Journal des changements réglementaires
Les changements récents et à venir que nous suivons pour les startups qui vendent au Québec, au Canada et à l'étranger. Chaque entrée cite sa source — vérifiez-la vous-même.
2 août 2028 · Union Européenne
EU AI Act — IA embarquée dans des produits réglementés (Annexe I)
Obligations haut risque pour l'IA intégrée à des produits soumis à une législation d'harmonisation (dispositifs médicaux, machines...).
EU AI Act · Source officielle
11 décembre 2027 · Union Européenne
CRA — Obligations principales pour les produits numériques
Exigences de cybersécurité par conception pour les produits comportant des éléments numériques mis sur le marché de l'UE (obligations de notification dès sept. 2026).
Cyber Resilience Act · Source officielle
2 décembre 2027 · Union Européenne
EU AI Act — Systèmes à haut risque (Annexe III)
Obligations complètes pour les systèmes IA à haut risque autonomes (RH, crédit, éducation, justice...). Reporté de août 2026 à décembre 2027 par l'omnibus de juin 2026.
EU AI Act · Source officielle
30 juin 2027 · Canada
Canada — Réforme fédérale de la vie privée (C-36)
Le projet C-36 (déposé en juin 2026) remplacerait la partie 1 de la LPRPDE : nouvelle Commission, amendes jusqu'à 25 M$ ou 5% du CA mondial. Date d'adoption estimée.
Projet de loi C-36 (PPCDA) · Source officielle
1 janvier 2027 · Colorado
Colorado AI Act (réécrit) — Entrée en vigueur
Cadre réduit de transparence sur les décisions automatisées (ADMT), reporté et réécrit par SB 26-189 (mai 2026).
Colorado AI Act · Source officielle
1 décembre 2026 · Chili
Chili — Nouvelle loi de protection des données
La Ley 21.719 (inspirée du RGPD) remplace la Ley 19.628 ; nouvelle Agence de protection des données et sanctions substantielles.
Ley 21.719 · Source officielle
17 octobre 2026 · Union Européenne
NIS2 — Revue annuelle de conformité recommandée
Deux ans après l'échéance de transposition (oct. 2024), les entités essentielles et importantes devraient revalider leur périmètre, la gestion des risques et les procédures de notification 24h/72h.
NIS2 · Source officielle
2 août 2026 · Union Européenne
EU AI Act — Obligations de transparence (art. 50)
Les chatbots, deepfakes et contenus générés par IA doivent être clairement identifiés. Maintenu au 2 août 2026 par l'omnibus numérique.
EU AI Act · Source officielle
1 juin 2026 · Kentucky
Kentucky — Évaluations de protection des données (DPIA)
Les évaluations de protection des données deviennent obligatoires pour les traitements à risque créés à partir du 1er juin 2026.
KCDPA · Source officielle
1 janvier 2026 · Indiana, Kentucky, Rhode Island
États-Unis — Lois Indiana, Kentucky et Rhode Island en vigueur
Trois nouvelles lois d'État complètes sur la vie privée applicables depuis le 1er janvier 2026.
INCDPA / KCDPA / RIDTPPA · Source officielle
1 janvier 2026 · Texas
Texas — Responsible AI Governance Act en vigueur
Interdictions ciblées (manipulation, scoring social, discrimination intentionnelle) et obligations de divulgation pour le secteur public.
TRAIGA · Source officielle
1 janvier 2026 · Illinois
Illinois — IA en emploi
Interdiction de la discrimination par IA dans les décisions d'emploi et obligation de notifier les candidats/employés de l'usage d'IA.
HB 3773 · Source officielle
1 janvier 2026 · Vietnam
Vietnam — Loi de protection des données en vigueur
La loi 91/2025/QH15 remplace le décret PDPD 2023 : sanctions jusqu'à 5% du CA, interdiction de vente de données.
PDPL 2025 · Source officielle