Archives par mot-clé : Union européenne

AI Act et obligations : ce qui change le 2 août 2025 pour les nouvelles IA à usage général

Publié le par

Le 2 août 2025 marque une étape décisive dans l’application du règlement européen sur l’intelligence artificielle. Les fournisseurs qui mettent sur le marché – à partir de cette date – des modèles d’IA à usage général doivent d’emblée se conformer aux obligations de cet AI Act. Explications.

Seulement certains fournisseurs de systèmes d’IA à usage général – souvent désignés par le sigle GPAI pour General-Purpose AI – ouvrent à partir du 2 août 2025 le bal des obligations prévues par le règlement européen sur l’intelligence artificielle – appelé aussi AI Act (1) et adopté le 13 juin 2024. Car cette échéance-là ne concerne pas toutes les « GPAI », mais uniquement celles mises sur le marché à partir de ce 2 août 2025. Le Bureau de l’IA (AI Office), créé par le AI Act, rattaché à la Commission européenne (2) et dirigé par Lucilla Sioli (photo), joue un rôle central.

Nouveaux entrants GPAI pénalisés ?
Aussi curieux que cela puisse paraître, les ChatGPT (OpenAI), Gemini (Google), Claude (Anthropic), Llama (Meta), Le Chat (Mistral AI) ou encore Perplexity (Perplexity AI) – pour n’en citer que quelques-uns parmi une bonne dizaine d’IA génératives déjà existantes et disponibles dans les Vingt-sept – ne sont pas encore concernés puisque leurs IA génératives respectives à usage général ont été lancées sur le marché avant le 2 août 2025. Pour celles-ci, elles bénéficient d’un délai de deux ans supplémentaires – soit d’ici le 2 août 2027 – pour se conformer aux obligations de l’AI Act.
Ainsi, contrairement aux nouvelles GPAI qui vont faire leur entrée sur le marché européen, les IA « historiques » bénéficient en quelque sorte d’un répit non négligeable. Pendant que les IA « nouvelles entrantes » doivent sans délai se soumettre aux obligations qui peuvent s’avérer lourdes : documentation technique, informations aux intégrateurs, résumé public des données d’entraînement, politique de respect du droit d’auteur, désignation d’un représentant officiel dans l’UE si le fournisseur est situé hors de l’UE, … Edition Multimédi@ se demande dans ces conditions si (suite) les ChatGPT, Gemini et autres Llama ne bénéficient pas d’un avantage compétitif sur les nouveaux entrants. Avec cet « avantage temporaire », d’ici le 2 août 2027 et non dès le 2 août 2025, les anciens GPAI peuvent continuer à opérer légalement sans être immédiatement conformes aux nouvelles exigences. Cela leur évite en outre des coûts immédiats de mise en conformité. Et ils bénéficient d’une position dominante ou d’une base de millions voire de dizaines de millions d’utilisateurs et qu’ils peuvent continuer à exploiter. Dans l’UE, ChatGPT en a plus de 40 millions, Gemini plus de 35 millions, Claude plus de 15 millions, Le Chat plus de 10 millions, ou encore Perplexity plus de 5 millions. Cette différenciation entre les acteurs de l’IA déjà en place et les nouveaux concurrents est-elle justifiée ? La distinction est fondée sur un principe de progressivité souvent utilisé en droit européen pour les technologies émergentes. Cela évite de pénaliser les pionniers qui ont lancé leurs modèles avant la publication du règlement. Cela permet aussi d’assurer la continuité d’usage des technologies en cours d’adoption par les citoyens, entreprises et administrations. Cela encourage enfin les éditeurs historiques à coopérer volontairement avec la Commission européenne, notamment via le code de bonnes pratiques GPAI publié le 10 juillet et déjà signé par OpenAI et Mistral AI – la liste sera publié le 1er août (3) – mais pas par Meta (4).
Ainsi, ce délai supplémentaire de deux ans ne serait pas une faveur, mais plutôt un équilibre entre faisabilité et équité réglementaire. Le véritable enjeu, à moyen terme, sera la vitesse à laquelle les modèles préexistants se mettront en conformité – et leur capacité à rester compétitifs face à de nouveaux entrants « 100 % AI Act-ready ». Car les nouveaux entrants GPAI, même s’ils doivent être immédiatement conformes, peuvent intégrer les obligations dès la conception, ce qui est plus simple que de reconfigurer un système existant. Les GPAI plus anciens s’exposent, eux, à des risques de réputation s’ils ne progressent pas assez vite vers la conformité : certains acheteurs publics ou entreprises européennes pourraient préférer les fournisseurs de GPAI déjà conformes, même nouveaux, pour éviter des risques juridiques.

