The Tech Counsel - juin 2026
Bienvenue dans l’édition de juin de The Tech Counsel — notre aperçu mensuel des principales évolutions juridiques et réglementaires en matière d’IA, de vie privée et du paysage numérique au sens large. Cette édition regorge d’actualités pratiques, de l’AI Act de l’UE et des nouvelles tendances en matière d’application du droit de la vie privée à la souveraineté numérique, à la cybersécurité et à la régulation des plateformes.
Intelligence artificielle
La Commission européenne publie un projet de lignes directrices sur la classification des systèmes d’IA à haut risque
Le 19 mai 2026, la Commission européenne a publié un projet de lignes directrices sur la classification des systèmes d’IA à haut risque au titre de l’article 6 de l’AI Act de l’UE, la consultation des parties prenantes s’étant tenue jusqu’au 23 juin 2026.
Deux voies mènent à la classification à haut risque. Au titre de l’article 6, paragraphe 1, et de l’annexe I, un système d’IA est qualifié de système à haut risque lorsqu’il constitue un composant de sécurité d’un produit réglementé couvert par la législation d’harmonisation de l’UE. Au titre de l’article 6, paragraphe 2, et de l’annexe III, la classification découle de la finalité prévue du système dans huit domaines d’usage à haut risque désignés, notamment la biométrie, les infrastructures critiques, l’éducation, l’emploi, les services essentiels, la répression, la migration et l’administration de la justice.
Les lignes directrices établissent que, lorsqu’un fournisseur présente un système comme largement applicable sans exclure systématiquement les usages à haut risque, la finalité prévue englobe les usages à haut risque réalisables et raisonnablement prévisibles — des exclusions de style dans les conditions de service ne suffisent pas. Quatre conditions d’exemption prévues à l’article 6, paragraphe 3, permettent à un système par ailleurs couvert d’échapper à la classification à haut risque (tâche procédurale étroite ; amélioration d’une activité humaine déjà accomplie ; détection de schémas décisionnels ou d’écarts ; et tâches véritablement préparatoires), mais le profilage disqualifie toujours un système, et le recours à une exemption doit être documenté avant la mise sur le marché du système.
La nouvelle loi sur l’IA du Colorado
Le 12 mai 2026, le législateur du Colorado a adopté le Senate Bill SB26-189, remplaçant le Colorado AI Act de 2024. Signé le 14 mai et entrant en vigueur le 1er janvier 2027, ce texte s’éloigne de l’approche fondée sur les risques de l’AI Act de l’UE, en supprimant le devoir de diligence visant à prévenir la discrimination algorithmique, les programmes obligatoires de gestion des risques et les exigences d’analyse d’impact. Il adopte à la place un cadre plus restreint axé sur la transparence, l’information et des droits limités pour les consommateurs à l’égard des technologies de décision automatisée dans le cadre de « décisions lourdes de conséquences ».
Les hallucinations de l’IA sous le contrôle du juge
La décision de la High Court anglaise dans Cork v Smith (22 mai 2026) est devenue une référence en matière de responsabilité professionnelle et d’usage de l’IA dans la pratique juridique. Un junior associate avait utilisé l’outil d’IA interne du cabinet pour rechercher les fondements d’une demande, et l’IA avait inventé une règle inexistante du droit de l’insolvabilité. La cour a estimé que les manquements s’étendaient au senior associate superviseur et à l’associé, qui avaient relu et approuvé la lettre sans vérifier la prétendue règle.
Cork v Smith n’est pas un cas isolé — des décisions antérieures telles que Ayinde v London Borough of Haringey et, aux États-Unis, Mata v Avianca et Johnson v Dunn témoignent d’une jurisprudence en développement. Enseignements clés : le résultat produit par l’IA est un projet, non une source ; les obligations de supervision sont renforcées, et non atténuées, par l’IA ; et la dissimulation est pire que l’erreur.
Boîte à outils des obligations de l’AI Act
À l’approche du mois d’août 2026, l’AI Act devient généralement applicable. Si les échéances de classification à haut risque ont été reportées par l’AI Omnibus, les obligations relatives à la transparence et à l’IA à usage général (GPAI) suivent le calendrier prévu. Les interdictions visant certains systèmes d’IA à risque inacceptable (manipulation subliminale, notation sociale et la plupart des formes d’identification biométrique à distance en temps réel dans les espaces publics) sont déjà en vigueur, tandis que les obligations de transparence, de documentation GPAI et de notification des incidents entrent en vigueur le 2 août 2026.
