LYOPICalendrier réglementaire
Un calendrier vérifié des principales dates liées au RGPD, à l'IA Act, à NIS2, au DUERP et au Cyber Resilience Act. Chaque jalon renvoie vers sa source officielle.
Le calendrier distingue les dates fixées par les textes, les délais déclenchés par un événement et les obligations récurrentes. Pour NIS2, le statut de la transposition française est signalé explicitement.
Dates fixes
Les dates passées restent affichées lorsqu'elles produisent encore des obligations ou expliquent le cadre actuellement applicable.
Les pratiques d'IA interdites et l'obligation de soutenir l'acculturation des personnes qui utilisent ou exploitent des systèmes d'IA sont entrées en application.
Les règles de gouvernance et les obligations applicables aux modèles d'IA à usage général sont devenues applicables.
Les États membres devaient transposer NIS2 avant cette date. Le 8 juillet 2026, la Commission indiquait que la France n'avait pas encore notifié une transposition complète. Les entreprises suivent donc les textes français tout en préparant leur dispositif.
L'AI Act est devenu généralement applicable et les autorités ont commencé à faire appliquer les règles, notamment les obligations de transparence, sous réserve des calendriers spécifiques.
Les fabricants concernés devront notifier les vulnérabilités activement exploitées et les incidents graves affectant la sécurité des produits comportant des éléments numériques.
Les obligations visant notamment certains usages dans l'emploi, l'éducation, les services essentiels, la biométrie, la migration et la justice s'appliqueront à cette date.
L'essentiel des exigences de cybersécurité, de gestion des vulnérabilités, de documentation et d'évaluation de conformité devient applicable.
Les règles visant les systèmes d'IA à haut risque relevant de l'annexe I, intégrés notamment à certains produits réglementés, s'appliqueront à cette date.
Délais opérationnels
Violations, incidents, demandes de droits et changements dans le travail exigent des circuits préparés avant leur déclenchement.
Lorsqu'une violation est susceptible d'engendrer un risque pour les droits et libertés, le responsable de traitement la notifie à la CNIL dans les meilleurs délais et, si possible, au plus tard sous 72 heures.
Le responsable de traitement répond en principe dans un délai maximal d'un mois. Les prolongations et suspensions éventuelles doivent respecter les conditions du RGPD.
L'article 23 prévoit une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous un mois. Les modalités françaises dépendent du cadre national applicable.
Toutes les entreprises actualisent le DUERP lorsqu'un aménagement important modifie les conditions de travail ou lorsqu'une information nouvelle sur un risque est portée à la connaissance de l'employeur.
Les entreprises d'au moins 11 salariés mettent à jour le DUERP au minimum chaque année, en complément des mises à jour déclenchées par les événements.
À compter du 11 septembre 2026, l'article 14 prévoit une alerte sous 24 heures et une notification sous 72 heures, puis un rapport final selon la nature de l'événement.
Maintenir son calendrier
Lyopi transforme les dates réglementaires en feuille de route suivie par l'entreprise et ses partenaires.