The Tech Counsel : newsletter mensuelle sur le droit des technologies
Bienvenue dans la première édition de The Tech Counsel — notre aperçu mensuel des principales évolutions juridiques et réglementaires en matière d’IA, de vie privée et du paysage numérique au sens large.
Intelligence artificielle
Évolutions récentes du Digital Omnibus sur l’IA
Le Digital Omnibus sur l’IA s’inscrit dans le cadre plus large du paquet Digital Omnibus publié en novembre 2025, qui vise à simplifier la réglementation numérique de l’UE et à résoudre les difficultés de mise en œuvre de l’AI Act.
Le 7 mai 2026, les législateurs de l’UE sont parvenus à un accord provisoire sur le Digital Omnibus sur l’IA, à la suite de négociations en trilogue précédemment infructueuses. Le blocage portait principalement sur le cadre réglementaire applicable aux systèmes d’IA utilisés dans les produits réglementés énumérés à l’annexe I, en particulier sur l’articulation entre les exigences d’évaluation de la conformité prévues par l’AI Act et la législation sectorielle existante en matière de sécurité, notamment le règlement Machines et le règlement sur les dispositifs médicaux.
L’accord reporte l’application des règles relatives aux systèmes d’IA à haut risque à des dates fixes : le 2 décembre 2027 pour les systèmes d’IA présentant un cas d’usage à haut risque (annexe III) et le 2 août 2028 pour les systèmes d’IA à haut risque intégrés dans des produits réglementés (annexe I). Les obligations de filigranage prévues à l’article 50 ne sont reportées que jusqu’au 2 décembre 2026.
Les colégislateurs ont également étendu la liste des pratiques d’IA interdites afin d’y inclure l’interdiction des systèmes d’IA utilisés pour générer des contenus sexuels ou intimes non consentis, ainsi que du matériel pédopornographique, la mise en conformité étant requise pour le 2 décembre 2026. La définition de « composant de sécurité » a été restreinte, de sorte que les systèmes d’IA qui se bornent à assister les utilisateurs ou à optimiser les performances ne sont pas automatiquement classés comme étant à haut risque.
Projet de code de bonne conduite et de lignes directrices sur la transparence
La Commission européenne a publié la deuxième version du projet de code de bonne conduite relatif au marquage et à l’étiquetage des contenus générés par l’IA le 5 mars 2026, ainsi qu’un projet de lignes directrices sur la mise en œuvre des obligations de transparence prévues à l’article 50 de l’AI Act le 8 mai 2026.
Le code aide les fournisseurs et les déployeurs à respecter les obligations de transparence applicables à partir du 2 août 2026. Il introduit une approche de marquage à deux niveaux, composée de métadonnées sécurisées et de filigranage, complétée par des mécanismes facultatifs d’empreinte numérique, de journalisation et de protocoles de détection, et fixe des exigences concrètes de conception et de placement des icônes, étiquettes et avertissements pour les hypertrucages (deepfakes) et les contenus générés par l’IA publiés sur des sujets d’intérêt public.
Le projet de lignes directrices sur la transparence précise que les informations sont insuffisantes lorsqu’elles figurent uniquement dans les conditions générales, des URL ou de la documentation ; lorsque les marquages ne sont pas perceptibles par les utilisateurs ; lorsque les signaux sont peu clairs ou ambigus ; ou lorsque les descriptions sont purement techniques. La mise en conformité doit tenir compte des utilisateurs vulnérables, tels que les enfants ou les personnes peu familiarisées avec le numérique.
L’AEPD publie des orientations sur les outils de transcription vocale par IA
L’autorité espagnole de protection des données (AEPD) a publié une série d’orientations en deux parties sur les outils de transcription vocale reposant sur l’IA et leurs implications au regard du RGPD. L’AEPD confirme que la voix d’une personne constitue une donnée à caractère personnel et que, au-delà du contenu parlé, les enregistrements vocaux peuvent révéler des caractéristiques identifiantes telles que l’accent, le ton, les schémas d’élocution, l’état émotionnel ou des informations relatives à la santé.
L’AEPD décrit deux traitements distincts — la génération de la transcription elle-même et l’utilisation ultérieure des enregistrements ou des transcriptions pour l’entraînement, l’affinage ou l’amélioration de modèles d’IA — qui requièrent une appréciation juridique et une transparence indépendantes. Les responsables du traitement doivent déterminer une base légale valable au titre de l’article 6 ainsi qu’une exception applicable au titre de l’article 9 avant de traiter des catégories particulières de données, et doivent informer les personnes concernées de manière claire et préalable que les conversations sont enregistrées et transcrites au moyen d’outils d’IA.
