Stratégie européenne des données en production : slides (Data Act, DGA)

Un droit sans SDK

Depuis le 12 septembre 2025, l'utilisateur d'un produit connecté dans l'UE peut demander les données que ce produit génère.

Interface

Qui la construit ?

Le règlement accorde un droit. Il ne livre aucune API.

Identité

Qui authentifie le demandeur ?

Prouver qu'une personne possède une machine n'est pas un problème résolu.

Preuve

Qui garde la trace ?

Une obligation dont on ne peut prouver le respect est une obligation manquée.

Expiration

Qui la révoque ?

Toute autorisation doit avoir une fin. La plupart des architectures l'oublient.

Data Act, Art. 4 and 5 · Art. 50 date d'application · eur-lex.europa.eu/eli/reg/2023/2854/oj

Le règlement sur les données (Data Act) donne aux utilisateurs de produits connectés (connected products), par exemple une voiture, un tracteur, un compteur intelligent ou un robot industriel, le droit d'accéder aux données générées par leur utilisation du produit, et de les faire partager avec un tiers de leur choix. Il s'applique depuis le 12 septembre 2025 (article 50).

Les quatre questions de la slide ne sont pas juridiques. Aucun article ne dit comment authentifier la personne qui demande, où conserver la preuve d'une communication, ni quand une délégation expire. Elles retombent sur une équipe d'ingénierie. Cet écart entre un droit et sa mise en œuvre est le sujet de cette heure.

Remarquez la chaîne derrière la première question : le fabricant, son fournisseur, son fournisseur cloud, son sous-traitant de fabrication dans une autre juridiction. La responsabilité est juridique ; le travail est distribué.

D'où viennent les données

Un compteur électrique intelligent Linky tout juste installé dans un logement en France — Un compteur intelligent : la consommation, toutes les demi-heures.

L'écran d'infodivertissement d'une voiture affichant une alerte de véhicule d'urgence reçue par le réseau — Une voiture connectée : position, vitesse, pannes, alertes.

Des éoliennes dans un champ en Ontario — Une éolienne : vibrations, rendement, maintenance.

Data Act : Art. 2(5) produit connecté · Art. 2(6) service connexe · Art. 4 accès de l'utilisateur

La thèse de cette heure

Chaque nouveau droit d'accès créé par l'UE est une nouvelle interface. Chaque nouvelle interface est une nouvelle surface d'attaque (attack surface).

Le Data Act n'est donc pas seulement un texte juridique. Lu de près, c'est une spécification d'architecture assortie d'une échéance de conformité.

Comment lire ces slides

Ce que dit le texte

Obligations et droits, paraphrasés du règlement. En serif, comme une loi.

Les fournisseurs prennent des mesures pour empêcher tout accès illicite.

Ce que l'on construit

La lecture d'ingénieur : composants, contrôles, preuves. En sans-serif, comme un document de conception.

Garde des clés (key custody), procédure de refus, journal des demandes.

Ce que l'on peut citer

Articles, numéros de règlement et dates, au format ISO pour le tri. Vérifiez-les vous-même.

Art. 29(1) 2027-01-12

La colonne ingénierie est la lecture d'un praticien, pas un avis juridique. En cas de désaccord, le texte l'emporte.

Votre intervenant

Sitraka Forler

Un praticien qui lit les règlements depuis la salle des machines.

Praticien de la donnée et de l'IA au Luxembourg : plateformes de données, apprentissage automatique (machine learning), architecture des systèmes
Enseignant à l'IAE de Metz et à Centrale Méditerranée (Centrale Marseille)
Chroniqueur, AGEFI Luxembourg

À titre personnel. Rien ici ne reflète la position d'un employeur, et rien ne constitue un avis juridique.

En mon nom propre

Je parle en mon nom propre uniquement, pas au nom de mon employeur.

Ces slides sont ma lecture de praticien. Elles ne constituent pas un avis juridique et n'engagent aucune organisation avec laquelle je travaille.

Dans le prolongement de l'exposé de 14:15

L'exposé du groupe à 14:15 a parcouru les textes : ce qu'ils disent, qui ils obligent, quand ils s'appliquent.

Leur question était le droit. Cette heure porte sur ce que le droit oblige quelqu'un à construire.

Le plateau du Kirchberg à Luxembourg-Ville vu depuis le Pfaffenthal, avec les tours des institutions européennes au-dessus des arbres — Le plateau du Kirchberg, vu depuis le Pfaffenthal : les institutions européennes, et le campus d'aujourd'hui.

Cet après-midi

Heure	Partie	Durée
15:30	Pourquoi un ingénieur lit deux règlements	7 min
15:37	Les deux instruments, en termes d'ingénierie	15 min
15:52	Trois obligations traduites en architecture	22 min
16:14	Là où cela casse en production	16 min
16:30	Vos questions, y compris celles auxquelles je ne sais pas répondre	30 min

Interrompez-moi à tout moment. Une question posée sur le moment en vaut trois posées à la fin.

