Accessibilité site web et obligations de l’UE en 2027 : cookies, IA

Quelles règles de l’UE concernent le site d’une entreprise : la carte pour 2027

Le site d’une entreprise de l’UE ou ayant des clients de l’UE relève de plusieurs ensembles de règles à la fois. Ils ne se remplacent pas et visent différentes parties du site. Nous les réunissons en une carte, pour que vous sachiez quoi demander à un juriste.

• Accessibilité. Directive (UE) 2019/882, European Accessibility Act : applicable depuis le 28 juin 2025.
• Données personnelles. Règlement général RGPD : ce que vous collectez, pourquoi, comment vous en informez et comment vous le protégez.
• Cookies et traceurs. Directive ePrivacy et pratique des régulateurs nationaux : consentement avant l’activation de l’analytique et de la publicité.
• Intelligence artificielle. Règlement (UE) 2024/1689, EU AI Act : obligations de transparence pour les chatbots et les contenus générés.
• Informations sur l’éditeur et conditions pour les consommateurs. Par exemple les mentions légales (Impressum) pour les sites visant l’Allemagne et l’Autriche, et l’information sur les conditions de paiement, de retour et de rétractation.

Important : nous ne sommes pas juristes et nous ne rendons pas d’avis juridique. Nous exposons ici ce que disent les documents officiels et les synthèses de cabinets juridiques en octobre 2026, et nous signalons les points où les sources divergent. Toute décision concernant votre site mérite d’être validée par un juriste qui connaît votre marché. Si vous démarrez tout juste avec une société, commencez par l’article comment créer une entreprise en Europe, et pour le site destiné à la banque, lisez quel site faut-il à la banque et à Stripe.

European Accessibility Act : obligations pour un site web et date d’application

L’acte sur l’accessibilité s’applique depuis le 28 juin 2025. Parmi les services couverts figure le commerce électronique : services fournis à distance, à la demande du consommateur, pour conclure un contrat de consommation. D’après des synthèses de cabinets juridiques, cela concerne aussi les entreprises hors de l’UE si elles vendent à des consommateurs de l’UE. Les sites qui fonctionnent uniquement pour les entreprises (B2B) et ne concluent pas de contrats de consommation n’entrent généralement pas dans le champ, mais la limite dépend de la conception du site.

Ce qui est exigé en pratique

• Les informations et les interfaces doivent être perceptibles, utilisables, compréhensibles et robustes. Les références de contrôle sont les normes WCAG et la norme européenne EN 301 549.
• Tout le parcours du client : catalogue, fiche produit, panier, paiement, support.
• Une déclaration d’accessibilité publiée, et des procédures qui maintiennent la conformité.
• Un travail avec l’autorité nationale de surveillance en cas de demande.

Exceptions

Pour les microentreprises qui fournissent des services (moins de 10 salariés et un chiffre d’affaires ou un bilan n’excédant pas 2 millions d’euros), une exception est prévue. Mais les synthèses divergent sur son application au commerce en ligne, et les pays de l’UE ont transposé la directive de façons différentes. Il existe aussi une exception distincte lorsque le respect des exigences représente une charge disproportionnée ou modifie la nature du service. Ces questions sont tranchées par un juriste, pas par le titre d’un article.

Ce que doit faire le développeur : contraste, légendes des images, structure des titres, formulaires aux champs étiquetés, utilisation au clavier, focus visible, absence de pièges dans les menus. Mieux vaut le prévoir dès la conception. Nous avons décrit le tableau général des autres changements du développement dans l’article tendances web 2027.

