Le panorama législatif numérique de l'UE : ce qui vient après les échéances de 2026

La plupart des contenus consacrés à la conformité traitent de règles déjà applicables. C'est utile pour le prochain audit et sans intérêt pour planifier, car les décisions coûteuses sont architecturales, et l'architecture se fixe dix-huit mois avant l'échéance.

Voici l'autre moitié du tableau : ce qui traverse en ce moment la machine législative européenne, quand cela devrait aboutir, en gros, et ce qui mérite vraiment d'influencer ce que vous développez aujourd'hui.

Un avertissement d'emblée. Les propositions changent, certaines meurent en route, les dates glissent. Rien ici ne justifie de développer en visant un texte non adopté. En revanche, tout ici justifie d'éviter de bâtir quelque chose qu'une règle manifestement en approche rendra coûteux.

Comment lire les étapes

Le droit européen suit des étapes prévisibles, et l'étape où se trouve un dossier vous dit quel crédit lui accorder.

Annoncé au programme de travail. La Commission a fait savoir qu'elle comptait proposer quelque chose. Pas de texte. Utile pour le cap, rien de plus.

Proposition publiée. Il existe un texte. Il changera, souvent beaucoup, mais la structure et les définitions sont désormais visibles.

Orientation générale du Conseil et mandat du Parlement. Les deux colégislateurs ont chacun leur position. La fourchette de négociation devient lisible : tout ce sur quoi ils s'entendent a de très fortes chances de survivre.

Trilogue. Négociation à huis clos entre Parlement, Conseil et Commission. Le résultat se situe en général quelque part entre les deux mandats.

Accord politique, puis adoption formelle, puis entrée en vigueur, puis application. C'est dans l'intervalle entre adoption et application que se fait le vrai travail, et il s'étend en général de dix-huit mois à trois ans.

La règle pratique : dès que les deux colégislateurs ont publié leur mandat, on peut s'appuyer sereinement sur ce qui les rassemble pour planifier. Avant cela, tout reste indicatif.

Actuellement en trilogue

Le Digital Omnibus

Le plus gros paquet de simplification du cycle en cours, proposé en novembre 2025. Il touche au RGPD, au règlement sur l'IA, au règlement sur les données, à la directive ePrivacy et aux obligations de notification en cybersécurité.

Ce qui compte le plus pour les équipes produit, ce sont les articles 88 bis et 88 ter tels que proposés : ils sortiraient les règles de consentement aux cookies de la directive ePrivacy pour les inscrire dans le RGPD lui-même, élargiraient les cas dispensés de consentement, instaureraient une période de silence de six mois après un refus et rendraient juridiquement contraignants les signaux de consentement lisibles par machine émis au niveau du navigateur.

Les trilogues se poursuivaient encore au milieu de l'année 2026. C'est le changement à court terme le plus probable dans le fonctionnement concret du consentement, et notre lecture figure dans le consentement aux cookies après le Digital Omnibus.

Qui est concerné : quiconque exploite une plateforme de gestion du consentement, de l'analytique, de la publicité ou de la personnalisation.

Le paquet euro numérique

Position du Conseil en décembre 2025, mandat de la commission parlementaire adopté par 43 voix contre 14, trilogues ouverts en juillet 2026, et les trois institutions visent une conclusion en 2026. Le pilote de la BCE démarre au second semestre 2027, pour une première émission visée en 2029.

Le détail figure dans notre guide de mise en œuvre de l'euro numérique.

Qui est concerné : banques, prestataires de services de paiement, plateformes e-commerce, éditeurs de logiciels de caisse.

Financial Data Access, dit FiDA

Le dossier de l'open finance. Il étend le modèle d'accès aux données de l'open banking au-delà des comptes de paiement, vers les placements, les retraites, l'assurance et les crédits immobiliers, et crée une catégorie réglementée inédite, celle du prestataire de services d'information financière.

De toute cette liste, FiDA est le dossier au parcours le plus chaotique. Les négociations en trilogue se sont enlisées début 2026 avant de repartir. Une application réaliste s'échelonnerait entre 2027 et 2030.

Qui est concerné : fintech, assurtech, plateformes de gestion de patrimoine, et tous ceux dont le produit gagnerait à accéder, avec autorisation, aux données financières au-delà des comptes courants.