Les deux instruments, en termes d'ingénierie

À la fin de cette partie, vous devriez pouvoir dire ce que chaque texte oblige quelqu'un à construire.

Deux textes, deux fonctions

	Data Governance Act 2022/868	Data Act 2023/2854
En vigueur	2022-06-23	2024-01-11
Applicable	2023-09-24	2025-09-12
Logique	Incitative : crée des rôles et un cadre de confiance	Prescriptive : crée des droits et des obligations strictes
Vraie question	Qui peut servir d'intermédiaire de confiance ?	Qui peut lire, déplacer et porter les données machine ?
Statut	Abrogation proposée	Applicable Modification proposée
Luxembourg	Loi du 19 décembre 2025 : la CNPD supervise intermédiation et altruisme	Projet de loi 8809, en cours : ILR chef de file, CNPD pour les données personnelles

DGA Art. 38 · Data Act Art. 50 · abrogation proposée dans COM(2025) 837 · eur-lex.europa.eu

La ligne qui compte est la logique. Le Data Governance Act est permissif : il offre des statuts sous conditions, celui de service d'intermédiation de données (data intermediation) ou d'organisation d'altruisme en matière de données (data altruism), et presque personne n'a été obligé de faire quoi que ce soit. C'est pourquoi, en termes d'ingénierie, il a peu changé la plupart des organisations.

Le Data Act est l'inverse. Il dit aux fabricants, aux fournisseurs cloud et aux détenteurs de données (data holders) ce qu'ils doivent désormais rendre possible, qu'ils le veuillent ou non. C'est pourquoi il a une ligne budgétaire.

Au Luxembourg, le Data Governance Act est mis en œuvre par la loi du 19 décembre 2025 (projet de loi 8395A) : elle crée le Commissariat du Gouvernement à la souveraineté des données pour la réutilisation des données publiques protégées, et fait de la CNPD l'autorité compétente pour les services d'intermédiation de données et le registre des organisations altruistes en matière de données. La loi de mise en œuvre du Data Act est le projet de loi n° 8809, déposé le 28 juillet 2026 et toujours en commission : il désigne l'Institut Luxembourgeois de Régulation (ILR) comme autorité compétente et coordinateur des données, le Commissariat pour le chapitre V, la CNPD pour les données personnelles, et fixe des amendes par paliers jusqu'à un million d'euros. Source : Chambre des Députés, dossiers 8395A et 8809.

Dates : le Data Governance Act est entré en vigueur le 23 juin 2022 et s'applique depuis le 24 septembre 2023 (article 38). Le Data Act est entré en vigueur le 11 janvier 2024 et s'applique depuis le 12 septembre 2025 (article 50).

Le texte, et l'explication du texte

La page EUR-Lex du règlement (UE) 2023/2854, le Data Act, avec son ELI et les versions authentiques du Journal officiel — EUR-Lex : règlement (UE) 2023/2854, JO L du 22.12.2023, son ELI et le PDF authentique en 24 langues.

La page de la Commission européenne consacrée au Data Act, avec des liens vers la FAQ, le service d'assistance et le Data Act expliqué — La page Data Act de la Commission : FAQ, service d'assistance, explications. Utile, et non contraignant.

Citez le règlement par son ELI : eur-lex.europa.eu/eli/reg/2023/2854/oj · FAQ de la Commission du 2024-09-06

Le Data Governance Act crée trois rôles

Réutilisation des données publiques protégées Ch. II

Les organismes publics peuvent ouvrir, sous conditions, des données confidentielles, commercialement sensibles ou personnelles.

Vous construisez

Des environnements de traitement sécurisés (secure processing environments), des chaînes d'anonymisation, un circuit d'accès avec piste d'audit (audit trail).

Intermédiation de données Ch. III

Un statut notifié et supervisé pour des intermédiaires neutres entre détenteurs et utilisateurs de données.

Vous construisez

Une séparation structurelle (structural separation) : l'intermédiaire ne peut pas utiliser les données qu'il transmet. Une frontière d'isolation à prouver.

Altruisme en matière de données Ch. IV

Un registre des organisations qui collectent des dons de données à des fins d'intérêt général, comme la recherche.

Vous construisez

Un consentement granulaire et révocable, et pour chaque enregistrement la trace de la finalité du don.

DGA Art. 3 to 9 · Art. 10 to 15 (conditions : art. 12) · Art. 16 to 25 · Art. 31

Chaque rôle juridique a une conséquence technique. La séparation structurelle est la plus intéressante pour un public sécurité : ce n'est pas une politique que l'on rédige, c'est une frontière d'isolation qu'il faut démontrer. L'article 12 impose que le service d'intermédiation soit fourni par une personne morale distincte, et le prestataire ne peut pas utiliser les données à d'autres fins. En pratique : identifiants séparés, stockages séparés, équipes séparées, et un auditeur qui vous demandera de montrer qu'un ingénieur côté intermédiation ne peut pas lire les données transmises. C'est un modèle de menace (threat model), pas une notice de confidentialité.

