Archives par mot-clé : DGCCRF

Accessibilité numérique : éditeurs numériques et acteurs du e-commerce sous l’œil de la DGCCRF

Publié le par

Sites web, applications mobiles, livres numériques, vidéo à la demande, services télécoms, e-commerce, … Hormis les microentreprises, ils sont tous tenus depuis l’été 2025 de rendre leurs sites web et applications mobiles accessibles aux personnes en situation de handicap. Gare à la DGCCRF.

Par Prudence Cadio, avocate associée*, et Lobna Boudiaf, avocate*, cabinet LPA Law

L’exigence d’accessibilité numérique a connu une nouvelle évolution avec l’entrée en application, le 28 juin 2025, de la directive européenne « Accessibilité » de 2019, fixant des « exigences en matière d’accessibilité applicables à certains produits et services ». Appelée aussi « European Accessibility Act » (EAA), cette directive s’applique immédiatement à l’ensemble des produits et services qu’elle énumère, mis sur le marché depuis cette date : ordinateurs et systèmes d’exploitation, terminaux de paiement, guichets de banque automatiques, liseuses numériques, services de communications électroniques et de e-commerce, accès à des services de médias audiovisuels, sites web, applications mobiles, livres numériques, etc (1).

Définition et champ d’application
Les produits et services relevant de ce champ et mis sur le marché avant cette date du 28 juin 2025, marquant l’entrée en application de la directive EAA, peuvent continuer à être exploités, eux, jusqu’au 28 juin 2030, même s’ils ne satisfont pas aux exigences prévues par cette directive, sous réserve qu’aucune modification substantielle n’y soit apportée. En droit français, la directive EAA a été transposée par la loi du 9 mars 2023 portant diverses dispositions d’adaptation au droit de l’Union européenne dans les domaines de l’économie, de la santé, du travail, des transports et de l’agriculture (2). Ce dispositif a ensuite été précisé par un décret de la même année (3), qui fixe les obligations des professionnels en matière d’accessibilité des produits et services, ainsi que par un arrêté définissant le périmètre et les exigences techniques applicables (4).
L’accessibilité numérique désigne l’ensemble des prescriptions graphiques, fonctionnelles, techniques et rédactionnelles – telles que (suite) l’utilisation de technologies d’assistance, de lecteurs d’écran incluant la synthèse vocale et/ou les plages braille, ou encore l’intégration de sous-titres – visant à garantir que les supports numériques sont accessibles à tous les utilisateurs, et en particulier aux personnes en situation de handicap. La directive EAA s’applique à toute entreprise qui, sous réserve des exemptions notamment pour les « microentreprises », conçoit, commercialise ou distribue sur le territoire de l’Union européenne les produits et services concernés. S’agissant plus spécifiquement du commerce électronique, la directive EAA vise les « services de commerce électronique » fournis aux consommateurs (5). Ces services sont définis comme des « services fournis à distance, via des sites Internet, par voie électronique et à la demande individuelle d’un consommateur, en vue de conclure un contrat de consommation » (6).
La directive EAA prévoit plusieurs cas d’exemption aux obligations en matière d’accessibilité, tenant notamment à la taille de l’entreprise (les entreprises employant moins de 10 salariés avec un chiffre d’affaires annuel ou total de bilan inférieur à 2 millions d’euros), la nature du produit ou service (lorsque la mise en conformité entraînerait une modification fondamentale de sa nature), la charge disproportionnée pour l’opérateur (es critères pour la définir sont précisés par la réglementation). Dans les deux derniers cas, les professionnels concernés devront informer, via la plateforme numérique « Démarches simplifiées » (7) de la DGCCRF (8), l’autorité de surveillance du marché du pays dans lequel le produit ou le service est fourni et en cas de demande des autorités de contrôle, pouvoir présenter un dossier technique justifiant de la validité de ces exemptions. Et ce, avec des éléments permettant de justifier de la modification fondamentale du service, au cas par cas, et en s’appuyant sur une annexe du code de la consommation (9) en cas de demande d’exception pour charge disproportionnée. La direction départementale de la DGCCRF du lieu où se situe le siège de l’entreprise est l’entité en charge de ces échanges. A noter également que le périmètre de l’accessibilité des contenus web et mobiles comporte certaines exclusions limitées et précisément définies (10). Sont notamment exclus : les médias temporels préenregistrés publiés avant le 28 juin 2025 ; les formats de fichiers bureautiques publiés avant cette même date ; les contenus de tiers non financés, non développés, ni contrôlés par l’opérateur économique concerné ; les contenus d’archives qui ne sont plus mis à jour ou modifiés après le 28 juin 2025.

A partir de quatre principes cardinaux
Le cœur des exigences techniques tient aux quatre principes cardinaux de perceptibilité, d’opérabilité, de compréhensibilité et de robustesse. Concrètement, les sites web et les applications mobiles – notamment de e-commerce – doivent permettre une navigation au clavier, offrir des alternatives textuelles aux contenus non textuels, assurer des contrastes suffisants, prévenir les réactions photosensibles, fournir des messages d’erreur explicites et préserver la compatibilité avec les technologies d’assistance. Les règles d’accessibilité en France sont précisées dans le référentiel général d’amélioration de l’accessibilité (RGAA). Sa version 4.1.2 est en vigueur depuis septembre 2021 (11). La version 5 est en cours de rédaction par la Direction interministérielle du numérique (Dinum) et des acteurs concernés, avec une publication prévue fin 2026 (12).

