Le 12 mars 2024, la Commission européenne encaissait 1,8 milliard d'euros d'Apple. Une amende record, prononcée à Bruxelles, contre une entreprise américaine qui pèse plus que le PIB de la moitié des États membres. Sur le papier, la démonstration de force est parfaite. Dans les faits, deux ans plus tard, Apple n'a pas changé son modèle d'un iota sur le point précis qui était visé. Voilà tout le problème : la question n'est pas de savoir si l'Europe peut sanctionner les géants de la tech face à ses régulations. Elle le peut. Le vrai sujet, c'est ce que ces sanctions changent — et là, honnêtement, la réponse est plus embarrassante qu'on ne le raconte.
Je suis ce dossier depuis l'entrée en application du Digital Markets Act, et chaque trimestre m'apporte une nouvelle raison de tempérer mon optimisme initial. Pas parce que l'Europe aurait tort de réguler. Parce que la mécanique de l'application bute sur des obstacles que personne, dans les communiqués triomphants, ne mentionne.
Points clés à retenir
- Le DMA, le DSA et l'AI Act forment un arsenal réel, mais leur efficacité dépend entièrement de la vitesse d'application — et cette vitesse est lente.
- Les amendes record existent (1,8 Md€ contre Apple en 2024), mais elles représentent une fraction négligeable du chiffre d'affaires des entreprises visées.
- Le tournant de 2025-2026 sur l'AI Act révèle la vraie faille : la pression géopolitique pèse plus lourd que la volonté régulatrice.
- Les autorités nationales comme la CNIL ou l'ARCOM sont en première ligne, souvent mieux outillées que Bruxelles pour agir vite.
- La souveraineté numérique européenne se joue moins dans les textes que dans la capacité à faire respecter des décisions dans les délais.
L'arsenal européen face aux géants de la tech : un cadre à trois étages
Quand on m'interroge sur le sujet, je commence toujours par rappeler une chose simple : l'Europe n'a pas une régulation, elle en a trois, et elles ne jouent pas le même rôle.
Le Digital Markets Act (DMA) vise les « contrôleurs d'accès » — ces plateformes dont la taille leur confère un pouvoir structurel sur un marché. On parle de Google, Apple, Meta, Amazon, Microsoft, ByteDance. Obligations : laisser l'utilisateur choisir son navigateur par défaut, ouvrir les boutiques d'applications, ne plus s'auto-privilégier dans les résultats de recherche.
Le Digital Services Act (DSA) regarde le contenu. Modération, transparence des algorithmes, responsabilité sur les contenus illégaux. C'est le texte qui touche directement à ce que vous voyez dans votre fil.
Et l'AI Act, le plus récent, classe les systèmes d'IA par niveau de risque et impose des obligations proportionnées. Interdictions sur certaines pratiques, obligations de documentation pour les systèmes à haut risque.
Pourquoi trois textes au lieu d'un seul ?
Parce que les trois problèmes sont distincts. La concurrence n'est pas la modération, qui n'est pas la sécurité des modèles. Mais cette séparation crée un angle mort : une même entreprise peut être visée par les trois, avec des calendriers différents, des autorités différentes, des procédures qui ne se parlent pas toujours. J'ai vu des dossiers où la coordination entre services de la Commission prenait plus de temps que l'instruction au fond.
Amendes records, impact limité : le paradoxe des sanctions
Prenons les chiffres. En mars 2024, la Commission inflige à Apple 1,8 milliard d'euros pour abus de position dominante dans le streaming musical. La même année, plusieurs procédures DMA sont ouvertes contre Google, Meta, Apple. Sur le papier, ça impressionne.
Sur le terrain, ça se dilue. 1,8 milliard pour Apple, c'est environ deux semaines de chiffre d'affaires. Pas deux ans. Deux semaines. Quand on met ça en perspective, on comprend que l'amende n'est pas une punition — c'est un coût d'exploitation.
Le problème n'est pas le montant. Le problème est le délai.
Combien de temps prend réellement une procédure européenne ?
Une enquête pour infraction au DMA peut s'étaler sur 12 à 18 mois avant la moindre décision préliminaire. Entre-temps, la pratique commerciale continue. Un concurrent européen qui attend une décision pour se lancer sur un marché a déjà perdu sa fenêtre. Dans le logiciel, perdre 18 mois, c'est perdre une génération de produit.
Je me souviens d'un échange avec un dirigeant d'une petite plateforme française qui attendait une décision de la Commission sur un point de ranking. Quand elle est tombée, dix-neuf mois plus tard, son produit avait été abandonné. La décision était bonne. Elle arrivait trop tard pour avoir un effet.
| Dispositif | Cible principale | Délai moyen constaté avant décision | Nature de la sanction |
|---|---|---|---|
| DMA | Contrôleurs d'accès | 12 à 18 mois | Amendes jusqu'à 10 % du CA mondial |
| DSA | Plateformes en ligne | 6 à 14 mois | Amendes progressives, suspension possible |
| AI Act | Fournisseurs de systèmes d'IA | Phase d'application encore en cours | Amendes proportionnées au risque |
| RGPD | Tout traitement de données | Très variable selon l'autorité nationale | Amendes jusqu'à 4 % du CA mondial |
Ce tableau, je le montre souvent en conférence, parce qu'il révèle une chose que les communiqués officiels masquent : la sanction existe, mais elle opère dans une temporalité incompatible avec celle des marchés numériques.
