Référence
Les textes européens sur le numérique définissent avec précision les termes dont dépendent leur champ et les obligations de chacun. Ce lexique cite ces définitions telles qu’elles figurent dans la version française publiée sur EUR-Lex (texte du Journal officiel ou, lorsque c’est indiqué, version consolidée), avec leur référence exacte. Lorsqu’un même mot est défini par deux textes, comme la mise sur le marché, chaque définition apparaît sous son texte. Les remarques en italique sont les nôtres.
Sommaire
Index : Attestation électronique d’attributs (eIDAS 2) · Cachet électronique (eIDAS 2) · Certificat qualifié d’authentification de site internet (eIDAS 2) · Contrôleur d’accès (DMA) · Déployeur (AI Act) · Détenteur de données (Data Act) · Données à caractère personnel (RGPD) · Entité essentielle (NIS2) · Entité importante (NIS2) · Entreprise utilisatrice (DMA) · Équivalence fonctionnelle (Data Act) · Fabricant (Cyber Resilience Act) · Fournisseur (AI Act) · Frais de changement de fournisseur (Data Act) · Hypertrucage (AI Act) · Incident (NIS2) · Incident grave (Cyber Resilience Act) · Incident important (NIS2) · Intendant de logiciels ouverts (Cyber Resilience Act) · Mise sur le marché (AI Act) · Mise sur le marché (Cyber Resilience Act) · Modèle d’IA à usage général (AI Act) · Moyenne entreprise (NIS2) · Nomenclature des logiciels (Cyber Resilience Act) · Partie utilisatrice (eIDAS 2) · Portefeuille européen d’identité numérique (eIDAS 2) · Produit comportant des éléments numériques (Cyber Resilience Act) · Produit connecté (Data Act) · Responsable du traitement (RGPD) · Risque systémique (AI Act) · Service connexe (Data Act) · Service de confiance (eIDAS 2) · Service de confiance qualifié (eIDAS 2) · Service de plateforme essentiel (DMA) · Service de traitement de données (Data Act) · Signature électronique qualifiée (eIDAS 2) · Sous-traitant (RGPD) · Système d’IA (AI Act) · Traitement de données à distance (Cyber Resilience Act) · Utilisateur final (DMA) · Vulnérabilité activement exploitée (Cyber Resilience Act)
AI Act
Système d’IA
« un système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels » (article 3, point 1).
Fournisseur
« une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit » (article 3, point 3).
Déployeur
« une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel » (article 3, point 4).
L’entreprise qui utilise un système d’IA sous sa propre autorité dans son activité est déployeur, même si elle ne l’a pas développé.
Mise sur le marché
« la première mise à disposition d’un système d’IA ou d’un modèle d’IA à usage général sur le marché de l’Union » (article 3, point 9).
Hypertrucage
« une image ou un contenu audio ou vidéo généré ou manipulé par l’IA, présentant une ressemblance avec des personnes, des objets, des lieux, des entités ou événements existants et pouvant être perçu à tort par une personne comme authentiques ou véridiques » (article 3, point 60).
Terme retenu par la version française du règlement pour deepfake.
Modèle d’IA à usage général
« un modèle d’IA, y compris lorsque ce modèle d’IA est entraîné à l’aide d’un grand nombre de données utilisant l’auto-supervision à grande échelle, qui présente une généralité significative et est capable d’exécuter de manière compétente un large éventail de tâches distinctes, indépendamment de la manière dont le modèle est mis sur le marché, et qui peut être intégré dans une variété de systèmes ou d’applications en aval, à l’exception des modèles d’IA utilisés pour des activités de recherche, de développement ou de prototypage avant leur mise sur le marché » (article 3, point 63).
Risque systémique
« un risque spécifique aux capacités à fort impact des modèles d’IA à usage général, ayant une incidence significative sur le marché de l’Union en raison de leur portée ou d’effets négatifs réels ou raisonnablement prévisibles sur la santé publique, la sûreté, la sécurité publique, les droits fondamentaux ou la société dans son ensemble, pouvant être propagé à grande échelle tout au long de la chaîne de valeur » (article 3, point 65).