E-commerce et accessibilité : exigences
Le RGAA est la déclinaison opérationnelle française de la norme européenne harmonisée EN 301 549, élaborée conjointement par les organismes européens de normalisation ETSI, CEN et Cenelec, et intitulée « Accessibility requirements for ICT products and services » (13). Elle est elle-même construite selon la norme internationale WCAG (Web Content Accessibility Guidelines) établie par le World Wide Web Consortium (W3C), plus précisément au sein de son initiative Web Accessibility Initiative (WAI). La WCAG actuellement en vigueur est la version 2.1 depuis le mai 2025, tandis que le W3C recommande la WCAG 2.2 en tant que « norme web » depuis octobre 2023 (14). Quant à la prochaine version 3 de WCAG, elle est en cours d’élaboration, avec une ébauche publiée en mars 2026 (15).
La méthode technique du RGAA permet de vérifier qu’une page web, c’est-à-dire tout contenu HTML, est conforme aux 50 critères de succès des niveaux A (le minimum) et AA (le niveau recommandé et souvent obligatoire) de la norme internationale WCAG 2.1, lesquels ont été retenus dans la norme européenne de référence EN 301 549 pour établir le niveau d’exigence légale en matière d’accessibilité numérique. Sans ériger cette norme en obligation générale autonome, le décret français de 2023 prévoit une présomption de satisfaction de certaines obligations lorsqu’un service répond aux exigences techniques correspondantes et constitue la voie la plus sûre pour documenter la conformité et sécuriser les échanges avec l’autorité de contrôle compétente. Les acteurs du commerce électronique doivent organiser leur conformité en intégrant l’accessibilité dans leurs processus de conception, de développement et de recette, corriger les régressions, mettre en œuvre des procédures de suivi et informer l’autorité compétente en cas de doute sérieux sur la conformité. Les obligations applicables aux services de commerce électronique sont détaillées une annexe de la directive EAA (16) et ont été transposées en droit français (17). Ces dispositions, détaillées dans l’arrêté de 2023, oblige les sites de e-commerce à : « a) fournir les informations relatives à l’accessibilité des produits et services mis en vente lorsque ces informations sont fournies par l’opérateur économique responsable ; b) veiller à l’accessibilité des fonctionnalités relatives à l’identification, à la sécurité et au paiement lorsqu’elles sont fournies en tant qu’éléments d’un service plutôt que d’un produit, en les rendant perceptibles, utilisables, compréhensibles et robustes ; c) fournir des méthodes d’identification, des signatures électroniques et des services de paiement perceptibles, utilisables, compréhensibles et robustes » (18). Les prestataires de services de e-commerce, doivent également fournir dans leurs clauses ou conditions générales (ou documents équivalents), et sous des formats accessibles aux personnes handicapées, les informations permettant au public de comprendre le service, son fonctionnement et son respect des exigences d’accessibilité (19). Il sera donc nécessaire de mettre à jour la documentation contractuelle en conséquence. Certains prestataires de services de commerce électronique devront également publier une déclaration d’accessibilité et élaborer un schéma pluriannuel de mise en accessibilité de leurs services de communication au public en ligne, lequel est rendu public et décliné en plans d’actions annuels, et dont la durée ne peut être supérieure à trois ans pour les entreprises. Les obligations des professionnels en matière d’accessibilité des produits et services sont définies de manière exhaustive dans l’arrêté.
La DGCCRF est l’autorité compétente pour contrôler la conformité des produits et des services concernés par la réglementation relative à l’accessibilité, notamment les services de commerce électronique. Selon la nature des services en cause, d’autres autorités administratives seront également compétentes, telles que l’Arcom, l’Arcep, l’ACPR, ou encore l’AMF. Les agents de la DGCCRF sont habilités à enjoindre aux professionnels de procéder à la mise en conformité de leurs produits ou services. Ces injonctions peuvent, le cas échéant, être assorties d’une astreinte ainsi que d’une mesure de publicité. Les sanctions applicables en cas de manquement aux obligations d’accessibilité sont prévues par le code de la consommation (20), qui réprime ces manquements par des contraventions de cinquième classe.

La DGCCRF contrôle depuis l’été 2025
Au-delà des sanctions administratives et financières, le non-respect des obligations d’accessibilité peut également entraîner un risque réputationnel, ainsi qu’un risque contentieux, notamment dans le cadre d’actions engagées par des associations ou par des particuliers invoquant une discrimination fondée sur le handicap. Les contrôles ont débuté dès l’entrée en application de la directive EAA, le 28 juin 2025. Ils peuvent notamment intervenir à la suite de signalements et sont réalisés par les enquêteurs de la DGCCRF au sein des directions départementales. @

* Prudence Cadio et Lobna Boudiaf sont avocates spécialisées
en propriété intellectuelle, technologies de l’information
et données (IP IT Data) au sein du cabinet LPA Law.

La France, devenue championne du blocage DNS au risque de porter atteinte à des sites web légaux

Publié le par

La plateforme chinoise Shein est assignée par le gouvernement français pour que la justice ordonne le blocage en France de son nom de domaine (DNS), le tribunal de Paris devant se prononcer le 26 novembre 2025. La France est déjà championne dans le « blocage DNS », contre le piratage. Excessif ?

« Sur instruction du Premier ministre, le gouvernement engage la procédure de suspension de Shein le temps nécessaire pour que la plateforme démontre aux pouvoirs publics que l’ensemble de ses contenus soient enfin en conformité avec nos lois et règlements », a annoncé le gouvernement français le 5 novembre. La plateforme chinoise de e-commerce (1) sera fixée sur son sort à l’issue de l’audience devant le tribunal de Paris prévue le 5 décembre 2025 (au lieu du 26 novembre initialement prévu) : déréférencement des moteurs de recherche, blocage par nom de domaine via les fournisseurs d’accès à Internet (FAI) et suspension de l’accès par l’éditeur de Shein lui-même (Infinite Style Services) sous 48 heures et pour au moins 3 mois (2) ?