Vie privée
La CNIL publie une recommandation sur les pixels de suivi dans les courriels
L’autorité française de protection des données (CNIL) a adopté le 12 mars 2026 une recommandation relative aux pixels de suivi dans les courriels. La CNIL confirme que les pixels de suivi constituent des opérations de lecture d’informations depuis le terminal d’un utilisateur et relèvent de l’article 82 de la loi française Informatique et Libertés, conformément au régime applicable aux cookies.
Le consentement préalable est requis dans la plupart des situations, en particulier pour le suivi utilisé à des fins d’analyse marketing, d’optimisation de campagnes, de profilage comportemental, de mesure d’audience ou de ciblage cross-canal. Des exemptions limitées s’appliquent pour la sécurité (authentification), la gestion de la délivrabilité et les courriels transactionnels, mais elles sont d’interprétation stricte et les données collectées ne peuvent être réutilisées à des fins d’analyse marketing. Pour les adresses collectées avant la publication, la CNIL a prévu une période transitoire jusqu’au 14 juillet 2026.
Le CEPD élabore un nouveau modèle d’AIPD
Le Comité européen de la protection des données a publié un projet de modèle d’analyse d’impact relative à la protection des données afin d’aider les responsables du traitement à respecter leurs obligations au titre du RGPD. Le modèle guide les responsables du traitement à travers un processus structuré comportant des champs prédéfinis, tout en préservant leur marge d’appréciation dans la conduite de l’analyse des risques. La consultation publique s’est tenue jusqu’au 9 juin 2026.
L’autorité néerlandaise de protection des données publie des orientations sur l’explicabilité des décisions automatisées
L’autorité néerlandaise de protection des données a fourni des orientations détaillées sur l’explicabilité en matière de décision individuelle automatisée au titre de l’article 22 du RGPD. Plutôt que de débattre de l’existence d’un « droit à l’explication », les orientations se concentrent sur les informations à fournir pour rendre les droits des personnes effectifs en pratique — une information générale dans les déclarations de confidentialité et, sur demande, une explication personnalisée de la décision spécifique. L’explicabilité est présentée comme une obligation dès la conception, documentée dans des processus tels que les AIPD.
Expiration de la dérogation CSAM prévue par la directive vie privée et communications électroniques
La dérogation temporaire permettant aux fournisseurs de services de communications électroniques de traiter des données à caractère personnel aux fins de la détection volontaire de matériel pédopornographique a expiré le 3 avril 2026. À la suite de l’incapacité du Parlement européen et du Conseil à s’accorder sur une nouvelle prolongation, la dérogation a pris fin sans cadre de remplacement, ravivant l’attention sur le règlement sur les abus sexuels commis contre des enfants (également connu sous le nom de règlement « chat control »), actuellement au point mort.
Autres sujets numériques
Conclusions préliminaires de la Commission à l’encontre de Meta pour protection insuffisante des mineurs
La Commission européenne a émis, le 29 avril 2026, des conclusions préliminaires indiquant que Meta pourrait enfreindre les obligations du règlement sur les services numériques concernant Instagram et Facebook, invoquant des manquements dans l’évaluation et l’atténuation adéquates des risques liés à l’accès aux plateformes par des mineurs de moins de 13 ans — notamment le recours à des dates de naissance auto-déclarées, des mécanismes de signalement inefficaces et une évaluation des risques défaillante. Si elles étaient confirmées, les sanctions pourraient inclure des amendes administratives pouvant atteindre 6 % du chiffre d’affaires annuel mondial total de Meta.
Ouverture d’une procédure formelle à l’encontre de SHEIN au titre du DSA
Le 17 février 2026, la Commission a ouvert une procédure formelle à l’encontre de SHEIN au titre du DSA, en se concentrant sur la vente de produits illégaux au sein de l’UE, les fonctionnalités de conception addictives et la transparence des systèmes de recommandation. Les issues possibles comprennent des mesures provisoires, des engagements ou des amendes pouvant atteindre 6 % du chiffre d’affaires annuel mondial.
Auteurs : Teodora Drašković et Alexandra Dirriglová.