Conformité numérique européenne en 2026 : les règles qui atteignent désormais votre code

Pendant sept ans environ, le RGPD a été la seule réglementation européenne que toutes les équipes produit connaissaient par son nom. Si vous exploitiez un site touchant des utilisateurs européens, vous appreniez ce qu'était une base légale, vous construisiez une bannière cookies, vous signiez des contrats de sous-traitance, et vous passiez à autre chose.

Cette époque est terminée. Entre 2024 et 2028, l'Union européenne déploie une pile de réglementations numériques qui sont, prises une à une, aussi exigeantes que le RGPD, et bien plus intrusives dans leur ensemble. La différence, c'est que ces nouvelles règles ne s'arrêtent pas à la politique de confidentialité. Elles atteignent votre tunnel de commande, votre bibliothèque de composants, votre processus de réponse aux incidents, votre nomenclature logicielle et votre modèle de données produit.

Nous concevons et maintenons des logiciels pour des entreprises opérant en Europe, et nous passons une bonne partie de nos semaines à traduire ces obligations en tickets. Voici notre carte de travail : ce qui s'applique aujourd'hui, ce qui arrive ensuite, et ce que tout cela signifie concrètement pour ceux qui écrivent du code.

Pourquoi cette vague est différente

Le RGPD était essentiellement horizontal. Un règlement, un ensemble de principes, applicable à quiconque traite des données à caractère personnel. La vague 2024 à 2028 est verticale et superposée. Une entreprise de commerce en ligne de taille moyenne vendant des objets connectés en Allemagne et en France peut aujourd'hui relever simultanément d'au moins huit instruments distincts, chacun avec son régulateur, son échéance et sa définition de qui est responsable.

Trois conséquences pratiques en découlent.

Premièrement, la conformité n'est plus quelque chose que l'on ajoute avant le lancement. Plusieurs de ces règles imposent des décisions de conception, et une décision de conception mal prise au deuxième mois coûte une refonte au vingtième.

Deuxièmement, les artefacts techniques comptent plus que la paperasse. Les régulateurs demandent de plus en plus des preuves lisibles par machine : une nomenclature logicielle, une évaluation de conformité, une déclaration d'accessibilité, un enregistrement de consentement, une chronologie d'incident. Personne n'est impressionné par un document de politique décrivant un contrôle qui n'existe pas dans le système.

Troisièmement, les échéances sont échelonnées et certaines ont bougé. À la suite du paquet Digital Omnibus proposé en novembre 2025, des pans du règlement IA ont été repoussés tandis que d'autres sont restés exactement en place. Les équipes qui ont lu un titre et se sont arrêtées là planifient aujourd'hui sur les mauvaises dates.

Ce qui s'applique dès maintenant

Le RGPD, toujours la fondation

Rien dans la nouvelle vague ne remplace le règlement général sur la protection des données. Il reste la couche de base, et c'est toujours de là que viennent les amendes les plus lourdes. Si votre modèle de données, vos tâches de purge et votre processus de demandes d'accès sont faibles, tout ce qui s'appuie dessus hérite de cette faiblesse. Nous avons rédigé un guide séparé, orienté ingénierie : notre guide RGPD pratique pour les sites web.

L'Acte européen sur l'accessibilité

La directive 2019/882 est applicable depuis le 28 juin 2025, et l'application s'est intensifiée au cours de 2026. Elle couvre le commerce en ligne destiné aux consommateurs, les services bancaires, la billetterie de transport, les télécommunications, les livres numériques et davantage. La référence technique est la norme EN 301 549, qui correspond aujourd'hui aux WCAG 2.1 niveau AA, avec une révision attendue vers les WCAG 2.2.

Celle-ci surprend, car ce n'est pas un exercice documentaire. Elle impose de vrais changements au balisage, à la gestion du focus, aux contrastes, au traitement des erreurs de formulaire et à la navigation au clavier. Un tribunal français a déjà enjoint Carrefour de se mettre en conformité sous astreinte quotidienne. Les détails sont dans notre guide sur l'Acte européen sur l'accessibilité.

Le Data Act

Le règlement 2023/2854 est applicable depuis le 12 septembre 2025. Il donne aux utilisateurs un droit sur les données générées par leurs produits connectés, et contraint les fournisseurs cloud à rendre le changement de prestataire réaliste plutôt que théorique. À partir du 12 septembre 2026, les produits connectés et services associés nouvellement mis sur le marché devront être conçus pour que les données soient accessibles par défaut, ce qui est une exigence d'architecture et non juridique. Voir notre analyse du Data Act.