RGPD pour un site web : check-list des éléments obligatoires

Le RGPD s’applique si vous traitez des données personnelles de personnes dans l’UE : via un formulaire de demande, une inscription, un compte, un paiement, l’analytique, un chat ou une vidéo. La taille de la société et son pays n’y changent rien si vous proposez des biens et des services à des personnes dans l’UE ou si vous observez leur comportement. Le minimum pour un site :

• Une politique de confidentialité. Qui vous êtes, quelles données vous collectez, pourquoi, sur quelle base, à qui vous les transmettez, combien de temps vous les conservez, comment la personne peut exercer ses droits. En langage simple.
• L’information dans le formulaire. À côté du formulaire, un lien clair vers la politique et, si nécessaire, une case de consentement distincte ; elle ne doit pas être cochée à l’avance.
• La liste des services auxquels vous transmettez des données. Messagerie, CRM, analytique, hébergement, système de paiement. Des contrats de traitement des données sont nécessaires avec eux.
• Un minimum de données. Ne demandez pas ce qui n’est pas nécessaire à la tâche.
• La sécurité. HTTPS, accès restreint, sauvegardes, protection des formulaires.
• Des canaux pour les demandes des personnes. Une adresse e-mail pour les questions sur les données et un processus de réponse clair.

Nous intégrons ces points aux sites par défaut, et nous réalisons les textes des politiques sous forme de modèles adaptés à la juridiction : la vérification finale revient au juriste du client. Les pays de l’UE ont leurs nuances et leurs noms : en Allemagne, c’est la Datenschutzerklärung, en Pologne le RODO, en Espagne la LOPDGDD. Ils ne changent pas le sens, mais influent sur les formulations.

Bandeau de cookies : ce que contrôlent les régulateurs

Les cookies et technologies similaires (pixels, SDK) exigent le consentement du visiteur s’ils ne sont pas nécessaires au fonctionnement du site. La pratique des régulateurs s’est durcie ces dernières années. La CNIL française souligne que refuser les cookies doit être aussi simple que les accepter, et a enjoint à des éditeurs de modifier des bandeaux où le refus était caché ou présenté de façon à pousser l’utilisateur à « accepter ». L’approche varie selon les pays : par exemple, un bouton de refus est-il nécessaire dès le premier niveau du bandeau. Les régulateurs français et britannique en parlent expressément, d’autres, comme l’espagnol, sont plus souples dans leurs formulations. Appuyez-vous donc sur les exigences du pays visé par le site.

À quoi ressemble une bonne mise en œuvre

• Avant le consentement, ni l’analytique, ni la publicité, ni les vidéos tierces avec suivi ne se chargent.
• Les boutons « accepter » et « refuser » ont la même apparence et se trouvent côte à côte.
• Il y a des réglages détaillés par catégories et la liste des cookies utilisés.
• Le choix est conservé et facile à modifier plus tard.
• La langue du bandeau correspond à celle de la page.

Si vous n’avez pas besoin de traceurs, la solution la plus simple est d’y renoncer et d’utiliser une analytique sans cookies. Le bandeau peut alors être minimal. Mais décidez avec un juriste si un bandeau est nécessaire dans votre pays.

EU AI Act et IA sur le site : ce qui s’applique déjà

Le règlement (UE) 2024/1689 a été introduit par étapes. D’après des synthèses de cabinets juridiques, la date principale est le 2 août 2026 : c’est à partir de ce jour que s’appliquent les obligations de transparence de l’article 50. Si un assistant IA ou un chatbot fonctionne sur le site, il faut informer la personne qu’elle échange avec une IA, si ce n’est pas évident. Les contenus générés par l’IA (images, son, vidéo, texte) doivent être signalés sous une forme lisible par machine, et les deepfakes et certains textes publiés pour informer le public doivent être explicitement étiquetés. Pour les systèmes mis en service avant le 2 août 2026, les synthèses mentionnent un délai transitoire pour l’étiquetage jusqu’au 2 décembre 2026.

Les exigences pour les systèmes « à haut risque » (par exemple en recrutement ou en évaluation de personnes) ont, selon ces mêmes synthèses, été reportées par l’« omnibus numérique » (selon les synthèses, règlement (UE) 2026/1744, publié en juillet 2026) au 2 décembre 2027 pour certaines catégories et au 2 août 2028 pour celles intégrées à des produits. Pour un site ordinaire de petite entreprise, les systèmes à haut risque ne se rencontrent presque jamais. Comme nous nous appuyons sur des synthèses et non sur le texte des modifications, vérifiez les dates en vigueur au Journal officiel et auprès d’un juriste.

