5 août 2026.
Présentation générale
Le Data Governance Act, ou DGA, est le règlement (UE) 2022/868 du 30 mai 2022 sur la gouvernance européenne des données.
Il est entré en vigueur le 23 juin 2022 et est applicable depuis le 24 septembre 2023. Il constitue l’une des premières composantes de la stratégie européenne visant à créer un marché unique des données dans lequel celles-ci peuvent circuler entre les secteurs et les États membres dans un cadre sécurisé et digne de confiance.
Le DGA ne crée pas un droit général d’accès à toutes les données. Il organise principalement les mécanismes permettant leur mise à disposition et leur partage.
Il comporte quatre piliers :
- la réutilisation de certaines données protégées détenues par des organismes du secteur public ;
- l’encadrement des services d’intermédiation de données ;
- la reconnaissance d’organisations altruistes en matière de données ;
- la création du Comité européen de l’innovation dans le domaine des données.
Le règlement poursuit un objectif de confiance. De nombreuses données restent sous-utilisées parce que leurs détenteurs craignent :
- une perte de contrôle ;
- une exploitation commerciale non autorisée ;
- une divulgation de secrets ;
- une violation du RGPD ;
- un transfert vers un pays tiers ;
- une dépendance à une grande plateforme ;
- une utilisation pour une finalité non prévue.
Le DGA cherche à réduire ces obstacles au moyen :
- d’intermédiaires neutres ;
- de procédures sécurisées ;
- d’autorités nationales de contrôle ;
- de registres européens ;
- de conditions spécifiques de réutilisation ;
- d’une gouvernance commune.
Son importance pour l’intelligence artificielle tient au fait que le développement de systèmes performants dépend de l’accès à des jeux de données diversifiés, fiables et juridiquement exploitables. Le DGA peut faciliter la constitution de tels corpus dans des secteurs comme la santé, la mobilité, l’énergie, l’agriculture, l’environnement, la finance, l’administration publique ou la recherche.
Le règlement ne constitue toutefois pas une base juridique autorisant automatiquement l’entraînement d’un modèle d’IA. La protection des données personnelles, le droit d’auteur, le secret des affaires, les droits sur les bases de données et les règles sectorielles demeurent applicables.
Texte officiel
Points essentiels
- Le Data Governance Act est applicable depuis le 24 septembre 2023.
- Il concerne les données personnelles et non personnelles.
- Il ne crée pas un droit général d’accès aux données.
- Il organise des mécanismes de partage volontaire et de réutilisation encadrée.
- Il facilite la réutilisation de certaines données protégées détenues par le secteur public.
- Il ne contraint pas les organismes publics à ouvrir les données auxquelles l’accès demeure juridiquement interdit.
- Les services d’intermédiation doivent agir comme des tiers neutres.
- Ils ne peuvent pas exploiter les données intermédiées pour développer leurs propres produits ou services.
- Leur activité est soumise à une notification préalable auprès de l’autorité compétente.
- En France, l’Arcep contrôle les prestataires de services d’intermédiation de données.
- Le DGA crée un statut européen volontaire d’organisation altruiste en matière de données reconnue.
- En France, la CNIL est compétente pour l’altruisme des données.
- L’altruisme permet une mise à disposition volontaire de données pour des objectifs d’intérêt général.
- Le DGA crée le Comité européen de l’innovation dans le domaine des données.
- Il soutient le développement des espaces européens communs de données.
- Il ne remplace ni le RGPD, ni le Data Act, ni l’AI Act.
- Une donnée partagée au titre du DGA ne devient pas libre de toute restriction.
- Les transferts internationaux et les accès d’autorités étrangères restent encadrés.
- Le DGA peut faciliter la disponibilité de données utiles à l’entraînement, à l’évaluation et au déploiement de systèmes d’IA.
1. Finalité du Data Governance Act
1.1. Accroître la confiance dans le partage des données
Le DGA part du constat que les données disponibles en Europe ne sont pas pleinement utilisées.