Un modèle d’IA à usage général est classé comme présentant un risque systémique s’il a des capacités à fort impact (article 51, paragraphe 1, point a) ; il est présumé en avoir lorsque la quantité cumulée de calcul utilisée pour son entraînement dépasse 1025 opérations en virgule flottante (paragraphe 2). La Commission peut modifier ces seuils par acte délégué (paragraphe 3).
Cyber Resilience Act
Produit comportant des éléments numériques
« un produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants logiciels ou matériels mis sur le marché séparément » (article 3, point 1).
Traitement de données à distance
« tout traitement de données à distance pour lequel le logiciel est conçu et développé par le fabricant ou sous la responsabilité de ce dernier, et dont l’absence empêcherait le produit comportant des éléments numériques d’exécuter une de ses fonctions » (article 3, point 2).
Le backend cloud d’un objet connecté ou d’une application relève donc du produit lorsqu’il remplit ces deux conditions.
Fabricant
« une personne physique ou morale qui développe ou fabrique des produits comportant des éléments numériques ou fait concevoir, développer ou fabriquer des produits comportant des éléments numériques, et les commercialise sous son propre nom ou sa propre marque, à titre onéreux, monétisé ou gratuit » (article 3, point 13).
Intendant de logiciels ouverts
« une personne morale, autre que le fabricant, qui a pour objectif ou finalité de fournir un soutien systématique et continu au développement de produits spécifiques comportant des éléments numériques qui répondent aux critères de logiciels libres et ouverts et sont destinés à des activités commerciales, et qui assure la viabilité de ces produits » (article 3, point 14).
Mise sur le marché
« la première mise à disposition d’un produit comportant des éléments numériques sur le marché de l’Union » (article 3, point 21).
À ne pas confondre avec la « mise à disposition sur le marché » (point 22), qui vise toute fourniture d’un produit dans le cadre d’une activité commerciale ; la mise sur le marché n’est que la première de ces mises à disposition.
Nomenclature des logiciels
« un document officiel contenant les détails et les relations avec la chaîne d’approvisionnement des différents composants utilisés dans la fabrication d’un produit comportant des éléments numériques » (article 3, point 39).
Terme retenu par la version française du règlement pour SBOM (software bill of materials).
Vulnérabilité activement exploitée
« une vulnérabilité pour laquelle il existe des preuves fiables qu’elle a été exploitée par un acteur malveillant dans un système sans l’autorisation du propriétaire du système » (article 3, point 42).
Incident grave
« un incident ayant des répercussions sur la sécurité du produit comportant des éléments numériques est considéré comme grave lorsque : a) il entache ou est susceptible d’entacher la capacité d’un produit comportant des éléments numériques à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou fonctions sensibles ou importantes ; ou b) il a conduit ou est susceptible de conduire à l’introduction ou à l’exécution d’un code malveillant dans un produit comportant des éléments numériques ou dans le réseau et les systèmes d’information d’un utilisateur du produit comportant des éléments numériques » (article 14, paragraphe 5).
L’expression n’est pas définie à l’article 3 : c’est l’article 14 qui fixe ces critères, pour l’obligation de signalement.
Data Act
Produit connecté
« un objet qui obtient, génère ou recueille des données concernant son utilisation ou son environnement, qui est en mesure de communiquer des données relatives au produit par l’intermédiaire d’un service de communications électroniques, d’une connexion physique ou d’un dispositif d’accès intégré et dont la fonction première n’est pas de stocker, de traiter ou de transmettre des données pour le compte de toute partie autre que l’utilisateur » (article 2, point 5).
