Veille affaires publiques numérique et IA 2026 : AI Act, DSA, CNIL, ARCOM

En quelques années, le secteur du numérique est passé d’un domaine peu régulé à l’un des plus densément encadrés du droit français et européen. RGPD, DSA, DMA, AI Act, Data Act, EHDS côté UE ; lois SREN, JOP 2024, IA souveraine, neutralité du net côté France. Pour les éditeurs de logiciels, les plateformes, les acteurs de l’IA, les fournisseurs de services numériques et les directions juridiques, construire une veille AP numérique et IA efficace en 2026 suppose de maîtriser une architecture institutionnelle multi-niveaux (Bruxelles + Paris + autorités sectorielles). Méthode complète.

La spécificité du numérique : régulation à 70 % européenne

Premier constat structurel : la majorité des règles nouvelles qui s’appliquent au numérique sont d’origine européenne. Une bonne veille AP numérique consacre au moins 60 % de son effort à Bruxelles et 40 % à Paris (transpositions, mesures nationales, contrôle des autorités).

Le bloc européen majeur

• AI Act (règlement (UE) 2024/1689) — entré en vigueur le 1ᵉʳ août 2024. Application progressive : interdictions au 2 février 2025, modèles d’IA à usage général au 2 août 2025, intégralité au 2 août 2026 puis 2027. Régulateur national : à ce stade en cours de désignation.
• Digital Services Act (DSA) — règlement (UE) 2022/2065, en application complète depuis février 2024. Régule les plateformes en ligne (transparence, modération, signalement).
• Digital Markets Act (DMA) — règlement (UE) 2022/1925. Régule les « contrôleurs d’accès » (Gatekeepers : Alphabet, Amazon, Apple, ByteDance, Meta, Microsoft).
• Data Act — règlement (UE) 2023/2854. Régule l’accès et le partage des données générées par les objets connectés.
• Data Governance Act — règlement (UE) 2022/868. Cadre pour la réutilisation des données du secteur public et le partage volontaire.
• EHDS (European Health Data Space) — règlement adopté en 2025. Espace européen des données de santé, applicable progressivement.
• NIS 2 (directive (UE) 2022/2555) — sécurité des réseaux et systèmes d’information, transposée en France par la loi du 30 avril 2025.

Pour comprendre comment ces directives et règlements sont transposés en droit français, voir notre comparatif loi vs ordonnance.

Le bloc français

• Loi pour une République numérique (octobre 2016) — texte historique de référence.
• Loi SREN (loi du 21 mai 2024 visant à sécuriser et réguler l’espace numérique) — transposition partielle du DSA et dispositions nationales.
• Loi sur les Jeux olympiques 2024 (avril 2023) — vidéoprotection augmentée par algorithme.
• Loi du 23 octobre 2018 ELAN (volets numériques sur la couverture mobile).
• Stratégie nationale IA et plan France 2030 numérique.

Les acteurs institutionnels à surveiller

Côté français

• CNIL — autorité de référence sur la protection des données personnelles. Délibérations, mises en demeure, sanctions publiables au JO. La CNIL est de facto le régulateur français du RGPD et l’un des régulateurs sectoriels désignés sur certains aspects de l’AI Act.
• ARCOM — fusion CSA-HADOPI en 2022. Régule l’audiovisuel et le numérique : DSA pour le volet plateformes en France, droit voisin, vérification de l’âge, lutte contre les fausses informations.
• ARCEP — régulateur des télécoms (couverture mobile, fibre, ouverture des plateformes mobiles), désigné régulateur national sur certains aspects du DMA.
• ANSSI — sécurité informatique, opérateurs d’importance vitale (OIV), services essentiels (NIS 2).
• Cnam-IT et CNUM — instances consultatives sur les usages numériques de la santé et de l’administration.
• Direction interministérielle du numérique (DINUM) — pilote la transformation numérique de l’État.

Côté européen

• Commission européenne — DG CNECT (Communications networks, content and technology) et DG COMP (Competition). Décisions DSA/DMA, propositions législatives.
• European Data Protection Board (EDPB) — coordination des autorités de protection des données.
• AI Office (au sein de la Commission) — coordination de la mise en œuvre de l’AI Act.
• BEREC — Body of European Regulators for Electronic Communications.