Les obstacles ne sont pas seulement techniques. Ils sont également :
- juridiques ;
- économiques ;
- organisationnels ;
- concurrentiels ;
- éthiques.
Une entreprise peut souhaiter partager des données industrielles sans permettre à l’intermédiaire d’en tirer un avantage concurrentiel.
Une personne peut accepter que ses données soient utilisées pour la recherche médicale sans souhaiter qu’elles servent à la publicité.
Un organisme public peut détenir des données utiles à la recherche, mais couvertes par :
- le secret des affaires ;
- le secret statistique ;
- des droits de propriété intellectuelle ;
- des règles de protection des données.
Le DGA cherche à créer des structures permettant ces usages sans supprimer les protections existantes.
1.2. Soutenir le marché unique des données
Le règlement s’inscrit dans la stratégie européenne pour les données.
L’objectif est de favoriser la circulation des données :
- entre secteurs ;
- entre entreprises ;
- entre administrations et chercheurs ;
- entre États membres ;
- au sein des espaces européens communs de données.
Le DGA doit notamment soutenir les espaces de données consacrés à la santé, à la mobilité, à l’industrie, à l’agriculture, à l’énergie, à la finance, à l’environnement et à l’administration publique.
1.3. Soutenir l’innovation et l’IA
Une petite entreprise ou un organisme de recherche ne dispose pas toujours des volumes de données nécessaires pour entraîner ou évaluer un système d’IA.
Le DGA peut faciliter :
- l’identification de données disponibles ;
- leur mise à disposition dans un environnement sécurisé ;
- la mise en relation entre détenteurs et utilisateurs ;
- la collecte volontaire de données d’intérêt général ;
- la définition de standards de gouvernance ;
- l’interopérabilité entre les espaces de données.
Il ne garantit cependant ni la qualité des données, ni leur représentativité, ni leur adéquation à une finalité d’IA déterminée.
2. Réutilisation de données protégées du secteur public
2.1. Données concernées
Le premier pilier du DGA concerne certaines données détenues par des organismes du secteur public et protégées en raison :
- du secret des affaires ;
- du secret statistique ;
- de droits de propriété intellectuelle de tiers ;
- de la protection des données personnelles.
Le règlement ne rend pas ces données automatiquement ouvertes.
Il établit des conditions harmonisées lorsque le droit national ou européen permet leur réutilisation.
Il doit donc être distingué de la directive Open Data, qui organise plus largement la réutilisation des informations du secteur public.
2.2. Absence d’obligation générale de communication
Le DGA ne crée pas un droit d’obtenir une donnée jusque-là inaccessible.
L’organisme public doit d’abord vérifier qu’il peut juridiquement autoriser sa réutilisation.
Des données peuvent demeurer exclues notamment lorsqu’elles relèvent :
- de la sécurité publique ;
- de la défense ;
- du secret juridictionnel ;
- de missions extérieures au service public ;
- de droits appartenant entièrement à des tiers ;
- de documents dont l’accès est interdit par une règle particulière.
2.3. Conditions de réutilisation
L’organisme public peut imposer des conditions destinées à protéger les droits et intérêts concernés.
Il peut notamment exiger :
- l’anonymisation des données personnelles ;
- la modification, l’agrégation ou la suppression d’informations confidentielles ;
- l’accès dans un environnement de traitement sécurisé ;
- l’interdiction de tenter de réidentifier les personnes ;
- le respect d’obligations de confidentialité ;
- la soumission des résultats avant leur publication.
L’accès peut être organisé à distance ou dans un environnement contrôlé dans lequel le réutilisateur ne peut extraire que des résultats autorisés.
2.4. Environnements sécurisés
Les environnements sécurisés sont particulièrement utiles lorsque les données ne peuvent pas être librement copiées.
Ils permettent, par exemple :
- d’exécuter un algorithme sur des données de santé sans télécharger le fichier complet ;
- de produire des statistiques à partir de données confidentielles ;
- d’évaluer un modèle d’IA sans révéler toutes les informations individuelles ;
- de limiter les possibilités de réidentification.
