Ce qui change au 1er janvier 2027 pour le numérique

Le passage à 2027 ne bouleverse pas le droit du numérique, mais il resserre plusieurs règles en quelques semaines : entre le 2 décembre 2026 et le 20 janvier 2027, cinq textes européens ou américains franchissent une étape. Aucun ne demande de tout refaire ; chacun mérite une vérification avant les fêtes.

Ce billet de notre rubrique IA d’entreprise est arrêté au 19 octobre 2026, et sera relu début décembre avant publication. Ce n’est pas un conseil juridique : pour savoir si un texte vous vise, votre conseil a le dernier mot. L’ensemble des échéances jusqu’en 2028 est dans notre calendrier de la réglementation numérique.

Les dates autour du Nouvel An

1. 2 décembre 2026

   AI Act, marquage des contenus générés et deux nouvelles interdictions.

2. 9 décembre 2026

   Directive (UE) 2024/2853, les logiciels deviennent des produits au sens de la responsabilité sans faute.

3. 1er janvier 2027

   Colorado, lois SB 26-189 (décisions automatisées) et HB 26-1263 (chatbots).

4. 12 janvier 2027

   Data Act, fin des frais de changement de fournisseur de cloud.

5. 20 janvier 2027

   Règlement (UE) 2023/1230 sur les machines, y compris celles dont des fonctions de sécurité reposent sur l’IA.

2 décembre : marquer les contenus générés

Les outils qui génèrent images, vidéos, sons ou textes et qui étaient sur le marché avant le 2 août 2026 doivent, à cette date, marquer leurs contenus dans un format lisible par machine. Le même jour s’appliquent deux interdictions, sur les images intimes générées sans consentement et sur les contenus pédocriminels, selon le calendrier officiel de la Commission. Ce que doit vérifier une entreprise qui publie de tels contenus est dans notre guide du marquage au 2 décembre.

9 décembre : le logiciel devient un produit

La directive (UE) 2024/2853 sur la responsabilité du fait des produits défectueux doit être transposée par les États au plus tard le 9 décembre 2026, et s’applique aux produits mis sur le marché ou mis en service après cette date, résume le cabinet Gibson Dunn. Sa définition du produit « inclut expressément les logiciels autonomes », les fichiers de fabrication numérique et les éléments numériques intégrés. La destruction ou la corruption de données qui ne servent pas à un usage professionnel devient un dommage indemnisable.

Ce que ça change : un éditeur de logiciel ou d’application, ou une entreprise qui vend un objet avec son application, peut voir sa responsabilité engagée sans faute pour un défaut de son code, comme un fabricant pour un défaut matériel. En France, le régime actuel figure aux articles 1245 et suivants du Code civil, que la transposition doit modifier ; au 19 octobre 2026, nous n’avons pas trouvé de texte de transposition publié.

1er janvier : le Colorado encadre décisions automatisées et chatbots

Deux lois du Colorado entrent en vigueur le même jour, selon la page du procureur général de l’État :

coag.gov/ai

• SB 26-189, signée en mai 2026, remplace la loi de 2024 sur l’IA. Elle vise les technologies de décision automatisée qui influencent de façon substantielle une décision importante (emploi, logement, crédit, éducation, santé, assurance). L’utilisateur doit en informer les consommateurs et, après une décision défavorable, leur expliquer sous 30 jours le rôle de l’outil ; les consommateurs peuvent demander la correction de leurs données et un réexamen humain, selon le résumé officiel de la loi.
• HB 26-1263, la loi sur la sécurité des chatbots, adoptée en mai 2026, oblige l’exploitant d’un service conversationnel à indiquer que l’utilisateur parle à une IA, à estimer son âge et à protéger les mineurs.

Les règles d’application ne sont pas encore arrêtées : un projet révisé a été publié le 6 octobre 2026, et l’audience publique est fixée au 26 octobre. Le cabinet Skadden note que la loi sur les décisions automatisées entre en vigueur au 1er janvier 2027 à condition que ces règles soient adoptées d’ici là.

Ce que ça change : une entreprise européenne qui recrute, prête ou assure des habitants du Colorado avec l’aide d’un outil automatisé, ou qui leur propose un chatbot, entre dans le champ. C’est la même logique que l’article 22 du RGPD, présentée dans la décision automatisée : l’IA peut-elle trancher seule ? ; la Californie suivra le 1er juillet 2027 pour les licenciements, comme l’explique le rôle de l’humain face au jugement de l’IA.

12 janvier : la fin des frais de changement de cloud

À partir du 12 janvier 2027, un fournisseur de cloud ne peut plus facturer de frais pour le processus de changement de fournisseur ; depuis janvier 2024, ils étaient déjà limités aux coûts directement liés à ce changement. La date est celle de l’article 29 du Data Act, rappelle le cabinet McCann FitzGerald, qui note aussi que depuis le 12 septembre 2026, les objets connectés mis sur le marché doivent donner à leur utilisateur l’accès à leurs données par conception.

Ce que ça change : un argument de moins pour rester chez un hébergeur qui ne convient plus. La méthode pour partir sans casser est dans la migration cloud sans tout casser, et le calcul de fond dans sortir du SaaS : le vrai coût sur 3 ans.

20 janvier : le règlement machines remplace la directive

Le règlement (UE) 2023/1230 sur les machines s’applique de façon obligatoire à partir du 20 janvier 2027, et toute machine mise sur le marché avant cette date doit respecter la directive de 2006, selon la Commission européenne. Selon la même page, il intègre des dispositions pour les machines dont les fonctions de sécurité reposent sur l’IA, et pour la cybersécurité des logiciels et des systèmes de commande liés à la sécurité. Il concerne les industriels qui conçoivent ou intègrent des machines, et leurs fournisseurs de logiciels embarqués.

Ce qui ne change pas au 1er janvier

Trois échéances souvent citées tombent plus tard :

• La facturation électronique des PME : émission au plus tard le 1er septembre 2027, la réception étant obligatoire pour toutes depuis le 1er septembre 2026.
• Le haut risque de l’AI Act : 2 décembre 2027 pour le recrutement, le personnel ou le crédit, et 2 août 2028 pour l’IA intégrée à des produits réglementés, depuis la révision expliquée dans l’Omnibus numérique et l’AI Act.
• NIS2 en France : aucune date, la loi Résilience attendant toujours l’Assemblée nationale, comme le détaille notre point sur NIS2.

Le volet RGPD et cookies de l’Omnibus numérique n’a pas non plus de date : il est toujours en négociation, comme l’explique notre point sur l’Omnibus RGPD. L’actualité d’octobre, des conditions de Meta sur l’exploration des sites aux nouveaux modèles, est dans notre actu IA d’octobre pour les dirigeants. Pour remettre ces dates dans une démarche d’ensemble, partez de notre guide pour intégrer l’IA en entreprise. Pour savoir lesquels de vos outils d’IA sont touchés par ces dates, notre offre IA au juste coût part de vos usages réels.

Questions fréquentes

Sources

1. Le calendrier officiel de la Commission (nouvel onglet)ai-act-service-desk.ec.europa.eu
2. Le cabinet Gibson Dunn (nouvel onglet)gibsondunn.com
3. La page du procureur général de l’État (nouvel onglet)coag.gov
4. Le résumé officiel de la loi (nouvel onglet)leg.colorado.gov
5. À condition que ces règles soient adoptées d’ici là (nouvel onglet)skadden.com
6. Le cabinet McCann FitzGerald (nouvel onglet)mccannfitzgerald.com
7. La Commission européenne (nouvel onglet)single-market-economy.ec.europa.eu