Veille réglementaire · mise à jour le 6 oct. 2026
Cette veille recense, avec date et source officielle, les textes, lignes directrices et échéances qui concernent les organisations utilisant l'IA avec des données sensibles en Espagne. Le prochain grand jalon est le 2 décembre 2027, date d'application des obligations haut risque du règlement IA (AI Act) au scoring de crédit, à l'assurance, à la justice et aux services publics. Nous la révisons toutes les deux semaines et chaque entrée renvoie au document original.
Prochaines échéances
Échéances et dates d'application encore à venir.
Toutes les entrées
Filtrez par secteur pour ne voir que ce qui concerne votre organisation. Chaque entrée indique s'il s'agit d'une règle espagnole ou européenne, son statut et la source officielle.
L'attribution est attendue début 2027. L'Espagne se porte candidate avec une candidature public-privé. L'appel indique où se situera la capacité de calcul européenne pour entraîner et exécuter des modèles.
Source officielle: EuroHPC ↗
Si la solvabilité est évaluée par traitement automatisé, le consommateur peut demander une explication claire, une intervention humaine et un réexamen. Les modèles doivent être justifiables au cas par cas.
Source officielle: EUR-Lex · Directiva (UE) 2023/2225 ↗
Les obligations arrivent en 2027, 2029 et 2031 : accès du patient à ses données, exigences pour les dossiers médicaux électroniques et usage secondaire dans des environnements de traitement sécurisés.
Source officielle: EUR-Lex · Reglamento (UE) 2025/327 ↗
Concerne le scoring de crédit, la tarification de l'assurance vie et santé, la justice, les services publics essentiels et l'emploi. Exige gestion des risques, qualité des données, journalisation et contrôle humain.
Source officielle: EUR-Lex · Reglamento (UE) 2026/1744 ↗
Fixe les règles techniques de l'échange transfrontière de données de santé entre États membres et s'applique à partir du 26 mars 2027. Premier acte d'exécution concret du règlement EEDS.
Source officielle: EUR-Lex · Reglamento de Ejecución (UE) 2026/2083 ↗
Vise les produits connectés mis sur le marché à partir de cette date. Les fabricants doivent permettre à l'utilisateur d'accéder aux données générées, ce qui touche architecture, contrats et analytique industrielle.
Source officielle: EUR-Lex · Reglamento (UE) 2023/2854 ↗
Les fabricants de produits comportant des éléments numériques doivent signaler les vulnérabilités activement exploitées et les incidents graves, y compris pour les logiciels intégrant de l'IA.
Source officielle: EUR-Lex · Reglamento (UE) 2024/2847 ↗
L'objectif affiché est de renforcer la protection des données et d'accélérer l'usage de l'IA dans l'administration régionale. Confirme la tendance du secteur public à exiger une infrastructure maîtrisée.
Source officielle: Comunidad de Madrid ↗
En vigueur depuis le 27 juillet 2026. Les obligations de l'annexe III passent au 2 décembre 2027 et celles de l'annexe I (IA dans des produits réglementés, comme les dispositifs médicaux) au 2 août 2028.
Source officielle: EUR-Lex · Reglamento (UE) 2026/1744 ↗
Une somme forfaitaire et des astreintes sont demandées. En attendant la loi espagnole, les entités essentielles et importantes ont intérêt à préparer gestion des risques, notification et contrôle des fournisseurs.
Source officielle: Comisión Europea ↗
Recommande inventaire des actifs, correctifs priorisés selon l'exploitabilité, authentification résistante au phishing et gouvernance des agents IA. Référence pratique pour les organismes soumis à l'ENS.
Source officielle: CCN-CERT ↗
Il précise le régime de sanctions en Espagne et le rôle de l'AESIA comme autorité de surveillance. Il est encore en phase d'amendements au Congrès, le texte final peut donc évoluer.
Source officielle: Congreso de los Diputados ↗
Il propose un cadre pour évaluer la souveraineté des services cloud et IA et encourager leur adoption par le secteur public. S'il est adopté, il pèsera sur l'évaluation des fournisseurs dans les marchés.
Source officielle: Comisión Europea ↗
En vigueur depuis le 18 juin 2026. Il organise l'évaluation des technologies de santé, admet les données de vie réelle et couvre les thérapies numériques, ce qui concerne les logiciels cliniques avec IA.
Source officielle: BOE-A-2026-11587 ↗
Les lignes directrices préciseront par des exemples quels cas d'usage relèvent du haut risque. La version finale est attendue fin 2026 et aidera chaque organisation à revoir son inventaire de systèmes.
Source officielle: Comisión Europea ↗
L'avocat signataire doit vérifier le résultat et préserver le secret professionnel et la protection des données. En pratique, le lieu de traitement des documents du client et les accès comptent.
Source officielle: Consejo General de la Abogacía ↗
L'affaire Like Company contre Google oppose un éditeur à un fournisseur de modèles. L'arrêt est attendu et pourrait fixer des critères sur l'entraînement et la reproduction de contenus protégés.
