DMA, DSA et NIS2 : les autres réglementations européennes qui concernent votre activité numérique et que vous ne connaissez peut-être pas

L’AI Act n’est pas la seule réglementation européenne qui concerne votre entreprise numérique. Le DMA, le DSA et la NIS2 encadrent la façon dont vous vendez sur les marketplaces, dont vous gérez vos contenus et dont vous protégez votre infrastructure. Voici le guide pratique de la cartographie réglementaire complète

Si vous avez suivi nos articles sur l’AI Act, vous savez déjà que la réglementation européenne sur l’intelligence artificielle repose sur une approche fondée sur les risques. Mais l’AI Act ne fonctionne pas de manière isolée. Il fait partie d’un écosystème réglementaire plus large qui encadre différentes facettes de votre activité numérique : la façon dont vous êtes en concurrence sur les marketplaces, dont vous gérez les contenus sur vos plateformes et dont vous protégez vos systèmes contre les cyberattaques.

Trois réglementations européennes qui ne sont probablement pas sur votre radar, mais qui sont déjà en vigueur et donnent lieu à des sanctions de plusieurs millions : le DMA (Digital Markets Act), le DSA (Digital Services Act) et la NIS2 (directive sur la sécurité des réseaux et des systèmes d’information). Avec le RGPD et l’AI Act, elles composent le cadre complet qui fixe les règles du jeu numérique en Europe.

Dans cet article, nous vous expliquons ce que régit chacune d’elles, en quoi elles vous concernent en tant que PME ou e-commerce, quelles sanctions sont appliquées et quelles actions concrètes vous devez mettre en œuvre.

L’écosystème réglementaire européen : vue d’ensemble

Le cadre réglementaire numérique européen est structuré en couches complémentaires, chacune encadrant un aspect différent :

• RGPD : Protection des données personnelles. La colonne vertébrale de toute la réglementation numérique.
• DMA : Concurrence loyale sur les marchés numériques. Il encadre les grandes plateformes (gatekeepers, ou contrôleurs d’accès).
• DSA : Responsabilité vis-à-vis des contenus numériques. Transparence algorithmique et modération.
• NIS2 : Cybersécurité obligatoire. Résilience des réseaux et notification des incidents.
• AI Act : Gestion des risques liés à l’IA. Documentation technique, contrôle humain, éthique.

Ces réglementations ne sont pas indépendantes : elles se recoupent et se renforcent mutuellement. Un système d’IA qui fonctionne sur une marketplace (AI Act + DMA), traite des données personnelles (RGPD), recommande des contenus (DSA) et repose sur une infrastructure critique (NIS2) peut être soumis aux cinq simultanément.

Chiffre clé : En 2025, la Commission européenne a proposé un paquet de simplification numérique pour harmoniser et réduire les recoupements entre le RGPD, l’AI Act, le Data Act, la NIS2 et ePrivacy. Mais en attendant son adoption, chaque réglementation s’applique de manière indépendante, avec ses propres échéances et sanctions.

DMA : une concurrence loyale sur les marchés numériques

Le Digital Markets Act (DMA) encadre les grandes plateformes numériques désignées comme gatekeepers : des entreprises qui contrôlent des points d’accès clés au marché numérique. Il existe actuellement 7 gatekeepers désignés : Meta, Alphabet (Google), Amazon, Apple, Microsoft, ByteDance (TikTok) et Booking, avec 23 services de plateforme essentiels soumis à la réglementation.

En quoi cela vous concerne-t-il en tant que PME ?