Le statut d'intermédiaire a été peu adopté dans l'UE, ce qui est l'une des raisons pour lesquelles la Commission a proposé de fondre ce texte dans le Data Act (deux slides plus loin).

L'article 31 du Data Governance Act prévoit déjà des garanties contre l'accès illicite des autorités de pays tiers aux données non personnelles. Vous retrouverez la même logique à l'article 32 du Data Act.

Le Data Act, lu comme un backlog

Où	Ce qu'il accorde	Ce que l'on construit
Ch. II	Les utilisateurs accèdent aux données de leur produit connecté et les partagent avec un tiers	Une interface d'accès authentifiée, dès la conception, documentée avant la vente
Ch. III	Des conditions équitables, raisonnables et non discriminatoires de mise à disposition	Mesure d'usage, tarification, protection des secrets d'affaires (trade secrets) autour des données
Ch. V	Les organismes publics peuvent demander des données privées en cas de besoin exceptionnel	Une voie d'escalade, un contrôle juridique, une extraction qui ne livre pas tout
Ch. VI	Les clients peuvent quitter un fournisseur cloud avec leurs données et leurs fonctions	Formats d'export, équivalence fonctionnelle (functional equivalence), procédure de sortie testée
Art. 32	Garanties contre l'accès illicite de pays tiers aux données non personnelles	Garde des clés, cartographie des juridictions, procédure de refus documentée
Ch. VIII	Interopérabilité des espaces de données ; règles des contrats intelligents (smart contracts)	Schémas publiés, et un moyen d'arrêter l'exécution automatisée

Trois lignes méritent l'attention. Chapitre II : « dès la conception, documentée avant la vente » est la formule coûteuse. L'obligation tombe à la définition du produit, pas lors d'une revue de conformité deux semaines avant le lancement. Selon l'article 3, paragraphe 1, elle vise les produits connectés et services connexes mis sur le marché après le 12 septembre 2026 (article 50).

Chapitre VI, changement de fournisseur (switching) : c'est la ligne qui porte une date, dans douze semaines (cas 1). Article 32 : la ligne souveraineté, la seule qui peut placer un ingénieur dans un véritable conflit de lois (cas 2).

La colonne de droite est une lecture d'ingénieur du texte, pas le texte. Les clauses contractuelles abusives (chapitre IV) ne figurent pas dans le tableau : peu d'ingénierie, fort impact commercial. Les contrats intelligents servant à exécuter des accords de partage de données doivent notamment permettre une résiliation ou une interruption sûres (article 36).

Un des deux textes est proposé à l'abrogation

Date	Étape	Ce qui s'est passé
2025-11-19	Proposition de la Commission	L'omnibus numérique, COM(2025) 837, abrogerait le DGA et transférerait intermédiation et altruisme dans le Data Act.
2026-06-22	Projet de rapport du Parlement	Commissions ITRE et LIBE conjointes ; amendements déposés en juillet. Pas encore de vote.
2026-10-20	Aujourd'hui	Une proposition, pas une loi. Le DGA et le Data Act s'appliquent tels que publiés.
2026-10-21	Mandat du Conseil	À l'ordre du jour du Coreper demain. Aucun mandat adopté à ce jour, pas de trilogue.

Construire des capacités, pas des numéros d'article.

Vérifiez la fiche de procédure avant de citer un statut : oeil.secure.europarl.europa.eu · 2025/0360(COD)

Le programme indique Data Governance Act 2022 et Data Act 2024, ce qui est exact aujourd'hui. Mais la proposition d'omnibus numérique (Digital Omnibus) de la Commission du 19 novembre 2025, COM(2025) 837, abrogerait le Data Governance Act (avec le règlement sur la libre circulation des données à caractère non personnel, dont l'interdiction des exigences de localisation des données serait conservée, et la directive sur les données ouvertes) et transférerait l'intermédiation et l'altruisme dans un nouveau chapitre du Data Act, avec un enregistrement volontaire. L'accès des pouvoirs publics aux données des entreprises (business-to-government) du chapitre V serait limité aux urgences publiques, et les services cloud sur mesure ainsi que les petits fournisseurs bénéficieraient d'un régime de changement allégé pour les contrats conclus avant le 12 septembre 2025.

État au 17 octobre 2026, d'après l'Observatoire législatif et le registre du Conseil : le projet de rapport conjoint ITRE et LIBE est daté du 22 juin 2026, les amendements ont été déposés le 27 juillet, et les commissions n'ont pas voté. Au Conseil, aucun mandat de négociation n'a été adopté ; l'ordre du jour du Coreper du 21 octobre 2026 inscrit le mandat de négociation. C'est une proposition, pas une loi.