Qu’est-ce qu’une IA « à usage général » ?
Tout est une question de définition pour faire le distinguo entre les IA qui sont « à usage général » et les IA qui ne le sont pas (5). « La notion de modèles d’IA à usage général devrait être clairement définie et distincte de la notion de systèmes d’IA afin de garantir la sécurité juridique, souligne l’AI Act. La définition devrait se fonder sur les principales caractéristiques fonctionnelles d’un modèle d’IA à usage général, en particulier la généralité et la capacité d’exécuter de manière compétente un large éventail de tâches distinctes. Ces modèles sont généralement entraînés avec de grandes quantités de données, au moyen de diverses méthodes, telles que l’apprentissage auto-supervisé, non supervisé ou par renforcement » (6). Et le règlement européen de préciser : « Les grands modèles d’IA génératifs sont un exemple typique d’un modèle d’IA à usage général, étant donné qu’ils permettent la production flexible de contenus, tels que du texte, de l’audio, des images ou de la vidéo, qui peuvent aisément s’adapter à un large éventail de tâches distinctes » (7). Le code de bonnes pratiques pour l’IA à usage général (General-Purpose AI Code of Practice), élaboré par des experts indépendants dans le cadre d’un processus multipartite, est présenté comme « un outil volontaire ».

Bonnes pratiques et lignes directrices
Ce code est censé aider les acteurs du marché à se conformer aux obligations de l’AI Act pour les modèles d’IA à usage général. Publié le 10 juillet (8) et en cours d’évaluation par l’AI Office, il sera approuvé par les Etats membres et la Commission européenne d’ici fin juillet ou début août. « En outre, le code sera complété par des lignes directrices, qui [devaient être] publiées également en juillet par la Commission européenne, sur les concepts-clés liés aux modèles d’IA à usage général », avait précisé Bruxelles. Le code de bonnes pratiques pour GPAI comporte trois chapitres : transparence, droit d’auteur, sûreté et sécurité :
• Transparence. Ce chapitre (9) propose un modèle de formulaire de documentation convivial qui permet aux fournisseurs de documenter facilement les informations nécessaires pour se conformer à l’obligation imposée par l’AI Act aux fournisseurs de modèles, afin de garantir une transparence suffisante.
• Droit d’auteur. Ce chapitre (10) sur le droit d’auteur offre aux fournisseurs des solutions pratiques pour satisfaire à l’obligation de la législation sur l’IA de mettre en place une politique de conformité avec la législation de l’UE sur le droit d’auteur. « Les chapitres sur la transparence et le droit d’auteur offrent à tous les fournisseurs de modèles d’IA à usage général un moyen de démontrer le respect de leurs obligations au titre de l’article 53 de la législation sur l’IA », indique la Commission européenne. En clair, ces fournisseurs de modèles d’IA à usage général doivent tenir à jour la documentation technique du modèle GPAI, y compris sur son processus d’entraînement et d’essai, ainsi que les résultats de son évaluation. Cette documentation, devant contenir « au minimum » les informations énoncées à l’annexe XI de l’AI Act (11), doit être à disposition « sur demande » de l’AI Office et des autorités nationales compétentes (par exemple en France, la Cnil, l’Arcom ou encore l’Anssi). Ces mêmes fournisseurs de GPAI doivent aussi tenir à jour, et mettre à disposition, des informations et de la documentation à l’intention des fournisseurs de systèmes d’IA qui envisagent d’intégrer le modèle d’IA à usage général dans leurs systèmes d’IA. Ces informations doivent leur permettre d’avoir une bonne compréhension des capacités et des limites du modèle d’IA à usage général et de se conformer aux obligations, tout en contenant « au minimum » les éléments énoncés à l’annexe XII de l’AI Act.
Ces mêmes fournisseurs de GPAI doivent en outre mettent en place une politique visant à se conformer au droit d’auteur et aux droits voisins, et notamment à identifier et à respecter, y compris avec des technologies, une réservation de droits exprimée conformément à la directive « Droit d’auteur et droits voisins dans le marché unique numérique » (12). Enfin ces mêmes fournisseurs de GPAI mettent à la disposition du public un résumé suffisamment détaillé du contenu utilisé pour entraîner le modèle d’IA à usage général, conformément à un modèle fourni par le Bureau de l’IA.
• Sûreté et sécurité. Ce chapitre (13) sur la sûreté et la sécurité décrit des pratiques concrètes de pointe en matière de gestion des risques systémiques, c’est-à-dire des risques découlant des modèles les plus avancés. Les fournisseurs peuvent s’y référer pour se conformer aux obligations prévues par la législation sur l’IA pour les fournisseurs de modèles d’IA à usage général présentant un risque systémique. « Les chapitres sur la sûreté et la sécurité ne concernent que le petit nombre de fournisseurs des modèles les plus avancés, ceux qui sont soumis aux obligations de la législation sur l’IA pour les fournisseurs de modèles d’IA à usage général présentant un risque systémique en vertu de l’article 55 de la législation sur l’IA », précise la Commission européenne. En clair, les fournisseurs de modèles d’IA à usage général présentant un « risque systémique » – ayant des capacités à fort impact, ou lorsque la quantité cumulée de calcul utilisée pour son entraînement, mesurée en opérations en virgule flottante, est supérieure à 1025 – doivent : effectuer une évaluation des modèles sur la base de protocoles et d’outils normalisés reflétant l’état de la technique (14) ; évaluer et atténuer les risques systémiques éventuels au niveau de l’UE, y compris leurs origines ; suivre, documenter et communiquer sans retard injustifié au Bureau de l’IA – et, le cas échéant, aux autorités nationales compétentes – les informations pertinentes concernant les incidents graves ainsi que les éventuelles mesures correctives pour y remédier ; garantir un niveau approprié de protection en matière de cybersécurité pour le modèle GPAI présentant un risque systémique et l’infrastructure physique du modèle.