Service connexe
« un service numérique, autre qu’un service de communications électroniques, y compris un logiciel, qui est connecté au produit au moment de l’achat, ou de la mise en location ou en crédit-bail, de telle sorte que son absence empêcherait le produit connecté d’exécuter une ou plusieurs de ses fonctions, ou qui est ensuite connecté au produit par le fabricant ou un tiers pour ajouter, mettre à jour ou adapter les fonctions du produit connecté » (article 2, point 6).
Service de traitement de données
« un service numérique qui est fourni à un client et qui permet un accès par réseau en tout lieu et à la demande à un ensemble partagé de ressources informatiques configurables, modulables et variables de nature centralisée, distribuée ou fortement distribuée, qui peuvent être rapidement mobilisées et libérées avec un minimum d’efforts de gestion ou d’interaction avec le fournisseur de services » (article 2, point 8).
Cette définition couvre le cloud au sens du Data Act, de l’infrastructure au logiciel en ligne.
Détenteur de données
« une personne physique ou morale qui, conformément au présent règlement, aux dispositions applicables du droit de l’Union ou à la législation nationale adoptée conformément au droit de l’Union, a le droit ou l’obligation d’utiliser et de mettre à disposition des données, y compris, lorsqu’il en a été convenu par contrat, des données relatives au produit ou des données relatives au service connexe qu’elle a extraites ou générées au cours de la fourniture d’un service connexe » (article 2, point 13).
Frais de changement de fournisseur
« les frais, autres que les frais de service standard ou les pénalités de résiliation anticipée, imposés par un fournisseur de services de traitement de données à un client pour les actions requises par le présent règlement pour changer de fournisseur en passant au système d’un fournisseur différent ou à une infrastructure TIC sur site, y compris les frais de transfert des données » (article 2, point 36).
Ils sont interdits à partir du 12 janvier 2027 ; jusque-là, des frais réduits, limités aux coûts directement liés au changement, restent permis (article 29). Les services conçus sur mesure et les versions d’essai échappent à cette règle (article 31).
Équivalence fonctionnelle
« le rétablissement, sur la base des données exportables et des actifs numériques du client, d’un niveau minimal de fonctionnalité dans l’environnement d’un nouveau service de traitement de données du même type de service après le processus de changement de fournisseur, lorsque le service de traitement de données de destination donne un résultat sensiblement comparable en réponse à la même entrée pour les fonctionnalités partagées fournies au client en vertu du contrat » (article 2, point 37).
DMA
Contrôleur d’accès
« une entreprise fournissant des services de plateforme essentiels, désignée conformément à l’article 3 » (article 2, point 1).
Le terme anglais est gatekeeper. Sept entreprises sont désignées au 1er novembre 2026.
Service de plateforme essentiel
Article 2, point 2 : « l’un des services suivants :
- a) services d’intermédiation en ligne ;
- b) moteurs de recherche en ligne ;
- c) services de réseaux sociaux en ligne ;
- d) services de plateformes de partage de vidéos ;
- e) services de communications interpersonnelles non fondés sur la numérotation ;
- f) systèmes d’exploitation ;
- g) navigateurs internet ;
- h) assistants virtuels ;
- i) services d’informatique en nuage ;
- j) services de publicité en ligne, y compris tout réseau publicitaire, échange publicitaire et autre service d’intermédiation publicitaire, fourni par une entreprise qui met à disposition n’importe lequel des services de plateforme essentiels énumérés aux points a) à i) »
Utilisateur final
« toute personne physique ou morale utilisant des services de plateforme essentiels autrement qu’en tant qu’entreprise utilisatrice » (article 2, point 20).
Entreprise utilisatrice
« toute personne physique ou morale agissant à titre commercial ou professionnel qui utilise des services de plateforme essentiels aux fins ou dans le cadre de la fourniture de biens ou de services à des utilisateurs finaux » (article 2, point 21).
eIDAS 2
Partie utilisatrice
« une personne physique ou morale qui se fie à une identification électronique, aux portefeuilles européens d’identité numérique ou à d’autres moyens d’identification électronique, ou à un service de confiance » (article 3, point 6).