Côté Parlement français

• Commission des affaires économiques et commission des lois (AN et Sénat) — examen des projets de loi numérique.
• Commission des affaires européennes — résolutions sur les projets d’actes UE.
• OPECST — rapports influents sur l’IA, l’éthique numérique, la souveraineté.

Le calendrier 2026 : ce qu’il faut anticiper

• Application complète de l’AI Act au 2 août 2026 — délais de mise en conformité pour les systèmes d’IA à haut risque et les obligations de transparence sur les modèles d’IA à usage général.
• Transposition / adaptation française à l’AI Act — projet de loi national à venir pour la désignation du régulateur et les sanctions.
• Dossiers Bercy + Bercy-Numérique sur la souveraineté cloud (SecNumCloud, doctrine cloud au centre).
• Décisions DSA au niveau européen et national, avec sanctions publiables.

La méthode en quatre étapes

Étape 1 — Définir le périmètre Bruxelles + Paris

Pour un éditeur d’IA, par exemple : AI Act (haut risque + GPAI) + DSA (si distribution via plateforme) + RGPD + Data Act + transpositions nationales. Cartographier ces six à dix dispositifs et identifier les autorités compétentes pour chacun.

Étape 2 — Configurer les sources européennes

C’est la spécificité du numérique. Sources prioritaires :

• EUR-Lex — base juridique européenne (équivalent UE de Légifrance).
• Site de la Commission européenne (sections DG CNECT, DG COMP).
• Politico Pro Technology — la référence presse pour le suivi Bruxelles tech.
• Agence Europe — agence de presse spécialisée institutions européennes.

Étape 3 — Suivre Paris : autorités et Parlement

• AN + Sénat : commissions des affaires économiques et des lois, OPECST, missions d’information.
• Légifrance + JORF : décrets et arrêtés numérique. Voir nos guide Légifrance et guide JORF.
• CNIL : flux des délibérations sur son site.
• ARCOM : décisions et recommandations.
• ARCEP : régulation télécoms et plateformes.
• Presse spécialisée : Next INpact, ZDNet, L’Informaticien, Silicon. Voir notre guide veille média pour le cadre du droit voisin.

Étape 4 — Croiser et archiver

Une décision CNIL sanctionnant une pratique trouve son sens dans le contexte du RGPD européen + de la jurisprudence CJUE + des positions historiques de la CNIL sur le sujet + des évolutions législatives à venir. La mémoire institutionnelle est ici particulièrement stratégique : les positions des autorités évoluent lentement et leur historique compte beaucoup.

Erreurs courantes à éviter

• Suivre uniquement Bruxelles ou uniquement Paris — les deux niveaux interagissent en permanence. Une loi française doit toujours être lue à la lumière du règlement européen sous-jacent.
• Confondre RGPD et DSA — le RGPD régule les données personnelles, le DSA les contenus et les obligations des plateformes. Les deux peuvent s’appliquer cumulativement.
• Ignorer les lignes directrices — sur AI Act, DSA, RGPD, les guidelines de la Commission, de l’EDPB ou des autorités nationales sont presque aussi structurantes que les textes eux-mêmes.
• Surestimer la souveraineté numérique — le discours politique est intense, mais la production normative effective sur ce sujet reste limitée. Distinguer effets d’annonce et changements réels.

Comment Legiwatch couvre la veille numérique et IA

Legiwatch indexe l’AN, le Sénat, Légifrance, le JORF, les délibérations CNIL et ARCOM publiées au JO. L’IA spécialisée permet de poser des questions sourcées sur les dispositifs RGPD, DSA, AI Act, et leurs transpositions ou applications françaises. La page sectorielle Numérique et IA liste les dossiers actifs, les acteurs clés et les méthodes de plaidoyer adaptées au secteur. Pour la veille spécifiquement européenne, Legiwatch complète mais ne remplace pas un outil comme Politico Pro Technology.

Pour aller plus loin

• Page sectorielle Numérique et IA (Legiwatch) — dossiers actifs, acteurs, méthodes.
• Guide de la veille parlementaire — méthode complète.
• Guide de la veille réglementaire — JO, décrets, AAI.
• Guide de la veille média — radio et presse spécialisée tech.
• Guide Légifrance — usage avancé.
• Guide Journal officiel — la publication quotidienne.
• Loi vs ordonnance — canal fréquent de transposition européenne.
• Décret vs arrêté — actes réglementaires des autorités numériques.
• Calendrier parlementaire 2026.