Politique numérique européenne : le défi de la cohérence

Depuis l’entrée en vigueur du RGPD en 2018, la Commission européenne a multiplié les régulations, allant des plateformes numériques (DMA, DSA) à l’intelligence artificielle (AI Act), en passant par la cybersécurité (Directive NIS 2, DORA). Pourtant, ces textes, bien qu’essentiels, peinent à s’articuler. En résulte un cadre juridique où les entreprises, notamment les PME, font face à des coûts de conformité élevés et à une insécurité juridique exacerbée. Pour un même projet, une entreprise peut être soumise à plusieurs régulations contradictoires et à plusieurs régulateurs sans mécanisme clair d’arbitrage.

2019-2024, une inflation réglementaire tous azimuts

Les plateformes et les services d’intermédiation sont encadrés par deux règlements, le Règlement sur les marchés numériques (DMA) et le Règlement sur les services numériques (DSA), respectivement adoptés le 14 septembre 2024 et le 19 octobre 2022. Le DMA vise à limiter les abus des géants technologiques tout en offrant une protection aux utilisateurs en ligne, tandis que le DSA impose des obligations aux plateformes pour lutter contre les contenus illicites. L’Union européenne a mis en place une stratégie pour encadrer la gestion des données : le Data Governance Act, applicable depuis le 24 septembre 2024, vise à garantir l’accès à de grands volumes de données au profit de l’économie européenne et préserver la souveraineté numérique de l’Union. Le Data Act, applicable à partir du 12 septembre 2025, quant à lui, vise à favoriser l’ouverture accrue des données provenant de l’internet des objets, mais leur articulation avec le RGPD reste incertaine.

"Depuis l’entrée en vigueur du RGPD en 2018, l’Union européenne a multiplié les régulations numériques"

Le Règlement sur l’intelligence artificielle vise à établir un cadre de confiance respectueux des droits fondamentaux et valeurs de l’Union européenne. Cependant, la multiplicité des régulateurs nationaux et européens ainsi qu’une division structurelle du texte obligeant à attendre des éclairages jurisprudentiels freine sa mise en œuvre cohérente. La cybersécurité et la cyber-résilience font l’objet de plusieurs textes : la Directive sur la sécurité des réseaux et des systèmes d’information (Directive NIS 2) adoptée le 27 juin 2021, le Règlement sur la résilience opérationnelle numérique (Règlement DORA) entré en vigueur en novembre 2022, et le projet de Cyber Résilience Act.

Éviter les conflits entre régulations pour atteindre les objectifs européens

Le rapport "The future of European competitiveness" met en lumière les défis résultant de l’accumulation des régulations numériques en Europe, où l’absence de coordination entraîne des conflits de compétences et une insécurité juridique délétère. Mario Draghi, l’ancien président de la Banque centrale européenne souligne que cette lourdeur réglementaire freine l’essor des start-up dans la tech. La promulgation de nombreux textes, dans un contexte politique et géopolitique tendu, entraîne des superpositions d’obligations réglementaires créant un millefeuille de normes difficiles à gérer pour les entreprises et les régulateurs. À titre d’exemple, la question du profilage algorithmique n’est pas abordée de la même manière dans le RGPD, dans l’IA Act, dans le DSA et sera régulée par autant de régulateurs que de textes.

"Une harmonisation et une rationalisation des textes sont urgentes entre les régulateurs"

L’insécurité juridique qui en résulte touche les entreprises d’origine européenne dans tous les secteurs d’activité, ce qui interroge sur l’attractivité de l’Europe. Des acteurs majeurs, notamment dans l’IA, hésitent à investir dans des régions jugées trop complexes juridiquement. La superposition des régulations, comme entre DORA et NIS 2, complique la tâche des entreprises qui peinent à identifier quelles règles s’appliquent à leurs activités. En matière de cybersécurité et de protection des
consommateurs, les rôles des régulateurs se chevauchent, accentuant les injonctions contradictoires. L’absence de mécanismes d’arbitrage efficaces entre ces autorités aggrave le problème. Pour remédier à l’incohérence législative, une harmonisation et une rationalisation des régulations sont urgentes. Il s’agit d’instaurer une vision commune traversant l’arsenal juridique actuel.

La judiciarisation, vecteur de cohésion ?

Sur le plan européen comme au plan local, ni les régulateurs, ni les juridictions n’ont les mandats ou la culture nécessaire pour gérer des conflits de compétences trouvant leurs sources dans des contradictions législatives. Au cœur du droit européen, le principe de subsidiarité consiste en une répartition des compétences entre l’Union et les États membres, sans en garantir leur articulation. Ces divergences se traduisent par un manque de coordination incitant au recours judiciaire pour arbitrer des injonctions parfois contradictoires. Les sanctions symboliques, y compris les plus élevées, échouent à rétablir un équilibre concurrentiel ou économique stable, tandis que l’isolement des pouvoirs des régulateurs aggrave leur inefficacité réglementaire.

Ce déséquilibre nuit à la compétitivité européenne. Certes, les arbitrages procéduraux n’ont jamais fait élire personne et l’ensevelissement réglementaire ne tue qu’à petit feu. Cependant, seuls les acteurs les plus puissants peuvent prendre le train réglementaire européen en y consacrant des ressources massives. Ces acteurs-là ne sont pas européens. Il incombe donc à la nouvelle mandature européenne de prioriser l’articulation des textes existants entre eux. Hélas, on assiste déjà au réflexe pavlovien de tout début de mandature : le projet de Digital Fairness Act, prétend déjà combler des vides juridiques, comme si rien n’avait été fait avant.

SUR LES AUTEURS

Étienne Drouard est un avocat spécialisé en droit de l’informatique et des réseaux de communication électronique. Ancien membre de la Cnil, ses activités au service d’acteurs publics et privés, nationaux et internationaux, ont porté depuis sur l’ensemble des débats de régulation des réseaux et contenus numériques menés devant les institutions européennes, françaises, ainsi que devant la Chambre des représentants aux États-Unis. Chloé Morandi est juriste au sein de l’équipe Global Privacy and Cybersecurité du cabinet Hogan Lovells, menée par Étienne Drouard.