Magazine Digital

Le Reglement general sur la protection des donnees (reglement UE 2016/679) est applicable depuis le 25 mai 2018. Le registre des traitements (article 30) est la regle generale, et c'est souvent mal comprise : la dispense ne vaut que pour les structures de moins de 250 salaries dont les traitements sont occasionnels, sans risque pour les personnes et sans donnees sensibles ou penales. Autant dire presque personne, puisqu'une paie ou un fichier clients suffit a rendre le traitement regulier. La designation d'un delegue a la protection des donnees (article 37) est obligatoire pour les organismes publics, pour le suivi regulier et systematique a grande echelle, et pour le traitement a grande echelle de donnees de sante ou penales. Une analyse d'impact (article 35) est requise des qu'un traitement est susceptible d'engendrer un risque eleve. Une violation de donnees se notifie a la CNIL dans les meilleurs delais et si possible sous 72 heures (article 33), les personnes concernees etant informees si le risque est eleve (article 34). Les droits figurent aux articles 15 a 22 : acces, rectification, effacement, limitation, portabilite, opposition, et encadrement des decisions entierement automatisees. Cote sanctions, le plafond est de 20 millions d'euros ou 4 pour cent du chiffre d'affaires mondial annuel, le montant le plus eleve etant retenu, pour les manquements les plus graves ; un plafond inferieur de 10 millions d'euros ou 2 pour cent s'applique aux autres. Pour un ordre de grandeur reel plutot que theorique : en 2024, la CNIL a prononce 87 sanctions, pour un montant cumule de 55 212 400 euros.

Sources officielles : Texte du RGPD (CNIL) · Bilan 2024 des sanctions de la CNIL

Le reglement europeen sur l'intelligence artificielle (reglement UE 2024/1689) a ete signe le 13 juin 2024, publie au Journal officiel de l'Union europeenne le 12 juillet 2024, et est entre en vigueur le 1er aout 2024. Il s'applique par etapes. Depuis le 2 fevrier 2025, les pratiques interdites de l'article 5 sont en vigueur : notation sociale, manipulation comportementale et exploitation de vulnerabilites, identification biometrique a distance en temps reel dans les espaces publics (avec des exceptions encadrees pour les forces de l'ordre), extraction massive d'images faciales, reconnaissance des emotions au travail et en education, categorisation biometrique revelant des caracteristiques sensibles. Depuis le 2 aout 2025, les fournisseurs de modeles d'IA a usage general doivent produire une documentation technique, une politique de respect du droit d'auteur et un resume des donnees d'entrainement ; au-dela de 10 puissance 25 FLOPs de calcul d'entrainement cumule, le modele est presume presenter un risque systemique, la Commission pouvant aussi le designer comme tel par decision. Attention au calendrier du haut risque, car c'est la que beaucoup de contenus sont perimes : l'echeance du 2 aout 2026 a ete reportee par le reglement UE 2026/1744, dit omnibus numerique, entre en vigueur le 27 juillet 2026. Les obligations des systemes a haut risque de l'annexe III (recrutement, evaluation de solvabilite, police predictive, controle aux frontieres, education, infrastructures critiques) s'appliquent desormais a compter du 2 decembre 2027. Celles des systemes integres a des produits deja reglementes, qui relevent de l'annexe I et non de l'annexe III (dispositifs medicaux, machines, ascenseurs, jouets), s'appliquent a compter du 2 aout 2028. En revanche, les obligations de transparence de l'article 50 et les pouvoirs de surveillance sur les modeles a usage general n'ont pas ete reportes : ils sont bien entres en application le 2 aout 2026. Les amendes atteignent 35 millions d'euros ou 7 pour cent du chiffre d'affaires mondial annuel, le montant le plus eleve etant retenu, pour les pratiques interdites. En France, la designation des autorites de surveillance (CNIL, DGCCRF, Arcom, ACPR et regulateurs sectoriels) est portee par le projet de loi DDADUE, adopte par le Senat mais encore en cours d'examen parlementaire : elle n'est donc pas definitive a ce jour.

Sources officielles : Cadre reglementaire de l'IA (Commission europeenne) · Questions-reponses de la CNIL sur le reglement IA

