CSDDD, intelligence artificielle et devoir de vigilance : ce que l'Omnibus a changé, à l'heure du Forum de Strasbourg. Par Mariana Tfeyl-Calleja, Avocate.
La révision de la directive européenne sur le devoir de vigilance des entreprises (CSDDD) par l’Omnibus I, couplée à l’émergence de cadres réglementaires comme l’AI Act, redéfinit les obligations des acteurs technologiques en matière de droits humains. À l’aube du Forum de Strasbourg, l’article interroge la cohérence entre ces dispositifs et leur capacité à encadrer les risques systémiques, notamment ceux liés à l’intelligence artificielle, où se croisent enjeux de traçabilité, de responsabilité et de gouvernance intégrée.
Quels changements majeurs l’Omnibus I a-t-il apportés à la directive CSDDD, et pourquoi ces ajustements sont-ils significatifs pour les entreprises technologiques ?
L’Omnibus I a relevé le seuil d’assujettissement de la CSDDD à plus de 5 000 salariés et 1,5 milliard d’euros de chiffre d’affaires net mondial, réduisant ainsi le périmètre des entreprises concernées. Le calendrier de transposition a également été repoussé au 26 juillet 2028, avec une application effective en 2029. Ces modifications excluent une grande partie des acteurs technologiques intermédiaires, mais ne les dispensent pas de devoirs de vigilance, notamment s’ils sont fournisseurs directs de groupes assujettis ou soumis à des législations nationales comme la loi française de 2017.
Comment l’intelligence artificielle devient-elle un point de bascule pour le devoir de vigilance, et quels cadres réglementaires s’articulent autour de ce sujet ?
L’AI Act classe certains systèmes d’IA comme à haut risque, notamment ceux utilisés pour le recrutement ou l’administration de la justice, dont les impacts sur les droits fondamentaux recoupent les risques que la CSDDD cherche à prévenir. Cette convergence entre RGPD, AI Act et devoir de vigilance impose aux entreprises de cartographier les flux de données et les risques associés, même si elles ne sont pas directement soumises à la CSDDD. Les outils juridiques numériques, comme les plateformes de gestion contractuelle augmentée, jouent un rôle clé dans cette structuration.
Quel est l’enjeu principal pour les entreprises technologiques face à la multiplication des cadres réglementaires (RGPD, AI Act, CSDDD) ?
L’enjeu réside dans la construction d’une cartographie unique des flux de données et des risques, exploitable simultanément pour répondre aux exigences du RGPD, de l’AI Act et, le cas échéant, du devoir de vigilance. Plutôt que d’empiler des conformités distinctes, les entreprises doivent adopter une approche intégrée, où la traçabilité et l’accountability deviennent des leviers de gouvernance plutôt que des contraintes cloisonnées.
Ce que ça pourrait changer
Ces évolutions pourraient accélérer la standardisation des pratiques de vigilance numérique, notamment pour les acteurs technologiques qui devront concilier conformité réglementaire et responsabilité sociétale. Le Forum de Strasbourg pourrait servir de catalyseur pour clarifier les attentes des régulateurs et des parties prenantes, tout en soulignant les limites d’un cadre juridique encore fragmenté. À terme, une gouvernance intégrée pourrait émerger, réduisant les coûts de conformité et renforçant la résilience des chaînes de valeur face aux risques systémiques.