NIS2

Les États membres ont transposé NIS2 à des rythmes très différents. L'Allemagne a ouvert son portail d'enregistrement le 6 janvier 2026, les Pays-Bas ont fait entrer leur loi en vigueur le 15 août 2026, et d'autres pays rattrapent encore leur retard. Si vous êtes concerné, vous devez des notifications sur une horloge de 24 heures, et vous devez à vos clients la preuve que vous gérez le risque de chaîne d'approvisionnement. Notre guide pratique NIS2 couvre le côté opérationnel.

La vérification du bénéficiaire

Depuis le 9 octobre 2025, les prestataires de services de paiement de la zone euro doivent proposer gratuitement une vérification de la correspondance entre le nom du bénéficiaire et l'IBAN avant qu'un virement ne soit confirmé. Pour quiconque construit des flux de paiement ou de versement, cela ajoute une étape avant confirmation et une série d'états de correspondance approximative à gérer dans l'interface. Nous avons traité le sujet dans virements instantanés et vérification du bénéficiaire.

Ce qui arrive dans les douze prochains mois

2 août 2026 : transparence du règlement IA

Les obligations de l'article 50 sont désormais en vigueur. Si votre produit parle aux utilisateurs via un agent conversationnel, vous devez leur dire qu'ils parlent à une machine. S'il génère de l'audio, des images, de la vidéo ou du texte de synthèse, la sortie doit être marquée de façon lisible par machine. Une tranche supplémentaire, incluant le détail du filigranage et une interdiction des applications de dénudage, suit le 2 décembre 2026.

Les obligations plus lourdes du haut risque ont bougé. Les systèmes autonomes relevant de l'annexe III ont jusqu'au 2 décembre 2027, et l'IA intégrée dans des produits réglementés jusqu'au 2 août 2028. C'est un vrai répit, mais seulement pour le niveau haut risque. Détail complet dans notre article sur la transparence du règlement IA.

11 septembre 2026 : signalement au titre du Cyber Resilience Act

Les fabricants de produits comportant des éléments numériques doivent signaler les vulnérabilités activement exploitées et les incidents graves via une plateforme européenne unique. Alerte précoce sous 24 heures, notification complète sous 72 heures, rapport final sous 14 jours. On ne tient pas une horloge de 24 heures sans savoir ce qu'il y a dans son produit, d'où la construction de chaînes SBOM un an avant l'obligation formelle. Voir le guide CRA.

12 septembre 2026 : obligations de conception du Data Act

L'exigence de conception pour l'accès aux données mord pour les produits nouvellement mis sur le marché.

27 septembre 2026 : directive sur le pouvoir d'agir des consommateurs

Les allégations environnementales génériques perdent leur couverture juridique, les labels de durabilité doivent être vérifiés, et un avis et un label harmonisés sur les garanties commerciales doivent apparaître dans le parcours d'achat. C'est un changement de contenu et de gabarits sur les pages produit, les pages catégories et le tunnel de commande. Traité dans allégations environnementales et données produit.

24 décembre 2026 : portefeuille européen d'identité numérique

Chaque État membre doit rendre disponible au moins un portefeuille. Les parties utilisatrices assujetties, dont les banques, le transport, l'énergie, la santé et les télécoms, devront l'accepter à partir de décembre 2027. Pour être accepteur précoce, il faut s'enregistrer comme partie utilisatrice et prendre en charge les formats d'attestation du portefeuille. Notre guide d'intégration du portefeuille EUDI explique ce que cela implique.

Ce qui bouge encore

Deux dossiers méritent d'être suivis sans être surplanifiés.

Le Digital Omnibus ferait basculer les règles de consentement aux cookies dans le RGPD lui-même, via un article 88a et un article 88b proposés. Les changements majeurs sont une acceptation ou un refus en un clic, une règle interdisant de redemander pendant six mois à un utilisateur ayant refusé, et des signaux de consentement lisibles par machine juridiquement contraignants. Les trilogues ont couru jusqu'à mi-2026. Rien n'est définitif, et nous ne reconstruirions pas une plateforme de consentement en supposant que le texte passe inchangé, mais la direction est assez claire pour influencer la manière dont on en architecture une. Notre analyse est dans le consentement aux cookies après le Digital Omnibus.