Commencons par une precision, parce que le chiffre le plus repris sur le sujet est mal attribue : le rapport d'activite 2024 de cybermalveillance.gouv.fr recense environ 420 000 demandes d'assistance, dont la grande majorite provient de particuliers, les professionnels etant minoritaires ; et les 43 pour cent que l'on voit citer partout ne designent pas une part de PME parmi les victimes de cyberattaques, mais la proportion de victimes assistees qui rattachent leur incident a une tentative d'hameconnage, tous publics confondus. L'hameconnage reste la premiere porte d'entree, ce qui oriente directement les priorites. Cote mots de passe, l'ANSSI et la CNIL ne recommandent pas une longueur unique mais une entropie d'au moins 80 bits, que l'on atteint par exemple avec 12 caracteres melant majuscules, minuscules, chiffres et caracteres speciaux, ou 14 caracteres sans caractere special impose, ou encore une phrase de passe de sept mots ; on exige davantage pour les comptes a privileges. Ensuite : authentification multifacteur sur tous les comptes professionnels (messagerie, cloud, comptabilite, CRM, banque) ; sauvegardes selon la regle 3-2-1, trois copies sur deux supports differents dont une hors site, que l'on renforce utilement en 3-2-1-1-0 avec une copie immuable et une restauration effectivement testee ; mises a jour automatiques ; protection des postes avec detection et reponse (EDR) ; sensibilisation reguliere au phishing ; chiffrement des donnees sensibles et des disques ; segmentation du reseau ; plan de reponse aux incidents ecrit et repete. Ne pas confondre les guichets, enfin : une violation de donnees personnelles se notifie a la CNIL sous 72 heures au titre du RGPD ; un incident significatif chez un operateur de services essentiels ou d'importance vitale se declare a l'ANSSI ; cybermalveillance.gouv.fr est un service d'assistance et d'orientation des victimes, et non un guichet de declaration reglementaire. Quant a NIS2, la directive UE 2022/2555 elargit les obligations a 18 secteurs (11 hautement critiques et 7 critiques), mais elle n'est pas encore transposee en droit francais : le projet de loi relatif a la resilience des infrastructures critiques et au renforcement de la cybersecurite, qui porte cette transposition, a ete adopte par le Senat le 12 mars 2025 et attend son examen a l'Assemblee nationale. S'y preparer des maintenant est raisonnable ; invoquer une loi francaise NIS2 deja en vigueur serait faux.

Sources officielles : Rapport d'activite 2024 de cybermalveillance.gouv.fr · Recommandations ANSSI et CNIL sur l'authentification et les mots de passe · Dossier legislatif du projet de loi resilience et cybersecurite (Senat)

La reforme est entree dans le concret. Depuis le 1er septembre 2026, toutes les entreprises assujetties a la TVA doivent etre en mesure de recevoir des factures electroniques, et les grandes entreprises ainsi que les ETI doivent les emettre. Les PME et les TPE basculent a l'emission a compter du 1er septembre 2027. L'e-reporting, c'est-a-dire la transmission a l'administration des donnees de transactions non couvertes par la facturation electronique (notamment le B2C et l'international), suit le meme calendrier. Le cadre juridique repose sur l'ordonnance 2021-1190 du 15 septembre 2021. Voici le point sur lequel beaucoup de contenus en ligne sont restes en arriere : le portail public de facturation n'est plus une plateforme gratuite d'emission et de reception de factures. Depuis le recentrage annonce par la DGFiP en octobre 2024, il assure deux missions, l'annuaire central des entreprises assujetties et la concentration des donnees vers l'administration. Concretement, il faut passer par une plateforme agreee (PA, anciennement appelee PDP) pour emettre et recevoir ses factures. Leur nombre evolue de mois en mois, donc mieux vaut consulter la liste officielle que se fier a un decompte fige lu quelque part. Trois formats structures sont admis : Factur-X, UBL et CII. L'enjeu budgetaire pour l'Etat est la reduction du manque a gagner de TVA, que la DGFiP estime entre 6 et 10 milliards d'euros par an pour la seule sous-declaration, et que la Commission europeenne evaluait a 9,6 milliards d'euros pour la France en 2021. Sur le cout d'equipement, prudence : il depend du prestataire, du volume de factures et du niveau d'integration comptable, et il n'existe aucun referentiel officiel publie — les fourchettes qui circulent proviennent des editeurs eux-memes.

Sources officielles : Passer a la facturation electronique (impots.gouv.fr) · Liste officielle des plateformes agreees · Facturation electronique B2B (AIFE)

Un mot de prudence d'abord sur les chiffres de marche : le logiciel en service reste le premier poste de depense du cloud public et croit a deux chiffres, mais les montants qui circulent de site en site confondent tres souvent le SaaS seul et l'ensemble du cloud public, qui est plusieurs fois plus gros. Mieux vaut se referer au dernier communique du cabinet cite qu'a un chiffre rond recopie. Cela dit, cinq mouvements de fond se degagent. L'IA generative passe d'option a fonction native, integree dans les suites verticales : Salesforce avec Einstein et Agentforce, HubSpot avec Breeze, Intercom avec Fin dont la facturation se fait a la resolution. La verticalisation s'accentue, avec des solutions taillees pour un metier precis — cabinets dentaires, artisans du batiment, coiffeurs — et des integrations profondes. La tarification a l'usage progresse au detriment de la licence par siege, alignee sur la consommation reelle : c'est le modele de Snowflake et de Datadog. La securite par conception devient un critere d'achat, avec les certifications SOC 2 et ISO 27001 et la conformite RGPD. Cote e-commerce francais, la FEVAD a constate 196,4 milliards d'euros de chiffre d'affaires en 2025, produits et services confondus, en hausse de 7 pour cent, et anticipe le franchissement des 200 milliards en 2026 : c'est donc a ce jour une prevision et non un chiffre constate, le bilan de l'annee 2026 n'etant publie qu'en fevrier 2027. Les dynamiques a suivre sont l'omnicanalite, le social commerce (Instagram Shopping, TikTok Shop), le live shopping importe de Chine, et la personnalisation par l'IA. Enfin, le reglement UE 2022/2065, dit DSA, est pleinement applicable depuis le 17 fevrier 2024 et impose de nouvelles obligations aux places de marche.

Sources officielles : Etudes et chiffres du e-commerce (FEVAD)