Pour de nombreuses entreprises, la difficulté ne tient pas à l’application d’une seule règle, mais à la nécessité de déterminer quelles obligations concernent chaque système, ensemble de données ou processus métier. Parmi les principaux textes européens figurent désormais le RGPD, le règlement sur l’intelligence artificielle, le Data Governance Act, le Data Act et le Cyber Resilience Act, auxquels s’ajoutent notamment le Digital Services Act, NIS2 et DORA. Comme ces textes se recoupent sur plusieurs sujets, leur mise en œuvre peut rapidement devenir complexe.
Le Digital Omnibus vise à rendre le cadre plus lisible
La Commission européenne entend répondre à cette complexité avec une réforme destinée à mieux articuler plusieurs textes numériques existants. Les règles relatives au traitement des données, à la cybersécurité et à l’usage de l’IA devraient gagner en cohérence, en précision et en lisibilité.
La gestion des incidents illustre bien cette volonté de simplification. Dans le dispositif envisagé, une entreprise ne devrait plus avoir à signaler séparément un même incident de sécurité ou de protection des données à plusieurs autorités, au seul motif que plusieurs textes européens s’appliquent. Un point de signalement commun pourrait couvrir les obligations prévues par le RGPD, NIS2, DORA et d’autres réglementations. Les entreprises réduiraient ainsi leur charge administrative, tandis que les autorités publiques auraient moins de notifications à traiter.
Un Digital Omnibus consacré à l’IA a également été adopté en juillet 2026. Ce texte, qui modifie le règlement européen sur l’intelligence artificielle, vise à mieux l’articuler avec les autres réglementations numériques et à ajuster certaines modalités de sa mise en œuvre. Il ne s’agit pas de supprimer les obligations ni de relancer le processus législatif, mais de rendre le dispositif applicable dans la pratique et de laisser aux entreprises un délai réaliste pour se mettre en conformité. Certaines exigences concernant les systèmes d’IA à haut risque ont ainsi été repoussées, faute de disposer encore des normes, spécifications techniques et recommandations nécessaires.
Quels effets sur les processus logistiques ?
Le Digital Omnibus ne crée pas de règles propres aux opérations logistiques. Son impact pourrait néanmoins être important pour un secteur qui s’appuie sur de grands volumes de données provenant de sources variées pour améliorer ses services. Plusieurs textes européens encadrent aujourd’hui l’accès à ces informations, leur utilisation et leur partage.
Le Data Act traite notamment de l’accès aux données générées par les objets connectés. Le Data Governance Act encadre les services d’intermédiation des données, tandis que la directive sur les données ouvertes régit la réutilisation des informations du secteur public par les entreprises. Il faut également tenir compte des règles relatives à la libre circulation des données à caractère non personnel dans l’Union européenne. Le Digital Omnibus prévoit d’inscrire ces différents dispositifs dans le cadre du Data Act.
Pour les entreprises, cela pourrait déboucher sur une politique interne d’accès et de partage des données plus simple à élaborer. Les équipes travailleraient à partir d’un cadre juridique commun, plutôt que d’appliquer des définitions et des règles de responsabilité différentes selon la finalité poursuivie.
Prenons l’exemple d’un prestataire logistique souhaitant transmettre les données de localisation et d’état de ses camions à un logiciel d’optimisation des itinéraires ainsi qu’à une société de maintenance indépendante. Les informations télématiques peuvent inclure des positions GPS, le niveau de carburant ou encore des messages de défaillance. Aujourd’hui, l’entreprise doit parfois déterminer le texte applicable en fonction de la nature et de l’origine des données, mais aussi de l’entité qui les contrôle.
Une approche harmonisée rendrait cette analyse plus systématique : identifier la catégorie de données concernée, vérifier les droits d’accès ou de partage, fixer les garanties nécessaires, puis conserver une trace de la validation obtenue.
Les autres évolutions prévues par le Digital Omnibus
La réforme pourrait également modifier les processus liés à l’intermédiation des données. L’intégration des dispositions du Data Governance Act dans le Data Act pourrait réduire les barrières à l’entrée sur ce marché et en favoriser le développement. Les entreprises pourraient ainsi accéder plus facilement à des ensembles de données volumineux lorsqu’elles en ont besoin.
Le texte apporte aussi des précisions sur le changement de fournisseur de services cloud. Les entreprises devraient pouvoir transférer plus facilement leurs données et leurs applications d’un prestataire à un autre. Des exemptions ou des obligations allégées pourraient toutefois concerner certains petits fournisseurs spécialisés ainsi que les contrats plus anciens. Il sera donc important d’examiner les règles actualisées et d’évaluer leurs conséquences sur les accords déjà signés.