Acté mais pas encore applicable

PSD3 et le règlement sur les services de paiement

Le Conseil et le Parlement ont trouvé un accord politique provisoire sur le cadre des paiements le 27 novembre 2025. C'est la refonte de la DSP2 : obligations renforcées de prévention de la fraude, répartition plus large de la responsabilité pour certains types de fraude dont l'usurpation d'identité, modifications de l'authentification forte du client, exigences de performance sur les interfaces d'open banking et fusion des régimes d'établissement de paiement et de monnaie électronique.

Comme le paquet associe un règlement et une directive, une partie s'applique directement et l'autre doit être transposée. Comptez plutôt sur une application en fin de décennie.

Qui est concerné : tout produit qui initie des paiements, détient des fonds de clients ou consomme des API d'open banking.

Proposé, positions en formation

Le portefeuille européen d'entreprise

Proposé comme le pendant entreprise du portefeuille européen d'identité numérique. Là où le portefeuille personnel contient les attestations d'une personne, celui d'entreprise contient celles d'une société : données d'immatriculation, mandats, pouvoirs de représentation, certificats, plus la possibilité d'échanger des documents signés par-delà les frontières.

Le Conseil a adopté sa position de négociation le 9 juin 2026 et l'ambition affichée est un accord politique avant la fin 2026. Les États membres devraient accepter les portefeuilles d'entreprise pour les démarches administratives dans les 24 mois suivant l'entrée en vigueur, avec une année supplémentaire pour les fonctionnalités plus complexes.

Le détail figure dans notre guide du portefeuille européen d'entreprise.

Qui est concerné : quiconque développe de l'onboarding B2B, des achats, de la vérification fournisseurs, de la facturation électronique ou des processus métier réglementés.

Le Cloud and AI Development Act

Un texte phare de l'agenda de souveraineté technologique de la Commission, attendu pour le début de l'année 2026. Les objectifs affichés : renforcer la capacité européenne à développer, déployer et faire passer à l'échelle le cloud et l'IA, combler les lacunes réglementaires, promouvoir l'interopérabilité et établir une politique cloud à l'échelle de l'UE pour les administrations et la commande publique.

Le sous-texte, c'est la dépendance aux fournisseurs cloud non européens, et le mécanisme qui a le plus de chances d'avoir du mordant est la commande publique plutôt que la régulation directe des acheteurs privés.

Le détail figure dans notre guide du Cloud and AI Development Act.

Qui est concerné : fournisseurs cloud, tous ceux qui vendent du logiciel à des acheteurs publics européens, et tous ceux dont l'architecture repose sur un hyperscaler unique.

Le Digital Networks Act

Présenté en janvier 2026 après plusieurs reports. Il réécrit la gouvernance des télécoms : harmonisation du spectre, marché unique des communications électroniques, normes de sécurité des réseaux, et la vieille querelle sur la contribution des gros émetteurs de trafic aux coûts de réseau.

Qui est concerné : opérateurs télécoms, fournisseurs de CDN et de connectivité, et tout service dont l'économie repose sur un transit bon marché.

Le Digital Fairness Act

Attendu pour le quatrième trimestre 2026 : ce sera donc une proposition, et non une loi, pendant encore un bon moment. Il vise sans détour les dark patterns, le design addictif, le marketing d'influence et les pratiques de personnalisation qui exploitent la vulnérabilité des consommateurs, prix personnalisés compris.

Celui-là mérite l'attention bien avant son application, car il cible des procédés d'interface dont beaucoup de produits dépendent pour leur conversion. Le détail figure dans notre guide du Digital Fairness Act.

Qui est concerné : les produits grand public de toute nature, et en particulier l'abonnement, le jeu, les places de marché et les réseaux sociaux.

Révision du Chips Act

Une initiative législative révisant le règlement européen sur les semi-conducteurs a été inscrite au programme de travail 2026. Le premier Chips Act a été largement jugé sous-dimensionné au regard de son ambition, et la révision devrait y remédier. Le volet financement est traité dans notre guide du financement du Chips Act.