Signature électronique qualifiée
« une signature électronique avancée qui est créée à l’aide d’un dispositif de création de signature électronique qualifié, et qui repose sur un certificat qualifié de signature électronique » (article 3, point 12).
Service de confiance
Article 3, point 16 : « un service électronique normalement fourni contre rémunération qui consiste en l’une des activités suivantes :
- a) la délivrance de certificats de signature électronique, de certificats de cachet électronique, de certificats pour l’authentification de site internet ou de certificats pour la fourniture d’autres services de confiance ;
- b) la validation de certificats de signature électronique, de certificats de cachet électronique, de certificats pour l’authentification de site internet ou de certificats pour la fourniture d’autres services de confiance ;
- c) la création de signatures électroniques ou de cachets électroniques ;
- d) la validation de signatures électroniques ou de cachets électroniques ;
- e) la conservation de signatures électroniques, de cachets électroniques, de certificats de signature électronique ou de certificats de cachet électronique ;
- f) la gestion de dispositifs de création de signature électronique à distance ou de dispositifs de création de cachet électronique à distance ;
- g) la délivrance d’attestations électroniques d’attributs ;
- h) la validation d’attestations électroniques d’attributs ;
- i) la création d’horodatages électroniques ;
- j) la validation d’horodatages électroniques ;
- k) la fourniture de services d’envoi recommandé électronique ;
- l) la validation de données transmises au moyen de services d’envoi recommandé électronique, ainsi que de preuves connexes ;
- m) l’archivage électronique de données électroniques et de documents électroniques ;
- n) l’enregistrement de données électroniques dans un registre électronique »
Service de confiance qualifié
« un service de confiance qui satisfait aux exigences du présent règlement » (article 3, point 17).
Cachet électronique
« des données sous forme électronique, qui sont jointes ou associées logiquement à d’autres données sous forme électronique pour garantir l’origine et l’intégrité de ces dernières » (article 3, point 25).
La signature électronique est créée par une personne physique, le signataire ; le cachet électronique l’est par une personne morale et garantit l’origine et l’intégrité des données auxquelles il est joint (article 3, points 9, 24 et 25).
Certificat qualifié d’authentification de site internet
« un certificat d’authentification de site internet, qui est délivré par un prestataire de services de confiance qualifié et qui satisfait aux exigences fixées à l’annexe IV » (article 3, point 39).
On le désigne souvent par son sigle anglais, QWAC.
Portefeuille européen d’identité numérique
« un moyen d’identification électronique qui permet à l’utilisateur de stocker, de gérer et de valider en toute sécurité des données d’identification personnelle et des attestations électroniques d’attributs afin de les fournir aux parties utilisatrices et aux autres utilisateurs des portefeuilles européens d’identité numérique, et de signer au moyen de signatures électroniques qualifiées ou d’apposer des cachets au moyen de cachets électroniques qualifiés » (article 3, point 42).
Attestation électronique d’attributs
« une attestation sous forme électronique qui permet l’authentification d’attributs » (article 3, point 44).
Elle peut attester par exemple un diplôme, un permis ou une qualification professionnelle ; l’attribut est défini comme « une caractéristique, une qualité, un droit ou une autorisation » (article 3, point 43).
NIS2
Incident
« un événement compromettant la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données stockées, transmises ou faisant l’objet d’un traitement, ou des services que les réseaux et systèmes d’information offrent ou rendent accessibles » (article 6, point 6).
Incident important
« Un incident est considéré comme important si : a) il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité concernée ; b) il a affecté ou est susceptible d’affecter d’autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables » (article 23, paragraphe 3).
L’incident important déclenche l’obligation de notification (article 23, paragraphe 1).