Blocage d’accès par décision du juge
Le blocage par nom de domaine – ou blocage DNS (Domain Name System) – consiste à empêcher les utilisateurs d’accéder au site web incriminé via son nom de domaine, ou via plusieurs comme pour Shein si le tribunal devait le décider (shein.com et fr.shein.com). En France, le blocage DNS est généralement ordonné par un juge, souvent en référé, à la demande d’une autorité administrative ou judiciaire. Cette mesure de blocage est utilisée dans des cas de contenus illicites, de contrefaçon (piratage d’œuvres ou de retransmissions sportives, par exemple), ou non-conformité grave. La procédure de blocage DNS peut s’appuyer en France sur un article du code de la consommation (3) qui a été introduit par la loi « Confiance dans l’économie numérique » (LCEN) de 2004, modifiée par la loi « Sécuriser et réguler l’espace numérique » (SREN) de 2024.
Cet article donne pouvoir (4) à la Direction générale de la concurrence de la consommation et de la répression des fraudes (DGCCRF), que dirige Sarah Lacoche (photo), de : (suite)
• « Ordonner aux fournisseurs de plateformes en ligne, de moteurs de recherche en ligne ou de comparateurs en ligne, en leur notifiant les adresses électroniques des interfaces en ligne dont les contenus sont manifestement illicites, de prendre toute mesure utile destinée à faire cesser leur référencement » ;
• « Ordonner aux opérateurs et [fournisseurs d’accès à Internet (FAI)], en leur notifiant les adresses électroniques des interfaces en ligne dont les contenus sont manifestement illicites, de prendre toute mesure utile destinée à en limiter l’accès » ;
• « Ordonner aux opérateurs de registre ou aux bureaux d’enregistrement de domaines de prendre une mesure de blocage d’un nom de domaine [DNS], d’une durée maximale de trois mois renouvelables une fois, suivie, si l’infraction constatée persiste, d’une mesure de suppression ou de transfert du nom de domaine à l’autorité compétente ».
Un article de la LCEN (5) élargit la définition du statut d’hébergeur et précise la responsabilité « limitée » de tous les intermédiaires de l’Internet dès lors qu’il leur a été signalé des contenus illicites en ligne. Outre les moteurs de recherche, les hébergeurs, les plateformes en ligne, les réseaux sociaux ou encore les boutiques d’applications, les FAI eux-mêmes – fournissant un service d’accès à Internet – sont appelés à prêter main forte pour lutter contre les contenus illégaux. Un autre article (6) prévoit le blocage d’accès en ligne « lorsqu’une décision judiciaire exécutoire a ordonné une mesure propre à empêcher l’accès à un service de communication au public en ligne dont le contenu relève des infractions », l’autorité administrative pouvant aussi leur demander à tous ceux qui sont visés par la décision judiciaire (y compris les exploitants de classement ou de référencement au moyen d’algorithmes) « d’empêcher l’accès à tout service de communication au public en ligne qu’elle a préalablement identifié » et « de faire cesser le référencement des adresses électroniques donnant accès aux services de communication au public en ligne ».
Et pour lutter contre les sites miroirs, lorsque l’éditeur en ligne en infraction ou la plateforme numérique ou le cyberlocker accusés de piratage change de nom de domaines pour échapper au blocage DNS (7), « l’autorité administrative [l’Arcom en France, ndlr] tient à jour une liste des services […] qui ont fait l’objet d’une demande de blocage d’accès » et « ces services de communication au public en ligne sont inscrits sur cette liste [surnommée « liste noire », ndlr] pour la durée restant à courir des mesures ordonnées par l’autorité judiciaire ».

Films, musiques, livres, presse, porno, …
En France, où se combinent blocage administratif (par le ministère ou par l’Arcom dans certains cas) et blocage judiciaire (ordonnances du juge par des tribunaux), les blocages DNS – ordonnés notamment aux quatre opérateurs télécoms que sont Orange, Bouygues Telecom, Free et SFR – se multiplient depuis plus de dix ans à l’encontre de sites web illicites aussi divers que Comschat (site pornographique) et News.DayFr.com (presse pillée par l’IA) en 2025, Z-Library (bibliothèques numériques) en 2024 (8), Uptobox (films piratés) en 2023 (9), Livetennis.net et streamonsport.com (parmi 19 sites pirates diffusant Roland-Garros) en 2022, Time2Watch (parmi d’autres sites de streaming illégal), SciHub et LibGen (diffusion scientifique pirate) en 2019, LibertyLand, StreamComplet et VoirFilms (contrefaçon audiovisuelle) en 2017, OMG-Torrent (œuvres piratées) en 2016, ou encore T411 (et ses sites miroirs de films, séries, logiciels et musiques) en 2015 (10). Sans parler de blocages de sites d’hébergement de données de santé piratées tels que AnonFiles ou FileDropper en 2021, et de bien nombreux autres blocages DNS encore. Les sites faisant l’apologie du terrorisme sont également dans le viseur.

