L’Épure du numérique — n° 1 : le droit à l’épreuve du réel

Édito Le droit se dessine à l’épreuve du réel

Le droit n’arrive jamais en même temps que la technique. Il en trace les limites, puis reprend ses propres lignes lorsque les usages révèlent ce que le premier dessin n’avait pas prévu.

Le législateur fixe le cadre. Le juge en éprouve la portée dans des situations concrètes. Le régulateur précise les exigences et contrôle leur application. L’avocat confronte ces règles à ce que vivent les personnes et à ce que construisent les organisations.

C’est de ce travail qu’est née L’Épure du numérique. Une épure n’est pas une simple esquisse : c’est un dessin destiné à rendre la construction possible. Certaines dimensions y sont fixées ; d’autres restent à déterminer, et le trait doit parfois être repris.

Chaque mois, cette lettre retiendra les évolutions qui changent effectivement la manière de concevoir un service, d’exercer un droit, de prévenir un risque ou de rechercher une responsabilité. Son fil conducteur sera les droits des personnes, dans la conception des systèmes numériques comme dans les recours contre leurs effets.

Me Fatima Ghilassene, avocate au barreau de Lille

1 · Le législateur L’AI Act change de calendrier, pas de méthode

Pour les fournisseurs et déployeurs de systèmes d’IA, les fabricants et les organisations déjà engagées dans leur mise en conformité.

Le règlement (UE) 2026/1744 du 8 juillet 2026 modifie l’AI Act. Il reporte l’application de certaines dispositions relatives aux systèmes à haut risque :

• au 2 décembre 2027 pour les systèmes relevant de l’annexe III ;
• au 2 août 2028 pour ceux liés aux produits de l’annexe I.

Ces dates ne constituent pas un report général. Les pratiques interdites déjà applicables depuis le 2 février 2025 le restent. Les obligations de transparence de l’article 50 suivent leur propre calendrier.

Le règlement ajoute aussi deux interdictions applicables à partir du 2 décembre 2026. Elles concernent, dans les conditions définies par le texte, certains systèmes utilisés pour produire des représentations intimes ou sexuellement explicites non consenties, ainsi que du matériel relevant des abus sexuels sur enfants.

La transparence dépend du système et de l’acteur

L’article 50 ne signifie pas que tous les contenus produits avec une IA doivent porter la même mention. Selon les cas, le fournisseur doit informer une personne qu’elle interagit avec une IA ou permettre la détection d’un contenu synthétique. D’autres obligations concernent les déployeurs, notamment pour certains hypertrucages et textes publiés afin d’informer le public.

Le règlement précise également la notion de composant de sécurité, élargit sous conditions la possibilité de traiter certaines données sensibles pour détecter et corriger des biais, et fait évoluer les compétences de contrôle. La nouvelle faculté de traiter des données ne crée pas une obligation générale de détecter les biais.

2 · Le juge Les garanties doivent tenir dans le dispositif

Pour les plateformes accessibles aux mineurs, les concepteurs de dispositifs de surveillance, les autorités publiques et les personnes concernées.

Le 14 août 2026, le Conseil constitutionnel a rendu deux décisions sur des textes sans lien apparent. L’une portait sur l’accès des mineurs aux réseaux sociaux ; l’autre sur plusieurs mesures de sécurité prévues par la loi dite « RIPOST ».

Elles conduisent à une même question : les garanties annoncées existent-elles réellement dans la conception et le fonctionnement de la mesure ?

Réseaux sociaux : une interdiction générale censurée

Dans sa décision n° 2026-911 DC, le Conseil censure l’interdiction de principe de l’accès aux réseaux sociaux pour les moins de quinze ans.

Le dispositif ne distinguait pas suffisamment les services selon leurs fonctionnalités et les risques qu’ils présentent. Il ne tenait pas non plus suffisamment compte de la situation des mineurs.

La vérification de l’âge soulevait une autre difficulté. Pour empêcher l’accès des moins de quinze ans, tous les utilisateurs, majeurs compris, pouvaient être amenés à justifier leur âge. La loi n’en déterminait pas suffisamment les conditions et les limites.

