Data Act et IA Act : pourquoi la gouvernance des données devient indispensable en 2026

Pourquoi le Data Act et l’IA Act changent la gouvernance des données

Le Data Act et l’IA Act redéfinissent profondément la manière dont les entreprises doivent gérer leurs données et leurs systèmes d’intelligence artificielle. À partir de 2026, ces deux réglementations européennes imposent de nouvelles exigences en matière de gouvernance des données, de partage des données, de traçabilité des données et de conformité réglementaire.

Pour les organisations industrielles, aéronautiques, nucléaires ou plus largement pour les acteurs des infrastructures critiques, ces évolutions réglementaires dépassent largement la simple mise en conformité. Elles deviennent un véritable levier pour renforcer la gestion des données, améliorer la maîtrise des risques et garantir un usage plus fiable de l’intelligence artificielle.

Dans cet article, découvrez les principales obligations du Data Act et de l’IA Act, leurs points communs, ainsi que les actions prioritaires à mettre en œuvre pour construire une gouvernance des données robuste et anticiper les nouvelles exigences européennes.

Qu’est-ce que le Data Act ?

La donnée industrielle n’appartient plus uniquement à celui qui la collecte

Jusqu’au 12 septembre 2025, les données générées par un équipement connecté appartenaient de fait à celui qui le fabriquait ou l’opérait. Fabricant, prestataire de maintenance, éditeur de logiciel : c’est lui qui décidait de ce qu’il en faisait, et à quelles conditions il les partageait. Le Data Act redéfinit les règles du partage des données et de la gouvernance des données industrielles en donnant davantage de droits aux utilisateurs des équipements connectés.

Depuis cette date, l’utilisateur d’un produit connecté a le droit d’accéder aux données générées par son utilisation, de les récupérer dans un format structuré et lisible, et de les transmettre à un tiers de son choix. Dans le secteur industriel, cette nouvelle réglementation concerne directement les données industrielles produites par les robots, les machines connectées, les équipements de maintenance prédictive ou les systèmes de surveillance.

Les obligations du Data Act pour les entreprises

Concrètement, les obligations qui s’activent sont de trois ordres. Les entreprises doivent mettre en place une véritable gestion des données afin de rendre les données accessibles, traçables et facilement partageables conformément aux exigences du Data Act. Les contrats BtoB doivent être revus pour éliminer les clauses abusives et intégrer des conditions équitables de partage (ce que le texte appelle les conditions FRAND : Fair, Reasonable and Non-Discriminatory). Enfin, dès septembre 2026, les fabricants devront avoir intégré cette accessibilité dès la conception de leurs produits.

Les sanctions dépendent de la nature de l’infraction et restent en cours de stabilisation en droit français : jusqu’à 20 millions d’euros ou 4 % du CA mondial quand la violation touche des données personnelles (régime RGPD), et un projet de loi actuellement en discussion (DDADUE) propose un régime spécifique allant jusqu’à 3 % du CA mondial, 5 % en cas de récidive.

Qu’est ce que l’IA Act ?

Une application progressive, mais des obligations déjà actives

Les principales obligations de l’IA Act en 2026

Depuis février 2025, les usages d’IA considérés comme inacceptables sont interdits : manipulation comportementale, notation sociale, certaines formes de surveillance biométrique. Depuis août 2025, les obligations de transparence pour les modèles d’IA générative sont actives. Et le 2 août 2026 marque l’entrée en vigueur des obligations pour les systèmes d’intelligence artificielle à haut risque : scoring, aide à la décision dans des environnements critiques, systèmes d’évaluation automatisés.

Un ajustement notable est intervenu en mai 2026 : le paquet Digital Omnibus a repoussé certaines de ces obligations au 2 décembre 2027 pour les systèmes les plus complexes. Mais attention à ne pas mal interpréter ce report. L’obligation de former les collaborateurs à une utilisation responsable de l’intelligence artificielle (AI literacy) reste en vigueur depuis février 2025. Et les organisations qui attendent pour agir accumulent une dette de conformité qu’il se coûteux de résorber.

Le texte introduit également une distinction importante pour les secteurs industriels : les systèmes d’IA intégrés à des produits déjà soumis à une évaluation de conformité CE (machines, équipements aéronautiques, dispositifs médicaux) bénéficient exemption partielle du régime à haut risque. Une nuance qui concerne directement les industries où la certification est déjà au cœur du processus qualité.

Pourquoi la gouvernance des données est le point commun du Data Act et de l’IA Act

Gouvernance des données : le dénominateur commun des deux textes

Le Data Act et l’IA Act poursuivent un objectif commun : renforcer la gouvernance des données et garantir une utilisation plus transparente, plus sécurisée et plus responsable des données et des systèmes d’intelligence artificielle.

Une gouvernance des données efficace passe par la cartographie des flux de données, l’identification des propriétaires des données, la maîtrise des accès, la documentation des traitements et la traçabilité des décisions prises par les systèmes d’intelligence artificielle. Dans les deux cas, une organisation qui ne connaît pas son patrimoine data ne peut pas être conforme, et surtout, elle ne peut pas en tirer de valeur.

Comment préparer son entreprise au Data Act et à l’IA Act

Pour assurer leur conformité réglementaire, les entreprises doivent engager plusieurs chantiers structurants :

Ce que ces textes révèlent au fond, c’est que la gouvernance des données n’est plus un sujet réservé aux juristes ou aux DSI. C’est un sujet de direction, qui engage la compétitivité de l’entreprise, autant que sa conformité. Et sur ce terrain, les industries où la maîtrise des risques est déjà une culture (énergie, aéronautique, nucléaire) partent avec une longueur d’avance. Elles ont les réflexes : traçabilité, documentation, supervision, gestion des risques. L’enjeu est simplement d’étendre cette rigueur aux actifs data et IA.

Ce qu’il faut retenir

Comment SixFoisSept accompagne les entreprises

Nos solutions d’analyse de données et d’intelligence artificielle, comme Sémaphore Risk Monitoring et Le Cadran, permettent de fiabiliser les données, renforcer leur traçabilité et faciliter leur exploitation dans le respect des nouvelles exigences européennes.

Le Data Act et l’IA Act marquent une nouvelle étape dans la transformation numérique des entreprises européennes. Au-delà des obligations réglementaires, ils imposent une meilleure gouvernance des données, une documentation renforcée des systèmes d’intelligence artificielle et une approche plus responsable de la gestion des risques.

Les organisations qui anticipent ces évolutions disposeront d’un avantage durable : elles seront non seulement conformes, mais aussi capables de mieux valoriser leurs données et de développer des systèmes d’IA plus fiables, plus transparents et plus performants.

FAQ sur le Data Act et l’IA Act