Orange, Bouygues Telecom, Free et SFR
Et ce n’est pas fini. L’obligation de blocage DNS s’accélère en France et s’étend plus que jamais aux services de cloud, eux aussi mis à contribution dans la lutte contre les contenus illicites et/ou piratés. C’est le cas en particulier pour le streaming illégal d’événements sportifs. Le 30 mai 2024, le tribunal judiciaire de Paris a ordonné à Google, Cloudflare et Cisco/OpenDNS de modifier leurs services appelés « résolveurs DNS alternatifs » – lesquels traduisent les adresses web en adresses IP – pour bloquer environ des dizaines de noms de domaine et sous-domaines liés à du streaming sportif pirate des matchs du Championnat de France de rugby masculin professionnel de 1ère division à XV, le fameux « Top 14 ». Le jugement avait été révélé par L’Informé (11). Est annexé à ce jugement qui fait date la liste de pas moins de 117 adresses Internet considérées comme illégales et portant des « atteintes graves et répétées aux droits voisins sur la diffusion de la compétition dite “Top 14” (2023/2024) dont sont titulaires la société Groupe Canal+ et la Société d’édition de Canal plus » (12). Ces adresses litigieuses étaient par exemple Footybite.co, Catchystream.com, TVFutbol.info, SportBay.sx ou encore Streamcheck.link.
La présidente de la formation de référé, Anne-Claire Le Bras (photo ci-dessus), 1ère vice-présidente adjointe au tribunal judiciaire de Paris, a rappelé dans son ordonnance que « pendant toute la durée des présentes mesures, [le groupe Canal+ pourra] communiquer à l’Autorité de régulation de la communication audiovisuelle et numérique [l’Arcom] les données d’identification de tout service de communication au public en ligne qui n’a pas encore été identifié à la date de la présente décision », diffusant illicitement les matchs de ce Top 14. Ce blocage DNS étendu aux services de cloud va bien au-delà des précédentes décisions de justice qui ordonnaient aux FAI que sont les opérateurs télécoms Orange, Bouygues Telecom, Free et SFR, ainsi qu’aux moteurs de recherche comme Google, d’empêcher l’accès à des sites de streaming dit « IPTV pirates ». En décembre 2024, ce sont même trois décisions de justice de blocage DNS qui sont rendues, là encore à la demande de Canal+, cette fois à l’encontre aussi de Quad9 et de Vercara – deux fournisseurs nuagiques de solutions DNS gratuite (Quad9) ou payantes (Vercara). Ces trois ordonnances du tribunal judiciaire de Paris, concernant respectivement le piratage de la Premier League, la Ligue des champions et le Top 14 de rugby (ciblant aussi Google en plus de Quad9 et Vercara), ont été publiées par le site d’information TorrentFreak (13). Ces décisions de blocage DNS ont été prises en vertu du code du sport (14) et marquent un élargissement de la stratégie juridique de Canal+ décidé à frapper tous azimuts. Au risque de provoquer des dommages collatéraux sur Internet. La fondation suisse Quad9, qui a déjà eu affaire avec la justice allemande sur plaine de Sony Music, avait dénoncé l’an dernier la « censure DNS » et l’application « absurde » de la loi sur le droit d’auteur. Quad9 affirme en outre n’avoir « aucune relation avec les sites répertoriés », qui ne sont pas ses clients. La société suisse assure n’avoir « aucune interaction avec eux autre que la résolution de leurs noms de domaine comme nous le faisons avec tous les autres noms sur Internet ».
Quad9, qui est décidément aussi pris dans la nasse de la lutte contre piratage sportif, a l’objet – avec Google – d’une autre ordonnance du tribunal judiciaire de Paris (encore lui), cette fois datée du 18 juin 2025 (15) (référé présidé par le magistrat Jean-Christophe Gayet) et concernant le piratage en streaming des courses automobile de Formule 1 – dont les droits sont détenus par là aussi Canal+. « Partout dans le monde, les tribunaux permettent de plus en plus aux titulaires de droits de propriété intellectuelle de transférer le coût et le fardeau de l’application de la loi à des tiers neutres, y compris les organisations qui assurent le fonctionnement d’Internet », a encore dénoncé Quad9 le 29 octobre 2025 sur son blog (16).

L’EuroISPA tire la sonnette d’alarme
De son côté, en réponse à la pression juridique en France liée au code du sport, l’américain Cisco a décidé d’interrompre complètement son service OpenDNS depuis le 28 juin 2024 dans l’Hexagone et dans certains territoires français (17). Au niveau européen, l’organisation professionnelle EuroISPA (18) – représentant à Bruxelles quelque 3.300 FAI dans l’Union européenne et l’AELE (19) – s’est inquiétée auprès de la Commission européenne de la multiplication de ces blocages DNS en mettant en garde « contre le surblocage » et « contre la mise en place d’obligations de retrait pour les intermédiaires dans des délais empêchant un bon examen des contenus litigieux » (20). A la Commission européenne, qui évalue la recommandation concernant la lutte contre le piratage en ligne des événements sportifs et autres événements en direct, les FAI européens demandent en outre, « dans les cas lourds », le remboursement des coûts pour les prestataires de services. @

Charles de Laubier

Gouvernance des autorités pour l’AI Act : multiplier les régulateurs pourrait être contreproductif

Publié le par

La France va se doter – si une loi était adoptée en 2026 – d’une gouvernance sectorielle pour l’IA, pilotée par la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF). Mais la multiplicité des régulateurs pourrait compliquer la tâche des entreprises.

Par Antoine Gravereaux, avocat associé*, FTPA Avocats

La Direction générale des entreprises (DGE), qui dépend du ministère de l’Economie et des Finances, a publié le 9 septembre 2025 un projet de désignation des autorités nationales chargées de la mise en œuvre en France du règlement européen sur l’intelligence artificielle (AI Act). Sous la coordination de la DGE et de la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF), ce projet instaure un schéma décentralisé et sectoriel de gouvernance s’appuyant sur les régulateurs existants en France.

