Les réglementations du second semestre 2026

Depuis novembre 2025, un mot revient dans toutes les veilles juridiques data : le Digital Omnibus. Une partie de cette évolution est déjà entrée en vigueur cet été. Le second semestre 2026 est justement marqué par de nouvelles échéances qui vont accélérer sa mise en œuvre. Dans cet article on fait le point sur les prochaines exigences réglementaires liées à la data.

Digital Omnibus : une simplification des réglementations complexes

Présenté par la Commission européenne en novembre 2025, le Digital Omnibus n’est pas un règlement en soi mais une suite de modifications. Il est porté par trois ambitions :

• Alléger la charge administrative des entreprises,
• Harmoniser les obligations entre les textes numériques existants,
• Accélérer la numérisation des services publics.

Le tout dans un objectif global de développer la souveraineté numérique européenne.

Ce projet se scinde en réalité en deux textes distincts, avec deux calendriers différents. Le premier est consacré à l’AI Act et vient d’entrer en vigueur. Le second, qui touche au RGPD, à l’ePrivacy et au Data Act, en est encore au stade de la négociation entre le Parlement et le Conseil.

AI Act : ce qui bascule en 2026

Entré en vigueur le 1er août 2024, l’AI Act classe les usages de l’IA selon quatre niveaux de risque, de l’interdiction pure au risque minimal. Ce texte réglementaire impose à toute entreprise utilisant de l’IA en Europe une obligation de former son personnel.

Voici le calendrier actualisé après l’entrée en vigueur du règlement modificatif le 27 juillet 2026 :

2 août 2026 : activation des pouvoirs de sanction de la Commission (jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial) et entrée en application des obligations de transparence pour les chatbots, les contenus générés par IA et les deepfakes.

2 décembre 2026 : marquage des contenus générés par IA pour les systèmes déjà commercialisés avant août 2026.

2 décembre 2027 : obligations pour les systèmes à haut risque autonomes notamment le recrutement, le crédit, l’éducation, la justice et la biométrie. Cette échéance était fixée à août 2026. Elle est reportée de 16 mois.

Les interdictions, l’obligation de maîtrise de l’IA, la transparence et les sanctions restent au calendrier initial. Seule la mise en conformité des systèmes à haut risque est décalée.

Data Act : nouvelle échéance en septembre 2026

Entré en vigueur le 11 janvier 2024, le Data Act s’applique dans l’ensemble de l’Union européenne depuis le 12 septembre 2025. Il instaure des droits d’accès, d’utilisation et de partage des données pour tous les produits et services connectés mis sur le marché européen, quelle que soit la localisation du fabricant ou du prestataire.

Deux nouvelles échéances vont le structurer :

12 septembre 2026 : les fabricants et fournisseurs de produits connectés doivent désormais concevoir leurs objets et services pour que les données générées soient directement accessibles à l’utilisateur.

12 janvier 2027 : fin des frais de changement de fournisseur pour les services cloud et de traitement de données.

Ces échéances concernent les fabricants de produits connectés, les fournisseurs de services associés, les détenteurs et destinataires de données, ainsi que les utilisateurs finaux, entreprises comme particuliers.

Pour rappel, voici les principales obligations qui le compose :

Accès aux données : l’utilisateur doit pouvoir consulter gratuitement les données générées par son produit ou service sans contrepartie financière,

Réutilisation et partage des données : l’utilisateur peut exploiter ces données à titre personnel ou professionnel et les transmettre au prestataire de son choix,

Interopérabilité et portabilité : les systèmes doivent permettre de faire circuler ces données d’un service à l’autre sans blocage technique,

Encadrement contractuel : aucune clause ne peut restreindre de manière injustifiée l’accès ou l’usage des données, ces clauses sont réputées non contraignantes si elles le font.

Le Data Act cible avant tout les données générées par des objets connectés et de l’IoT (l’internet des objets), pas les bases de contacts ou les données de prospection. C’est un point utile à clarifier pour tous ceux qui travaille la donnée B2B à des fins marketing. Son impact direct sur les métiers de la data marketing reste donc faible, il structure surtout la gouvernance des données.

RGPD : la réforme qui n’est pas encore officielle

Contrairement à l’AI Act, le volet RGPD du Digital Omnibus n’a pas encore été adopté. Il reste une proposition de règlement, en cours de négociation entre le Parlement européen et le Conseil, avec quatre évolutions principales.

En premier il y a la redéfinition de la donnée personnelle. Le RGPD définit aujourd’hui une donnée personnelle comme “toute information se rapportant à une personne physique identifiée ou identifiable”. La Commission propose d’y ajouter une nuance : une information ne serait plus considérée comme personnelle si l’entreprise qui la détient n’a pas la capacité de relier cette donnée à une identité réelle. Concrètement, une base de données pseudonymisées, qui n’est donc pas ré-identifiable par son détenteur, pourrait sortir du champ du RGPD.

En second, le délai de notification des violations est allongé. Il passe de 72 à 96 heures, avec l’idée d’un portail de signalement unique partagé avec la directive NIS2 sur la cybersécurité.

Ensuite, l’e-Privacy intègre le RGPD. Les règles d’e-Privacy sur les cookies et les traceurs, y compris les pixels de suivi, migreraient vers le RGPD. L’objectif est clair : simplifier l’usage utilisateur. Cela passerait notamment à travers un bouton de refus aussi accessible que celui d’acceptation, l’interdiction de redemander le consentement pendant six mois après un refus, le respect des préférences réglées au niveau du navigateur. Certains traitements jugés à faible risque pourraient s’affranchir du consentement.

Enfin, la dernière évolution concerne l’intérêt légitime assoupli pour l’IA. Les entreprises pourraient s’appuyer sur l’intérêt légitime, plutôt que sur le consentement, pour utiliser des données personnelles dans l’entraînement ou l’exploitation de modèles d’IA. Cela sous réserve de mesures techniques et organisationnelles protégeant les personnes concernées.

À l’heure de la publication de cet article, rien de tout cela n’est en vigueur. Les règles actuelles restent pleinement applicables. Une adoption n’est pas attendue avant la fin 2026 au plus tôt, avec des applications concrètes plus probablement en 2027.

Ce qu’il faut retenir

Ce qui est déjà entré en vigueur : l’AI Act modifié, en vigueur depuis le 27 juillet 2026 dont les sanctions et transparence sont applicables depuis août 2026 ; le haut risque est reporté à décembre 2027 et août 2028.

Ce qui devient obligatoire à surveiller de près : le Data Act et son exigence d’accès aux données dès septembre 2026.

Ce qui n’est encore qu’un projet : la réforme du RGPD et de l’ePrivacy. Aucune obligation nouvelle à ce jour, mais un texte à suivre de près.