La conclusion technique : une architecture de conformité qui code en dur un seul texte est une dette technique (technical debt) qui porte un nom juridique. Ce qui survit à une réécriture, c'est la capacité : savez-vous identifier vos données, les déplacer, prouver qui y a touché ?

Vérifiez la fiche de procédure, pas la presse

La page de l'Observatoire législatif pour la procédure 2025/0360(COD), omnibus numérique, avec le statut Awaiting committee decision et la liste des actes que la proposition abrogerait ou modifierait — Statut : en attente de décision en commission. Sous le titre, chaque acte que la proposition abrogerait ou modifierait.

Une proposition, de nombreux textes : elle abrogerait le règlement 2022/868 et modifierait le RGPD, NIS2, DORA et le Data Act.

Un statut sur une slide vieillit en une semaine. La source, c'est la fiche de procédure.

Trois obligations traduites en architecture

Changement de cloud. Accès des autorités étrangères. Accès aux données des produits.

Cas 01 : la sortie

Le centre de données LuxConnect à Bissen, au Luxembourg, un long bâtiment bas dans un champ — Un centre de données à Bissen, Luxembourg (LuxConnect) : là où une charge de travail tourne physiquement.

Des baies de serveurs et leur câblage réseau dans un centre de données — Baies et câbles : la moitié facile d'une sortie, c'est déplacer les octets ; la moitié difficile, tout ce qui est câblé autour.

Quitter son fournisseur cloud ne devrait rien coûter

2027
01-12dans 84 jours

À partir de cette date, les fournisseurs de services de traitement de données ne peuvent plus imposer de frais de changement de fournisseur (switching charges) au client qui part.

Art. 29(1) · paraphrase

D'ici là, les frais sont plafonnés aux coûts directement liés au changement, supportés par le fournisseur.

Art. 29(2) and (3)

L'article 29 supprime progressivement les frais de changement. Du 11 janvier 2024 au 12 janvier 2027, un fournisseur peut imposer des frais de changement réduits, qui ne peuvent excéder les coûts qu'il supporte et qui sont directement liés au processus de changement. À partir du 12 janvier 2027, il ne peut plus en imposer aucun. Ce n'est ni une consultation ni une ligne directrice : c'est une disposition datée d'un règlement déjà applicable.

Deux nuances. Le règlement distingue les frais de changement du prix ordinaire du service, qui demeure. Et la proposition d'omnibus soustrairait à certaines obligations de changement certains services sur mesure relevant de contrats conclus avant le 12 septembre 2025.

Une question à garder en tête : qui, dans cette salle, a déjà migré une charge de travail de production d'un fournisseur cloud à un autre, et en combien de temps ?

Le compte à rebours du changement

Transition

30 jours

période de transition maximale du contrat Art. 25(2)(a)

Préavis

2 mois

préavis maximal pour le client Art. 25(2)(d)

Usage en parallèle

au coût

les frais de sortie ne répercutent que les coûts supportés Art. 34

En parallèleLes entités financières doivent déjà prévoir leur sortie : DORA Art. 28(8). Même ingénierie, deux fondements juridiques.

La chronologie se lit de gauche à droite. Le troisième repère est aujourd'hui : quatre-vingt-quatre jours entre ce cours et le 12 janvier 2027. Depuis le 12 septembre 2025, le contrat doit décrire le processus de changement, l'assistance due et une période transitoire maximale de 30 jours civils, avec un préavis de deux mois au plus pour le client (article 25).

Au Luxembourg, la dernière ligne compte le plus. Les banques, administrateurs de fonds et autres entités financières relèvent aussi de DORA (règlement (UE) 2022/2554), qui exige des stratégies de sortie (exit strategies) pour les services TIC soutenant des fonctions critiques ou importantes (article 28, paragraphe 8). En pratique, vous rencontrerez un seul projet avec deux régulateurs derrière.

Une question disputée, à débattre : à qui profite le plus le changement gratuit ? Aux clients, évidemment. Mais aussi aux plus grands fournisseurs, qui peuvent absorber le coût de la conquête des clients d'un autre. La régulation ne déplace pas toujours le pouvoir là où elle le voulait.

Ce que coûte la « réversibilité »

Les données, la moitié facile

Des exports ouverts, documentés, lisibles par machine. Pas une sauvegarde propriétaire que seul l'éditeur sait restaurer.

Les fonctions, la moitié difficile

Files de messages managées, services d'identité et environnements serverless ont rarement un équivalent ailleurs.

La procédure doit être testée

Un plan de sortie jamais exécuté est un document, pas une capacité. Répétez-le chaque année sur une charge de travail.

L'observabilité (observability), angle mort

Tableaux de bord, règles d'alerte, traces et rétention vivent dans les outils du fournisseur. Vous arrivez à l'aveugle.

Si le contrat prenait fin dans quatre-vingt-dix jours, que ne pourrions-nous pas reconstruire ?