La DGCCRF centralise la coordination
Ce modèle s’inscrit dans le cadre de l’AI Act (1) et des dispositions de son article 70 qui impose la désignation d’autorités nationales de notification et de surveillance du marché dans chaque Etat membre. Cette proposition de gouvernance sectorielle et décentralisée doit être présentée au Parlement sous la forme d’un projet de loi. Il ne sera donc définitif qu’après un vote législatif, très probablement dans le courant du premier semestre 2026. Le schéma retenu par le gouvernement prévoit que la mise en œuvre effective de ce règlement européen sur l’IA sera supervisée par plusieurs autorités compétentes, conformément aux orientations proposées par cet AI Act. Dès lors, les administrations, agences et autorités spécialisées – selon leur secteur d’intervention – auront la charge de contrôler les systèmes d’intelligence artificielle, une fois mis sur le marché ou en service.
La DGCCRF centralisera la coordination opérationnelle entre diverses autorités sectorielles impliquées dans le contrôle des systèmes d’IA. Elle sera ainsi l’interlocuteur principal pour les autorités européennes et facilitera l’échange d’informations et la coopération entre les différents régulateurs nationaux. Elle agira comme un point de contact unique, pour la France auprès des instances européennes, sur les questions liées à la surveillance du marché de l’IA. Ce rôle de coordination s’inscrit dans une organisation bicéphale où la DGCCRF assurera la supervision pratique sur le terrain, tandis que la DGE apportera son soutien à la mise en œuvre de l’AI Act. A ce titre, la DGE jouera un rôle-clé dans l’organisation de la gouvernance nationale de ce règlement européen, notamment en (suite) assurant la représentation française et en veillant à un alignement dans l’application des règles sur tout le territoire national, au sein du Comité européen de l’IA. Cet « AI Board » (2), dont le secrétariat est assuré par le Bureau de l’IA (« AI Office ») de la Commission européenne (3), est une instance qui rassemble les représentants des autorités nationales compétentes pour coordonner l’application – justement harmonisée – du règlement européen « établissant des règles harmonisées concernant l’intelligence artificielle ».
Le souhait du gouvernement français est de permettre une surveillance adaptée, mobilisant les compétences spécifiques de chaque autorité en fonction des usages et risques associés aux systèmes d’IA concernés. Les autorités nationales s’inscriraient ainsi comme des acteurs pivots dans la chaîne de surveillance et de contrôle. En pratique, chaque entreprise ou organisation continuera de s’adresser prioritairement à son régulateur de secteur pour respecter les exigences de l’AI Act. Pour les aspects techniques, l’Agence nationale de la sécurité des systèmes d’information (Anssi) et le Pôle d’expertise de la régulation numérique (PEReN) fourniront un appui transversal aux régulateurs qui bénéficieront d’un « socle mutualisé d’expertises ». Ils pourront ainsi les accompagner dans l’analyse technique, la cybersécurité et l’audit des algorithmes d’IA. La Commission nationale de l’informatique et des libertés (Cnil) et l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom) figurent comme des interlocuteurs majeurs pour les enjeux relatifs à la protection des données et à la régulation des contenus auprès des collectivités publiques. Bercy n’a pas publié le 9 septembre 2025 de rapport complet (4) mais un aperçu du schéma proposé – accompagné d’un graphique (5)) qui identifie le périmètre d’intervention des autorités compétentes selon quatre critères : les pratiques interdites (6), les obligations spécifiques de transparence (7), les systèmes d’IA à haut risque (8), les systèmes d’IA à haut risque (9).

Au titre des pratiques interdites
La DGCCRF et l’Arcom veillent au respect de l’interdiction des systèmes d’IA qui utilisent des techniques subliminales, manipulatrices ou trompeuses, et qui exploitent les vulnérabilités liées à l’âge, au handicap ou à la situation sociale ou économique. La Cnil et la DGCCRF contrôlent le respect de l’interdiction sur les systèmes d’IA dédiés à l’évaluation, la classification ou notation sociale. La Cnil joue un rôle central dans le contrôle des pratiques interdites puisqu’elle est seule chargée du contrôle des autres pratiques interdites : police prédictive, création de bases de données de reconnaissance faciale via moissonnage non ciblé, inférence des émotions sur lieu de travail et établissements d’enseignement, catégorisation biométrique, identification biométrique à distance en temps réel à des fins répressives.

