Le triptyque de la souveraineté numérique européenne (AI Act, DMA, DSA)

L'Union européenne a construit en cinq ans une architecture réglementaire cohérente pour reprendre la main sur son espace numérique. Trois textes en forment l'ossature, et il faut les lire ensemble pour comprendre la stratégie d'ensemble.

Le Digital Services Act (DSA, règlement sur les services numériques) traite du contenu : lutte contre les contenus illicites, transparence des places de marché, atténuation des risques systémiques des très grandes plateformes de plus de 45 millions d'utilisateurs. Le Digital Markets Act (DMA) traite de la structure de marché : il encadre la position des géants pour rétablir la concurrence. L'AI Act, lui, régule la technologie : il fixe des exigences de sécurité, de transparence et de gestion des risques sur les systèmes d'IA eux-mêmes.

La thèse centrale que je défends auprès de mes clients est simple : sans le DMA, l'AI Act serait insuffisant. Un géant qui contrôle le système d'exploitation, le navigateur, le moteur de recherche et le cloud dispose d'un avantage structurel pour imposer son IA, quelles que soient les règles de sécurité. Comme le rappelle la Direction générale des Entreprises, ces textes ont été négociés à l'instigation de la France précisément pour protéger les entreprises françaises face aux géants du numérique. L'enjeu dépasse la conformité : il touche à la capacité de l'écosystème européen à développer une IA souveraine, sujet que nous détaillons dans notre hub AI Act.

Le DMA : briser les barrières des gatekeepers pour ouvrir le marché

Le DMA est entré en vigueur le 1er novembre 2022 et s'applique concrètement depuis le 6 mars 2024. Son mécanisme repose sur une désignation : seules les entreprises qualifiées de « contrôleurs d'accès » par la Commission européenne y sont soumises.

Les critères de désignation

Selon le ministère de l'Économie, trois conditions cumulatives caractérisent un gatekeeper :

  • un poids économique majeur en Europe : un chiffre d'affaires annuel d'au moins 7,5 milliards d'euros dans l'Espace économique européen sur chacun des trois derniers exercices, avec un service de plateforme essentiel présent dans au moins trois États membres ;
  • un rôle de point d'accès incontournable : plus de 45 millions d'utilisateurs finaux actifs mensuels dans l'UE et plus de 10 000 utilisateurs professionnels annuels, ce qui traduit une position de passage obligé entre les entreprises et leurs clients ;
  • une position solide et durable : présomption acquise lorsque les critères précédents sont réunis pendant trois années consécutives, marquant un ancrage structurel du pouvoir de marché.

Les six géants désignés et leurs obligations

Le 6 septembre 2023, la Commission a désigné six entreprises : Alphabet (Google, Chrome, Android, YouTube), Amazon, Apple (iOS, Safari, App Store), ByteDance (TikTok), Meta (Facebook, Instagram, WhatsApp) et Microsoft (Windows, LinkedIn). Elles disposaient de six mois pour se conformer aux 24 obligations énoncées aux articles 5, 6 et 7 du DMA, comme le précise la DGE.

Ces obligations interdisent notamment l'auto-préférence, imposent l'interopérabilité des messageries, la désinstallation facile des applications par défaut, et surtout l'accès des entreprises tierces aux données essentielles générées par leurs propres interactions sur la plateforme. En cas de manquement, la Commission peut infliger des amendes allant jusqu'à 10 % du chiffre d'affaires mondial, portées à 20 % en cas de récidive.

L'AI Act : des standards de sécurité et d'éthique pour les systèmes d'IA

Là où le DMA s'attaque à la structure de marché, l'AI Act encadre la technologie. Le Règlement (UE) 2024/1689 classe les systèmes d'IA selon quatre niveaux de risque — inacceptable, élevé, limité, minimal — et fixe des obligations proportionnées : interdictions pour les pratiques inacceptables, exigences documentaires et de gestion des risques pour le haut risque, transparence pour les usages à risque limité. Il impose par ailleurs un régime spécifique aux modèles d'IA à usage général (GPAI), applicable depuis le 2 août 2025.

Je ne re-détaille pas ici les obligations article par article : elles font l'objet d'un traitement dédié dans le guide de conformité pour PME de notre partenaire Regulia. Ce qu'il faut retenir pour le sujet qui nous occupe, c'est que l'AI Act responsabilise les fournisseurs de modèles de fondation en matière de transparence sur les données d'entraînement et de protection des droits fondamentaux. Or ces fournisseurs sont souvent, précisément, les gatekeepers du DMA. C'est là que les deux textes se croisent. Pour situer le vocabulaire technique employé, notre glossaire de l'IA définit les notions de modèle de fondation, de GPAI et de risque systémique.