Data Act Art. 30 équivalence fonctionnelle (services d'infrastructure) et interfaces ouvertes

Le Data Act exige des fournisseurs d'infrastructure (IaaS) l'équivalence fonctionnelle après le changement (article 30, paragraphe 1), et des fournisseurs des données exportables dans des formats structurés, couramment utilisés et lisibles par machine. Les données sont la moitié facile. Les fonctions sont plus dures : une file de messages, un service d'identité ou un environnement serverless propriétaire n'a pas d'équivalent prêt à l'emploi.

Ce que la plupart des migrations oublient, c'est la télémétrie (telemetry). On peut déplacer une charge de travail en un week-end. Reconstruire les règles d'alerte, les tableaux de bord, l'échantillonnage des traces et les politiques de rétention qui vous disent que la charge est saine prend des mois, et d'ici là vous exploitez un système critique sans instruments.

Une capacité de sortie est aussi un contrôle de sécurité : elle borne le rayon d'impact (blast radius) d'une défaillance de fournisseur ou d'un choc juridictionnel.

Cas 02 : l'injonction venue de l'étranger

Un module matériel de sécurité nCipher nShield F3, une carte PCI — Un module matériel de sécurité (hardware security module), ici un nCipher nShield F3 : les clés vivent ici, pas dans l'application.

Une juridiction d'un pays tiers ordonne à un fournisseur de remettre des données non personnelles stockées dans l'UE.

Que le fournisseur puisse s'y conformer dépend moins de l'endroit où se trouvent les données que de qui détient les clés.

Quand une autorité étrangère demande des données de l'UE

Le texte Art. 32

Les fournisseurs prennent des mesures techniques, organisationnelles et juridiques pour empêcher tout transfert de données non personnelles détenues dans l'Union, ou tout accès d'autorités à celles-ci, contraire au droit de l'Union ou national.

Une injonction étrangère n'est exécutoire que sur la base d'un accord international, ou après une procédure motivée, proportionnée et susceptible de recours.

Le système 4 contrôles

Garde des clés hors de portée du fournisseur
Une cartographie de chaque entité et personne pouvant être contrainte
Une procédure documentée de refus et d'escalade
Un journal de chaque demande reçue, et de la réponse

Où sont vos clés, et qui peut être contraint de les remettre ?

L'article 32, paragraphe 1, oblige les fournisseurs de services de traitement de données à prendre des mesures techniques, organisationnelles et juridiques adéquates, y compris contractuelles, pour empêcher l'accès des autorités internationales et de pays tiers aux données non personnelles détenues dans l'Union, et leur transfert, lorsqu'ils seraient contraires au droit de l'Union ou national.

Article 32, paragraphes 2 et 3 : une décision d'une juridiction ou d'une autorité d'un pays tiers exigeant un tel transfert ou accès n'est reconnue ou exécutoire que si elle repose sur un accord international, tel qu'un traité d'entraide judiciaire (mutual legal assistance treaty). À défaut, le fournisseur ne peut s'y conformer que si le système du pays tiers exige que la décision soit motivée et proportionnée, que l'injonction soit précise, et que l'objection motivée du fournisseur puisse être examinée par une juridiction compétente de ce pays.

L'article 28 ajoute une obligation de transparence : les fournisseurs publient sur leur site la juridiction dont relève leur infrastructure, et une description générale de leurs mesures contre l'accès illicite des autorités. C'est là que commencent les questions sur les clés.

La lecture d'ingénieur est à droite. Le chiffrement seul ne règle pas la question : si le fournisseur détient la clé, il peut être contraint de s'en servir. C'est pourquoi la slide suivante s'intéresse au contrôle, pas à la localisation.

La souveraineté est une chaîne de contrôle, pas une carte

	Couche	Ce qui la détermine
L1	La maison mère	La propriété traverse les frontières. Une filiale européenne peut encore obéir à une décision du groupe.
L2	L'entité exploitante	Quelle personne morale signe le contrat, et sous quel droit on peut lui ordonner d'agir.
L3	Le personnel à privilèges	Les administrateurs ont un passeport et un employeur. La contrainte vise des personnes, pas des centres de données.
L4	L'infrastructure	Là où reposent les octets. La couche dont tout le monde parle, et la plus faible des cinq garanties.
L5	Les clés	Si le fournisseur peut déchiffrer, on peut l'y contraindre. La garde, pas la localisation, fait le contrôle.

Une aide à la lecture, pas un avis juridique. Une vraie évaluation exige le contrat, la structure du groupe et un conseil dans les deux juridictions.

Lisez les cinq couches de haut en bas. La localisation des données (data residency, L4) est ce dont parle surtout le marketing, et c'est la plus faible des cinq garanties : un administrateur contraint (L3) ou une maison mère (L1) peut atteindre les données où qu'elles se trouvent physiquement.

La seule couche qui change la réponse à elle seule est L5. Si le client détient les clés, dans un module matériel de sécurité (hardware security module) que le fournisseur ne peut pas opérer, une injonction adressée au fournisseur ne produit que du texte chiffré.