Trois types de sanctions en cas d’infraction
En cas de violation des interdictions strictes comme la manipulation cognitive ou le scoring social, le fournisseur de modèle GPAI s’expose à une amende pouvant aller jusqu’à 35 millions d’euros (ou jusqu’à 7 % de son chiffre d’affaires annuel mondial total). En cas de non-respect des obligations générales (transparence, documentation, droit d’auteur, …), 15 millions d’euros (ou jusqu’à 3 % de son chiffre d’affaires). Et en cas d’informations trompeuses ou incomplètes fournies aux autorités : 7,5 millions d’euros (ou jusqu’à 1 % de son chiffre d’affaires). @

Charles de Laubier

Un « Cloud & AI Act » européen proposé fin 2025

Publié le par

En fait. Le 3 juillet, lors des 19e Assises du Très haut débit à Paris, la présidente de l’Arcep a appelé la Commission européenne à une régulation ex-ante du cloud et de l’IA « s’inspirant des succès de la régulation des télécoms en France ». Bruxelles prépare un « Cloud & AI Act » pour le 4e trimestre 2025.

En clair. La Commission européenne va proposer au quatrième trimestre 2025 un règlement sur « le développement de l’informatique en nuage et de l’IA ». Le Parlement européen, destinataire de cette proposition législative, pourrait débattre de ce texte dès le premier trimestre 2026.
Ce Cloud & AI Development Act (« CAIDA ») fait partie des priorités numériques de « la boussole pour la compétitivité » sur laquelle la Commission « von der Leyen II » s’est engagée en janvier 2025 (1). Ce projet est également consigné dans la lettre de mission adressée en septembre 2024 (2) à la vice-présidente exécutive de la Commission européenne, Henna Virkkunen. Pour mener ses travaux législatifs sur le futur CAIDA, la Commission européenne va s’appuyer sur les réponses à son appel à contributions qui s’est achevé le 3 juillet. « Le processus de construction [des centres de données] exige des capitaux importants, créant ainsi des barrières à l’entrée pour de nouveaux acteurs. […] Les problèmes recensés [difficultés d’accès aux ressources naturelles (énergie, eau, terres) et d’obtention des composants technologiques et des capitaux] ont (suite) les mêmes causes sous-jacentes dans l’ensemble de l’UE et nécessitent par conséquent une approche coordonnée et harmonisée », justifie l’exécutif européen dans son document soumis à consultation (3). Pour faire de l’Europe un « continent de l’IA », Bruxelles vise à « tripler les capacités des centres de données de l’UE dans les cinq à sept années à venir ». Mais la Commission européenne a sondé les parties prenantes pour savoir s’il faut des mesures « non législatives », ou bien une règlementation « souple » sinon « contraignante », voire « complète » avec une « agence distincte indépendante » chargée de l’application cohérente des mesures.
En France, l’Arcep appelle à une régulation ex-ante (les règles en général contraignantes étant fixées dès le départ) du cloud et de l’IA « à l’échelle européenne, pro-investissement, [et] s’inspirant des succès de la régulation des télécoms en France [suivi des investissements, transparence sur les conditions d’accès aux infrastructures, ouverture aux acteurs émergents] » (4). Et sa présidente, Laure de La Raudière, de mettre en garde le 3 juillet – aux Assises du très haut débit (5) – contre « une petite musique, chantant les bénéfices supposés de la dérégulation, pour favoriser les investissements ». @

Entraînement des IA avec les données personnelles de Facebook et d’Instagram : validation européenne ?

Publié le par

Une décision rendue le 23 mai 2025 par un tribunal de Cologne (OLG Köln), couplée aux échanges préalables avec la « Cnil » irlandaise (DPC) et à la mise en place des mesures proposées par cette dernière, entérine la possibilité pour Meta de lancer son projet d’entraînement des modèles d’IA.

Par Sandra Tubert, avocate associée, et Miguel Piveteau, élève avocat, Algo Avocats

Le groupe Meta Platforms utilise depuis le 27 mai 2025 les données partagées publiquement par les utilisateurs majeurs et les comptes institutionnels sur ses services Facebook et Instagram (1) : publications, photos, vidéos ou encore commentaires (exceptés les messages échangés entre utilisateurs et contenus privés), mais aussi les interactions des utilisateurs avec ses systèmes d’intelligence artificielle (IA) pour entraîner ses grands modèles de langage (LLM) comme Llama.