Transparence et IA à haut risque
La DGCCRF et Arcom contrôlent les systèmes d’IA interagissant directement avec les personnes ou générant des contenus synthétiques et hypertrucages. L’Arcom surveille également les systèmes générant ou manipulant des textes destinés à informer le public sur des questions d’intérêt public. La Cnil contrôle, quant à elle, le respect des obligations de transparence concernant les systèmes de reconnaissance des émotions et de catégorisation biométrique. Les autorités de surveillance du marché compétentes pour les systèmes d’IA à haut risque voient leur périmètre élargi pour le contrôle de l’intégration de l’IA dans ces produits classés « à haut risque » selon l’annexe I du règlement IA. Ainsi, par exemple, la DGCCRF est en charge de veiller à la sécurité des jouets, et avec l’Agence nationale de sécurité du médicament et des produits de santé (ANSM) pour les dispositifs médicaux.
Pour les systèmes d’IA à haut risque relevant de l’annexe III, les Hauts fonctionnaires de défense et de sécurité (HFDS) des ministères économiques, financiers, industriels et écologiques contrôlent les IA liées aux infrastructures critiques. L’Autorité de contrôle prudentiel et de résolution (ACPR) contrôle les IA destinées à être utilisées pour évaluer la solvabilité des personnes physiques, établir les notes de crédit, et évaluer les risques et la tarification en matière d’assurance-vie et d’assurance maladie. Le Conseil d’Etat, la Cour de cassation et la Cour des comptes supervisent, quant à eux, les systèmes d’IA mis en service ou utilisés par les autorités judiciaires à des fins d’administration de la justice. Enfin, la Cnil contrôle les IA dans l’enseignement, la formation professionnelle (avec la DGCCRF), les processus démocratiques (avec l’Arcom), la biométrie, la gestion des ressources humaines, les usages répressifs, la migration, l’asile, ainsi que le contrôle des frontières. Le schéma « DGE-DGCCRF » proposé vise à éviter la création d’une superstructure, tout en valorisant l’expertise existante au sein des autorités déjà en place.
Le gouvernement français mise ainsi sur les autorités déjà opérationnelles, qui disposent chacune d’une expertise fine dans leurs domaines respectifs. Cette gouvernance « IA » devrait permettre d’apporter une proximité sectorielle avec les acteurs régulés, ainsi qu’une meilleure compréhension des pratiques spécifiques pour une régulation adaptée et un contrôle plus efficace. Pour autant, et c’est là que le bât blesse, cette gouvernance morcelée pourrait générer une complexité accrue pour les entreprises multi-secteurs, avec des points de contacts multiples et une articulation parfois difficile entre exigences sectorielles et obligations transversales de l’AI Act. Ainsi, les PME risquent d’être confrontées à une multiplicité d’interlocuteurs et à une compréhension plus complexe des règles applicables. En effet, les sociétés devront entreprendre des démarches spécifiques selon leur secteur d’activité, rajoutant alors des points de complexité dans leur mise en conformité aux exigences de l’AI Act. Cette gouvernance éclatée pourrait également entraîner une charge administrative accrue, des difficultés de compréhension des exigences applicables et un risque d’interprétations divergentes entre autorités.
Si la DGCCRF joue un rôle d’orientation clé, la multiplication des intervenants et la fragmentation normative s’avèrent particulièrement complexes pour les PME, qui disposent souvent de ressources juridiques limitées pour mener des programmes de mise en conformité de leurs pratiques. La multiplicité des organismes implique aussi un risque de dilution des responsabilités, surtout en cas d’incidents ou de litiges impliquant différents aspects de l’IA (par exemple, un système de scoring biométrique utilisé à des fins publicitaires). En l’absence d’un chef de file unique clairement identifié, cette configuration peut retarder la prise de décision ou compliquer la coordination des sanctions.
Le Conseil d’Etat, dans une étude publiée en 2022 intitulée « Intelligence artificielle et action publique : construire la confiance, servir la performance » (10), avait préconisé une transformation profonde de la Cnil en autorité nationale de contrôle responsable de la régulation des systèmes d’IA. Il soulignait que pour garantir la cohérence et la sécurité juridique, il serait préférable d’adosser la gouvernance de l’IA à une autorité unique renforcée, la Cnil étant le choix naturel compte tenu de son expérience reconnue en matière de protection des données personnelles et de régulation numérique. Confronté à la diversité des secteurs d’application de l’IA, cette piste a été écartée. La mise en œuvre de l’AI Act et la gouvernance proposée imposent donc aux entreprises une coordination et une gestion rigoureuse de leurs risques. Elles doivent concilier les exigences spécifiques à chaque secteur d’activité tout en assurant une sécurité juridique dans un environnement réglementaire à la fois complexe et en constante évolution.

Les entreprises attendues au tournant
Face aux enjeux de l’intelligence artificielle, les entreprises et organisation devront mettre en place un pilotage rigoureux de leurs pratiques. A ce titre, elles devront identifier et évaluer les risques liés à leurs systèmes d’IA, documenter leur fonctionnement, assurer la transparence des interactions, mettre en place un contrôle humain et des procédures de gestion des incidents, tout en respectant des échéances progressives jusqu’en 2026 pour assurer leur conformité à l’AI Act. Sinon, gare aux sanctions. @

* Antoine Gravereaux est avocat associé chez FTPA Avocats,
au département « Technologies, Data & Cybersécurité ».

Influenceurs : pris entre le marteau et l’enclume

Publié le par
En fait. Le 1er juin, le Sénat a adopté à l’unanimité la proposition de loi « Anti-arnaques et anti-dérives des influenceurs », comme l’avait fait la veille l’Assemblée nationale dans la foulée d’un accord en commission mixte paritaire. Avant même sa promulgation, la DGCCRF épingle les mauvais joueurs. En clair. La promulgation de la loi « visant à encadrer l’influence commerciale et à lutter contre les dérives des influenceurs sur les réseaux sociaux » n’est que pure formalité. La proposition de loi transpartisane a été adoptée les 31 mai et le 1er juin derniers par respectivement l’Assemblée nationale et le Sénat. Et ce, après un accord trouvé le 25 mai en commission mixte paritaire (CMP) entre sénateurs et députés. Portée par les députés Arthur Delaporte (Nupes) et Stéphane Vojetta (Renaissance), la loi « Influenceurs » a l’encre à peine sèche que la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF), basée à Bercy (Bruno Le Maire), a dégainé le 2 juin des sanctions « name and shame » (nommer et blâmer) à l’encontre de six influenceurs (1). Trois sont épinglés pour « pratiques commerciales trompeuses » et trois autres pour non-divulgation de « partenariat commercial rémunéré » (pub clandestine). Ils sont tenus de publier sur leur profil en ligne, et durant 30 jours, leur condamnation. Le 3 mai, la DGCCRF avait indiqué avoir « contrôlé » 50 influenceurs au cours du premier trimestre. Des injonctions et des procès-verbaux pénaux pleuvent. « Bruno Le Maire et la DGCCRF rendront publiques les mesures prises à l’encontre de certains influenceurs dans une optique de sensibilisation aux enjeux de loyauté, et dans le respect des procédures du code de la consommation », avait prévenu Bercy (2). La loi « Influenceurs », elle, renforce les pouvoirs de la DGCCRF avec la création d’« une brigade d’influence commerciale constituée dans un premier temps de 15 agents » (temps plein), opérationnelle en septembre prochain. Ils « surveilleront » les réseaux sociaux, et répondront aux « signalements » de SignalConso (3). La brigade sanctionnera les influenceurs coupables, fermera leurs comptes, voire les déférera devant un juge. La loi officialise aussi un « guide de bonne conduite » pour les influenceurs, déjà disponible avec un édito de Bruno Le Maire (4), et crée des « Assises de l’influence responsable » qui auront lieu tous les ans à Bercy. Les photos et vidéos retouchées ou produite par de l’IA seront à indiquer. La promotion d’actes de santé, de chirurgie esthétique ou d’animaux sauvages est interdite. Tandis que les influenceurs installés à l’étranger (Dubaï. Bahamas, Ile Maurice, …) doivent « nommer un représentant légal en France ». @