Le 3 juin 2026, la Commission a proposé un règlement sur le développement du cloud et de l'IA (Cloud and AI Development Act), COM(2026) 502, dont l'article 16 met en place un cadre de souveraineté de l'Union pour l'informatique en nuage, avec des niveaux d'assurance. Un exercice utile : pour chacune de ces cinq couches, demandez-vous si un tel label pourrait réellement la vérifier.

Cas 03 : les données du tracteur

Un tracteur rouge tirant une herse dans un champ — Un tracteur au travail : heures moteur, positions, rendements, tout est enregistré par la machine.

L'agricultrice veut que les données de sa machine soient transmises à un agronome indépendant.

Le fabricant doit le rendre possible, de manière sécurisée, pour un destinataire qu'il n'a pas choisi.

L'UE a rendu une fonctionnalité obligatoire

Le texte Art. 3 à 5

Les produits connectés doivent être conçus pour que leurs données soient accessibles à l'utilisateur, facilement, de manière sécurisée et, si c'est pertinent et techniquement possible, directement.

Sur demande, le détenteur de données les met à la disposition de l'utilisateur, ou d'un tiers désigné par celui-ci.

Le système 4 composants

Un chemin de lecture authentifié vers une télémétrie autrefois interne
Un flux de délégation vers des destinataires que vous n'avez pas choisis
Un filtrage champ par champ des secrets d'affaires
Une limitation de débit (rate limiting) sur un point d'accès public et obligatoire

L'accès dès la conception vaut pour les produits mis sur le marché après le 2026-09-12 Art. 3(1) Art. 50.

L'article 3, paragraphe 1, impose que les produits connectés et les services connexes (related services) soient conçus et fabriqués de sorte que les données relatives au produit et aux services connexes soient, par défaut, accessibles à l'utilisateur facilement, de manière sécurisée, gratuitement, dans un format complet, structuré, couramment utilisé et lisible par machine, et, lorsque c'est pertinent et techniquement possible, directement. Cela s'applique aux produits mis sur le marché après le 12 septembre 2026. Les articles 4 et 5 ajoutent le droit d'obtenir les données auprès du détenteur de données et de les faire partager avec un tiers.

En termes de sécurité, l'UE a rendu une fonctionnalité obligatoire, et les fonctionnalités obligatoires sont livrées à date fixe. Des millions d'équipements industriels acquièrent une manière documentée d'être interrogés par quelqu'un d'autre que leur fabricant. La slide suivante associe chaque composant à une attaque que vous connaissez déjà.

Le droit nouveau, l'attaque ancienne

Le texte crée	Le système reçoit	La défaillance que vous connaissez
Un droit de l'utilisateur sur les données du produit	Un chemin de lecture authentifié vers la télémétrie interne	Autorisation défaillante au niveau objet (broken object-level authorisation) : demander 1042, obtenir 1041
Le partage avec un tiers	Un flux de délégation avec jetons et un destinataire non vérifié	Hameçonnage du consentement (consent phishing) : l'autorisation OAuth donnée à une appli hostile
La preuve que l'utilisateur est l'utilisateur	Un lien entre une personne et un appareil revendu, partagé	Ingénierie sociale de la demande, déjà vue sous le RGPD
La protection des secrets d'affaires	Un filtre entre ce qui est dû et ce qui est confidentiel	Surdivulgation (over-disclosure) : un export jamais relu champ par champ
La disponibilité de l'accès	Un point d'accès public sur un parc industriel	Déni de service (denial of service) sur un système sans capacité de réserve

Là où cela casse en production

Pas le droit. La mise en œuvre.

Quatre choses qui cassent avant l'arrivée des juristes

01 · Identité

Le droit appartient à l'utilisateur. Les systèmes connaissent des comptes, des numéros de série et des contrats, pas des personnes au fil des reventes et des locations.

02 · Preuve

Qu'avez-vous communiqué, à qui, quand, sur quelle base ? Trente jours de rétention des journaux ne suffisent pas à répondre.

03 · Qualité

La télémétrie interne tolère les trous et les horloges qui dérivent. Une fois sortie de l'entreprise, un trou devient un litige.

04 · La frontière

Ces textes régissent surtout les données non personnelles ; le RGPD, les données personnelles. Un identifiant machine plus un horodatage identifie souvent une personne.

La quatrième défaillance est la plus sérieuse intellectuellement, et elle renvoie à tout le cours. Une mesure de vibration d'un moteur industriel est une donnée non personnelle. La même mesure, avec un identifiant machine et un horodatage, dans un atelier où un technicien nommément connu utilise cette machine, révèle quand cette personne est arrivée, partie et a pris une pause. Personne ne l'a conçue comme une donnée personnelle ; elle l'est devenue par jointure.