La sécurité technique ne dispense pas de disposer d’une base juridique pour les traitements de données personnelles.
2.5. Interdiction des accords exclusifs
La réutilisation ne doit normalement pas être réservée à une entreprise unique.
Les accords d’exclusivité sont en principe interdits, sauf lorsqu’ils sont nécessaires à la fourniture d’un service ou d’un produit d’intérêt général qui ne pourrait autrement être réalisé.
Une telle exclusivité doit être :
- justifiée ;
- limitée dans le temps ;
- transparente ;
- réexaminée périodiquement.
L’objectif est d’éviter que les données publiques protégées soient captées durablement par un acteur unique.
3. Point d’information unique et organismes compétents
Les États membres doivent prévoir un point d’information unique permettant aux réutilisateurs potentiels :
- d’identifier les données disponibles ;
- de connaître les conditions applicables ;
- de déposer une demande ;
- d’être orientés vers l’organisme compétent.
Ils doivent également désigner un ou plusieurs organismes chargés d’assister les entités publiques dans l’application du règlement.
Cette assistance peut notamment concerner :
- les techniques d’anonymisation ;
- les environnements sécurisés ;
- les conditions de réutilisation ;
- la protection de la propriété intellectuelle ;
- les transferts vers les pays tiers.
Le DGA cherche ainsi à éviter que chaque organisme public doive développer seul toutes les compétences juridiques et techniques nécessaires.
4. Services d’intermédiation de données
4.1. Définition
Les services d’intermédiation de données mettent en relation :
- les détenteurs de données ;
- les personnes concernées ;
- les utilisateurs souhaitant accéder aux données.
Ils peuvent prendre la forme :
- d’une place de marché de données ;
- d’un espace personnel de données ;
- d’un service de mise en commun de données industrielles ;
- d’une plateforme permettant aux personnes de gérer les autorisations d’utilisation de leurs données.
Leur fonction est comparable à celle d’un tiers de confiance.
4.2. Neutralité
Le principe central est la neutralité.
L’intermédiaire peut être rémunéré pour le service de mise en relation, mais il ne doit pas utiliser les données intermédiées pour son propre compte, par exemple pour :
- entraîner son propre modèle commercial ;
- vendre les données ;
- établir ses propres profils ;
- concurrencer les utilisateurs du service.
La Commission précise qu’un intermédiaire ne peut pas tirer directement profit de l’exploitation des données elles-mêmes, même s’il peut facturer la prestation d’intermédiation.
4.3. Séparation structurelle
Le service d’intermédiation doit être fourni par l’intermédiaire d’une personne morale distincte lorsque l’organisme exerce d’autres activités.
Cette séparation vise à éviter :
- les conflits d’intérêts ;
- la réutilisation interne des données ;
- les subventions croisées opaques ;
- la discrimination entre utilisateurs.
4.4. Conditions de fourniture
Le prestataire doit notamment :
- agir de manière loyale, transparente et non discriminatoire ;
- ne pas utiliser les données à d’autres fins que leur mise à disposition ;
- informer les parties des conditions du service ;
- assurer la sécurité ;
- prévenir les accès frauduleux ;
- faciliter le changement de format lorsque cela améliore l’interopérabilité ;
- disposer de procédures en cas d’insolvabilité ;
- conserver les journaux utiles à la conformité.
Il doit également éviter d’imposer des conditions commerciales dépendant de l’utilisation d’un autre service du même groupe.
4.5. Conseil aux personnes
Certains services permettent à des personnes physiques de gérer l’utilisation de leurs données.
Ils peuvent notamment les aider à :
- donner ou retirer un consentement ;
- définir des autorisations ;
- identifier les utilisateurs de données ;
- comprendre les conséquences du partage.
L’intermédiaire doit cependant éviter d’inciter les personnes à partager davantage de données que ce qui correspond réellement à leurs intérêts.
5. Notification et label européen
5.1. Notification préalable
Le fournisseur d’un service d’intermédiation doit notifier son activité à l’autorité compétente de l’État membre dans lequel il est établi.