Source officielle: Comisión Europea · IP Helpdesk ↗
Elle propose une règle de 2 : un agent ne devrait pas à la fois recevoir des entrées non maîtrisées, accéder à des données sensibles et agir dans le monde réel. Utile pour concevoir permissions et isolement.
Source officielle: AEPD ↗
Elle impose un contrôle humain de chaque résultat et interdit d'introduire des données de procédures dans des systèmes d'IA non officiels. Elle fixe le niveau de confidentialité attendu dans la justice.
Source officielle: BOE-A-2026-2205 ↗
Il aborde confidentialité, supervision des résultats et choix des fournisseurs. Il recommande de savoir où et sous quelles conditions contractuelles les données du client sont traitées avant d'adopter un outil.
Source officielle: Consejo General de la Abogacía ↗
Réseau interopérable de plateformes régionales pour l'usage secondaire des données de santé, doté de 70 millions d'euros. Il prépare recherche et modèles d'IA sur données cliniques en environnement contrôlé.
Source officielle: La Moncloa ↗
L'AI Act complète CRR/CRD, DORA et les orientations de l'ABE sur le scoring. Les banques peuvent s'appuyer sur leurs cadres de gouvernance des modèles et de risque TIC pour s'y conformer.
Source officielle: EBA ↗
Ce sont surtout de grandes plateformes cloud, désormais sous supervision directe de l'UE. Les entités financières restent responsables du risque de concentration et des stratégies de sortie.
Source officielle: EBA · ESAs ↗
Il encadre l'accès et la portabilité des données, facilite le changement de fournisseur cloud et limite les transferts de données non personnelles hors UE. Il renforce la capacité à quitter un fournisseur.
Source officielle: EUR-Lex · Reglamento (UE) 2023/2854 ↗
Il applique Solvabilité II, DDA, DORA et RGPD à l'usage de l'IA selon une approche proportionnée au risque : gouvernance des données, documentation, explicabilité et contrôle humain.
Source officielle: EIOPA ↗
Le logiciel médical avec IA qui requiert un organisme notifié est à haut risque et doit respecter les deux cadres. Le guide explique comment réunir la documentation dans une seule évaluation de conformité.
Source officielle: Comisión Europea · MDCG ↗
Nous retenons les textes, lignes directrices des autorités, décisions de justice et appels qui modifient ce qu'une organisation peut ou doit faire lorsqu'elle utilise l'IA avec des données personnelles, cliniques, financières ou confidentielles. Nous écartons opinions, rumeurs et annonces sans texte publié.
Nous ne citons que des sources officielles : Journal officiel de l'UE (EUR-Lex), BOE espagnol, bulletin des Cortes, Commission européenne, autorités de surveillance (AEPD, ABE, EIOPA, CCN-CERT) et ordres professionnels. Nous révisons la veille toutes les deux semaines ; chaque entrée porte la date de l'événement et le lien vers le document original pour que vous puissiez le vérifier.
C'est un outil de veille destiné aux équipes techniques, conformité et direction. Pour les décisions propres à votre cas, appuyez-vous sur vos conseils juridiques : nous vous aidons sur la partie infrastructure, c'est-à-dire où les données sont traitées, qui y accède et comment c'est documenté.
Le 2 décembre 2027 pour les systèmes de l'annexe III (scoring de crédit, assurance vie et santé, justice, services publics essentiels, emploi) et le 2 août 2028 pour l'IA intégrée aux produits réglementés de l'annexe I, comme les dispositifs médicaux. Ces dates sont fixées par l'omnibus IA, règlement (UE) 2026/1744.
Pas encore par une loi espagnole : l'Espagne n'avait pas transposé NIS2 lorsque la Commission a saisi la CJUE le 8 juillet 2026. En attendant, l'ENS s'impose déjà au secteur public et à ses prestataires, et DORA aux entités financières, donc préparer gestion des risques et notification des incidents reste utile.
Que le service soit certifié dans la catégorie ENS correspondant au système de l'organisme (Basique, Moyenne ou Haute), avec contrôle d'accès, journalisation, chiffrement et continuité. Notre plateforme est certifiée ENS catégorie Moyenne par EQA et notre centre de données Tier III à Madrid est ENS catégorie Haute ; voir secteur public.
DORA traite les services d'IA et cloud de tiers comme un risque TIC : il faut les enregistrer, les évaluer, prévoir des clauses d'audit et de sortie et surveiller la concentration sur quelques fournisseurs. Voir banque et assurance.
Oui, avec une base juridique RGPD valable pour les catégories particulières, la minimisation des données et un environnement de traitement maîtrisé, idéalement avec des données traitées en Espagne et jamais réutilisées pour entraîner des modèles tiers. L'EEDS ajoute des règles d'usage secondaire à partir de 2027 ; voir santé.
Toutes les deux semaines, et plus tôt lorsqu'un texte important est publié. La date de la dernière révision figure en en-tête et chaque entrée renvoie à sa source officielle.
La conformité commence par l'infrastructure
Parlez à un ingénieur d'une infrastructure d'IA prête pour la conformité : données en Espagne, ENS et RGPD dès la conception.