Il n'y a pas de frontière technique nette, et le Data Act le dit lui-même : il s'applique sans préjudice du RGPD, qui prévaut en cas de conflit (article 1er, paragraphe 5). La réponse technique n'est pas de classer un flux une fois pour toutes, mais de classer champ par champ, d'enregistrer la décision et de la réexaminer à chaque changement de schéma.

La deuxième défaillance, la preuve, mène à la thèse de la slide suivante.

Quand la donnée machine devient donnée personnelle

Des bras robotisés industriels soudant des caisses automobiles sur une chaîne de montage Ford à Cologne — Des robots sur une chaîne de montage (Ford, Cologne). Chacun journalise ses cycles, ses arrêts et ses pannes.

Une mesure de vibration est une donnée non personnelle.

La même mesure, avec un identifiant machine et un horodatage, sur une ligne tenue par un technicien nommément connu, dit quand cette personne est arrivée, a fait une pause et est partie.

Classer par champ, consigner la décision, la revoir si le schéma change.

Data Act Art. 1(2) données personnelles et non personnelles · Art. 1(5) le RGPD prévaut

Les régimes voisins posent la même question

Texte	Ce qu'il demande à la plateforme	Référence
RGPD 2016/679	Registre des traitements ; violation notifiée à l'autorité dans les 72 heures si possible	Art. 30 Art. 33
NIS2 2022/2555	Alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois	Art. 23(4)
DORA 2022/2554	Registre des accords avec des prestataires tiers de services TIC ; stratégies de sortie	Art. 28(3) Art. 28(8)
AI Act 2024/1689	Les systèmes à haut risque journalisent automatiquement les événements sur toute leur durée de vie	Art. 12

Déclencheurs différents, autorités différentes, un besoin commun : une piste d'audit conçue avant que la question ne soit posée.

Le Data Act n'est pas seul sur une plateforme. Dans la même organisation, le RGPD exige un registre des activités de traitement (article 30) et la notification d'une violation à l'autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures (article 33). NIS2 exige des entités essentielles et importantes une alerte précoce dans les 24 heures suivant la prise de connaissance d'un incident important, une notification d'incident dans les 72 heures et un rapport final dans un délai d'un mois (article 23, paragraphe 4).

Pour le règlement sur l'IA (AI Act), notez que le calendrier a bougé : le règlement (UE) 2026/1744, omnibus numérique sur l'IA, publié le 24 juillet 2026, applique les obligations relatives au haut risque aux systèmes de l'annexe III à partir du 2 décembre 2027 et aux produits de l'annexe I à partir du 2 août 2028. La journalisation (article 12) et la conservation des journaux pendant au moins six mois (articles 19 et 26, paragraphe 6) sont inchangées sur le fond.

DORA demande aux entités financières de tenir un registre d'informations sur tous les accords contractuels avec des prestataires tiers de services TIC (article 28, paragraphe 3) et de disposer de stratégies de sortie (article 28, paragraphe 8). L'AI Act exige que les systèmes d'IA à haut risque permettent techniquement l'enregistrement automatique des événements tout au long de leur durée de vie (article 12).

Chaque régime a son déclencheur et son autorité ; je ne les fusionne pas. Le point est architectural : tous finissent par interroger les mêmes journaux.

La conclusion de l'architecte

Dans ce régime, la conformité est un problème de télémétrie.

Un régulateur ne demande pas si vous aviez l'intention de vous conformer. Il vous demande de montrer ce qui s'est passé. Montrer ce qui s'est passé, c'est de l'observabilité, et l'observabilité a été conçue pour les ingénieurs, pas pour la preuve.

Une liste de contrôle pour la production

InventaireQuelles données de produit et de service existent, champ par champ, personnelles ou non
Chemin d'accèsAuthentifié, à débit limité, documenté avant la vente
DélégationAutorisations aux tiers ciblées, à durée limitée, révocables

SortieFormats d'export ouverts, procédure répétée, télémétrie comprise
ClésQui les détient, qui peut être contraint, où les demandes sont journalisées
PreuveUne rétention assez longue pour répondre au régulateur le plus lent

Quatre contresens courants

Entendu dans les couloirs	Ce que dit le texte
« Le Data Act porte sur les données personnelles. »	Il couvre les données personnelles et non personnelles, et laisse le RGPD intact pour les données personnelles. Art. 1(2), 1(5)
« Le changement gratuit, c'est en 2027 : rien à faire maintenant. »	Clauses contractuelles et processus de changement s'appliquent depuis le 12 septembre 2025 ; seuls les frais courent jusqu'en 2027. Art. 25, 29
« La localisation des données règle l'accès étranger. »	Le texte parle de mesures contre l'accès, pas de localisation. Art. 32(1)
« L'omnibus l'a déjà changé. »	Une proposition n'est pas une loi. 2025/0360(COD)

Trois choses à retenir en sortant

Lire l'obligation comme une spécification.Pour chaque article : qui le construit, qui l'exploite, qui prouve qu'il a fonctionné ?
Construire des capacités, pas des numéros d'article.Identifier vos données, les déplacer, prouver qui y a touché. Cela survit à toute réécriture.
Modéliser les menaces sur les droits, pas seulement sur le système.Un chemin d'accès imposé est une surface d'attaque dès le jour où il existe.