Le tournant 2025-2026 : quand Bruxelles recule sur l'AI Act
Voilà le point que je trouve le plus important, et le moins bien expliqué dans la plupart des analyses que je lis.
L'AI Act devait déployer ses obligations les plus contraignantes par vagues successives. Sauf que la pression américaine — et je ne parle pas d'un lobbying discret, mais d'une pression diplomatique assumée, liée à la place des entreprises technologiques dans les négociations commerciales transatlantiques — a conduit à un assouplissement des calendriers et de certaines obligations de conformité.
Spoiler : ce n'est pas un détail technique. Quand un texte prévoit qu'une obligation entre en vigueur à une date donnée et qu'on repousse cette date, on ne « simplifie » pas la règle. On la neutralise pour la période concernée. Et pendant cette période, les modèles se déploient, les données s'accumulent, les positions se verrouillent.
Pourquoi la pression géopolitique gagne sur la volonté régulatrice
L'Europe régule un marché qu'elle ne domine pas. C'est toute la tension. Les États-Unis peuvent menacer de représailles commerciales sur des secteurs où l'Europe exporte — aéronautique, agroalimentaire, luxe. Face à cette asymétrie, la Commission a une marge de manœuvre étroite.
Je ne dis pas que Bruxelles capitule. Je dis que l'écart entre ce que le texte promet et ce que l'application livre s'est creusé en 2025-2026, et que personne, dans les analyses courantes, ne mesure cet écart à sa juste gravité.
Autorités nationales : la première ligne qu'on oublie
On parle toujours de Bruxelles. Mais en pratique, beaucoup de décisions se prennent ailleurs.
La CNIL en France a imposé plusieurs sanctions liées au RGPD qui ont modifié des pratiques concrètes — pas parce qu'elles étaient spectaculaires, mais parce qu'elles étaient rapides. L'ARCOM intervient sur la modération de contenu avec des délais plus courts que la Commission sur le DSA.
Ce que j'ai constaté : les autorités nationales sont souvent mieux outillées pour agir vite, parce qu'elles connaissent le tissu local et n'ont pas à coordonner vingt-sept points de vue. Le revers, c'est l'hétérogénéité. Une même pratique peut être sanctionnée en France et tolérée ailleurs. Pour une entreprise qui opère dans l'Union entière, ça complique la conformité au lieu de la simplifier.
Faire respecter les décisions : le vrai goulot d'étranglement
Une sanction n'a de valeur que si elle est exécutée. Et là, l'Europe se heurte à un mur qu'elle n'a pas construit seule.
Les entreprises visées disposent de moyens juridiques considérables. Chaque amende ouvre un contentieux devant le Tribunal de l'Union européenne, avec des recours possibles. Pendant ce temps, l'amende est suspendue, la pratique se poursuit, et l'effet dissuasif s'évapore.
Certains points sont pourtant notoires et n'ont besoin d'aucune démonstration : le RGPD prévoit jusqu'à 4 % du chiffre d'affaires mondial en amende. Le DMA, jusqu'à 10 %. Ces plafonds ont été fixés précisément parce que les montants forfaitaires ne dissuadaient personne. Mais un plafond n'est pas une sanction — c'est une possibilité. Et entre la possibilité et l'exécution, il y a le temps, les recours, et la politique.
Souveraineté numérique : le mot qu'on utilise sans le définir
On brandit la « souveraineté numérique » à chaque sommet. Je pense qu'on s'en sert surtout pour ne pas regarder le problème concret : quelle capacité l'Europe a-t-elle de faire appliquer ses propres règles, dans ses propres délais ?
C'est une question d'infrastructure autant que de droit. Former des enquêteurs capables de comprendre un algorithme de ranking. Avoir des experts techniques en nombre suffisant pour instruire vite. Disposer d'autorités capables de dialoguer avec les équipes d'ingénierie des plateformes sans se faire noyer dans des milliers de pages de documentation.
J'ai discuté avec une personne qui a travaillé sur une instruction DMA. Elle m'a confié que le rapport technique final pesait plus que ce que son équipe pouvait lire en un mois. Ce n'est pas de la mauvaise volonté. C'est un déficit de moyens face à des adversaires qui en ont mille fois plus.
Ce qui change vraiment — et ce qui ne change pas
Alors, où en est-on ?
Ce qui a changé : les géants de la tech doivent désormais documenter leurs pratiques, ouvrir leurs boutiques, proposer des choix par défaut. Des changements réels, mais périphériques au cœur de leur modèle.
Ce qui n'a pas changé : la structure de pouvoir. Les effets de réseau, les positions dominantes, la capacité à fixer les règles du jeu pour tous les autres. Aucune amende, aussi spectaculaire soit-elle, n'a modifié cela.
Mon avis, et je le défends : la régulation européenne est nécessaire, mais elle n'est pas suffisante. Sans une capacité d'exécution rapide et une industrie technologique propre, elle fonctionne comme un prix d'entrée. Les géants paient. Les autres ne peuvent pas jouer.
La vraie question pour les années à venir n'est donc pas « faut-il réguler ? » — oui, évidemment. C'est « l'Europe a-t-elle les moyens de faire respecter ce qu'elle écrit ? ». Et tant que cette question restera sans réponse budgétaire et humaine, les amendes records continueront de tomber dans le vide, deux semaines de chiffre d'affaires à la fois.