Le Digital Fairness Act est encore au stade de proposition, attendu fin 2026, et vise directement les dark patterns, les prix personnalisés et le design addictif. Il s'appliquera réalistiquement entre 2028 et 2030. Il compte aujourd'hui uniquement parce qu'il indique quels motifs d'interface vivent sur du temps emprunté.

La couche paiement que personne n'avait prévue

Il y a un autre basculement qui n'est pas une réglementation du tout, mais qui se comporte comme telle vu la vitesse à laquelle il se diffuse dans les tunnels de commande européens.

Wero, le portefeuille construit par l'European Payments Initiative, est passé des virements entre particuliers au commerce en ligne en 2025 et 2026. Il s'exécute sur le virement instantané SEPA en une dizaine de secondes et contourne entièrement les schémas de cartes. Lidl a annoncé la prise en charge sur lidl.de en juillet 2026, avec l'acceptation en magasin et les boutiques belge et française plus tard dans l'année. Decathlon, Rossmann, Hornbach, Eventim et d'autres sont déjà en ligne.

Personne n'est légalement tenu d'accepter Wero. Mais quand un discounter de la taille de Lidl ajoute un moyen de paiement, le reste du marché a tendance à suivre, et l'intégration n'est pas du travail offert : elle atterrit dans votre tunnel, votre machine à états de commande, votre logique de remboursement et votre rapprochement. Nous l'avons détaillée dans le guide d'intégration Wero.

Comment séquencer sans perdre un trimestre

L'instinct est d'ouvrir un chantier conformité et d'essayer de tout clore. Cela produit généralement un tableur et très peu de code livré. Ce qui fonctionne mieux, d'après notre expérience :

Commencez par le périmètre, honnêtement. La plupart de ces règles ont des seuils, des exemptions et des définitions qui changent matériellement ce que vous devez. Une microentreprise fournissant des services sort d'une grande partie de l'Acte sur l'accessibilité. Une société qui ne fabrique pas de produits comportant des éléments numériques sort du CRA. Une demi-heure passée sur les articles de périmètre eux-mêmes fait gagner des mois.

Trouvez les recoupements et construisez une fois. Le travail d'accessibilité au titre de l'EAA améliore aussi les exigences de clarté des règles de transparence du règlement IA. L'infrastructure de consentement bâtie pour le RGPD porte l'essentiel des changements du Digital Omnibus. Une chaîne SBOM bâtie pour le CRA répond à une bonne part des questions de chaîne d'approvisionnement de NIS2. Traitez tout cela comme un travail de plateforme partagé, pas comme douze projets distincts.

Réglez d'abord ce qui exige des décisions de conception. L'accès aux données par défaut, l'acceptation d'attestations, la sémantique d'accessibilité et l'architecture de consentement coûtent cher à rétrofiter. Les workflows de signalement et la documentation, non. Séquencez en conséquence.

Écrivez ce que vous avez décidé et pourquoi. La plupart de ces régimes attendent que vous puissiez expliquer votre raisonnement, pas seulement montrer une case verte. Un court registre de décision d'architecture vaut mieux qu'un long PDF de politique.

Où nous nous situons

Nous sommes une société de logiciel, pas un cabinet d'avocats, et nous le disons clairement à chaque client. Nous n'émettons pas d'avis juridiques. Ce que nous faisons, c'est prendre l'interprétation retenue par votre équipe juridique et la transformer en systèmes qui fonctionnent : plateformes de consentement, bibliothèques de composants accessibles, API d'accès aux données, chaînes SBOM, intégrations de portefeuille, flux de paiement et toute l'infrastructure ennuyeuse en dessous.

Nos équipes travaillent depuis Ljubljana et Novi Sad, à l'intérieur de l'environnement réglementaire que nous décrivons, ce qui veut dire que nous vivons ces échéances sur nos propres produits aussi.

Si vous cherchez à déterminer lesquelles de ces règles vous concernent réellement, ou si vous avez une date au calendrier sans plan derrière, écrivez-nous à office@c9group.dev. Vous pouvez aussi en lire davantage sur la manière dont nous accompagnons les entreprises qui entrent ou se développent en Europe sur notre page dédiée à l'entrée sur le marché européen.