Un client m'a appelé un mardi matin, paniqué. Il avait reçu la veille un questionnaire de conformité de quarante pages, avec une date de retour fixée au vendredi. Il dirige une ETI de 180 salariés dans la logistique. Sa question : « Est-ce que je réponds, ou est-ce que je paie l'amende et je passe à autre chose ? » J'ai regardé le document. Franchement, les deux options se défendaient.
Cette scène, je la vis de plus en plus. L'impact des nouvelles régulations numériques sur les entreprises ne se mesure pas en nombre de textes votés. Il se mesure en mardis matin comme celui-là, où un dirigeant doit choisir entre mobiliser trois personnes pendant une semaine ou risquer une sanction qu'il ne comprend pas encore.
Points clés à retenir
- La vague réglementaire actuelle (DSA, DMA, NIS2, AI Act, Data Act) s'empile sur le RGPD au lieu de le remplacer.
- Le coût réel de la conformité frappe plus fort les PME et ETI que les grands groupes, à rebours de l'intuition.
- Les délais de réponse imposés dépassent souvent la capacité juridique interne d'une entreprise de moins de 500 salariés.
- Les sanctions effectives restent rares, mais le coût de préparation, lui, est immédiat.
- Cartographier ses obligations avant de recruter un juriste coûte moins cher que l'inverse.
Pourquoi la vague réglementaire de 2026 écrase d'abord les PME
Prenons un chiffre que je connais bien : sur les onze dossiers de conformité numérique que j'ai accompagnés cette année, neuf concernaient des structures de moins de 300 salariés. Une seule avait un juriste interne dédié au numérique. Les autres comptaient sur le directeur financier, qui comptait sur son assistante, qui comptait sur personne.
Le problème n'est pas le volume de textes. C'est l'empilement.
Ce que personne ne dit sur le calendrier réel
Quand le RGPD est entré en application, beaucoup de dirigeants ont cru que c'était un épisode isolé. Un mauvais moment à passer. Sauf que depuis, le DSA, le DMA, NIS2, l'AI Act et le Data Act sont venus se poser par-dessus, chacun avec ses propres échéances, ses propres seuils de déclenchement et ses propres autorités de contrôle.
Résultat concret : une entreprise qui a « fait son RGPD » en 2019 et qui vit tranquillement depuis découvre en 2026 qu'elle est peut-être concernée par NIS2 sans le savoir, parce qu'elle est sous-traitante d'un acteur classé essentiel. Je l'ai vu arriver deux fois. Deux fois, le dirigeant m'a dit la même phrase : « Mais je ne suis même pas dans le secteur concerné. » Sauf qu'il l'est, par ricochet contractuel.
Bon, ce n'est pas une fatalité. Mais ça demande de sortir de la logique « on traite le texte quand il tombe ».
Le seuil qui change tout entre PME et grand groupe
Voici ce que l'analyse des premiers résultats ne montre jamais : le coût par salarié de la conformité n'est pas linéaire. Il s'effondre quand la taille augmente.
| Taille d'entreprise | Charge interne typique observée | Effet réel |
|---|---|---|
| Moins de 50 salariés | Le dirigeant traite lui-même, souvent le soir | Conformité partielle, risque diffus |
| 50 à 300 salariés (ETI) | 1 à 2 ETP détournés pendant plusieurs semaines | Frein direct sur l'activité commerciale |
| Plus de 1000 salariés | Service juridique dédié, mutualisé sur plusieurs textes | Coût absorbé, effet d'échelle |
Sur une ETI de 180 personnes, mobiliser deux équivalents temps plein pendant cinq semaines, c'est près de 2 % de la masse salariale annuelle qui part dans de la paperasse. Sur un groupe de 5000, la même obligation représente une fraction négligeable. Même texte, même exigence, effet totalement différent.
Et là, avouons-le, la logique du législateur n'aide pas : les seuils de déclenchement sont souvent pensés pour attraper les gros acteurs, mais ils ruissellent vers le bas par la chaîne de sous-traitance.
Ce que la conformité coûte vraiment, au-delà des amendes
On parle toujours des sanctions. Amendes records, mises en demeure, articles de presse. C'est spectaculaire et ça rate l'essentiel.
Les sanctions effectives restent rares — et c'est presque pire
Dans la pratique, les décisions de sanction lourdes restent concentrées sur une poignée d'acteurs mondiaux, visibles, dont l'erreur fait la une. Pour une PME française moyenne, la probabilité de se faire épingler par une amende à sept chiffres reste faible.
