AI Act, NIS2, Cyber Resilience Act : le point complet sur le droit numérique en Guyane, sans exception DOM-TOM. Ce qui change pour vous.

Le droit numérique en Guyane ne s’arrête pas à un article publié en mai. Trois textes majeurs sont devenus opposables ou vont le devenir avant la fin de l’année, et aucun n’a de version allégée pour les DOM-TOM.

En mai dernier, nous posions les bases pour les PME guyanaises : RGPD, CGV/CGU, statuts de société. Trois mois plus tard, le paysage a bougé plus vite que prévu. L’AI Act européen est entré en application sur son volet transparence, la loi française de transposition NIS2 avance en procédure parlementaire, et le Cyber Resilience Act pose sa première échéance concrète pour tout éditeur de logiciel. Pour une entreprise ou une collectivité de Cayenne, Kourou ou Saint-Laurent-du-Maroni, ignorer ces textes n’est plus une option : la CNIL et l’ANSSI ne font aucune distinction géographique entre un siège social parisien et un établissement situé à 7 000 kilomètres.

Ce qui a changé depuis mai : trois textes, une même urgence

Le socle reste le RGPD, en vigueur depuis 2018 et toujours la base de tout contrôle CNIL, avec des sanctions pouvant atteindre 4% du chiffre d’affaires mondial. Mais depuis notre premier article sur le droit numérique en Guyane , trois échéances se sont ajoutées au calendrier d’une entreprise guyanaise type : l’obligation de transparence sur les systèmes d’intelligence artificielle, la transposition française de la directive NIS2 sur la cybersécurité, et le Cyber Resilience Act sur les produits numériques.

Ce qui frappe, c’est la vitesse. Trois textes, trois calendriers différents, mais un seul message : la conformité numérique n’est plus un sujet réservé aux grands groupes parisiens. Plusieurs collectivités et TPE/PME guyanaises ont déjà été touchées par des cyberattaques en 2024 et 2025. La menace n’est plus théorique, elle est locale, et elle touche des structures qui pensaient être trop petites ou trop éloignées pour intéresser un attaquant.

Cette accumulation de textes n’est pas un hasard de calendrier européen. Bruxelles a construit, en quelques années, un arsenal réglementaire cohérent : le RGPD protège les données personnelles, l’AI Act encadre les usages de l’intelligence artificielle, NIS2 sécurise les infrastructures critiques, et le Cyber Resilience Act sécurise les produits eux-mêmes, du logiciel à l’objet connecté. Une entreprise guyanaise qui vend en ligne, héberge des données clients, utilise un chatbot ou commercialise un produit numérique peut se retrouver concernée par deux ou trois de ces textes en même temps, sans l’avoir anticipé.

L’argument « on est loin, personne ne va nous contrôler » ne tient pas. La CNIL instruit des plaintes venues de Guyane comme de n’importe quel autre département, et les contrôles se font aujourd’hui à distance, sur pièces, sans qu’un inspecteur ait besoin de traverser l’Atlantique. L’ANSSI, de son côté, a renforcé son maillage territorial : depuis janvier 2026, son réseau de CSIRT régionaux couvre l’ensemble du territoire français, DOM-TOM inclus, avec un référentiel de mesures de sécurité applicable partout de la même façon. Le vrai risque local n’est donc pas l’absence de contrôle, mais le décalage d’information : les cabinets spécialisés en droit numérique sont concentrés en métropole, et une PME guyanaise a souvent connaissance d’un texte plusieurs mois après son entrée en application, quand la sanction ou l’incident a déjà eu lieu.

AI Act article 50 : votre chatbot doit se déclarer, depuis le 2 août

Depuis le 2 août 2026, l’article 50 du règlement européen sur l’intelligence artificielle est opposable. Toute entreprise qui déploie un chatbot, un agent conversationnel ou un système de génération d’images/vidéos doit informer clairement l’utilisateur qu’il interagit avec une IA, sauf dans les cas où c’est déjà évident pour une personne raisonnablement attentive. La Commission européenne applique une lecture stricte de cette exception : le doute doit être quasiment nul pour s’en dispenser.