Loi RIPOST : les limites techniques ont une portée juridique

Dans sa décision n° 2026-915 DC, le Conseil examine plusieurs dispositifs dont les sorts diffèrent.

Il admet sous réserve le recours urgent à certaines caméras aéroportées. Il encadre la durée des autorisations de vidéoprotection algorithmique dans les lieux exposés à un risque permanent. Pour un traitement destiné à repérer certains mouvements de véhicules, il tient compte du fait que le résultat se limite à un signalement : il ne peut, à lui seul, fonder une décision individuelle ou un acte de poursuite.

À l’inverse, il censure le nouveau régime facilitant la pseudonymisation de policiers et de gendarmes dans les procédures pénales. L’accès à leur identité n’était pas garanti dans toutes les situations où les droits de la défense pouvaient l’exiger.

3 · Le régulateur La régulation des plateformes atteint aussi ceux qui en dépendent

Pour les vendeurs en ligne, les éditeurs d’applications et les entreprises dépendantes d’une place de marché, d’un moteur de recherche ou d’un magasin d’applications.

Le 20 juillet 2026, la Commission européenne a infligé une amende de 550 millions d’euros à AliExpress au titre du DSA. Le 23 juillet, deux décisions prises au titre du DMA ont conduit à infliger à Google des amendes de 460 et 430 millions d’euros.

Ces décisions rendent plus concrètes les obligations des grandes plateformes. Leur intérêt dépasse cependant le montant des sanctions et les seules entreprises visées.

Pour un professionnel qui vend par une place de marché ou distribue une application dans un magasin, les règles imposées à l’intermédiaire peuvent modifier la visibilité de son offre, ses conditions de distribution ou sa possibilité d’orienter les clients vers un autre canal d’achat.

4 · La pratique Les premiers signalements du règlement sur la cyberrésilience

Pour les fabricants de produits comportant des éléments numériques et les acteurs chargés de leur sécurité après leur mise sur le marché.

Depuis le 11 septembre 2026, certaines obligations de signalement prévues par le règlement européen sur la cyberrésilience s’appliquent déjà. Elles concernent notamment les vulnérabilités activement exploitées et les incidents graves ayant des répercussions sur la sécurité des produits comportant des éléments numériques. L’application générale du règlement interviendra le 11 décembre 2027.

La difficulté pratique ne commence pas au moment de remplir une notification. Elle se situe en amont : détecter l’événement, comprendre s’il entre dans une catégorie à signaler, identifier les produits concernés et réunir rapidement les informations nécessaires. Les délais prévus par le règlement rendent cette préparation décisive.

5 · La cote manquante À quelle date rattacher un logiciel qui continue de changer ?

Pour les éditeurs de logiciels, fabricants d’objets connectés, intégrateurs, distributeurs et assureurs.

Une cote indique la dimension nécessaire pour passer du dessin à la construction. Lorsqu’elle manque, le tracé existe, mais un point reste à déterminer pour savoir comment l’appliquer.

La directive (UE) 2024/2853 refond le régime de responsabilité du fait des produits défectueux. Elle inclut expressément le logiciel parmi les produits. Les États membres doivent la transposer au plus tard le 9 décembre 2026 ; les nouvelles règles concernent les produits mis sur le marché ou mis en service après cette date.

La réforme va au-delà d’une définition. La cybersécurité entre parmi les éléments permettant d’apprécier le caractère défectueux d’un produit. Les mises à jour, comme l’absence de mise à jour nécessaire au maintien de la sécurité, peuvent aussi compter lorsque ces éléments restent sous le contrôle du fabricant.

La question ouverte concerne les logiciels diffusés avant l’échéance puis profondément modifiés : une modification substantielle peut conduire à considérer le produit modifié comme nouvellement mis à disposition ou mis en service. La date de première diffusion ne suffira donc pas toujours à déterminer le régime applicable.