Décision d’un tribunal de Cologne
A la différence de X (ex-Twitter) (2), Meta a engagé un dialogue constructif avec l’autorité irlandaise de protection des données (DPC). En effet, avant que le grand public ne découvre ce nouveau projet fin mai 2024, Meta avait informé la DPC, au mois de mars 2024, de son souhait d’utiliser les contenus publics de ses utilisateurs européens de Facebook et d’Instagram pour l’entraînement de ses modèles d’IA (3). Meta avait finalement suspendu le projet, le 14 juin 2024 (4), après le dépôt de plusieurs plaintes par l’organisation autrichienne Nyob auprès de onze autorités de contrôle européennes (5) et d’échanges avec la DPC (6), laquelle avait émis des réserves concernant notamment (suite) la base légale et la transparence d’un tel traitement. Le 4 septembre 2024, la DPC avait alors demandé au Comité européen sur la protection des données (EDPB) de rendre un avis sur l’utilisation de données personnelles pour le développement et le déploiement de modèles d’IA (7). Tenant compte de cet avis du 17 décembre (8), Meta a réévalué certaines modalités de son projet (notamment le renforcement des mesures de filtrage pour réduire le risque que des données personnelles soient mémorisées par les modèles d’IA lors de la phase d’entraînement) et a fourni à la DPC une documentation actualisée dans l’optique de débuter l’entraînement de ses modèles d’IA le 27 mai 2025.
Après avoir examiné les propositions de Meta et recueilli les commentaires des autres autorités de contrôle européennes, la DPC a formulé un certain nombre de recommandations qui ont été appliquées par Meta, parmi lesquelles la simplification des formulaires d’opposition au traitement et leur accessibilité pendant plus d’un an, la fourniture d’une information claire sur les moyens permettant aux utilisateurs de contrôler les données utilisées (paramétrage des contenus en mode privé), et un délai plus long entre ces informations et le lancement du projet pour leur permettre réellement de s’y opposer (9). L’annonce de ce projet a suscité une levée de boucliers par plusieurs associations, telles que UFC-Que Choisir (10) en France ou Noyb en Autriche. Cette dernière a notamment adressé à l’entreprise une mise en demeure (11), se réservant la possibilité d’intenter une action de groupe au civil. En parallèle, une association de consommateurs allemande (VZNRW) a saisi en référé le tribunal régional supérieur de Cologne – Oberlandesgericht Köln (OLG Köln) – afin qu’il soit interdit à Meta de traiter les données personnelles partagées publiquement par les utilisateurs sur les services Facebook et Instagram afin de développer et améliorer ses IA. Dans une décision (12) rendue le 23 mai 2025, le tribunal rejette la demande de l’association (après un examen qu’il qualifie de sommaire de l’affaire, mais qui est pourtant très étayé), et ne remet pas en cause la légalité du projet de Meta. En effet, en s’appuyant sur une argumentation documentée, conforme à l’avis de l’EDPB et enrichie de l’avis circonstancié des autorités de contrôle des Länder du Bade-Wurtemberg et d’Hambourg, il a écarté, un à un, les griefs soulevés tenant à : la violation du Digital Markets Act (DMA) ; l’impossibilité pour Meta de fonder le traitement sur l’intérêt légitime ; et l’absence d’exception autorisant le traitement de données sensibles. L’OLG Köln a d’abord estimé que la constitution d’une base de données d’entraînement au moyen des données publiques issues des services Facebook et Instagram ne violait pas le DMA (13) – Meta étant désigné comme contrôleur d’accès par la Commission européenne pour ces services essentiels.

Gatekeeper : pas de violation du DMA
Le DMA interdit à tout contrôleur d’accès de combiner, sans consentement préalable de l’utilisateur, les données personnelles provenant d’un service essentiel, qu’il propose aux utilisateurs, avec celles provenant d’un autre service. Selon le tribunal, le fait que Meta introduise des données partiellement désidentifiées et fragmentées provenant de deux services de plateforme dans un ensemble non structuré de données d’entraînement ne constitue pas une combinaison de données, au sens du DMA, en l’absence de lien et mise en relation des données personnelles d’un utilisateur provenant d’un service à celles du même utilisateur provenant d’un autre service. L’OLG Köln valide ensuite le recours à l’intérêt légitime comme base légale de traitement, en réalisant une analyse complète, s’appuyant sur les différents critères exigés par l’EDPB. Le tribunal y reconnaît ainsi que l’intérêt poursuivi, à savoir proposer une IA générative optimisée en fonction des habitudes régionales, quoique commercial, est légitime, puis que le traitement envisagé par Meta s’avère nécessaire pour atteindre cet intérêt en l’absence d’un moyen moins intrusif.