Ce qu’il faut faire sur le site : signaler le bot comme IA dès le premier message, indiquer comment joindre un humain, ne pas publier d’images générées de personnes présentées comme de « vrais clients » et tenir une liste interne des outils d’IA que vous utilisez. Nous avons parlé du coût et du fonctionnement des bots dans l’article combien coûte un chatbot ou un assistant IA, et de la façon de faire apparaître un site dans les réponses des services d’IA dans l’article comment apparaître dans les réponses de ChatGPT.

Mentions légales, données de l’entreprise et conditions pour les consommateurs

Pour les sites visant l’Allemagne et l’Autriche, il faut des mentions légales (Impressum) : les données de l’éditeur du site, accessibles sans effort. La notice de l’IHK Ostwestfalen renvoie au § 5 DDG. Les mentions comprennent en général le nom et la forme juridique, l’adresse, un moyen de contact (e-mail et un second canal), les données d’immatriculation et, le cas échéant, le numéro de TVA et le responsable. Leur contenu dépend de l’activité ; un juriste les vérifie donc.

Si vous vendez à des consommateurs, le site doit présenter des conditions claires : prix toutes taxes comprises, modes de paiement et de livraison, délai et modalités de retour, information sur le droit du consommateur de se rétracter, contacts pour les réclamations. Ce n’est pas une « formalité décorative » : les banques et les systèmes de paiement regardent justement cela, et les erreurs entraînent litiges et amendes. Pour le détail de ce que regarde la banque, voir l’article sur le site pour la banque et Stripe. Pour un nouveau site avec des pages juridiques adaptées à la juridiction, le « site web en 24 heures » à 599 € convient, et pour un site avec blog et deux langues, le « site professionnel » à 2 490 €.

Conseil pratique : constituez un « dossier du site », un document unique avec la liste des pages, des formulaires, des services auxquels les données sont transmises, des cookies utilisés et des outils d’IA, la date de la dernière vérification et le nom du responsable. Ce dossier fait gagner du temps au juriste, aide à répondre vite à une demande de la banque ou du régulateur et montre que vous prenez les exigences au sérieux. Il faut le mettre à jour à chaque changement notable du site : nouveau formulaire, nouveau service d’analytique, nouveau widget. Les manquements surviennent souvent non à la création du site, mais plus tard, quand quelqu’un a ajouté un script dont on a oublié de parler au juriste.

Check-list : conformité du site aux exigences de l’UE

Cochez les points que vous avez remplis. La check-list est un outil d’autocontrôle, pas un avis juridique ni un certificat de conformité. Si une partie des points n’est pas cochée, c’est une raison d’en parler avec un juriste et un développeur.

Comment nous l’avons établie : nous avons retenu les points qui découlent des documents et de la pratique des régulateurs cités ci-dessus. Les poids reflètent l’influence de chaque point sur le risque. Pour le contrôle bancaire, il existe une check-list distincte dans l’article sur la banque et Stripe.

Que choisir dans votre situation

• Vous vendez à des consommateurs de l’UE. Commencez par l’accessibilité et les conditions d’achat, puis les cookies et les politiques. C’est ce que vérifient le plus souvent les clients comme les banques.
• Votre site n’est qu’une vitrine avec un formulaire de demande. Une politique, un formulaire correct et un bandeau soigné suffisent ; mieux vaut quand même prévoir l’accessibilité.
• Votre site a un chat IA. Signalez-le comme IA et donnez un canal pour joindre un humain.
• Votre site est ancien. Commandez un audit : l’audit SEO à 490 € montre la base technique, tandis que l’accessibilité et les points juridiques se vérifient à part avec un juriste.
• Vous choisissez qui fera le site. Lisez comment choisir une agence web : demandez comment le prestataire prévoit l’accessibilité et la vie privée.

Les règles et leur interprétation changent : vérifiez donc l’état actuel à la date de votre décision. Pour les exigences applicables aux clients dans votre pays, demandez à un juriste ; nous ne rendons pas d’avis juridique.