Blog on Datargo

Le Data Act européen et la fin des frais de changement : le passage d'un cloud à l'autre devient une obligation

Tue, 23 Jun 2026 00:00:00 +0000

L’enfermement propriétaire a longtemps servi de moyen de pression commercial : qui voulait partir payait pour la sortie, se débattait avec des formats propriétaires et perdait des semaines en travaux de migration. Le Data Act européen (règlement (UE) 2023/2854) inverse cette logique. Le règlement est applicable depuis le 12 septembre 2025, et son chapitre VI fait du changement de fournisseur cloud un droit opposable des clientes et clients.

Ce qui s’applique depuis septembre 2025

Les fournisseurs de services de traitement de données (IaaS, PaaS, SaaS) doivent lever tous les obstacles qui compliquent un changement, qu’ils soient précommerciaux, commerciaux, techniques, contractuels ou organisationnels. Concrètement, cela signifie : un préavis maximal de deux mois, une phase de transition de 30 jours pour le déménagement proprement dit (prolongeable jusqu’à sept mois en cas d’impossibilité technique) et le droit d’emporter ses données et ses actifs numériques. Pour les nouveaux contrats, ces obligations s’appliquent déjà.

Les passkeys en entreprise : une authentification résistante à l'hameçonnage, au-delà du mot de passe et de l'OTP

Tue, 23 Jun 2026 00:00:00 +0000

L’hameçonnage reste la porte d’entrée la plus fiable vers les réseaux d’entreprise, et la plupart des seconds facteurs n’y changent pas grand-chose. Un mot de passe assorti d’un code SMS, d’une application TOTP ou d’une confirmation push passe pour de l’authentification multifacteur, mais reste attaquable en son cœur : qui attire l’utilisatrice sur une page falsifiée peut aussi capter le second facteur en temps réel. Les passkeys FIDO2 interviennent précisément à cet endroit.

Quand le chatbot doit se faire connaître : la transparence de l'IA dans le service client à partir d'août 2026

Tue, 23 Jun 2026 00:00:00 +0000

Réponses initiales automatisées, préclassification des tickets assistée par IA, suggestions de réponse générées : dans le service client, l’IA est depuis longtemps une réalité quotidienne. À partir du 2 août 2026, l’article 50 de l’AI Act européen devient applicable, et des obligations de transparence contraignantes s’appliquent dès lors à ces systèmes précisément. Ces obligations sont à distinguer des règles visant les fournisseurs de modèles d’IA à usage général (GPAI) : il n’est pas question ici du modèle, mais de l’interaction avec les personnes.

Certificats de 47 jours : la feuille de route CA/Browser jusqu'en 2029

Tue, 09 Jun 2026 00:00:00 +0000

Le débat est tranché, et une partie en est déjà la réalité du terrain : depuis le 15 mars 2026, les certificats TLS publiquement reconnus ne peuvent plus dépasser 200 jours de validité, contre 398 auparavant. C’est le premier palier d’une feuille de route que le CA/Browser Forum a adoptée en avril 2025 avec le scrutin SC-081v3 : à l’unanimité, par 29 voix pour et aucune voix contre. Au terme de cette feuille de route, la durée de vie maximale tombera à 47 jours.

Cyber Resilience Act : ce que le 11 septembre 2026 signifie pour les fabricants de produits numériques

Tue, 09 Jun 2026 00:00:00 +0000

Dans à peine trois mois, un règlement devient réalité opérationnelle. À partir du 11 septembre 2026 prennent effet les premières obligations contraignantes du Cyber Resilience Act (règlement (UE) 2024/2847), précisément celles qui supposent le plus de processus : la notification des vulnérabilités activement exploitées et des incidents de sécurité graves. Les autres obligations de produit et de conformité suivent avec l’application complète le 11 décembre 2027.