Concrètement, si vous avez déployé un agent IA en service client sans mention explicite, vous êtes en infraction depuis le 2 août. Les amendes prévues montent jusqu’à 15 millions d’euros. Le correctif est simple à mettre en œuvre : une mention visible dès le premier message (« Vous échangez avec un assistant automatisé »), documentée dans vos mentions légales, suffit dans la grande majorité des cas. La même logique s’applique aux contenus générés par IA diffusés publiquement (images, vidéos, voix de synthèse) : un deepfake ou un visuel généré doit être identifiable comme tel dès lors qu’il pourrait induire le public en erreur.

Pour une structure guyanaise, cette obligation touche autant l’entreprise privée qui a automatisé son accueil client que la collectivité qui a mis en place un agent de renseignement administratif en ligne. Le texte ne distingue pas secteur public et secteur privé sur ce point précis.

NIS2 et Cyber Resilience Act : la vague qui arrive avant fin d’année

La loi française de transposition de la directive NIS2, dite loi Résilience, est encore en cours d’examen parlementaire mi-2026. Mais le texte élargit considérablement le périmètre par rapport à l’ancienne directive NIS : environ 15 000 entités seraient concernées en France selon l’ANSSI, contre 500 sous le régime précédent. Le seuil d’entrée : 250 salariés ou plus, ou 50 millions d’euros de chiffre d’affaires ou plus, dans l’un des dix-huit secteurs listés (énergie, santé, eau, transport, infrastructures numériques, et bien d’autres). Une ETI guyanaise du BTP, de la logistique portuaire ou de la santé peut entrer dans ce périmètre sans l’avoir anticipé, et le dirigeant est personnellement responsable du respect des obligations de cybersécurité de son organisation.

En parallèle, le Cyber Resilience Act fixe sa première échéance concrète le 11 septembre 2026 : tout fabricant ou éditeur de produit comportant des éléments numériques devra notifier à l’ENISA toute vulnérabilité activement exploitée, dans un délai de 24 heures. Si vous éditez ou revendez un logiciel, un objet connecté ou une application, cette obligation vous concerne directement, quel que soit votre lieu d’implantation. Elle s’accompagne d’exigences de sécurité par conception, applicables tout au long du cycle de vie du produit, du développement jusqu’à la fin de la commercialisation.

Enfin, si vous hébergez vos données chez un prestataire situé hors Union européenne, le transfert doit être encadré par des clauses contractuelles types ou reposer sur une décision d’adéquation. Un point souvent oublié par les entreprises qui ont basculé rapidement vers des outils cloud américains sans vérifier ce détail, alors même que la question de l’hébergement se pose avec une acuité particulière pour des structures déjà distantes du continent européen.

Le testeur en 5 points pour une PME ou une collectivité guyanaise

Avant de solliciter un avocat ou un délégué à la protection des données, voici de quoi objectiver votre exposition réelle en moins de dix minutes. L’objectif n’est pas de tout résoudre seul, mais de savoir précisément quel texte vous concerne avant d’aller plus loin.

· Chatbot ou assistant IA actif ? – Vérifiez qu’une mention de transparence apparaît dès le premier échange (obligation depuis le 2 août 2026).

· 250 salariés ou 50 M€ de CA, dans un secteur listé NIS2 ? – Si oui, anticipez un audit de cybersécurité avant la promulgation définitive de la loi Résilience.

· Vous éditez ou revendez un produit numérique ? – Préparez un canal de notification de vulnérabilités avant le 11 septembre 2026 (CRA).

· Données hébergées hors UE ? – Vérifiez l’existence de clauses contractuelles types signées avec votre prestataire.

· Dernier audit RGPD de plus d’un an ? – Reprenez le guide de conformité RGPD pour PME et remettez le registre des traitements à jour.

Le mot de la fin

Trois textes, trois calendriers, une seule ligne directrice : la distance ne protège de rien. Ce qui se joue en Guyane se joue exactement dans les mêmes termes qu’à Paris ou à Bruxelles, avec les mêmes amendes à la clé. La bonne nouvelle, c’est que chacun de ces cinq points se traite en quelques jours quand il est identifié tôt, et coûte infiniment plus cher quand il est découvert à l’occasion d’un contrôle ou d’un incident.

♚ 1D-D1 – One Day or Day One. Parlons stratégie.