Droit du numérique : ce qui change pour votre entreprise en 2027
Droit du numérique : ce qui change pour votre entreprise en 2027
L'année 2026 a été celle des textes : application générale du règlement IA, règlement omnibus, premières obligations du Cyber Resilience Act. L'année 2027 sera celle des effets.
L'année 2026 a été celle des textes : application générale du règlement IA, règlement omnibus, premières obligations du Cyber Resilience Act. L'année 2027 sera celle des effets. Les échéances qui tombent cette année sont concrètes, datées, et plusieurs concernent toutes les entreprises qui achètent du cloud ou déploient de l'intelligence artificielle, pas seulement les acteurs de la tech. Voici le calendrier, tel qu'il se présente au début de l'année.
L'essentiel en 30 secondes. Le 12 janvier, les frais de sortie cloud deviennent interdits au titre du Data Act. Le 2 décembre, les obligations haut risque du règlement IA s'appliquent aux systèmes de l'annexe III, recrutement et scoring en tête. Entre les deux, la France doit achever la transposition de la directive responsabilité produits, qui fait du logiciel un produit, et sortir de l'impasse NIS2, sous la pression d'un recours de la Commission devant la CJUE. En toile de fond, la désignation attendue de l'autorité française de surveillance du règlement IA.
12 janvier : la sortie du cloud devient gratuite
À compter du 12 janvier 2027, l'article 29 du Data Act interdit aux fournisseurs de services de traitement de données d'imposer des frais de changement de fournisseur. S'y ajoutent les clauses obligatoires déjà applicables : préavis maximal de deux mois, transition en trente jours, portabilité des données et actifs numériques. Côté client, c'est une fenêtre de renégociation immédiate des contrats cloud, et un levier pour rouvrir les engagements pluriannuels signés sous contrainte de réversibilité coûteuse. Côté fournisseur, les grilles tarifaires et les CGV doivent être conformes au premier jour, car une clause contraire est privée d'effet.
2 décembre : le haut risque IA devient opposable
Le report accordé par le règlement omnibus de juillet 2026 s'achève le 2 décembre 2027 pour les systèmes à haut risque autonomes de l'annexe III : recrutement et gestion des travailleurs, scoring de crédit, éducation, accès aux services essentiels, notamment. Fournisseurs comme déployeurs devront alors démontrer gestion des risques, gouvernance des données, documentation technique, contrôle humain et surveillance du fonctionnement. Une année paraît longue ; elle ne l'est pas pour qui doit cartographier, documenter et contractualiser. Les entreprises qui utilisent des outils RH algorithmiques cumulent le sujet avec les contrôles CNIL en cours sur le recrutement : la même documentation sert les deux fronts. Les systèmes intégrés dans des produits réglementés suivront le 2 août 2028.
Responsabilité des produits : le logiciel change de régime
La directive (UE) 2024/2853 devait être transposée au plus tard le 9 décembre 2026. Quel que soit le rythme du législateur français, le mouvement est acquis : le logiciel devient un produit, l'éditeur répond sans faute des dommages causés par un défaut, cybersécurité et mises à jour comprises, et les clauses limitatives sont inopposables aux victimes. Les éditeurs doivent considérer 2027 comme la première année du nouveau régime : dates de mise sur le marché des versions, documentation technique capable de renverser les présomptions, contrats amont organisant les recours, assurance relue. Le cabinet suit la transposition et publiera l'analyse du texte français dès sa parution.
NIS2 : la fin de l'attentisme forcé
La transposition française de NIS2 reste inachevée, et la Commission a saisi la Cour de justice en juillet 2026 avec demande de sanctions financières. La loi Résilience devrait aboutir en 2027, avec ses obligations d'enregistrement, de gestion de risque et de notification pour des milliers d'entités essentielles et importantes. Le paradoxe de la période : l'absence de loi ne protège pas, car les clients grands comptes et les assureurs appliquent déjà les exigences NIS2 par contrat. Le pré-enregistrement volontaire auprès de l'ANSSI et la mise à niveau progressive restent la position rationnelle, et la promulgation fournira l'occasion de formaliser.
Et l'autorité IA française
Le projet de loi confiant à la CNIL l'essentiel de la surveillance du règlement IA attend son examen à l'Assemblée nationale. Sa adoption en 2027 donnerait au dispositif français son gendarme, et aux obligations de transparence applicables depuis août 2026 leur autorité de contrôle. Les entreprises qui ont documenté leur conformité en 2026 aborderont cette étape en spectatrices ; les autres découvriront que les obligations n'attendaient pas la désignation.
L'année qui s'ouvre récompensera moins la veille que l'exécution : les textes sont connus, les dates aussi. Reste à transformer les échéances en calendrier de travail interne, budgété et suivi.
Vous voulez transformer ce calendrier en plan d'action propre à votre entreprise, budget et priorités inclus ? Le cabinet propose une revue de conformité numérique annuelle, restituée en feuille de route 2027. Prendre rendez-vous
Sources
- Protéger ses créations
- Sécuriser ses données
- Contractualiser son activité
.png){kind=small}