Quiconque fabrique, importe ou distribue dans l’UE des produits comportant des éléments numériques ne devrait donc pas traiter septembre comme une date lointaine, mais comme le jour où une voie de notification opérationnelle doit exister.

eIDAS 2.0 et l'EUDI-Wallet : ce que les parties utilisatrices doivent préparer d'ici fin 2026

Tue, 09 Jun 2026 00:00:00 +0000

Dans environ six mois expire une échéance que bien des entreprises traitent encore comme une réglementation lointaine : d’ici au 24 décembre 2026, les 27 États membres de l’UE devront mettre à la disposition de leurs citoyennes et citoyens au moins un European Digital Identity Wallet (EUDI-Wallet). Le fondement en est le règlement (UE) 2024/1183 (« eIDAS 2.0 »), entré en vigueur le 20 mai 2024.

Pour la plupart des entreprises, la question la plus intéressante n’est pas de savoir quand le wallet arrive, mais quand elles devront l’accepter. Et cette échéance suit de près.

Souveraineté des données après le Data Privacy Framework : pourquoi l'hébergement européen devient une question d'architecture

Tue, 02 Jun 2026 00:00:00 +0000

Quiconque transfère des données personnelles vers les États-Unis s’appuie depuis 2023 sur la décision d’adéquation relative au Data Privacy Framework UE-États-Unis (DPF). En septembre 2025, le Tribunal de l’Union européenne a rejeté un recours dirigé contre elle, ce qui laisse au cadre sa valeur de base juridique. Mais l’affaire n’est pas close : fin octobre 2025, un pourvoi a été formé devant la Cour de justice de l’Union européenne (affaire C-703/25 P). Un nouveau renversement, un « Schrems III », n’est pas exclu.

AI Act de l'UE : l'application aux modèles GPAI à partir du 2 août 2026 et ce que le Digital Omnibus a reporté

Tue, 26 May 2026 00:00:00 +0000

L’AI Act de l’UE s’applique depuis août 2024, mais nombre de ses obligations entrent en vigueur par étapes. Une date se détache : le 2 août 2026 commence l’application active à l’égard des fournisseurs de modèles d’IA à usage général (GPAI) par le Bureau européen de l’IA, et les régimes nationaux de sanctions prennent effet en parallèle. En Allemagne s’y ajoute la loi sur les mesures et l’innovation en matière d’IA (KI-MIG). Quiconque utilise ou met à disposition de l’IA devrait connaître l’échéance, mais aussi les reports les plus récents.

SD-JWT VC et OpenID4VP : les protocoles derrière l'EUDI Wallet

Tue, 12 May 2026 00:00:00 +0000

On parle beaucoup de l’EUDI Wallet au niveau politique et organisationnel : mise à disposition par les États membres d’ici fin 2026, obligations d’enregistrement, délais d’acceptation. Mais quiconque veut effectivement accepter le wallet se trouve tôt ou tard face à une question technique : comment vérifier concrètement qu’un attribut présenté est authentique, valide et suffisant pour mon usage ? Cet article se penche sur le versant de la vérification et sur les briques qui s’y assemblent.

Archiver les factures électroniques structurées conformément aux GoBD : la question des huit ans

Tue, 21 Apr 2026 00:00:00 +0000

Le débat sur la facture électronique tourne le plus souvent autour de l’émission et de la réception. L’obligation plus discrète, mais plus durable, ne commence qu’ensuite : la conservation. Une facture structurée n’est pas un document au sens classique, mais un jeu de données, et celui-ci doit demeurer inaltérable et exploitable par machine pendant des années. L’intégrer dès la construction de ses processus évite des reprises coûteuses plus tard.

Ce qui a changé pour le délai

Longtemps, les pièces comptables ont été soumises à un délai de conservation de dix ans. La quatrième loi allemande d’allègement bureaucratique (BEG IV) l’a réduit à huit ans au 1er janvier 2025. Le nouveau délai s’applique à toutes les pièces dont l’ancien délai de dix ans n’avait pas encore expiré à cette date.