Si vous vendez sur Amazon, utilisez Google Shopping, faites de la publicité sur Meta Ads ou distribuez votre application sur l’App Store, le DMA vous concerne indirectement, mais avec un impact réel :

• Interdiction de l’autopréférence (self-preferencing) : Les gatekeepers ne peuvent pas favoriser leurs propres produits dans les résultats de recherche ou les recommandations. Google ne peut pas positionner Google Shopping au-dessus de votre boutique dans les résultats naturels. En septembre 2025, Google a été sanctionné à hauteur de 2,95 milliards d’euros pour cette pratique.
• Interopérabilité obligatoire : Les plateformes doivent permettre la communication croisée entre services de messagerie ainsi que l’interopérabilité matérielle et logicielle.
• Portabilité des données : Vous avez le droit d’accéder à vos données commerciales sur la plateforme et de les exporter en temps réel, de manière continue et gratuite.
• Liberté de communication : Les développeurs et les vendeurs peuvent communiquer directement avec leurs clients en dehors de la plateforme. Apple a été sanctionnée à hauteur de 500 millions d’euros en avril 2025 pour avoir empêché les développeurs d’informer leurs utilisateurs d’options de paiement alternatives.

Sanctions DMA : Jusqu’à 10 % du chiffre d’affaires mondial annuel. En cas de récidive, jusqu’à 20 %. Les sanctions déjà prononcées montrent qu’elles n’ont rien de théorique.

Action pour votre PME : Passez en revue vos conditions avec chaque plateforme gatekeeper sur laquelle vous opérez. Exercez votre droit à la portabilité des données. Si vous constatez des pratiques d’autopréférence qui vous pénalisent, vous pouvez déposer une plainte auprès de la Commission européenne.

DSA : la responsabilité vis-à-vis des contenus numériques

Le Digital Services Act (DSA) encadre la responsabilité des services numériques à l’égard des contenus qu’ils hébergent et recommandent. Il concerne les plateformes en ligne, les marketplaces, les réseaux sociaux et les moteurs de recherche.

En quoi cela vous concerne-t-il en tant qu’e-commerce ?

Le DSA a des implications directes pour toute entreprise qui fonctionne comme une plateforme ou qui utilise des algorithmes de recommandation :

• Transparence algorithmique : Si votre plateforme utilise des algorithmes pour recommander des produits, classer des contenus ou hiérarchiser des résultats, vous devez expliquer leur fonctionnement. Les utilisateurs ont droit à une alternative non personnalisée (fil chronologique).
• Publicité ciblée : La publicité doit être clairement identifiée. Il est interdit de cibler la publicité à partir de données sensibles (religion, orientation sexuelle, santé) et la publicité ciblée destinée aux mineurs est totalement interdite.
• Gestion des contenus illicites : Les plateformes doivent gérer activement les contenus illicites ou préjudiciables, mettre en place des mécanismes de signalement accessibles et répondre dans des délais définis.
• Accès aux données pour les chercheurs : Les très grandes plateformes (VLOP, avec plus de 45 millions d’utilisateurs dans l’UE) doivent donner accès à leurs données à des chercheurs agréés afin de détecter les risques systémiques.

Sanctions DSA : Jusqu’à 6 % du chiffre d’affaires mondial annuel. En décembre 2025, X (anciennement Twitter) a été sanctionné à hauteur de 120 millions d’euros pour une conception trompeuse de son système de vérification, un registre publicitaire incomplet et des obstacles à l’accès des chercheurs.

Action pour votre e-commerce : Si vous utilisez des algorithmes de recommandation ou de personnalisation, documentez leur fonctionnement et proposez une option non personnalisée. Si vous gérez une marketplace, mettez en place des mécanismes de signalement des contenus et vérifiez l’identité de vos vendeurs.

NIS2 : la cybersécurité obligatoire

La directive NIS2 renforce la cyberrésilience dans les secteurs essentiels et importants de l’économie européenne. Contrairement au DMA et au DSA (qui sont des règlements directement applicables), la NIS2 est une directive que chaque État membre doit transposer dans sa législation nationale.