Il peut commencer son activité après cette notification, sous réserve du respect des conditions prévues par le règlement.
Les prestataires non établis dans l’Union mais proposant leurs services dans l’Union doivent désigner un représentant légal européen.
5.2. Reconnaissance dans l’Union
Le prestataire qui démontre qu’il respecte les exigences du DGA peut utiliser la dénomination :
Prestataire de services d’intermédiation de données reconnu dans l’Union.
Un logo européen commun permet de signaler ce statut.
Cette reconnaissance ne garantit pas que toutes les opérations de données effectuées par les utilisateurs du service sont licites. Elle atteste principalement du respect du régime propre à l’intermédiaire.
5.3. Autorité française
En France, la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique a confié à l’Arcep la régulation des services d’intermédiation de données.
L’Arcep :
- reçoit les notifications ;
- contrôle les prestataires ;
- attribue le label européen ;
- traite les manquements relevant de sa compétence.
En juillet 2026, elle indiquait avoir reçu dix notifications et avoir accordé deux premiers labels, à M-iTrust et Hub One DataTrust.
Arcep – Services d’intermédiation de données
6. Altruisme en matière de données
6.1. Définition
L’altruisme en matière de données désigne la mise à disposition volontaire de données, sans recherche de contrepartie allant au-delà de la compensation des coûts, pour des objectifs d’intérêt général.
Les finalités peuvent notamment concerner :
- la santé publique ;
- la lutte contre le changement climatique ;
- l’amélioration des services publics ;
- la recherche scientifique ;
- la production de statistiques ;
- le développement de politiques publiques ;
- la mobilité ;
- la protection de l’environnement.
Une personne peut, par exemple, accepter que des données issues d’un dispositif de santé soient utilisées pour la recherche médicale.
Une entreprise peut mettre certaines données à disposition d’un projet environnemental.
6.2. Consentement et autorisation
Pour les données personnelles, l’altruisme repose notamment sur le consentement des personnes dans le respect du RGPD.
Pour les données non personnelles, le détenteur peut accorder une autorisation d’utilisation.
Le DGA prévoit un formulaire européen de consentement ou d’autorisation destiné à favoriser une expression harmonisée des choix.
Le consentement doit pouvoir être retiré dans les conditions du droit applicable.
6.3. Organisation altruiste reconnue
Le DGA crée un statut volontaire d’organisation altruiste en matière de données reconnue dans l’Union.
Pour être enregistrée, l’organisation doit notamment :
- être constituée en personne morale ;
- poursuivre des objectifs d’intérêt général ;
- exercer ses activités altruistes sans but lucratif ;
- être juridiquement indépendante de ses activités lucratives éventuelles ;
- respecter les exigences de transparence et de gouvernance.
6.4. Obligations
Une organisation reconnue doit notamment :
- tenir des registres sur les données traitées ;
- informer les personnes et détenteurs ;
- publier un rapport annuel ;
- protéger les droits et intérêts des personnes ;
- assurer un niveau approprié de sécurité ;
- respecter les règles de l’Union applicables aux données.
Elle ne peut pas utiliser le statut d’altruisme pour développer indirectement une activité commerciale incompatible avec son objet.
6.5. Registre européen
La Commission tient un registre européen des organisations altruistes reconnues. Ce registre est opérationnel et répertorie les organisations enregistrées par les autorités nationales.
Registre européen
6.6. Autorité française
La loi SREN a désigné la CNIL comme autorité française compétente pour l’altruisme en matière de données.
Elle :
- reçoit les demandes d’enregistrement ;
- tient le registre national ;
- contrôle les organisations reconnues ;
- traite les réclamations ;
- peut retirer la reconnaissance en cas de manquement.
La CNIL a publié en mars 2026 une foire aux questions consacrée à ce statut.
CNIL – Altruisme des données
7. Comité européen de l’innovation dans le domaine des données
7.1. Composition
Le DGA crée le European Data Innovation Board, ou EDIB, traduit par Comité européen de l’innovation dans le domaine des données.