Point de convergence 1 : accès aux données et entraînement des modèles

C'est l'interaction la plus stratégique, et la plus sous-estimée. L'entraînement d'un grand modèle de langage exige des volumes de données colossaux. Un gatekeeper qui exploite un moteur de recherche, un réseau social, une messagerie et un système d'exploitation dispose d'un gisement de données sans équivalent pour un concurrent européen.

Le DMA vient briser ce potentiel « fossé de données ». Comme le rappelle la DGCCRF, les contrôleurs d'accès ne peuvent plus combiner les données personnelles issues d'un service essentiel avec celles d'un autre service sans le consentement effectif de l'utilisateur. Concrètement, un gatekeeper ne peut pas verser automatiquement les données de sa messagerie et de son moteur de recherche dans le même bassin d'entraînement pour nourrir son IA propriétaire.

Cette restriction rééquilibre la course. Elle protège indirectement l'écosystème open-source (Mistral, Llama, Qwen), sur lequel s'appuient les installations souveraines que nous déployons, en empêchant les dominants d'accumuler un avantage de données par simple effet de portefeuille de services. L'AI Act ajoute une couche complémentaire en imposant une transparence sur les données d'entraînement des GPAI. Les deux textes concourent ainsi au même résultat : rendre la donnée d'entraînement plus contestable. Pour les PME industrielles ou de services qui souhaitent bâtir un RAG (Retrieval-Augmented Generation) sur leurs propres corpus, ce cadre garantit qu'elles ne dépendront pas d'un fournisseur unique — un point que nous chiffrons dans notre calculateur de ROI IA.

Point de convergence 2 : lutter contre l'auto-préférence dans les moteurs de recherche IA

L'intégration de l'IA générative dans les moteurs de recherche — les search generative experiences — soulève un risque concurrentiel frontal. Un gatekeeper qui détient le moteur de recherche dominant peut être tenté de mettre en avant sa propre IA générative au détriment des solutions concurrentes.

Le DMA l'interdit explicitement : l'article 6 proscrit l'auto-préférence, c'est-à-dire le fait pour un contrôleur d'accès d'accorder à ses propres services un traitement plus favorable qu'à ceux des tiers. Un moteur de recherche désigné gatekeeper ne peut donc pas positionner systématiquement sa réponse IA au-dessus des offres concurrentes dans le classement.

L'AI Act complète ce dispositif par le versant transparence. Son article 50, applicable au 2 août 2026, impose que les contenus générés ou manipulés par une IA soient identifiables comme tels. La combinaison est vertueuse : le DMA garantit que le concurrent ait une chance d'être visible ; l'AI Act garantit que l'utilisateur sache qu'il consulte une réponse générée par IA. Pour les métiers où la visibilité en ligne conditionne le chiffre d'affaires — je pense aux cabinets et aux PME de services que nous accompagnons via notre hub métiers — cet équilibre est déterminant : il conditionne l'accès équitable au trafic capté par les nouveaux assistants de recherche.

Interopérabilité et accès aux infrastructures pour une IA souveraine

La souveraineté IA ne se limite pas aux données : elle passe par l'accès aux capacités de calcul. Entraîner ou même faire tourner un modèle quantifié suppose des ressources GPU souvent hébergées chez les mêmes acteurs qui dominent le cloud.

Le DMA impose aux gatekeepers de faciliter l'interopérabilité et l'accès aux API, réduisant le risque d'enfermement dans un écosystème fermé. Cette logique rejoint directement l'une des douze mesures de la loi SREN française, qui vise à réduire la dépendance des entreprises aux fournisseurs de cloud, selon la DGE. Un client verrouillé par des frais de sortie prohibitifs ou des formats propriétaires n'est jamais réellement libre de choisir une alternative souveraine.

C'est précisément la promesse de l'installation on-premise que je porte chez IAPRO : en déployant Mistral 7B ou Llama 3 via Ollama et OpenWebUI directement sur l'infrastructure du client, on sort de la logique de dépendance. Le DMA agit comme un filet de sécurité réglementaire pour ceux qui restent, pour partie, dans le cloud des gatekeepers ; l'installation souveraine offre la voie de sortie complète. Les deux approches ne s'opposent pas : elles répondent au même impératif de contestabilité que le législateur européen a voulu inscrire dans le marché.

Risques systémiques : une surveillance conjointe par la Commission

L'AI Act introduit la notion de risque systémique pour les modèles à usage général les plus puissants. Cette notion fait écho, sur le plan conceptuel, à l'abus de position dominante que sanctionne le droit de la concurrence : un modèle contrôlé par un acteur incontournable peut poser un risque de marché autant qu'un risque de sécurité.