État de la transposition

La date limite de transposition était fixée à octobre 2024. En janvier 2026, seuls 20 des 27 États membres avaient achevé le processus :

• Italie : Transposée par le décret législatif 138/2024 (octobre 2024). Déjà opérationnelle.
• Espagne : N’a pas achevé la transposition. La Commission européenne a émis un avis motivé en mai 2025 pour manquement.

Qui est concerné ?

La NIS2 classe les entités en entités essentielles (énergie, transports, banque, santé, eau, infrastructures numériques) et importantes (services postaux, gestion des déchets, alimentation, fabrication, fournisseurs numériques). Si votre entreprise opère dans l’un de ces secteurs ou leur fournit des services critiques, vous êtes concerné.

Principales obligations

• Notification des incidents par étapes : Alerte précoce sous 24 heures, notification complète sous 72 heures, rapport final sous 30 jours.
• Gestion des risques : Approche « tous risques » (all-hazards) avec des mesures techniques et organisationnelles proportionnées.
• Authentification multifacteur (MFA) : Obligatoire pour les accès critiques.
• Chiffrement : Données au repos et en transit.
• Détection des intrusions : Systèmes actifs de surveillance et d’alerte.
• Évaluations des risques périodiques : Ce n’est pas un exercice ponctuel, mais continu.
• Sauvegardes testées : Il ne suffit pas d’en avoir ; il faut prouver qu’elles fonctionnent.

Sanctions NIS2 : Pour les entités essentielles, jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial. Pour les entités importantes, jusqu’à 7 millions ou 1,4 %.

Lien avec l’IA : Si votre système d’IA repose sur une infrastructure critique ou opère dans un secteur couvert par la NIS2, les obligations de cybersécurité de la NIS2 s’ajoutent à celles de l’AI Act. Le killswitch, le rollback et la surveillance continue qu’exige le modèle de gouvernance de l’IA que nous appliquons chez Impulsa3 s’articulent directement avec les exigences de la NIS2.

Comment elles s’articulent entre elles : la cartographie complète

Comprendre chaque réglementation séparément est nécessaire, mais en réalité elles s’appliquent simultanément. Un cas typique d’e-commerce :

Imaginez que vous avez une boutique en ligne qui vend sur Amazon (le DMA vous donne des droits de portabilité et de non-discrimination), qui utilise un chatbot IA pour le service client (AI Act : risque limité, transparence ; RGPD : AIPD s’il traite des données personnelles), qui affiche des recommandations personnalisées (DSA : transparence algorithmique) et qui fonctionne sur une infrastructure cloud dans un secteur couvert (NIS2 : cybersécurité).

Les cinq réglementations s’appliquent à la même entreprise. Mais la bonne nouvelle, c’est qu’elles partagent des principes communs :

• Transparence : Informer les utilisateurs et les régulateurs du fonctionnement de vos systèmes (RGPD, DSA, AI Act).
• Proportionnalité : Des obligations ajustées au risque réel (AI Act, NIS2, RGPD).
• Responsabilité démontrable : Il ne suffit pas d’être en conformité ; vous devez pouvoir le prouver (toutes).
• Droits des citoyens : Protection des consommateurs, vie privée, non-discrimination (RGPD, DMA, DSA).

Si vous respectez déjà bien le RGPD et que vous travaillez sur l’AI Act, vous disposez d’une base solide pour aborder le DMA, le DSA et la NIS2 sans partir de zéro.

Tensions et recoupements : ce que personne ne vous dit

Même si ces réglementations partagent des principes, elles créent aussi des tensions pratiques que vous devez connaître :

Interopérabilité (DMA) vs protection des données (RGPD)

Le DMA exige que les plateformes ouvrent leurs services de messagerie à la communication croisée. Mais partager des données entre plateformes peut entrer en conflit avec la minimisation des données du RGPD. Lequel prévaut ? La pratique montre qu’il faut des accords techniques spécifiques (comme des protocoles de chiffrement de bout en bout) pour respecter les deux simultanément.