Il réunit notamment des représentants :
- des autorités compétentes pour les services d’intermédiation ;
- des autorités compétentes pour l’altruisme ;
- du Comité européen de la protection des données ;
- du Contrôleur européen de la protection des données ;
- de l’ENISA ;
- de la Commission européenne ;
- des PME ;
- d’autorités sectorielles et d’experts.
7.2. Missions
Le comité conseille et assiste la Commission pour :
- assurer une application cohérente du DGA ;
- faciliter l’échange de bonnes pratiques ;
- développer l’interopérabilité ;
- favoriser les espaces européens de données ;
- élaborer des lignes directrices ;
- coordonner les autorités nationales ;
- conseiller sur les priorités de normalisation.
Il ne constitue pas une autorité judiciaire ou une autorité de sanction européenne autonome.
7.3. Intérêt pour l’IA
L’EDIB peut contribuer à harmoniser les conditions techniques et juridiques dans lesquelles les données sont partagées entre secteurs.
Cette coordination est importante pour les systèmes d’IA qui nécessitent :
- des métadonnées harmonisées ;
- des formats interopérables ;
- des règles d’accès compréhensibles ;
- une documentation des droits ;
- des mécanismes communs de confiance.
8. Transferts internationaux et accès d’autorités étrangères
8.1. Données non personnelles protégées
Le DGA contient des garanties concernant certaines données non personnelles protégées détenues par des organismes publics.
Il cherche notamment à empêcher qu’une juridiction ou une décision administrative d’un pays tiers permette un accès incompatible avec le droit de l’Union ou le droit national.
8.2. Décisions de pays tiers
Une décision étrangère imposant la transmission de données ne devrait être reconnue ou exécutée que lorsqu’elle repose sur :
- un accord international applicable ;
- ou, à défaut, certaines conditions strictes prévues par le règlement.
L’autorité étrangère doit notamment respecter les principes de proportionnalité, de motivation et de protection juridictionnelle.
8.3. Données hautement sensibles
Des règles sectorielles peuvent identifier certaines catégories de données non personnelles comme hautement sensibles.
Peuvent notamment être concernées des données dans les secteurs :
- de la santé ;
- de l’énergie ;
- de la finance ;
- de la mobilité ;
- de l’environnement.
Des conditions particulières peuvent alors être imposées pour leur transfert vers des pays tiers.
9. Articulation avec le RGPD
9.1. Absence de dérogation
Le DGA ne modifie pas les obligations du RGPD.
Lorsque le partage porte sur des données personnelles, il faut toujours déterminer :
- le responsable du traitement ;
- la finalité ;
- la base juridique ;
- les destinataires ;
- la durée de conservation ;
- les transferts ;
- les droits des personnes ;
- les mesures de sécurité.
Le fait qu’un intermédiaire soit reconnu ou qu’une organisation soit enregistrée comme altruiste ne constitue pas une base juridique autonome au sens du RGPD.
9.2. Intermédiaires et responsabilités
Un prestataire d’intermédiation peut être :
- sous-traitant ;
- responsable du traitement ;
- responsable conjoint ;
- ou n’exercer qu’une fonction technique limitée.
La qualification dépend de son pouvoir réel sur les finalités et les moyens.
Sa neutralité au titre du DGA ne détermine pas automatiquement sa qualification au titre du RGPD.
9.3. Consentement altruiste
Le consentement donné pour une finalité d’intérêt général doit respecter les conditions du RGPD :
- liberté ;
- caractère spécifique ;
- information ;
- manifestation non équivoque ;
- possibilité de retrait.
Un consentement très général à « la recherche » ou à « l’innovation » peut être insuffisant lorsqu’il ne permet pas de comprendre les usages envisagés.
10. Articulation avec le Data Act
Le Data Governance Act et le Data Act poursuivent des fonctions complémentaires.
Data Governance Act
Il cherche principalement à renforcer la confiance dans le partage volontaire grâce :
- aux intermédiaires neutres ;
- aux organisations altruistes ;
- à la réutilisation encadrée de données publiques protégées ;
- à une gouvernance européenne commune.