La proposition de loi pour « lutter contre les arnaques et les dérives des influenceurs » fait débat

Publié le par
La proposition de loi sur les influenceurs a été adoptée à l’unanimité le 30 mars à l’Assemblée nationale. Mais le texte ne fait pas l’unanimité parmi les intéressés. La France risque de corseter ce jeune métier créatif, avec dommages collatéraux. Prochain débat : au Sénat, le 9 mai. Portée par les députés Arthur Delaporte (photo de gauche) et Stéphane Vojetta (photo de droite), respectivement Socialiste-Nupes et Renaissance, la proposition de loi transpartisane (opposition et majorité) visant à « lutter contre les arnaques et les dérives des influenceurs sur les réseaux sociaux » défraie la chronique depuis qu’elle est débattue au Parlement. Son libellé est pour le moins stigmatisant envers tous les influenceurs qui, aux yeux du public, sont plus que jamais présentés comme des malfaiteurs patentés. Le renforcement de l’arsenal judiciaire les concernant tous est une épée de Damoclès au-dessus de leur tête. Unanimité gouvernementale et parlementaire « Notre loi protègera le modèle des créateurs de contenu qui font aujourd’hui leur travail de manière responsable. Notre boussole : la protection des consommateurs. […] Aucune mesure ne concerne la liberté d’expression des influenceurs dans leurs vidéos », a nuancé Arthur Delaporte, dans un tweet posté le 26 mars. Et ce, après avoir lancé juste avant, de façon plus agressive : « Cette loi est une réponse à l’absence de règles d’un secteur qui concerne des millions de personnes et qui touche énormément d’argent. La loi de la jungle ou l’autorégulation, cela n’est pas possible. […] Cette loi, c’est aussi une réponse à la protection des consommateurs et un message adressé aux victimes d’arnaques d’influenceurs : nous sommes à vos côtés » (1). De son côté, Stéphane Vojetta, qui explique avoir coécrit cette proposition de loi après avoir été interpelé par des collectifs de victimes d’arnaques d’influenceurs, a tenté de rassurer les quelque 150.000 influenceurs actifs en France. « Notre seule boussole : la protection des consommateurs. Nos 4 points cardinaux : clarifier, encadrer, responsabiliser, protéger. […] Notre proposition de loi #influenceurs pose un cadre clair au monde de l’influence commerciale et de la création de contenus sponsorisés en ligne » (2). Cette proposition de loi, sur laquelle le gouvernement a engagé le 22 mars la procédure accélérée sur ce texte, a été adoptée le 30 mars – à l’unanimité (3). Ce texte transmis au Sénat veut « créer et renforcer un appareil juridique qui pourra à la fois responsabiliser et sanctionner le cas échéant tous les influenceurs, leurs agences, les annonceurs ainsi que les plateformes de diffusion, afin de renforcer la protection des utilisateurs des réseaux sociaux et des consommateurs », selon l’exposé des motifs (4). Et comme Internet n’a pas de frontières et les influenceurs non plus, le texte reterritorialise la responsabilité : « Conscients que de nombreux influenceurs ont choisi de s’installer en dehors de France à dessein [comme par exemple à Dubaï, ndlr] afin d’y exercer leur activité, nous avons également ajouté un bornage contraignant l’influenceur à désigner un représentant légal en France ». Dans tous les cas, il s’agit selon les deux coauteurs de lutter contre les dérives dans la promotion d’objets, de fournitures ou de services. Ils citent en exemple des médicaments contre le cancer, des produits cosmétiques provoquant des pertes de cheveux ou plaques rouges sur le corps, des articles vendus bien plus chers que leur valeur (abus du dropshipping), inscription à des formations médicales ou esthétiques à l’étranger, abus du compte personnel de formation (CPF), abonnements à des pronostics sportifs bidons, produits achetés et payés mais qui ne sont jamais livrés etc. Même le Conseil d’Etat s’était ému en septembre 2022 de l’absence de statut juridique des influenceurs (5). Le législateur va y remédier. « Le monde de l’influence ne doit pas être une zone de non-droit et doit répondre à des règles de protection des consommateurs suffisamment étoffées pour mettre fin aux dérives constatées », justifient les deux députés. Pour autant, les parlementaires admettent que « l’instauration d’un seul cadre juridique ne suffira pas à mettre un terme définitif aux abus de certains influenceurs ». D’où le renforcement des moyens de la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF), laquelle dépend de Bercy. L’influence transpartisane de Bruno Le Maire Le locataire des lieux, le ministre de l’Economie, des Finances et de la Souveraineté industrielle et numérique, Bruno Le Maire (photo page suivante), est à la manœuvre depuis l’automne dernier, notamment depuis la table ronde du 9 décembre dernier à Bercy où il avait convoqué le microcosme du marketing d’influence en pleine polémique sur les agissements de certains influenceurs peu scrupuleux (6). Un mois après, il lançait une consultation publique de 23 jours : « J’ai besoin de vous » (8) – l’Union des métiers de l’influence et des créateurs de contenu (UMICC), cofondée le 18 janvier par sept agences d’influence marketing : Smile Conseil, Bump, Follow, Point d’Orgue, Reech, Influence4You et Spoutnik. Ce sont les conclusions de la consultation publique que Bruno Le Maire a présentées le 24 mars à Bercy, en présence de ses deux ministres délégués – JeanNoël Barrot, chargé de la Transition numérique et des Télécommunications, et Olivia Grégoire, chargée des PME, du Commerce, de l’Artisanat et du Tourisme – mais aussi de nos deux députés, Arthur Delaporte et Stéphane Vojetta. « Parce que des députés travaillaient également sur le sujet, j’ai aussi voulu dépasser les clivages. Je me suis engagé, avec [les deux coauteurs de la proposition de loi], à ce que ces mesures soient présentées au Parlement dans une démarche transpartisane », a déclaré Bruno Le Maire.   