Rapport de Meta pour octobre 2025
Pour démontrer cette nécessité, le tribunal de Cologne mobilise l’AI Act (14) qui reconnaît expressément que le développement et l’entraînement des modèles d’IA génératifs requièrent un accès à de grandes quantités de données (15). S’agissant des moyens moins intrusifs proposés notamment par l’association – à savoir le fait d’utiliser uniquement des données anonymisées ou synthétiques (données qui ne sont pas issues d’une observation réelle, mais qui sont créées artificiellement via des simulations), ou de restreindre l’entraînement aux seules données d’interaction avec les systèmes d’IA –, ils ne permettraient pas, selon l’OLG Köln, d’obtenir des résultats comparables.
Enfin, la mise en balance de l’intérêt légitime poursuivi par Meta avec les intérêts et droits des personnes concernées est jugée adéquate. Le tribunal allemand a identifié les conséquences négatives du traitement, notamment les atteintes aux droits des personnes de décider et contrôler l’usage de leurs données et au droit à l’effacement. Ces conséquences négatives sont toutefois tempérées en raison, d’une part, du caractère public des données traitées limitant les risques liés à une divulgation (puisque ces données sont déjà accessibles librement), et, d’autre part, des mesures de mitigation mises en place par Meta. Sont soulignées les mesures visant à réduire le caractère identifiant des données (incluant la tokenisation) et à les rassembler sous une forme non structurée. Sont également mises au crédit de Meta les possibilités offertes aux utilisateurs pour empêcher l’inclusion de leurs données dans la base d’entraînement : le retrait du statut « public » de leurs publications ou de leur compte ainsi que l’opposition au traitement spécifique des données pour entraîner les modèles d’IA par l’intermédiaire de deux formulaires disponibles en ligne. L’OLG Köln a estimé que l’opposition pouvait ainsi être exercée sans difficulté et de manière éclairée par l’utilisateur dans un délai suffisant (six semaines avant la mise en œuvre effective du traitement). La décision laisse toutefois en suspens la question du caractère effectif de cette possibilité d’opposition pour les tiers non-utilisateurs cités dans les publications ou commentaires. Concernant les attentes raisonnables des personnes concernées, le traitement des données publiées à partir du 26 juin 2024 est jugé prévisible pour les utilisateurs qui ont été informés de ce traitement par l’annonce du 10 juin 2024. S’agissant des données publiées antérieurement, leur traitement n’est, en revanche, pas jugé prévisible car sa finalité n’est pas d’améliorer les services existants de Meta mais de développer des IA utilisables de manière autonome et accessibles à tous. Cette absence de prévisibilité n’est toutefois pas vue comme une difficulté pour la juridiction qui justifie l’absence d’interdiction de traiter ces données au motif que les utilisateurs disposent d’un instrument d’opposition efficace. Enfin, le traitement des données sensibles des utilisateurs est autorisé car il porte sur des données manifestement rendues publiques par l’utilisateur, l’une des exceptions prévues à l’article 9 du RGPD. S’agissant des données sensibles de tiers partagées par les utilisateurs via des publications, le tribunal de Cologne reconnaît que l’exception précédente ne peut pas être mobilisée, mais estime – en s’appuyant notamment sur une jurisprudence de la Cour de Justice de l’UE de 2019 (qui n’aborde pourtant pas cette problématique précise (16)) et sur le fait qu’une application littérale de l’article 9 du RGPD ne permettrait pas d’atteindre les objectifs de l’AI Act – que Meta peut traiter ces données de manière incidente et résiduelle jusqu’à ce que l’interdiction de le faire soit sollicitée par le tiers concerné. Cette décision de l’OLG Köln, couplée aux échanges avec la DPC et à la mise en place des mesures proposées par cette dernière – enrichies de l’avis des autres autorités de l’UE –, entérinent donc la possibilité pour Meta de lancer son projet d’entraînement des modèles d’IA. Mais l’entreprise ne bénéficie pas d’un blanc-seing pour autant.
La DPC suit de près le déploiement du projet et attend un rapport complet de Meta pour le mois d’octobre 2025 contenant, entre autres, des développements sur l’efficacité et l’adéquation des mesures. En parallèle, les autorités de l’UE collaborent (17) pour évaluer plus largement la conformité des traitements envisagés par Meta, notamment en lien avec la phase de déploiement des systèmes d’IA qui pose d’autres questions au regard du RGPD. Meta n’est donc pas totalement à l’abri de l’engagement d’une procédure de sanction par la DPC si des manquements sont constatés. Enfin, bien que la Cnil ne se soit pas officiellement positionnée sur la licéité des pratiques de Meta, la récente mise à jour de ses fiches sur la mobilisation de l’intérêt légitime pour développer un système d’IA (18) témoigne d’une certaine tolérance concernant ce type de pratiques.

Position de la Cnil sur l’intérêt légitime
La Cnil, ayant pris en compte les retours du terrain, y a notamment précisé que l’intérêt commercial entourant les projets de développement de systèmes d’IA par les entreprises constituait un intérêt légitime à part entière. Elle a également admis que cette base légale pouvait être mobilisée par un réseau social qui collecte des données d’utilisateurs rendues librement accessibles et manifestement publiques sur son forum en ligne afin de développer un agent conversationnel. Cette prise en compte par la Cnil des réalités économiques et opérationnelles est bienvenue et rassurera les développeurs de systèmes d’IA qui envisagent d’utiliser ou de constituer de grandes bases de données pour entraîner leurs modèles. @

Passage de 4 à 3 opérateurs télécoms dans les Etats de l’Union européenne : nouvelle doctrine ?

Publié le par

La Commission européenne est en train de changer son fusil d’épaule au sujet des concentrations d’opérateurs télécoms au niveau des marchés nationaux des Vingt-sept. Elle prépare les esprits à une nouvelle doctrine du « 4-to-3 », alors qu’en France la vente de SFR pourrait aller dans ce sens.