Data Act
Il crée ou précise davantage de droits et obligations matériels, notamment :
- l’accès aux données des produits connectés ;
- leur transmission à des tiers ;
- les conditions de partage entre entreprises ;
- la portabilité cloud ;
- les clauses contractuelles abusives ;
- les demandes exceptionnelles des autorités publiques.
La Commission résume cette articulation en indiquant que le DGA renforce la confiance dans les mécanismes volontaires, tandis que le Data Act apporte une plus grande clarté juridique sur l’accès et l’utilisation des données.
11. Articulation avec l’AI Act
11.1. Finalités distinctes
Le DGA organise la circulation et la gouvernance des données.
L’AI Act réglemente les systèmes et modèles d’intelligence artificielle selon leurs risques.
Le DGA ne détermine donc pas :
- si une IA est à haut risque ;
- si une pratique est interdite ;
- si un modèle présente un risque systémique ;
- quelles obligations de supervision humaine s’appliquent.
11.2. Complémentarité
Les données obtenues par un mécanisme relevant du DGA peuvent être utilisées pour développer une IA.
Le fournisseur doit alors également respecter, selon les cas :
- la gouvernance des données prévue par l’article 10 de l’AI Act ;
- la documentation technique ;
- la gestion des risques ;
- les règles relatives aux modèles à usage général ;
- le RGPD ;
- les licences et secrets applicables.
11.3. Intermédiaires et entraînement
Un intermédiaire ne peut pas utiliser les données qu’il intermédiatise pour entraîner son propre modèle commercial.
Il peut en revanche fournir une infrastructure permettant à un détenteur et à un utilisateur de conclure un partage destiné à l’entraînement d’une IA, sous réserve du respect des règles applicables.
12. DGA et espaces européens de données
Le DGA soutient le développement des espaces européens communs de données.
Ces espaces cherchent à permettre le partage dans un cadre sectoriel ou thématique doté :
- de règles de gouvernance ;
- de standards ;
- d’interfaces ;
- de mécanismes de confiance ;
- de conditions d’accès ;
- de garanties de sécurité.
Ils concernent notamment :
- l’Espace européen des données de santé ;
- les données industrielles ;
- la mobilité ;
- l’énergie ;
- l’agriculture ;
- la finance ;
- l’administration publique ;
- les compétences ;
- les données juridiques.
Un espace de données n’est pas nécessairement un entrepôt central. Il peut reposer sur une architecture fédérée dans laquelle les données restent auprès de leurs détenteurs.
13. DGA et données juridiques
Le DGA peut participer au développement de l’European Legal Data Space.
Les données juridiques concernées peuvent comprendre :
- des textes ;
- des décisions ;
- des métadonnées ;
- des statistiques judiciaires ;
- des informations sur les systèmes de justice.
Le DGA peut faciliter :
- l’accès à certaines données publiques protégées ;
- la création d’intermédiaires de confiance ;
- la mise à disposition volontaire de corpus ;
- l’interopérabilité des espaces de données.
Il ne supprime pas les règles relatives :
- à la pseudonymisation des décisions ;
- à la vie privée ;
- au secret judiciaire ;
- au droit des bases de données ;
- aux licences ;
- aux restrictions nationales de réutilisation.
14. DGA et recherche médicale
Le domaine médical constitue un exemple important.
Une organisation altruiste peut recueillir des autorisations afin que des personnes mettent volontairement des données à disposition d’un projet de recherche.
Un intermédiaire peut organiser un accès sécurisé entre :
- des hôpitaux ;
- des chercheurs ;
- des entreprises ;
- des associations de patients.
Les données peuvent servir à :
- étudier une maladie rare ;
- évaluer un traitement ;
- entraîner une IA diagnostique ;
- développer des statistiques de santé publique.
Le DGA ne dispense pas de respecter :
- le RGPD ;
- le secret médical ;
- les règles de recherche impliquant la personne humaine ;
- l’Espace européen des données de santé ;
- la réglementation des dispositifs médicaux ;
- l’AI Act.