NIS2 en pratique : de l'obligation de notification à la preuve solide

Tue, 14 Apr 2026 00:00:00 +0000

Depuis le 6 décembre 2025, NIS2 a force de loi en Allemagne. La loi de transposition de NIS2 et de renforcement de la cybersécurité (NIS2UmsuCG) a été adoptée par le Bundestag le 13 novembre 2025, confirmée par le Bundesrat le 20 novembre, et est entrée en vigueur sans période de transition. Environ 29 500 entreprises, réparties sur 18 secteurs, sont concernées. La date limite d’enregistrement auprès du BSI, le 6 mars 2026, est passée ; un enregistrement tardif reste possible et demeure recommandé.

ACME au-delà du serveur web : automatiser les certificats pour les services internes et le mTLS

Tue, 17 Mar 2026 00:00:00 +0000

La réduction des durées de vie des certificats TLS publics, vers 47 jours à terme, a fait prendre conscience que le renouvellement manuel ne tient plus l’échelle. Ce que l’on néglige souvent : à l’intérieur d’une entreprise se cachent en général bien plus de certificats qu’à la lisière visible de l’extérieur. La communication de service à service, le mTLS dans un service mesh, les API internes et les connexions de bases de données vivent toutes de certificats, et ceux-ci suivent d’autres schémas que le web public.

DORA pour les prestataires TIC : risque lié aux tiers et notification des incidents

Tue, 09 Dec 2025 00:00:00 +0000

DORA, le Digital Operational Resilience Act (règlement (UE) 2022/2554), s’applique au secteur financier européen depuis le 17 janvier 2025. Depuis le 19 novembre 2025, la supervision a pris une forme concrète : les autorités européennes de surveillance EBA, EIOPA et ESMA ont publié la première liste officielle de 19 tiers prestataires de services TIC désignés comme critiques, parmi lesquels AWS, Google Cloud, Microsoft, Oracle, SAP, IBM et Deutsche Telekom. Cette liste est actualisée chaque année.

Cryptographie post-quantique : pourquoi la migration commence en 2026, pas en 2030

Tue, 16 Sep 2025 00:00:00 +0000

Depuis août 2024, les trois premiers standards post-quantiques sont définitifs. Le NIST a publié FIPS 203 (ML-KEM, dérivé de Kyber), FIPS 204 (ML-DSA, issu de Dilithium) et FIPS 205 (SLH-DSA, issu de SPHINCS+), concluant un processus de sélection de huit ans. Beaucoup lisent le titre, voient l’année 2030 souvent citée et remisent le sujet. C’est un malentendu : 2030 est une échéance, pas un coup d’envoi.

Le « harvest now, decrypt later » rend la chose urgente

La menace n’attend pas le premier calculateur quantique performant. Des attaquants interceptent dès aujourd’hui du trafic chiffré et le stockent pour le déchiffrer plus tard. Tout ce qui doit rester protégé longtemps est dès lors déjà exposé : contrats, données de santé et de personnel, clés à longue durée de vie, propriété intellectuelle, secrets d’État et d’affaires. Pour ces données, ce qui compte n’est pas le moment où un calculateur quantique deviendra réalité, mais la durée pendant laquelle elles doivent rester secrètes.

L'obligation de facturation électronique en Allemagne : la feuille de route 2025 à 2028 sans les mythes

Tue, 11 Feb 2025 00:00:00 +0000

Depuis le 1er janvier 2025, la facture électronique n’est plus facultative dans les échanges B2B en Allemagne. La première étape de la nouvelle obligation s’applique : toute entreprise établie sur le territoire doit être en mesure de recevoir des factures électroniques structurées. L’émission par voie électronique n’est pas encore obligatoire, mais la réception, elle, l’est. Le fondement juridique est la loi sur les opportunités de croissance (Wachstumschancengesetz), adoptée par le Bundesrat le 22 mars 2024 ; les modalités sont précisées par la circulaire du ministère fédéral des Finances (BMF) du 15 octobre 2024.