Par Marta Lahuerta Escolano, avocate associée, et Mathilde Dubois, collaboratrice, Jones Day*

Le passage de quatre à trois opérateurs de télécommunications sur un marché national occupe, depuis plus d’une décennie, le cœur des débats européens en matière de politique de la concurrence et de régulation sectorielle. Longtemps réticente à autoriser des opérations de concentration aboutissant à une telle réduction du nombre d’acteurs, la Commission européenne a, par le passé, systématiquement opposé une forte résistance à ces fusions, invoquant le risque d’une diminution de la concurrence, d’une hausse des prix pour les consommateurs et d’un ralentissement de l’innovation.

De l’ouverture à la fermeté nationale
Cependant, un infléchissement notable de la position de la Commission européenne semble se dessiner récemment. Face à l’évolution rapide du secteur, à la nécessité d’investissements massifs dans les infrastructures numériques (notamment la 5G et la fibre optique) et à la pression croissante de la concurrence mondiale (avec les Etats Unis et la Chine), la Commission européenne amorce un changement doctrinal significatif.
Depuis l’entrée en vigueur du règlement européen de 2004 sur le contrôle des concertations (1), elle évalue les fusions au regard de leur compatibilité avec le marché intérieur, notamment à l’aune de l’entrave significative à la concurrence effective. Dans le secteur des télécommunications, cette grille d’analyse l’a conduit à adopter une vigilance particulière à l’égard des opérations dites « in-market », c’est-à-dire les concentrations entre concurrents directs opérant sur un même marché national. La Commission européenne redoute que (suite) la réduction du nombre d’opérateurs télécoms, notamment le passage de quatre à trois acteurs, n’entraîne une diminution de la pression concurrentielle, avec pour corollaire une hausse des prix, une baisse de la qualité de service et un ralentissement de l’innovation au détriment des consommateurs.
Entre 2012 et 2014, une phase de relative ouverture a pu être observée, marquée par l’autorisation de plusieurs fusions emblématiques telles que Hutchison/Orange en Autriche (2), Hutchison 3G UK/Telefónica Ireland en Irlande (3) et Telefónica/E-Plus en Allemagne (4). La Commission européenne semble alors prête à envisager des consolidations, sous réserve de l’adoption de remèdes appropriés qu’elle définit. Cependant, à partir de 2016, la Commission européenne durcit sa position. Elle a ainsi refusé plusieurs opérations majeures visant à réduire le nombre d’opérateurs télécoms de quatre à trois, notamment au Royaume-Uni dans l’affaire Hutchison 3G UK/ Telefónica UK (5). Ce durcissement s’est également traduit par le retrait de notifications d’opérations de concentration, comme ce fut le cas au Danemark (6). En Italie, une fusion entre deux grands opérateurs télécoms n’a pu être autorisée qu’à condition que les parties cèdent un volume suffisant d’actifs afin de permettre l’entrée d’un nouvel acteur sur le marché (7).
Les refus d’autorisation des opérations de concentration, à l’image de l’affaire Hutchison 3G UK/Telefónica UK, sont généralement motivés par la Commission européenne par le fait que « l’opération entraverait de manière significative l’exercice d’une concurrence effective dans le marché intérieur ou une partie substantielle de celui-ci au sens de l’article 2, paragraphe 3, du règlement sur les concentrations » (8). Cette position doctrinale, longtemps dominante, a ainsi façonné la politique européenne de contrôle des concentrations dans le secteur des télécommunications, en érigeant le maintien de quatre opérateurs comme un standard garant de la vitalité concurrentielle des marchés nationaux. Ces dernières années, une évolution vers un assouplissement de la doctrine applicable à la consolidation des opérateurs télécoms semble se dessiner. A cet égard, le rapport sur « l’avenir du marché unique » (9), remis en avril 2024 par Enrico Letta, ancien Premier ministre italien, souligne que la création d’un véritable marché unique des communications électroniques, reposant sur des opérateurs télécoms de dimension mondiale, ne saurait être perçue comme incompatible avec l’exigence de maintien de marchés ouverts et concurrentiels.

Pistes de deux rapports et d’un livre blanc
Ce rapport « Letta » s’inscrit dans la continuité des constats formulés dans le livre blanc « Comment maîtriser les besoins de l’Europe en matière d’infrastructures numériques ? » (10) de la Commission européenne, publié en février 2024, lequel met en avant que la fragmentation du marché européen des réseaux de communications électroniques et des services a une incidence sur la capacité des opérateurs télécoms à atteindre l’échelle nécessaire pour investir dans les « réseaux du futur ». Le rapport Letta et le livre blanc ont été publiés alors qu’en septembre 2023 Ursula von der Leyen, présidente de la Commission européenne, annonçait avoir confié à Mario Draghi, ancien président de la Banque centrale européenne (BCE) et ancien Premier ministre italien, le soin de préparer un rapport sur « l’avenir de la compétitivité européenne ». (11)

