Le panorama législatif numérique de l'UE : ce qui vient après les échéances de 2026

La plupart des contenus consacrés à la conformité traitent de règles déjà applicables. C'est utile pour le prochain audit et sans intérêt pour planifier, car les décisions coûteuses sont architecturales, et l'architecture se fixe dix-huit mois avant l'échéance.

Voici l'autre moitié du tableau : ce qui traverse en ce moment la machine législative européenne, quand cela devrait aboutir, en gros, et ce qui mérite vraiment d'influencer ce que vous développez aujourd'hui.

Un avertissement d'emblée. Les propositions changent, certaines meurent en route, les dates glissent. Rien ici ne justifie de développer en visant un texte non adopté. En revanche, tout ici justifie d'éviter de bâtir quelque chose qu'une règle manifestement en approche rendra coûteux.

Comment lire les étapes

Le droit européen suit des étapes prévisibles, et l'étape où se trouve un dossier vous dit quel crédit lui accorder.

Annoncé au programme de travail. La Commission a fait savoir qu'elle comptait proposer quelque chose. Pas de texte. Utile pour le cap, rien de plus.

Proposition publiée. Il existe un texte. Il changera, souvent beaucoup, mais la structure et les définitions sont désormais visibles.

Orientation générale du Conseil et mandat du Parlement. Les deux colégislateurs ont chacun leur position. La fourchette de négociation devient lisible : tout ce sur quoi ils s'entendent a de très fortes chances de survivre.

Trilogue. Négociation à huis clos entre Parlement, Conseil et Commission. Le résultat se situe en général quelque part entre les deux mandats.

Accord politique, puis adoption formelle, puis entrée en vigueur, puis application. C'est dans l'intervalle entre adoption et application que se fait le vrai travail, et il s'étend en général de dix-huit mois à trois ans.

La règle pratique : dès que les deux colégislateurs ont publié leur mandat, on peut s'appuyer sereinement sur ce qui les rassemble pour planifier. Avant cela, tout reste indicatif.

En cours de négociation

Le Digital Omnibus

Le plus gros paquet de simplification du cycle en cours, proposé en novembre 2025. Il touche au RGPD, au règlement sur l'IA, au règlement sur les données, à la directive ePrivacy et aux obligations de notification en cybersécurité. Le volet consacré au règlement sur l'IA en a été détaché et a déjà force de loi : règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026.

Ce qui compte le plus pour les équipes produit, ce sont les articles 88 bis et 88 ter proposés par la Commission : ils sortiraient les règles de consentement aux cookies de la directive ePrivacy pour les inscrire dans le RGPD lui-même, élargiraient les cas dispensés de consentement, instaureraient une période de silence de six mois après un refus et rendraient juridiquement contraignants les signaux de consentement lisibles par machine émis au niveau du navigateur.

Le volet RGPD et ePrivacy n'a pas encore atteint le trilogue. Au 10 octobre 2026, le Conseil n'a pas de mandat de négociation (un vote des ambassadeurs de l'UE prévu le 7 octobre a été reporté, au 11 octobre selon la presse), et les commissions du Parlement examinent encore plus de 1 750 amendements à leur projet de rapport de juin 2026. Le texte de compromis du Conseil maintient les règles sur les cookies dans la directive ePrivacy, supprime les articles 88 bis et 88 ter et ramène à quatre mois le délai d'attente après un refus. Cela reste le changement à court terme le plus probable dans le fonctionnement concret du consentement, et notre lecture figure dans le consentement aux cookies après le Digital Omnibus.

Qui est concerné : quiconque exploite une plateforme de gestion du consentement, de l'analytique, de la publicité ou de la personnalisation.

Le paquet euro numérique

Position du Conseil en décembre 2025, mandat de la commission parlementaire adopté par 43 voix contre 14, trilogues ouverts en juillet 2026, et les trois institutions visent une conclusion en 2026. Le pilote de la BCE démarre au second semestre 2027, pour une première émission visée en 2029.

Le détail figure dans notre guide de mise en œuvre de l'euro numérique.

Qui est concerné : banques, prestataires de services de paiement, plateformes e-commerce, éditeurs de logiciels de caisse.

Financial Data Access, dit FiDA

Le dossier de l'open finance. Il étend le modèle d'accès aux données de l'open banking au-delà des comptes de paiement, vers les placements, les retraites, l'assurance et les crédits immobiliers, et crée une catégorie réglementée inédite, celle du prestataire de services d'information financière.

De toute cette liste, FiDA est le dossier au parcours le plus chaotique. Les trilogues n'ont guère progressé de façon visible après la mi-2025, et en avril 2026 la Commission a adressé au Conseil un non-papier proposant un champ plus étroit pour les relancer. L'application serait échelonnée et, de façon réaliste, pas avant la fin de la décennie.

