’impact. Les amendes peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial. Voir Mise en conformité RGPD.
L’AI Act : encadrer l’intelligence artificielle
L’AI Act classe les systèmes d’IA selon leur niveau de risque : pratiques interdites, systèmes à haut risque, systèmes soumis à une obligation de transparence, autres systèmes. Il vise ceux qui conçoivent ces systèmes (fournisseurs) comme ceux qui les utilisent (déployeurs).
Son application est progressive : interdictions et maîtrise de l’IA par le personnel depuis le 2 février 2025, modèles d’IA à usage général depuis le 2 août 2025, obligations de transparence depuis le 2 août 2026. Le règlement « omnibus numérique » de juillet 2026 a reporté les obligations des systèmes à haut risque au 2 décembre 2027, et au 2 août 2028 pour ceux intégrés à des produits réglementés. Les amendes peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial. Voir Mise en conformité AI Act.
Le DSA : responsabiliser les plateformes
Applicable à tous les intermédiaires en ligne depuis le 17 février 2024, le règlement sur les services numériques (DSA) impose notamment un point de contact, des conditions générales claires, un dispositif de signalement des contenus illicites, la motivation des décisions de modération, un système de réclamation, la transparence de la publicité et, pour les places de marché, la vérification des vendeurs. Les amendes peuvent atteindre 6 % du chiffre d’affaires mondial. En France, l’Arcom coordonne son application. Voir Mise en conformité DSA.
Le Data Act : partager les données des objets connectés
Applicable depuis le 12 septembre 2025, le Data Act donne aux utilisateurs d’objets connectés le droit d’accéder aux données qu’ils génèrent et de les partager avec des tiers. Il interdit certaines clauses abusives dans les contrats de données entre entreprises et facilite le changement de fournisseur de services en nuage. Les produits mis sur le marché depuis le 12 septembre 2026 doivent être conçus pour rendre ces données accessibles. Voir Mise en conformité Data Act.
Le règlement P2B : protéger les professionnels face aux plateformes
Applicable depuis le 12 juillet 2020, le règlement P2B protège les entreprises qui vendent par l’intermédiaire d’une plateforme ou d’un moteur de recherche. La plateforme doit rédiger des conditions claires, prévenir au moins quinze jours avant de les modifier, motiver la suspension ou la résiliation d’un compte, expliquer ses critères de classement et proposer un système interne de réclamation. Il intéresse autant les plateformes que les vendeurs qui s’en estiment victimes.
Et la cybersécurité ?
La directive NIS 2 impose des mesures de cybersécurité à plus de 15 000 entités en France, dans 18 secteurs. Sa transposition est en cours : le projet de loi relatif à la résilience est examiné par l’Assemblée nationale depuis octobre 2026. Voir NIS 2 : les obligations clés.
Quels textes s’appliquent à votre entreprise ?
La conformité numérique dépend de votre activité. Quelques profils fréquents :
- un site de commerce en ligne : RGPD, droit de la consommation et, s’il accueille des vendeurs tiers, DSA et règlement P2B ;
- un éditeur de logiciel en mode SaaS : RGPD, clauses de changement de fournisseur du Data Act, et AI Act si le logiciel intègre de l’intelligence artificielle ;
- un fabricant d’objets connectés : RGPD et Data Act, avec l’obligation de rendre les données accessibles dès la conception ;
- toute entreprise dont les salariés utilisent des outils d’IA : AI Act, au titre des obligations des déployeurs, et RGPD ;
- une plateforme de mise en relation : DSA, règlement P2B et RGPD.
Quelles sanctions en cas de non-conformité ?
- RGPD : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial, prononcés par la CNIL ;
- AI Act : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour une pratique interdite ;
- DSA : jusqu’à 6 % du chiffre d’affaires mondial ;
- Data Act et P2B : sanctions fixées par chaque État membre, et actions en justice des utilisateurs ou des entreprises lésées.
Au-delà des amendes, la non-conformité expose à des actions en réparation des personnes concernées, à des injonctions de cesser un traitement et à une atteinte durable à la réputation de l’entreprise.
Faut-il désigner un délégué à la protection des données ?