La perspective du Digital Networks Act
Ce rapport « Draghi » (12), publié en septembre 2024, plaide en faveur d’une approche plus prospective de l’analyse concurrentielle. Il soutient que les autorités de concurrence devraient faire preuve d’une plus grande souplesse, notamment dans l’appréhension des opérations de concentration dans le secteur technologique. A cet égard, le rapport souligne que l’évaluation de telles opérations doit intégrer les effets potentiels de la concentration envisagée sur la capacité d’innovation future (13). Le rapport Draghi constate que, du fait de la régulation ex ante et des politiques de concurrence favorisant la pluralité des acteurs et des prix bas pour les consommateurs, le nombre d’opérateurs dépasse le niveau optimal.
Selon lui, « les politiques industrielles ont le potentiel de favoriser une consolidation supplémentaire sans nécessairement entraîner une hausse des prix pour les consommateurs ». Le rapport Draghi insiste sur la nécessité de favoriser les opérations de consolidation dans le secteur des télécommunications, estimant qu’une telle évolution est indispensable pour garantir un niveau d’investissement plus soutenu dans les infrastructures de connectivité (par exemple, la fibre optique et la 5G).
Il préconise, à cette fin, une révision en profondeur de l’approche actuellement retenue par l’Union européenne (UE) en matière d’échelle et de concentration des opérateurs, en vue de la création effective d’un marché unique des communications électroniques, sans pour autant compromettre la protection des consommateurs ni la qualité des services (14).
Le rapport Draghi prévoit que la définition des marchés soit opérée à l’échelle de l’UE – et non plus au seul niveau des Etats membres – et appelle à une prise en compte accrue de l’innovation et des engagements d’investissement dans le cadre de l’examen des concentrations. Pour prévenir tout abus de la défense fondée sur l’innovation, il recommande que les parties à une opération de concentration s’engagent à des niveaux d’investissement pouvant être contrôlés a posteriori. Il propose en outre de rééquilibrer le cadre réglementaire sectoriel en limitant la régulation ex ante au niveau national, au profit d’une application ex post du droit de la concurrence, en particulier en matière de contrôle des abus de position dominante (15). Par ailleurs, pour faciliter l’application de ces engagements, le rapport Draghi préconise de donner à la Commission européenne le pouvoir d’exiger des parties à la concentration qu’elles communiquent des indicateurs précis permettant d’évaluer, a posteriori, le degré de concurrence. La perspective d’un nouveau cadre législatif, en l’occurrence le futur règlement sur les réseaux numériques, appelé Digital Networks Act (DNA), pourrait être l’occasion de procéder à une réévaluation des critères d’analyse concurrentielle et des instruments de contrôle des concentrations, en vue de mieux concilier les exigences de concurrence avec les impératifs d’investissement dans les infrastructures numériques, notamment en matière de fibre optique et de réseaux 5G/6G.
La Commission européenne a lancé le 6 juin 2025 une consultation publique – jusqu’au 11 juillet (16) – visant à recueillir les observations des parties prenantes sur les moyens de lever les obstacles aux activités transfrontalières, de favoriser l’innovation et de renforcer les flux d’investissement dans le secteur des communications électroniques au sein de l’UE (17). Les résultats de cette consultation devraient orienter l’élaboration du DNA, dont l’adoption est envisagée d’ici la fin de l’année 2025.
Parallèlement, la Commission européenne a ouvert, le 8 mai 2025, une consultation publique – jusqu’au 3 septembre (18) – relative à la révision en cours de ses lignes directrices sur le contrôle des concentrations. Ces lignes directrices précisent le cadre analytique appliqué par la Commission européenne pour apprécier les effets concurrentiels d’une opération de concentration sur les marchés concernés. La révision engagée vise à adapter ce cadre aux nouvelles dynamiques économiques et industrielles, en accordant une attention renforcée à des facteurs tels que l’innovation, les gains d’efficience, la résilience, les horizons d’investissement, ainsi que l’intensité concurrentielle dans des secteurs jugés stratégiques. Elle entend également tenir compte du nouvel environnement géopolitique en matière de défense et de sécurité, ainsi que des exigences de transformation profonde dictées par les défis actuels.

Equilibre concurrence-investissement
Sous l’effet conjugué d’un changement doctrinal et de considérations stratégiques, l’approche communautaire en matière de concentration semble désormais évoluer vers un équilibre – pas si évident que cela à trouver – entre préservation de la concurrence et soutien à l’investissement. Ce recentrage pourrait bien redessiner les contours du marché européen des télécommunications pour les années à venir, voire du marché unique numérique dans son ensemble. @

* Tous les points de vue ou opinions exprimés dans cet
article sont personnels et n’appartiennent qu’aux auteurs.

Sites web pornographiques, interdits aux mineurs : un marché mondial opaque, difficile à estimer

Publié le par

Les sites web pornographiques sont plus que jamais dans le collimateur en Europe quant à leur obligation de contrôler l’âge de leurs millions d’utilisateurs, afin d’interdire les mineurs (moins de 18 ans en général). C’est en outre un marché mondial du « divertissement pour adulte » difficile à évaluer.