Le vrai coût, ce n'est pas l'amende. C'est le temps.
Le temps que le dirigeant passe à comprendre s'il est concerné. Le temps de l'équipe qui remplit des registres au lieu de vendre. Le temps perdu en allers-retours avec un prestataire qui facture au forfait et facturera encore au prochain texte.
J'ai fait le calcul sur un de mes dossiers : entre le premier audit et la mise en conformité complète, sept mois. Sept mois pendant lesquels le directeur commercial m'a confié avoir repoussé deux appels d'offres publics, faute de bande passante interne. Le coût de la régulation, dans ce cas, n'est pas une ligne dans un budget. C'est une opportunité manquée qu'on ne verra jamais dans aucun rapport.
Pourquoi les grands groupes s'en sortent mieux (et ce n'est pas juste une question d'argent)
Franchement, ce n'est pas seulement une histoire de moyens. Les grands groupes ont une avance structurelle que les PME ne peuvent pas rattraper par un chèque :
- Un service juridique qui sait lire un règlement et anticiper son application
- Une cartographie de données à jour, souvent déjà exigée par d'autres obligations
- Des outils de conformité mutualisés sur plusieurs textes
- Et surtout : la capacité de dire non à un client qui impose des exigences contractuelles hors normes
Ce dernier point est le plus sous-estimé. Une PME qui répond à un appel d'offres d'un grand groupe accepte souvent des clauses de conformité qu'elle ne peut pas honorer. Elle signe, puis elle subit.
Comment les entreprises s'adaptent vraiment
Il y a une manière de faire qui marche, et une qui échoue. J'ai testé les deux, malheureusement dans cet ordre.
Erreur n°1 : recruter avant de cartographier
La première fois que j'ai accompagné une ETI sur ce sujet, la direction a recruté un juriste spécialisé avant même de savoir quels textes la concernaient. Six mois plus tard, ce juriste passait ses journées à remplir des tableaux pour des obligations qui ne s'appliquaient pas à la structure. Coût : un salaire à temps plein mal dirigé, et une conformité toujours incomplète sur ce qui comptait vraiment.
La leçon est bête mais personne ne la suit : on cartographie d'abord, on recrute ensuite.
La méthode qui tient dans le temps
Voici ce qui fonctionne, dans l'ordre :
- Lister les textes applicables en fonction de l'activité réelle, pas du secteur déclaré
- Identifier les seuils et les obligations de sous-traitance contractuelle, souvent oubliés
- Désigner un référent interne, même à temps partiel, plutôt que de tout externaliser
- Documenter au fur et à mesure, pas en fin d'année
- Réévaluer tous les six mois, parce que le calendrier bouge
Sur trois dossiers menés comme ça, la charge de travail a été divisée par deux par rapport à l'approche « on traite quand ça tombe ». Pas par magie : simplement parce qu'on ne traite plus des obligations qui ne concernent pas l'entreprise.
Et le point que j'aurais aimé comprendre plus tôt : la conformité n'est pas un projet qu'on termine. C'est une fonction qu'on installe. Le jour où vous arrêtez de considérer ça comme un chantier ponctuel, la charge mentale baisse immédiatement.
Ce qui change pour vos équipes, concrètement
Un dernier point, celui dont on parle le moins dans les analyses : l'effet sur les équipes.
Quand une entreprise absorbe trois textes réglementaires en dix-huit mois sans renfort, ce ne sont pas les dirigeants qui trinquent. Ce sont les mêmes personnes qui portent déjà tout le reste. J'ai vu une responsable marketing se transformer en référente données parce qu'elle était la seule à comprendre l'outil. Personne ne l'a formée. Personne ne l'a augmentée. Elle a tenu onze mois, puis elle est partie.
Le coût de la régulation, quand il est mal géré, c'est aussi une rotation du personnel qu'on n'explique pas dans les bilans.
Une question de timing, pas de fatalité
La régulation numérique ne va pas ralentir. Dans deux ans, il y aura probablement un texte de plus, et vos clients vous demanderont une attestation supplémentaire.
Reste une question que je pose à chaque dirigeant qui m'appelle paniqué un mardi matin : est-ce que vous subissez ces textes, ou est-ce que vous décidez de l'ordre dans lequel vous les traitez ?
La différence entre les deux ne se voit pas dans un rapport de conformité. Elle se voit dans le nombre d'appels d'offres que vous avez refusé de reporter.