IA et logistique : gains d’efficacité et risques de non-conformité
Dans la logistique, l’intelligence artificielle fait déjà l’objet de projets visant à optimiser les itinéraires en temps réel, à automatiser la gestion des entrepôts ou encore à anticiper les évolutions de la chaîne d’approvisionnement. Certaines entreprises développent leurs propres solutions, tandis que d’autres testent ou fournissent des applications conçues pour le secteur.
Le Digital Omnibus consacré à l’IA, adopté en juillet 2026, les concerne directement puisqu’il modifie plusieurs échéances de mise en œuvre du règlement sur l’IA et accorde davantage de temps aux entreprises pour se préparer.
Le report concerne surtout les systèmes d’IA à haut risque, c’est-à-dire les applications susceptibles de menacer gravement la sécurité, la santé ou les droits fondamentaux. Le règlement européen distingue notamment deux catégories : les systèmes utilisés comme composants de sécurité dans des produits réglementés au titre de l’annexe I, et les systèmes autonomes déployés dans des domaines sensibles mentionnés à l’annexe III.
Un outil d’optimisation des itinéraires qui se contente de formuler des recommandations à un exploitant n’est pas automatiquement considéré comme présentant un haut risque. La situation peut être différente si le système prend de manière autonome le contrôle des opérations d’un entrepôt ou de la circulation routière. Les solutions utilisées pour évaluer les performances des conducteurs ou des employés d’entrepôt, attribuer des tâches ou influer sur les conditions de travail peuvent elles aussi relever de cette catégorie.
La Commission européenne doit publier les orientations nécessaires d’ici au 1er août 2027. À compter de cette date, les entreprises disposeront de six mois supplémentaires pour satisfaire aux exigences applicables aux systèmes à haut risque visés par l’annexe III, et de douze mois pour ceux relevant de l’annexe I.
Le Digital Omnibus consacré à l’IA prévoit également plusieurs aménagements pratiques. Les systèmes à haut risque limités à certaines fonctions pourraient être dispensés d’enregistrement. Les petites et moyennes entreprises bénéficieraient d’exigences documentaires moins lourdes, tandis que les entreprises disposeraient de davantage de latitude pour adapter les formations sur l’IA à leurs besoins. Comme pour la réforme numérique plus large, l’objectif annoncé n’est pas de déréglementer, mais de construire un cadre réellement applicable.
Les systèmes de management ISO comme base structurante
Le cadre réglementaire reste exigeant, mais la conformité ne suffit pas à elle seule. Les entreprises doivent aussi renforcer leur capacité à faire face à des cybermenaces toujours plus élaborées. Les normes internationales relatives aux systèmes de management peuvent les aider à adopter une démarche cohérente à l’échelle de l’organisation.
La norme ISO/IEC 27001 définit une méthode pour gérer systématiquement la sécurité de l’information. Elle couvre les mesures techniques liées aux systèmes informatiques, mais aussi la protection des données au sens large. Sa certification n’est pas obligatoire et ne constitue pas, à elle seule, une preuve automatique de conformité au RGPD, à NIS2 ou au règlement sur l’IA. Toutefois, les contrôles et les processus prévus par un système de management de la sécurité de l’information conforme à l’ISO/IEC 27001 peuvent aider les entreprises à répondre de manière cohérente à leurs obligations légales et réglementaires.
De la même façon, un système de management de l’IA reposant sur l’ISO/IEC 42001 fournit un cadre de gouvernance et peut aider les organisations à prendre en compte de nombreuses exigences du règlement européen sur l’intelligence artificielle.
L’intérêt d’une certification ISO ne se limite pas à une déclaration de conformité. Elle atteste qu’un organisme indépendant a évalué l’organisation au regard de la norme concernée. Mais c’est surtout le système de management lui-même qui peut apporter une valeur opérationnelle. Lorsqu’il est réellement intégré aux activités, il permet d’identifier les risques dans la durée, de répartir clairement les responsabilités, d’améliorer les processus et de réagir de manière structurée aux évolutions réglementaires ou opérationnelles.
Pour produire ces effets, il doit être soutenu par la direction et appliqué au quotidien. Une documentation complète ne suffit pas : les procédures doivent être comprises, suivies et régulièrement réévaluées dans les opérations courantes.