Ne pas effrayer ni corseter les influenceurs Près de 19.000 citoyens ont participé à la consultation publique, dont 400 professionnels qui ont contribué à établir treize mesures : de la création d’une définition juridique de l’activité d’influence commerciale, à la mise en place d’une « brigade de l’influence commerciale » au sein de la DGCCRF (réseau d’enquêteurs spécialisés constitué « dans un premier temps » de 15 agents), en passant par l’application des mêmes règles que la publicité à l’influence commerciale, la responsabilisation des plateformes et réseaux sociaux (Instagram, YouTube, TikTok, Facebook, …) ou encore des sanctions « renforcées et graduées » (notamment jusqu’à 2 ans de prison et 300.000 euros d’amende pour pratique commerciale trompeuse). De son côté, le Syndicat du conseil en relations publics (SCRP) a annoncé le 24 mars la création avec l’Association française de normalisation (Afnor) d’un label d’« Agence conseil en influence responsable » qui pourra être demandé à partir d’avril (9). Il vient en complément du « Certificat de l’influence responsable » (10) délivré depuis l’automne 2021 par l’Autorité de régulation professionnelle de la publicité (ARPP). « Le secteur de l’influence commerciale et de la création de contenus n’est pas encore suffisamment pris au sérieux. C’est une erreur, a déclaré Bruno Le Maire le 24 mars. Alors qu’il est un formidable vecteur de créativité et de richesse économique, ancré dans le quotidien de millions de nos compatriotes, ce secteur souffre de règles inexistantes ou trop floues. Les conséquences sont directes, avec certains agissements trompeurs qui discréditent le secteur ». Autrement dit, en creux, le gouvernement veut tourner la page des « influvoleurs » (néologisme popularisé par le rappeur Booba (11)) pour ouvrir celle de l’« influrégulation » (néologisme proposé par Edition Multimédi@). Mais le ministre de l’Economie, des Finances et de la Souveraineté industrielle et numérique a tenu à rassurer sur les intentions du gouvernement…. et des parlementaires. « Je veux être très clair : il ne s’agit pas d’être plus dur avec les influenceurs qu’avec d’autres canaux de communication comme la télévision ou la radio. (…) Ce n’est pas un combat contre les influenceurs », a-t-il assuré. Mais les précautions du locataire de Bercy n’ont pas suffi à rassurer tous les professionnels du marketing d’influence mis sous pression réglementaire. D’où la tribune signée par 150 créatrices et créateurs de contenu d’influence, dont Squeezie, Cyprien, Enjoy Phoenix, Anna Rvr, Seb La Frite ou encore Amixem, et publiée dans le Journal du Dimanche le 25 mars à l’initiative de l’UMICC. Dans leur « appel aux députés », les signataires appellent les députés à séparer le bon grain de l’ivraie : « Arnaques, contrefaçons, pratiques commerciales douteuses, … Certains ont fait croire ces derniers mois qu’ils étaient représentatifs de notre secteur alors qu’ils ne représentent qu’une minorité ». Et à ne pas être pris pour ce qu’ils ne sont pas : « Nous travaillons avec des marques, des organisations, des institutions qui nous ressemblent parce que nous partageons leurs valeurs. Nous ne sommes pas des panneaux publicitaires ambulants. (…) Notre histoire est complexe. Elle ne se résume ni à une vidéo de 30 secondes, ni à des dérives que nous dénonçons fermement. Nous entendons parler des “influvoleurs”, “du combat à mener” contre nous. Nous pensons que c’est une erreur. Qu’une minorité est devenue une généralité. (…) Ne cassez pas le modèle vertueux que nous construisons aux quatre coins de la France avec et pour les Français. Comprenez-le, protégez-le, faites-le grandir » (12). Mais d’autres « stars » de l’influence, pourtant signataires de cette tribune qui avait le mérite de valoriser ce nouveau métier, se sont rapidement désolidarisés de cette prise de position collective. Squeezie et Seb La Frite renient la tribune Squeezie, numéro un en 2022 des influenceurs en France (13), s’est fendu d’un tweet le 26 mars pour déclarer qu’il avait « fait l’erreur de donner son accord [à la] tribune maladroite » de l’UMICC parue dans le JDD. Il estime que « cette tribune ne fait aucune distinction entre les créateurs de contenu et les influenceurs », assurant, lui, « [avoir] toujours été irréprochable » et « n’[ayant] rien à perdre avec cette réforme » (14). Seb La Frite a aussi regretté sur France Inter le 27 mars de l’avoir signée. « Je me réjouis car cette tribune un peu maladroite a in fine permis que les influenceurs se penchent sérieusement sur notre texte » (15), s’est félicité le député Stéphane Vojetta. Rendez-vous le 9 mai au Sénat. @

Charles de Laubier