Qui est concerné : fintech, assurtech, plateformes de gestion de patrimoine, et tous ceux dont le produit gagnerait à accéder, avec autorisation, aux données financières au-delà des comptes courants.

Acté mais pas encore applicable

PSD3 et le règlement sur les services de paiement

Le Conseil et le Parlement ont trouvé un accord politique provisoire sur le cadre des paiements le 27 novembre 2025. C'est la refonte de la DSP2 : obligations renforcées de prévention de la fraude, répartition plus large de la responsabilité pour certains types de fraude dont l'usurpation d'identité, modifications de l'authentification forte du client, exigences de performance sur les interfaces d'open banking et fusion des régimes d'établissement de paiement et de monnaie électronique.

Les textes issus de l'accord ne sont pas encore au Journal officiel. Au 10 octobre 2026, la fiche de procédure du Parlement indique qu'ils attendent la position formelle du Conseil en première lecture, et le vote final en plénière est prévu à titre indicatif le 14 décembre 2026. Comme le paquet associe un règlement et une directive, une partie s'applique directement et l'autre doit être transposée. Comptez plutôt sur une application en fin de décennie.

Qui est concerné : tout produit qui initie des paiements, détient des fonds de clients ou consomme des API d'open banking.

Proposé, positions en formation

Le portefeuille européen d'entreprise

Proposé comme le pendant entreprise du portefeuille européen d'identité numérique. Là où le portefeuille personnel contient les attestations d'une personne, celui d'entreprise contient celles d'une société : données d'immatriculation, mandats, pouvoirs de représentation, certificats, plus la possibilité d'échanger des documents signés par-delà les frontières.

Le Conseil a adopté sa position de négociation le 9 juin 2026, et la commission ITRE du Parlement a adopté son rapport et un mandat de négociation le 10 septembre 2026 : les trilogues peuvent donc commencer. L'ambition affichée est un accord politique avant la fin 2026. La Commission proposait que les organismes publics acceptent les portefeuilles d'entreprise dans les 24 mois suivant l'entrée en vigueur ; le texte du Conseil remplace ce délai par une échéance plus tardive : deux ans après l'entrée en application des derniers actes d'exécution.

Le détail figure dans notre guide du portefeuille européen d'entreprise.

Qui est concerné : quiconque développe de l'onboarding B2B, des achats, de la vérification fournisseurs, de la facturation électronique ou des processus métier réglementés.

Le Cloud and AI Development Act

Un texte phare de l'agenda de souveraineté technologique de la Commission, proposé le 3 juin 2026 sous la référence COM(2026) 502. Il couvre la recherche et l'innovation, l'accélération des autorisations pour les centres de données (l'objectif affiché est d'au moins tripler la capacité des centres de données de l'UE d'ici 2030) et un cadre européen unique de quatre niveaux d'assurance de souveraineté pour les services cloud. Les acheteurs publics devraient exiger au minimum le niveau 1, et les niveaux 2 à 4 pour les activités qui touchent à l'ordre public.

Le sous-texte, c'est la dépendance aux fournisseurs cloud non européens, et le mécanisme qui a le plus de chances d'avoir du mordant est la commande publique plutôt que la régulation directe des acheteurs privés.

Le détail figure dans notre guide du Cloud and AI Development Act.

Qui est concerné : fournisseurs cloud, tous ceux qui vendent du logiciel à des acheteurs publics européens, et tous ceux dont l'architecture repose sur un hyperscaler unique.

Le Digital Networks Act

Présenté en janvier 2026 après plusieurs reports. Il réécrit la gouvernance des télécoms : harmonisation du spectre, marché unique des communications électroniques, normes de sécurité des réseaux, et la vieille querelle sur la contribution des gros émetteurs de trafic aux coûts de réseau.

Qui est concerné : opérateurs télécoms, fournisseurs de CDN et de connectivité, et tout service dont l'économie repose sur un transit bon marché.

Le Digital Fairness Act

Attendu pour le quatrième trimestre 2026 : ce sera donc une proposition, et non une loi, pendant encore un bon moment. Il vise sans détour les dark patterns, le design addictif, le marketing d'influence et les pratiques de personnalisation qui exploitent la vulnérabilité des consommateurs, prix personnalisés compris.

Celui-là mérite l'attention bien avant son application, car il cible des procédés d'interface dont beaucoup de produits dépendent pour leur conversion. Le détail figure dans notre guide du Digital Fairness Act.

Qui est concerné : les produits grand public de toute nature, et en particulier l'abonnement, le jeu, les places de marché et les réseaux sociaux.

Révision du Chips Act

La Commission a proposé un Chips Act 2.0 le 3 juin 2026 (COM(2026) 504), qui abrogerait et remplacerait le Chips Act de 2023. Le premier Chips Act a été largement jugé sous-dimensionné au regard de son ambition. Le nouveau texte ajoute des outils de crise, dont des commandes prioritaires pour les secteurs critiques, en plus du soutien aux sites de production et à la conception. Le volet financement est traité dans notre guide du financement du Chips Act.