Qui est concerné : entreprises de semi-conducteurs et de matériel, et tous ceux qui suivent l'argent de la politique industrielle européenne.

Réforme de la commande publique

Un Public Procurement Act a été inscrit au programme de travail 2026, avec une dimension explicite de préférence européenne pour les secteurs stratégiques. Si vous vendez à des acheteurs publics européens, sachez que les règles de commande publique sont le canal par lequel une part surprenante de la politique technologique finit par vous atteindre.

Qui est concerné : tous ceux qui réalisent du chiffre d'affaires dans le secteur public en Europe.

Annoncé, encore sans contours

Plusieurs initiatives ont été signalées sans qu'aucun texte n'existe : un Quantum Act, un Space Act, de nouveaux travaux sur l'IA dans la recherche, et la poursuite du déploiement de l'espace européen des données de santé. S'y ajoute le règlement sur les abus sexuels commis sur des enfants, communément appelé chat control, qui bute depuis des années sur l'analyse côté client et n'est toujours pas tranché.

Traitez-les comme des points de veille. Savoir qu'ils existent a une valeur ; concevoir en fonction d'eux, aucune.

Ce qui est allé dans l'autre sens

Il vaut la peine de savoir ce qui a été retiré ou déclassé, car beaucoup de commentaires publiés n'ont pas suivi.

La directive sur la responsabilité en matière d'IA a été retirée. Le règlement ePrivacy, qui a passé des années à faire du surplace, a été abandonné et son objet est désormais traité par le Digital Omnibus. La directive sur les allégations environnementales a connu un parcours difficile et sa forme finale n'est pas arrêtée, même si la directive sur l'autonomisation des consommateurs s'applique de toute façon à partir de septembre 2026.

La simplification est devenue un thème politique assumé. Cela ne veut pas dire moins de régulation au total, mais cela veut dire que certains dossiers sont regroupés au lieu de s'empiler.

Comment se servir de tout cela sans perdre son temps

Devant une liste pareille, la tentation est de monter un tableau de suivi et d'affecter un responsable à chaque ligne. On obtient une feuille de calcul, rien de plus.

Ce qui fonctionne vraiment :

Triez selon qu'une décision de conception est en jeu ou non. L'architecture du consentement, la gestion des identités et des attestations, l'abstraction du moyen de paiement et les interfaces d'accès aux données coûtent cher à rattraper après coup. Les processus de reporting et la documentation, non. Seule la première catégorie justifie d'agir avant l'adoption.

Cherchez le socle commun. Une infrastructure de consentement bien conçue absorbe les changements du Digital Omnibus. La vérification d'attestations bâtie pour le portefeuille d'identité sert largement le portefeuille d'entreprise. L'abstraction du moyen de paiement sert aussi bien les paiements instantanés que Wero et l'euro numérique. Trois dossiers, un seul chantier de plateforme.

Surveillez les mandats, pas les propositions. Quand le Conseil et le Parlement ont tous deux publié leur position, leur zone de recouvrement est le terrain sûr. C'est ce moment-là qu'il faut attendre pour développer, pas le jour de publication d'une proposition.

Écrivez ce que vous avez décidé, et quand. La plupart de ces régimes attendent de vous que vous sachiez expliquer votre raisonnement. Une courte fiche de décision d'architecture, datée, vaut mieux qu'une note de doctrine rédigée après coup.

Où nous nous inscrivons

Nous développons et maintenons des logiciels pour des entreprises actives en Europe, ce qui revient de plus en plus à bâtir des systèmes capables d'absorber le changement réglementaire sans réécriture. Le travail est essentiellement ingrat : de l'abstraction aux bons endroits, des états explicites, et du paramétrage partout où le législateur a délibérément laissé un chiffre ajustable.

Si vous voulez savoir lesquels de ces dossiers touchent réellement un produit précis, écrivez à office@c9group.dev. Les règles déjà applicables sont cartographiées dans notre guide de la conformité numérique européenne 2026, et vous trouverez plus de détails sur notre travail européen sur la page entrée sur le marché européen.

Nous sommes ingénieurs, pas juristes, et ceci est une carte de planification, pas un conseil juridique. Tout ce qui précède peut encore bouger tant que ce n'est pas publié au Journal officiel.