Le délégué à la protection des données (DPO) est obligatoire pour les organismes publics, pour les organismes dont l’activité principale implique un suivi régulier et systématique des personnes à grande échelle, et pour ceux qui traitent à grande échelle des données sensibles. Dans les autres cas, il est facultatif mais souvent utile. Le cabinet peut vous aider à le désigner et à le former.
Comment se déroule une mise en conformité numérique ?
1. L’audit
À partir d’un questionnaire et d’entretiens avec vos équipes, nous recensons vos traitements de données, vos outils d’IA et vos services en ligne. Nous déterminons quels textes s’appliquent à vous et, pour l’AI Act, votre rôle et le niveau de risque de chaque système. Vous recevez un tableau de bord des écarts et des livrables à produire.
2. La mise en conformité
Nous produisons ensuite les documents nécessaires : registre des traitements, répertoire des sous-traitants, politiques de confidentialité, conditions générales, avenants de sous-traitance, analyses d’impact, cartographie des systèmes d’IA, politique interne d’utilisation de l’IA, procédure en cas de violation de données. Chaque document est rédigé à partir de votre situation réelle, et non d’un modèle générique.
3. L’attestation de conformité
La mission se conclut par une attestation de conformité signée électroniquement. Chaque document reçoit une empreinte numérique, qui permet de prouver à tout moment qu’il n’a pas été modifié depuis sa remise : vous pouvez ainsi démontrer votre conformité à une autorité de contrôle, à un client ou à un investisseur.
Combien de temps dure une mise en conformité numérique ?
L’audit prend en général quelques semaines, selon la disponibilité de vos équipes et le nombre de traitements, d’outils et de services concernés. La mise en conformité s’étale ensuite sur quelques semaines à quelques mois. Les mesures les plus urgentes, celles qui exposent l’entreprise à une sanction immédiate, sont traitées en priorité.
La conformité numérique est-elle une démarche ponctuelle ?
Non. Les textes évoluent, les outils changent et l’entreprise adopte de nouveaux usages, en particulier en matière d’intelligence artificielle. La conformité numérique doit donc être entretenue : mise à jour du registre et de la cartographie des systèmes d’IA, veille réglementaire, formation des équipes, revue annuelle des documents. Le cabinet propose ce suivi à l’issue de la mise en conformité.
Combien coûte une mise en conformité numérique ?
L’audit de conformité numérique est proposé à partir de 3 000 € HT. La mise en conformité fait ensuite l’objet d’un devis, établi selon le nombre de textes applicables et le volume de documents à produire.
Que se passe-t-il en cas de contrôle de la CNIL ?
Un contrôle peut avoir lieu sur place, en ligne ou sur pièces, à la suite d’une plainte ou dans le cadre du programme annuel de la CNIL. Les agents demandent le registre des traitements, les contrats avec les sous-traitants, les mentions d’information et les mesures de sécurité. Une entreprise qui a mené sa mise en conformité numérique peut produire immédiatement ces documents, datés et cohérents : c’est tout l’intérêt de l’attestation de conformité. Le cabinet peut aussi vous assister pendant le contrôle et répondre aux demandes de la CNIL.
Pourquoi confier sa conformité numérique au cabinet ?
Notre offre Conformité Data traite le RGPD et l’AI Act selon une même méthode, et vérifie systématiquement l’application du Data Act et du règlement P2B. Une seule équipe, un seul audit, des documents cohérents entre eux. Le cabinet a été distingué au Palmarès du Droit 2026 en droit du numérique. Découvrez aussi notre méthodologie RGPD en 20 étapes.
RÉFÉRENCES :
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD)
- Règlement (UE) 2024/1689 du 13 juin 2024 (AI Act), modifié par le règlement (UE) 2026/1744 du 8 juillet 2026
- Règlement (UE) 2022/2065 du 19 octobre 2022 (DSA)
- Règlement (UE) 2023/2854 du 13 décembre 2023 (Data Act)
- Règlement (UE) 2019/1150 du 20 juin 2019 (P2B)
- Directive (UE) 2022/2555 du 14 décembre 2022 (NIS 2)