15. Sécurité et gouvernance pratique
15.1. Traçabilité
Un mécanisme de partage devrait permettre d’identifier :
- la source des données ;
- leur détenteur ;
- la base juridique ;
- les finalités autorisées ;
- les utilisateurs ;
- les accès ;
- les transformations ;
- les retraits de consentement ;
- les incidents.
15.2. Contrôle des usages
Le partage ne devrait pas se limiter à transmettre un fichier.
Selon le niveau de sensibilité, il peut être nécessaire de prévoir :
- des accès limités ;
- une authentification forte ;
- des environnements sécurisés ;
- des traitements sur place ;
- des interdictions d’exportation ;
- des contrôles des résultats ;
- des audits.
15.3. Qualité
Le DGA favorise la disponibilité des données, mais n’en garantit pas la qualité.
Avant leur utilisation pour une IA, il convient encore de vérifier :
- leur exactitude ;
- leur actualité ;
- leur complétude ;
- leur représentativité ;
- les biais ;
- les conditions de collecte ;
- les droits attachés ;
- leur adéquation à la finalité.
16. Responsabilité
Organisme du secteur public
Il doit veiller à ne pas autoriser une réutilisation incompatible avec les droits protégés.
Prestataire d’intermédiation
Il doit préserver sa neutralité, la sécurité et la séparation de ses activités.
Organisation altruiste
Elle doit respecter les finalités d’intérêt général, la transparence et les droits des personnes.
Utilisateur des données
Il demeure responsable de l’usage qu’il fait des données, notamment lors du développement d’une IA.
Fournisseur d’IA
Il doit vérifier que l’accès aux données ne vaut pas autorisation de tout traitement et appliquer les autres réglementations pertinentes.
17. Contrôle et sanctions
Les États membres doivent prévoir des sanctions effectives, proportionnées et dissuasives.
Les autorités peuvent notamment :
- demander des informations ;
- contrôler les organismes ;
- ordonner la cessation d’un manquement ;
- suspendre une activité ;
- retirer un label ou une reconnaissance ;
- infliger des sanctions selon le droit national applicable.
Le DGA ne prévoit pas une amende maximale générale harmonisée comparable à celle du RGPD.
Lorsqu’un manquement concerne des données personnelles, les pouvoirs et sanctions du RGPD peuvent également s’appliquer.
Jurisprudence
La jurisprudence spécifiquement consacrée au Data Governance Act demeure encore limitée.
Les futurs contentieux devraient notamment porter sur :
- la qualification de service d’intermédiation ;
- la neutralité du prestataire ;
- l’utilisation indirecte des données ;
- la séparation structurelle ;
- les conditions de réutilisation de données publiques protégées ;
- le refus d’accès ;
- les transferts vers des pays tiers ;
- le retrait du statut d’organisation altruiste ;
- l’articulation avec le RGPD.
Les documents explicatifs de la Commission facilitent l’interprétation du règlement, mais n’ont pas la même valeur normative que celui-ci. La Commission a publié en 2024 un guide pratique détaillé consacré au DGA.
Acteurs
Organismes du secteur public
Ils peuvent autoriser la réutilisation de certaines données protégées dans les conditions du règlement.
Points d’information uniques
Ils orientent les demandes de réutilisation.
Prestataires de services d’intermédiation
Ils organisent la mise en relation entre détenteurs, personnes et utilisateurs de données.
Organisations altruistes
Elles collectent ou organisent des mises à disposition volontaires pour des objectifs d’intérêt général.
Arcep
Elle est l’autorité française compétente pour les services d’intermédiation.
CNIL
Elle est compétente pour l’altruisme des données et conserve ses compétences générales sur les données personnelles.
Commission européenne
Elle tient les registres européens, adopte les outils communs et coordonne la mise en œuvre.
European Data Innovation Board
Il favorise la cohérence, l’interopérabilité et le développement des espaces européens de données.