La coordination des autorités devient alors centrale. En France, la loi SREN a désigné les autorités compétentes. Pour le DMA, le contrôle relève de la Commission européenne, la DGCCRF pouvant contribuer aux enquêtes communautaires et engager ses propres investigations en coordination avec Bruxelles. Elle siège, aux côtés de l'Autorité de la concurrence, au comité consultatif en matière de marchés numériques (DMAC) et participe au groupe de haut niveau institué par l'article 40 du DMA.

Cette architecture de gouvernance croisée vise à éviter les zones grises réglementaires. Un même comportement d'un gatekeeper peut relever simultanément du droit de la concurrence, du DMA et de l'AI Act. La coordination entre autorités nationales et Commission garantit une application homogène au sein du réseau européen de concurrence (REC), ce qui offre aux entreprises une prévisibilité juridique appréciable.

Impact sur les PME et startups : opportunités et défis de conformité

Pour un dirigeant de PME française, cette double régulation est à double tranchant, et il faut le dire sans détour.

Du côté des opportunités, le DMA facilite concrètement l'accès au marché. La fin de l'auto-préférence, l'accès aux données essentielles et l'interopérabilité forcée ouvrent des espaces qu'un géant fermait auparavant. Une startup d'IA française peut désormais espérer être référencée équitablement, accéder aux données de ses propres clients sur une plateforme, ou proposer une messagerie interopérable. Comme le résume le laboratoire de la Société numérique, l'objectif est de permettre à de nouveaux acteurs de contester les positions établies.

Du côté des défis, la double conformité DMA et AI Act a un coût administratif. Attention toutefois à ne pas confondre les régimes : le DMA ne s'applique qu'aux six gatekeepers désignés — une PME française n'est jamais un contrôleur d'accès. En revanche, elle peut être déployeur ou fournisseur au sens de l'AI Act, avec les obligations correspondantes selon son niveau de risque. L'enjeu, pour la PME, est donc surtout de maîtriser sa conformité AI Act tout en tirant parti des ouvertures créées par le DMA. Les dispositifs de financement — Bpifrance, France Num, crédit d'impôt recherche — peuvent alléger la facture, comme nous le détaillons dans notre hub des aides et notre simulateur d'aides.

Feuille de route stratégique : naviguer entre DMA et AI Act

Voici la méthode que j'applique lors de mes audits, transposable à toute entreprise soucieuse de transformer ces contraintes en avantage.

  • Étape 1 — cartographier sa position de marché : vérifier que vous n'êtes pas concerné directement par le DMA (ce qui sera le cas de la quasi-totalité des PME), puis identifier vos dépendances aux services des gatekeepers (cloud, moteur, app store) et les points de verrouillage à desserrer.
  • Étape 2 — qualifier vos systèmes d'IA au titre de l'AI Act : déterminer votre rôle (fournisseur, déployeur), le niveau de risque de chaque usage et l'échéance applicable, en gardant à l'esprit que la formation à l'IA (article 4) est exigible depuis le 2 février 2025.
  • Étape 3 — piloter la donnée d'entraînement : documenter la provenance et la licéité de vos corpus, privilégier les modèles open-source hébergés en propre pour garder la maîtrise, et sécuriser les consentements lorsque des données personnelles alimentent vos traitements.
  • Étape 4 — instaurer une veille réglementaire continue : suivre les décisions de la Commission et de la DGCCRF, et utiliser les canaux de signalement dédiés — la DGCCRF a ouvert l'adresse signalement-dma@dgccrf.finances.gouv.fr pour recueillir les préoccupations concurrentielles.

Cette feuille de route ne se substitue pas à un accompagnement, mais elle donne le cap. La conformité bien menée n'est pas un centre de coût : c'est une garantie de contestabilité qui protège votre liberté de choix technologique.

Conclusion : vers un écosystème numérique équitable et sécurisé

L'interaction entre l'AI Act et le DMA n'est pas un hasard de calendrier législatif : c'est une stratégie assumée. En régulant simultanément la structure de marché et la technologie, l'Union européenne cherche à garantir que l'IA reste un outil de progrès partagé, et non un instrument de renforcement des monopoles existants. Pour les PME et ETI françaises, cette double couche protège à la fois le consommateur et la capacité d'innovation. La souveraineté technologique — celle que je défends installation après installation — trouve dans ce cadre juridique un allié précieux : elle transforme une contrainte de conformité en avantage concurrentiel durable.

FAQ — AI Act, DMA et concurrence numérique

Quelle est la différence fondamentale entre le DMA et l'AI Act ?

Le DMA (Règlement (UE) 2022/1925) régule la structure de marché : il encadre les grandes plateformes désignées « contrôleurs d'accès » pour rétablir une concurrence équitable. L'AI Act (Règlement (UE) 2024/1689) régule la technologie : il fixe des exigences de sécurité, de transparence et de gestion des risques sur les systèmes d'IA. Le premier vise le pouvoir de marché, le second la sûreté de la technologie.

