Les changements récents et à venir que nous suivons pour les startups qui vendent au Québec, au Canada et à l'étranger. Chaque entrée cite sa source — vérifiez-la vous-même.
2 août 2028 · Union Européenne
Obligations haut risque pour l'IA intégrée à des produits soumis à une législation d'harmonisation (dispositifs médicaux, machines...).
EU AI Act · Source officielle
11 décembre 2027 · Union Européenne
Exigences de cybersécurité par conception pour les produits comportant des éléments numériques mis sur le marché de l'UE (obligations de notification dès sept. 2026).
Cyber Resilience Act · Source officielle
2 décembre 2027 · Union Européenne
Obligations complètes pour les systèmes IA à haut risque autonomes (RH, crédit, éducation, justice...). Reporté de août 2026 à décembre 2027 par l'omnibus de juin 2026.
EU AI Act · Source officielle
30 juin 2027 · Canada
Le projet C-36 (déposé en juin 2026) remplacerait la partie 1 de la LPRPDE : nouvelle Commission, amendes jusqu'à 25 M$ ou 5% du CA mondial. Date d'adoption estimée.
Projet de loi C-36 (PPCDA) · Source officielle
13 mai 2027 · Inde
Les obligations substantielles des Data Fiduciaries (avis, consentement, sécurité, notification de violation, droits) s'appliquent dix-huit mois après la notification des Rules. Le programme interne mentionne le 14 mai ; la date exacte est à confirmer à la relecture.
DPDP Act 2023 / Rules 2025 · Source officielle
1 janvier 2027 · Colorado
Cadre réduit de transparence sur les décisions automatisées (ADMT), reporté et réécrit par SB 26-189 (mai 2026).
Colorado AI Act · Source officielle
1 janvier 2027 · Émirats Arabes Unis
Échéance annoncée pour l'application de la loi fédérale de protection des données (décret-loi 45/2021), en attente des règlements d'exécution. Date à vérifier.
PDPL (EAU) · Source officielle
1 décembre 2026 · Chili
La Ley 21.719 (inspirée du RGPD) remplace la Ley 19.628 ; nouvelle Agence de protection des données et sanctions substantielles.
Ley 21.719 · Source officielle
13 novembre 2026 · Inde
Les dispositions relatives aux gestionnaires de consentement des DPDP Rules 2025 (notifiées le 13 novembre 2025) prennent effet douze mois après leur publication.
DPDP Rules 2025 · Source officielle
17 octobre 2026 · Union Européenne
Deux ans après l'échéance de transposition (oct. 2024), les entités essentielles et importantes devraient revalider leur périmètre, la gestion des risques et les procédures de notification 24h/72h.
NIS2 · Source officielle
2 août 2026 · Union Européenne
Les chatbots, deepfakes et contenus générés par IA doivent être clairement identifiés. Maintenu au 2 août 2026 par l'omnibus numérique.
EU AI Act · Source officielle
1 juin 2026 · Kentucky
Les évaluations de protection des données deviennent obligatoires pour les traitements à risque créés à partir du 1er juin 2026.
KCDPA · Source officielle
1 janvier 2026 · Indiana, Kentucky, Rhode Island
Trois nouvelles lois d'État complètes sur la vie privée applicables depuis le 1er janvier 2026.
INCDPA / KCDPA / RIDTPPA · Source officielle
1 janvier 2026 · Texas
Interdictions ciblées (manipulation, scoring social, discrimination intentionnelle) et obligations de divulgation pour le secteur public.
TRAIGA · Source officielle
1 janvier 2026 · Illinois
Interdiction de la discrimination par IA dans les décisions d'emploi et obligation de notifier les candidats/employés de l'usage d'IA.
HB 3773 · Source officielle
1 janvier 2026 · Vietnam
La loi 91/2025/QH15 remplace le décret PDPD 2023 : sanctions jusqu'à 5% du CA, interdiction de vente de données.
PDPL 2025 · Source officielle
19 septembre 2025 · Nigeria
La GAID de la NDPC (mars 2025) précise l'application du NDPA : inscription des responsables d'importance majeure, audits de conformité annuels, DPO. Date d'effet à confirmer.
NDPA 2023 — GAID · Source officielle
1 juin 2025 · Malaisie
Phase d'entrée en vigueur des amendements 2024 au PDPA : désignation obligatoire d'un DPO et notification des violations au Commissaire. Date de phase à confirmer.
PDPA (amendé 2024) · Source officielle