Vos questions

Y compris celles auxquelles personne ne sait encore répondre.

Du droit à l'ingénierie, un court glossaire

Le texte dit	Un ingénieur entend	Où
Détenteur de données	La partie qui contrôle les données et doit traiter la demande	Data Act Art. 2(13)
Accessible dès la conception	Une exigence dès la définition du produit, pas une fonction tardive	Data Act Art. 3(1)
Équivalence fonctionnelle	Même résultat sur la plateforme cible, après migration	Data Act Art. 30(1)
Séparation structurelle	Une frontière d'isolation démontrable à un auditeur	DGA Art. 12
Mesures adéquates	Des contrôles, plus la preuve qu'ils ont fonctionné	Data Act Art. 32(1)

Quatre questions qui méritent débat

01 Si le changement gratuit profite surtout aux fournisseurs assez grands pour absorber les coûts de migration, l'UE a-t-elle accru la concurrence ou la concentration ?

02 Une garantie contre l'accès des autorités étrangères peut-elle résister au fait que la contrainte vise des personnes, pas des machines ?

03 Ouvrir les données industrielles aux utilisateurs crée-t-il plus de risque de sécurité que de valeur économique ? Comment mesurer l'un et l'autre ?

04 Si un régime est réécrit avant d'être pleinement mis en œuvre, est-ce de l'agilité réglementaire ou un échec réglementaire ?

Au Luxembourg : qui supervise quoi

Texte	Luxembourg	Autorité
RGPD	Loi du 1er août 2018	CNPD
DGA	Loi du 19 décembre 2025	CNPD : intermédiation et altruisme
Data Act	Projet de loi 8809, en commission	ILR ; CNPD pour les données personnelles
NIS2	Loi du 5 mai 2026	ILR ; CSSF (banques)
AI Act	Projet de loi 8476, en commission	CNPD par défaut

La page de la Chambre des Députés consacrée au projet de loi 8809, portant mise en œuvre du Data Act, statut en commission, déposé le 28 juillet 2026 — Le projet de loi 8809 à la Chambre des Députés : déposé le 28 juillet 2026, toujours en commission.

Le Luxembourg en un tableau. La CNPD supervise les données personnelles en vertu de la loi du 1er août 2018 et, depuis la loi du 19 décembre 2025 portant mise en œuvre du Data Governance Act, les services d'intermédiation de données et le registre des organisations altruistes en matière de données ; la même loi crée le Commissariat du Gouvernement à la souveraineté des données pour la réutilisation des données publiques protégées.

La loi de mise en œuvre du Data Act n'est encore qu'un projet, le n° 8809, déposé le 28 juillet 2026 : il ferait de l'Institut Luxembourgeois de Régulation l'autorité compétente et le coordinateur des données, avec la CNPD pour les données personnelles et des amendes par paliers jusqu'à un million d'euros. NIS2 est transposée par la loi du 5 mai 2026, avec l'ILR comme autorité principale et la CSSF pour le secteur bancaire et les infrastructures des marchés financiers. Le projet de loi sur l'AI Act, n° 8476, ferait de la CNPD l'autorité de surveillance du marché par défaut. Sources : Chambre des Députés et Legilux.

Où lire tout cela sérieusement

Source	Référence
Data Governance Act	Regulation (EU) 2022/868, JO L 152 du 3.6.2022
Data Act	Regulation (EU) 2023/2854, JO L du 22.12.2023
Omnibus numérique	COM(2025) 837, procédure 2025/0360(COD)
Régimes voisins	GDPR 2016/679 DORA 2022/2554 NIS2 2022/2555 AI Act 2024/1689
Cloud	Projets de clauses types et de clauses cloud, 19.11.2025 · Cloud and AI Development Act, COM(2026) 502
Luxembourg	Loi du 19.12.2025 (DGA) · projet de loi 8809 (Data Act) · loi du 5.5.2026 (NIS2) · chd.lu, legilux.public.lu

Des volumes reliés du Journal officiel de l'Union européenne sur une étagère de bibliothèque — Le Journal officiel, relié : le seul texte authentique, désormais en ligne.

À titre personnel. Rien ici ne reflète la position d'un employeur, et rien ne constitue un avis juridique. Slides, notes et résumé : sitraka.lu/fr/teaching/eu-data-strategy/

Merci.

Merci à Roger Tafotie pour l'invitation, et à cette classe pour une heure d'attention.

Sitraka FORLER · enseignant, IAE Metz et Centrale Méditerranée · chroniqueur, AGEFI Luxembourg

Support pédagogique, pas un avis juridique.

Université
du Luxembourg