Un gatekeeper peut-il utiliser les données collectées via son service pour entraîner une IA sans consentement ?

Non. Le DMA interdit aux contrôleurs d'accès de combiner les données personnelles issues d'un service essentiel avec celles d'un autre service sans le consentement effectif de l'utilisateur. Cette règle limite directement la capacité d'un gatekeeper à mutualiser ses gisements de données pour entraîner un modèle propriétaire, et s'articule avec le RGPD sur le fondement du traitement.

Quelles sont les sanctions en cas de non-respect simultané des deux règlements ?

Les régimes sont distincts. Le DMA prévoit des amendes jusqu'à 10 % du chiffre d'affaires mondial, portées à 20 % en cas de récidive. L'AI Act prévoit ses propres sanctions, applicables au 2 août 2026. Un même acteur peut être poursuivi sur les deux fondements pour des comportements différents, sous la coordination de la Commission et des autorités nationales.

Comment le DMA aide-t-il spécifiquement les startups d'IA françaises ?

Le DMA facilite l'accès au marché en interdisant l'auto-préférence, en imposant l'interopérabilité et en ouvrant l'accès aux données essentielles générées sur les plateformes. Une startup française peut ainsi espérer un référencement équitable, récupérer les données de ses clients et proposer des services interopérables, sans être écrasée par le traitement de faveur qu'un géant réservait auparavant à ses propres outils.

L'AI Act impose-t-il des obligations de transparence sur les données d'entraînement aux gatekeepers ?

Oui, lorsqu'ils fournissent des modèles d'IA à usage général (GPAI), soumis à des obligations de transparence documentaire depuis le 2 août 2025. Ces fournisseurs doivent notamment publier un résumé des données d'entraînement. Le détail de ces obligations est présenté dans le guide Regulia sur les documents de conformité.

Qui est responsable du contrôle de la conformité en France pour ces deux textes ?

Pour le DMA, le contrôle relève principalement de la Commission européenne ; en France, la DGCCRF et l'Autorité de la concurrence contribuent aux enquêtes et siègent au comité DMAC. Pour l'AI Act, la loi désigne les autorités nationales compétentes, dont le rôle plein est effectif au 2 août 2026. Une coordination européenne assure l'application homogène des deux règlements.

Qu'est-ce que l'auto-préférence dans le contexte des moteurs de recherche IA ?

L'auto-préférence désigne le fait, pour un gatekeeper, de favoriser ses propres services au détriment de ceux des tiers. Appliquée aux moteurs de recherche intégrant une IA générative, elle consisterait à positionner systématiquement sa propre réponse IA au-dessus des solutions concurrentes. L'article 6 du DMA l'interdit, garantissant un accès plus équitable au trafic pour les acteurs alternatifs.

Le DMA oblige-t-il les géants à ouvrir leurs modèles d'IA aux concurrents ?

Le DMA n'impose pas d'ouvrir le code des modèles, mais il impose l'interopérabilité et l'accès aux données essentielles et à certaines API. Cela réduit l'enfermement dans un écosystème fermé et facilite la portabilité. L'objectif n'est pas la divulgation des modèles, mais la contestabilité du marché : permettre à un concurrent de proposer une alternative crédible.

Comment identifier si une entreprise est considérée comme gatekeeper pour le DMA ?

Trois critères cumulatifs : un chiffre d'affaires d'au moins 7,5 milliards d'euros dans l'EEE sur trois exercices, plus de 45 millions d'utilisateurs finaux actifs mensuels et 10 000 professionnels annuels dans l'UE, et une position durable présumée après trois ans. Seule la Commission européenne procède à la désignation officielle ; six entreprises sont concernées à ce jour.

Existe-t-il des exemptions spécifiques pour la recherche fondamentale en IA ?

L'AI Act prévoit que ses obligations ne s'appliquent pas aux systèmes d'IA développés uniquement à des fins de recherche et développement scientifiques, tant qu'ils ne sont pas mis sur le marché. Cette exemption soutient l'innovation académique et les laboratoires. Elle cesse dès lors que le système est commercialisé ou mis en service dans un contexte réel d'utilisation.

Pour aller plus loin avec IAPRO

Vous déployez ou envisagez une solution d'IA et souhaitez sécuriser votre positionnement au regard de l'AI Act tout en tirant parti des ouvertures du DMA ? Nous réalisons des audits de conformité et des installations souveraines on-premise, de Mistral 7B à Llama 3, hébergées sur votre propre infrastructure. Échangeons sur votre projet : contactez l'équipe IAPRO pour un premier diagnostic, ou estimez le retour sur investissement de votre déploiement avec notre calculateur de ROI IA.

Liens utiles