(Le 16 juin 2025, jour de la parution de cet article dans Edition Multimédi@, le tribunal administratif de Paris a ordonné la suspension de l’arrêté du 26 février 2025)

« L’Arcom tient à rappeler sa détermination, partagée par les institutions européennes, à protéger les mineurs en ligne », a fait de nouveau savoir le régulateur français de l’audiovisuel le 3 juin, alors qu’un arrêté prévoit que l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom) peut – à partir du 7 juin 2025 – mette en demeure un éditeur pour que son service en ligne « pour adulte », ou sa plateforme de partage de vidéos aux contenus pornographiques, ne soit pas accessibles aux mineurs.

Haro européen sur les sites porno
Cet arrêté ministériel paru le 6 mars 2025 au Journal Officiel – cosigné par la ministre de la Culture Rachida Dati et la ministre déléguée au Numérique Clara Chappaz – a été pris pour que les nouveaux pouvoirs de l’Arcom, présidée par Martin Ajdari (photo), s’appliquent à une liste de dix-sept sites pornographiques annexée à l’arrêté, dans un délai de trois mois après sa publication. A savoir, à partir du 7 juin 2025. Ces sites-là sont tous basés hors de France mais, raison d’être de cet arrêté, « dans un autre Etat membre de l’Union européenne » (1) : Pornhub, Youporn, Redtube, xHamster, XHamsterLive Tnaflix, Heureporno, XVideos Xnxx, SunPorno, Tukif, Reference-sexe, Jacquie et Michel, iXXX, Cam4, Tukif.love et LiveJasmin.
Si un site pornographique ne se conforme pas à une mise en demeure prononcée par l’Arcom, celle-ci peut le sanctionner d’une amende pouvant aller jusqu’à 150.000 euros ou 2 % du chiffre d’affaires mondial (le plus élevé des deux montants étant retenu). « Ce maximum est porté à 300 000 euros ou à 4 % du chiffre d’affaires mondial hors taxes, le plus élevé des deux montants étant retenu, en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première sanction est devenue définitive », prévient en outre la loi de 2004 « pour la confiance dans l’économie numérique », dite LCEN (2). L’Arcom est déjà intervenue auprès de six sites porno situés, eux, en France ou en-dehors de Union européenne (UE). « Cinq d’entre eux ont, en responsabilité, fait le choix de mettre en place une solution de vérification de l’âge. Le dernier, n’ayant pas rendu disponibles l’identité de son fournisseur, ni son adresse, en violation de la loi, a été bloqué et déréférencé des principaux moteurs de recherche », a indiqué le régulateur français. Concernant les sites listés dans l’arrêté du 6 mars, il a précisé que (suite) le groupe Aylo (ex-MindGeek) – basé à Chypre et propriétaire de PornHub, RedTube et YouPorn – « a fait le choix de se soustraire à l’impératif que constitue la protection des mineurs en suspendant l’accès à ses contenus en France y compris pour un public majeur ». D’après l’Arcom, Pornhub est le site le plus populaire du groupe chypriote Aylo (luimême détenu par le fonds d’investissement canadien Ethical Capital Partners), et il est visité chaque mois par plus d’un tiers des adolescents de 12 à 17 ans. Et selon une étude de l’Arcom publiée il y a deux ans sur « la fréquentation des sites “adultes” par les mineurs » (3), Médiamétrie a recensé en France 14.111 sites à caractère pornographique en 2022, dont « 179 sites disposant d’une audience significative », avec au total 2,3 millions de visiteurs mineurs par mois. Pour toutes les plateformes porno concernées, toute la difficulté est de pouvoir contrôler l’âge (4) sans porter atteinte à la vie privée (5).
De son côté, la Commission européenne a ouvert le 27 mai 2025 quatre enquêtes sur respectivement PornHub (édité par Aylo), Stripchat (par la société chypriote Technius), Xnxx (par le tchèque NKL Associates) et XVideos (par WebGroup Czech Republic). Elle leur reproche « l’absence de mesures efficaces pour vérifier l’âge des utilisateurs » au regard de leur obligation liée au DSA (6) de « garantir un environnement en ligne plus sûr pour les mineurs » (7) D’autant que ces quatre sites porno ont tous été désignés par la Commission européenne comme « très grandes plateformes », dès décembre 2023 pour Pornhub, XVideos et Stripchat (8), ce dernier venant cependant d’être retiré de la liste, et en juillet 2024 pour Xnxx (9). Quant aux plus petits sites porno, ils sont, eux, sous la surveillance du Comité européen des services numériques (10), créé par le DSA, où siège notamment l’Arcom pour la France (11), sous la houlette de la Commission européenne.

Un marché mondial « multi-milliardaire »
L’industrie du sexe représente un marché mondial estimé à plus de 50 milliards de dollars, voire à 300 milliards de dollars si l’on inclut les sextoys et les services associés. Selon les études, parfois contradictoires tant l’opacité règne en maître, les sites porno en ligne représenteraient entre 12 % et 35 % de ce marché global. Si l’on s’en tient à la pornographie en ligne, une étude ResearchAndMarkets (12) table sur un chiffre d’affaires de 118 milliards de dollars d’ici 2030, contre 76 milliards en 2024. @

Charles de Laubier