Explicabilité (AI Act) vs minimisation (RGPD)

L’AI Act exige une documentation technique détaillée et la traçabilité des décisions du système. Le RGPD exige la minimisation des données. Conserver des journaux détaillés pour garantir la traçabilité peut impliquer de conserver plus de données personnelles que strictement nécessaire. La solution : pseudonymisation des journaux, conservation limitée et accès restreint.

Transparence algorithmique (DSA) vs secret des affaires

Le DSA exige d’expliquer le fonctionnement des algorithmes de recommandation. Mais les algorithmes propriétaires sont des actifs de propriété intellectuelle. Le juste équilibre : expliquer la logique générale et les principaux critères sans révéler les paramètres spécifiques du modèle.

Conseil pratique : Lorsque vous détectez une tension entre réglementations, documentez votre décision et sa justification. Les autorités de régulation apprécient que vous ayez identifié le conflit et pris une décision raisonnée, même si elle n’est pas parfaite.

Des sanctions réelles en 2025 : ce n’est plus de la théorie

L’application des règles en Europe s’est considérablement accélérée. Voici les sanctions les plus marquantes prononcées en 2025 :

• Apple : 500 M€ (DMA, avril 2025). Pour avoir empêché les développeurs d’applications d’informer leurs utilisateurs d’options de paiement alternatives en dehors de l’App Store.
• Google : 2 950 M€ (DMA, septembre 2025). Pour favoritisme illégal envers ses propres services de publicité numérique dans les résultats de recherche.
• Meta : 200 M€ (DMA, avril 2025). Pour son modèle « payer ou consentir », qui ne respectait pas les conditions de transparence du DMA.
• X (Twitter) : 120 M€ (DSA, décembre 2025). Pour une conception trompeuse de son système de vérification, un registre publicitaire incomplet et des obstacles à l’accès des chercheurs aux données.

Ces sanctions visent de grandes plateformes, pas directement les PME. Mais l’effet en cascade est réel : les plateformes modifient leurs conditions générales, ce qui change la façon dont vous opérez chez elles en tant que vendeur ou annonceur.

Votre plan d’action : que faire dès aujourd’hui

1. Cartographiez les réglementations qui vous concernent. Listez tous les systèmes numériques de votre entreprise et indiquez quelles réglementations s’appliquent à chacun : RGPD, AI Act, DMA, DSA, NIS2. Une fiche par système vous apportera de la clarté.
2. Priorisez selon le risque de sanction. Le RGPD et le DMA donnent déjà lieu à des sanctions de plusieurs millions. Le DSA aussi. La NIS2 dépend de la transposition dans votre pays. Commencez par là où le risque est immédiat.
3. Revoyez vos contrats avec les plateformes. Si vous vendez sur Amazon, Google ou Apple, passez en revue vos droits au titre du DMA : portabilité, non-discrimination, communication directe avec les clients.
4. Auditez vos algorithmes de recommandation. Si votre site web ou votre application personnalise des contenus, documentez leur fonctionnement et proposez une alternative non personnalisée (DSA).
5. Revoyez votre cybersécurité. MFA, chiffrement, détection des intrusions, plan de gestion des incidents avec les délais NIS2 (24 h/72 h/30 j). Même si votre pays n’a pas encore transposé la directive, vous préparer maintenant coûte moins cher que réagir plus tard.
6. Intégrez le tout dans un modèle de gouvernance. Ne gérez pas chaque réglementation en silo. Un comité de gouvernance qui couvre les données, l’IA, la sécurité et la conformité réglementaire est plus efficace que quatre processus indépendants.

Ne gérez pas chaque réglementation en silo. Intégrez-les dans un modèle de gouvernance unique.

Si vous avez besoin d’aide pour identifier les réglementations qui s’appliquent à votre activité, prioriser les actions ou intégrer la conformité dans un modèle de gouvernance opérationnel, Impulsa3 vous accompagne avec une approche pratique et transversale.