Entité essentielle
Article 3, paragraphe 1 : « les entités suivantes sont considérées comme étant des entités essentielles :
- a) les entités d’un type visé à l’annexe I qui dépassent les plafonds applicables aux moyennes entreprises prévus à l’article 2, paragraphe 1, de l’annexe de la recommandation 2003/361/CE ;
- b) les prestataires de services de confiance qualifiés et les registres de noms de domaine de premier niveau ainsi que les fournisseurs de services DNS, quelle que soit leur taille ;
- c) les fournisseurs de réseaux publics de communications électroniques publics ou de services de communications électroniques accessibles au public qui constituent des moyennes entreprises en vertu de l’article 2 de l’annexe de la recommandation 2003/361/CE ;
- d) les entités de l’administration publique visées à l’article 2, paragraphe 2, point f) i) ;
- e) toute autre entité d’un type visé à l’annexe I ou II qui est identifiée par un État membre en tant qu’entité essentielle en vertu de l’article 2, paragraphe 2, points b) à e) ;
- f) les entités recensées en tant qu’entités critiques en vertu de la directive (UE) 2022/2557, visées à l’article 2, paragraphe 3, de la présente directive ;
- g) si l’État membre en dispose ainsi, les entités que cet État membre a identifiées avant le 16 janvier 2023 comme des opérateurs de services essentiels conformément à la directive (UE) 2016/1148 ou au droit national »
Entité importante
« les entités d’un type visé à l’annexe I ou II qui ne constituent pas des entités essentielles en vertu du paragraphe 1 du présent article sont considérées comme des entités importantes. Celles-ci incluent les entités identifiées par un État membre en tant qu’entités importantes en vertu de l’article 2, paragraphe 2, points b) à e) » (article 3, paragraphe 2).
Moyenne entreprise
La recommandation 2003/361/CE ne définit pas la moyenne entreprise en tant que telle. Son annexe classe parmi les PME les entreprises « qui occupent moins de 250 personnes et dont le chiffre d’affaires annuel n’excède pas 50 millions d’euros ou dont le total du bilan annuel n’excède pas 43 millions d’euros » (article 2, paragraphe 1), puis définit les petites entreprises (moins de 50 personnes, 10 millions d’euros) et les microentreprises (moins de 10 personnes, 2 millions d’euros). La moyenne entreprise est donc la PME qui n’est ni petite ni micro. Une entreprise dépasse ces plafonds si elle occupe au moins 250 personnes, ou si son chiffre d’affaires annuel dépasse 50 millions d’euros et son total de bilan 43 millions d’euros. C’est ce critère que NIS2 retient pour qualifier d’entités essentielles les entités de son annexe I (article 3, paragraphe 1, point a) ; son point c) vise, lui, les fournisseurs de communications électroniques qui sont des moyennes entreprises. Les règles de calcul, qui tiennent compte des entreprises partenaires ou liées, figurent aux articles 3 à 6 de l’annexe.
RGPD
Données à caractère personnel
« toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée ») ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale » (article 4, point 1).
Responsable du traitement
« la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l’Union ou le droit d’un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l’Union ou par le droit d’un État membre » (article 4, point 7).
Sous-traitant
« la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement » (article 4, point 8).
Un éditeur SaaS qui traite des données à caractère personnel pour le compte de son client est en principe son sous-traitant.
Historique des mises à jour
1er novembre 2026 : création du lexique, 41 termes.
Textes et sources officielles
- Règlement (UE) 2024/1689 (AI Act), version consolidée au 27 juillet 2026.
- Règlement (UE) 2024/2847 (Cyber Resilience Act).
- Règlement (UE) 2023/2854 (Data Act).
- Règlement (UE) 2022/1925 (Digital Markets Act).
- Règlement (UE) n° 910/2014 modifié (eIDAS 2), version consolidée au 18 octobre 2024.
- Directive (UE) 2022/2555 (NIS2) et recommandation 2003/361/CE concernant la définition des micro, petites et moyennes entreprises.
- Règlement (UE) 2016/679 (RGPD).
Sur le site : tous les dossiers et le calendrier des échéances numériques.