Vie privée
CCPA 2026 : la réglementation modifiée désormais en vigueur
La réglementation définitive prise en application du CCPA (tel que modifié par le CPRA) est entrée en vigueur le 1er janvier 2026, élargissant sensiblement les obligations de conformité. L’article 9 instaure des audits de cybersécurité annuels obligatoires pour les entreprises atteignant certains seuils ; l’article 10 exige des analyses de risques pour les activités de traitement à haut risque telles que la vente ou le partage de données à caractère personnel, le traitement de données personnelles sensibles et le recours à l’ADMT pour des décisions importantes ; et l’article 11 établit un cadre spécifique pour les technologies de décision automatisée, comprenant une information préalable, des droits d’opposition et, dans certains cas, le consentement.
Pixels de suivi dans les courriels : les nouvelles lignes directrices RGPD de l’Italie
Le 17 avril 2026, la Garante italienne a publié des lignes directrices spécifiques sur les pixels de suivi dans les communications par courriel. Un pixel de suivi qui se déclenche lorsqu’un destinataire ouvre un courriel constitue à la fois un stockage d’informations et un accès à des informations sur l’équipement terminal de l’utilisateur — la même qualification que celle applicable aux cookies — ce qui entraîne une interdiction de principe, sous réserve d’un consentement préalable ou d’exemptions étroites. Contrairement à la CNIL, la Garante admet un consentement unique et unifié couvrant à la fois les courriels promotionnels et les pixels intégrés, pour autant que la demande soit neutre, mais elle exige un lien standardisé en pied de page vers un espace de préférences granulaire.
Autres sujets numériques
Paquet européen de souveraineté technologique et CADA
Le 3 juin 2026, la Commission a présenté son paquet européen de souveraineté technologique, destiné à renforcer les capacités de l’UE dans les semi-conducteurs, l’IA, le cloud et l’open source. Il comprend le Chips Act 2.0, le Cloud and AI Development Act (CADA), la stratégie open source et une feuille de route pour la numérisation et l’IA dans le secteur de l’énergie. Le CADA, la proposition la plus importante, porte sur la localisation et la portabilité des données pour les charges de travail sensibles, la transparence des infrastructures d’entraînement de l’IA et des obligations d’interopérabilité réduisant la dépendance à l’égard d’un fournisseur (vendor lock-in).
Le groupe de coopération NIS2 adopte des modèles communs de notification d’incident
Le 26 mai 2026, le groupe de coopération NIS a adopté des modèles communs pour la notification des incidents de cybersécurité, afin de remédier à la divergence des formats de notification nationaux. Les modèles couvrent toutes les phases de notification prévues à l’article 23 de la directive NIS2 — l’alerte précoce (24 heures), la notification de l’incident (72 heures), le rapport intermédiaire et le rapport final (30 jours) — et devraient être rendus obligatoires par un acte d’exécution.
La Commission inflige à Temu une amende de 200 millions d’EUR pour violation du DSA
Le 28 mai 2026, la Commission a infligé à Temu une amende de 200 millions d’EUR pour violation du DSA — la plus lourde sanction prononcée à ce jour au titre du règlement — estimant que Temu n’avait pas correctement évalué les risques systémiques liés aux produits illégaux et dangereux sur sa plateforme, se fondant sur des informations génériques à l’échelle du secteur plutôt que sur des éléments issus de son propre service.
Le Tribunal annule la désignation de Meta Marketplace comme contrôleur d’accès
Le 4 juin 2026, le Tribunal a annulé la décision de la Commission désignant Meta comme contrôleur d’accès au titre du DMA à l’égard de Facebook Marketplace — la première annulation réussie d’une désignation de contrôleur d’accès au titre du DMA — au motif que la Commission n’avait pas établi que Marketplace constitue un « point d’accès important ». Meta demeure désignée comme contrôleur d’accès pour Facebook, Instagram, WhatsApp, Messenger et Meta Ads.