Qui est concerné : entreprises de semi-conducteurs et de matériel, et tous ceux qui suivent l'argent de la politique industrielle européenne.

Réforme de la commande publique

La Commission a proposé un Public Procurement Act le 9 septembre 2026 (COM(2026) 590). Il remplacerait les trois directives de 2014 sur les marchés publics par un règlement unique et ajouterait un cadre de préférence européenne permettant aux acheteurs publics, dans les domaines stratégiques, de restreindre la participation ou de favoriser l'origine européenne. Si vous vendez à des acheteurs publics européens, sachez que les règles de commande publique sont le canal par lequel une part surprenante de la politique technologique finit par vous atteindre.

Qui est concerné : tous ceux qui réalisent du chiffre d'affaires dans le secteur public en Europe.

Annoncé, encore sans contours

Plusieurs initiatives ont été signalées sans qu'aucun texte n'existe : un Quantum Act (prévu pour le deuxième trimestre 2026, toujours pas proposé au 10 octobre 2026 et qui risquerait, selon la presse, de glisser en 2027), de nouveaux travaux sur l'IA dans la recherche, et la poursuite du déploiement de l'espace européen des données de santé. S'y ajoute le règlement sur les abus sexuels commis sur des enfants, communément appelé chat control, qui bute depuis des années sur l'analyse côté client et n'est toujours pas tranché.

Traitez-les comme des points de veille. Savoir qu'ils existent a une valeur ; concevoir en fonction d'eux, aucune.

Ce qui est allé dans l'autre sens

Il vaut la peine de savoir ce qui a été retiré ou déclassé, car beaucoup de commentaires publiés n'ont pas suivi.

La directive sur la responsabilité en matière d'IA a été retirée. Le règlement ePrivacy, qui a passé des années à faire du surplace, a été abandonné et son objet est désormais traité par le Digital Omnibus. La directive sur les allégations environnementales a connu un parcours difficile et sa forme finale n'est pas arrêtée, même si la directive sur l'autonomisation des consommateurs s'applique de toute façon depuis le 27 septembre 2026.

La simplification est devenue un thème politique assumé. Cela ne veut pas dire moins de régulation au total, mais cela veut dire que certains dossiers sont regroupés au lieu de s'empiler.

Comment se servir de tout cela sans perdre son temps

Devant une liste pareille, la tentation est de monter un tableau de suivi et d'affecter un responsable à chaque ligne. On obtient une feuille de calcul, rien de plus.

Ce qui fonctionne vraiment :

Triez selon qu'une décision de conception est en jeu ou non. L'architecture du consentement, la gestion des identités et des attestations, l'abstraction du moyen de paiement et les interfaces d'accès aux données coûtent cher à rattraper après coup. Les processus de reporting et la documentation, non. Seule la première catégorie justifie d'agir avant l'adoption.

Cherchez le socle commun. Une infrastructure de consentement bien conçue absorbe les changements du Digital Omnibus. La vérification d'attestations bâtie pour le portefeuille d'identité sert largement le portefeuille d'entreprise. L'abstraction du moyen de paiement sert aussi bien les paiements instantanés que Wero et l'euro numérique. Trois dossiers, un seul chantier de plateforme.

Surveillez les mandats, pas les propositions. Quand le Conseil et le Parlement ont tous deux publié leur position, leur zone de recouvrement est le terrain sûr. C'est ce moment-là qu'il faut attendre pour développer, pas le jour de publication d'une proposition.

Écrivez ce que vous avez décidé, et quand. La plupart de ces régimes attendent de vous que vous sachiez expliquer votre raisonnement. Une courte fiche de décision d'architecture, datée, vaut mieux qu'une note de doctrine rédigée après coup.

Où nous nous inscrivons

Nous développons et maintenons des logiciels pour des entreprises actives en Europe, ce qui revient de plus en plus à bâtir des systèmes capables d'absorber le changement réglementaire sans réécriture. Le travail est essentiellement ingrat : de l'abstraction aux bons endroits, des états explicites, et du paramétrage partout où le législateur a délibérément laissé un chiffre ajustable.

Si vous voulez savoir lesquels de ces dossiers touchent réellement un produit précis, écrivez à office@c9group.dev. Les règles déjà applicables sont cartographiées dans notre guide de la conformité numérique européenne 2026, et vous trouverez plus de détails sur notre travail européen sur la page entrée sur le marché européen.

Nous sommes ingénieurs, pas juristes, et ceci est une carte de planification, pas un conseil juridique. Tout ce qui précède peut encore bouger tant que ce n'est pas publié au Journal officiel.