Débats actuels
Le DGA oblige-t-il les entreprises à partager leurs données ?
Non de manière générale. Il organise surtout des mécanismes volontaires et la réutilisation encadrée de certaines données publiques protégées.
Un intermédiaire peut-il entraîner son IA avec les données échangées ?
Pas pour son propre compte lorsque cela contrevient à son obligation de neutralité. Il peut fournir l’infrastructure permettant à un utilisateur autorisé de réaliser cet entraînement.
Le label européen garantit-il la licéité de toutes les données ?
Non. Il concerne la conformité de l’intermédiaire au DGA, non la licéité de chaque traitement réalisé par les parties.
L’altruisme des données est-il un don de propriété ?
Non. Il s’agit d’une autorisation d’utilisation ou d’un consentement pour des finalités d’intérêt général, non d’un transfert général de propriété.
Peut-on retirer son consentement altruiste ?
Oui pour les données personnelles, selon les conditions du RGPD. Le retrait ne remet pas nécessairement en cause tous les traitements licites déjà réalisés.
Le DGA permet-il d’utiliser des données personnelles sans base juridique ?
Non. Le RGPD demeure pleinement applicable.
Le DGA garantit-il des données de qualité pour l’IA ?
Non. Il améliore les mécanismes d’accès et de confiance, mais la qualité doit être évaluée séparément.
Actualité récente
Le DGA est applicable depuis le 24 septembre 2023.
En France, la loi SREN du 21 mai 2024 a désigné :
- l’Arcep pour les services d’intermédiation de données ;
- la CNIL pour l’altruisme des données.
En 2025, l’Arcep a attribué les deux premiers labels français de prestataire de services d’intermédiation reconnu dans l’Union à M-iTrust et Hub One DataTrust.
En mars 2026, la CNIL a publié une FAQ consacrée aux organisations altruistes reconnues, tandis que la Commission a mis à disposition le registre européen correspondant.
En juillet 2026, la Commission a actualisé sa présentation pratique du règlement afin d’accompagner les organismes publics, intermédiaires, organisations altruistes et réutilisateurs.
Ressources essentielles
Base documentaire Dabo Tibi Ius
Gouvernance des données : définition, cadre juridique et enjeux pour l’IA
European Legal Data Space
Data Act et intelligence artificielle
La base Dabo Tibi Ius traite le Data Act dans ses ressources générales relatives à la gouvernance des données :
Jeu de données juridique et intelligence artificielle
Données personnelles et intelligence artificielle
Ontologie et intelligence artificielle
La recherche dans la base n’a pas permis d’identifier avec certitude une fiche autonome antérieure exclusivement consacrée au Data Governance Act. La présente fiche combine donc les ressources transversales de la base avec les textes et documents institutionnels.
Texte principal
Règlement (UE) 2022/868 – Data Governance Act
Résumé EUR-Lex
Commission européenne
Présentation générale
Guide pratique du Data Governance Act
Data Governance Act expliqué
Registre européen des services d’intermédiation
Registre européen des organisations altruistes
Logos européens
France
Loi SREN du 21 mai 2024
Arcep – Services d’intermédiation de données
CNIL – Autorité compétente pour l’altruisme
CNIL – FAQ sur les organisations altruistes reconnues
Textes connexes
RGPD
Data Act
AI Act
Directive Open Data
FAQ
Qu’est-ce que le Data Governance Act ?
Le règlement européen qui organise des mécanismes de confiance pour le partage et la réutilisation des données.
Depuis quand est-il applicable ?
Depuis le 24 septembre 2023.
Crée-t-il un droit général d’accès aux données ?
Non. Il organise la réutilisation de certaines données publiques protégées et des mécanismes volontaires de partage.
Qu’est-ce qu’un intermédiaire de données ?
Un tiers neutre qui met en relation des détenteurs de données, des personnes concernées et des utilisateurs.
Peut-il vendre les données qu’il intermédiatise ?
Non. Il ne peut pas les exploiter pour son propre compte ou développer ses propres produits à partir de celles-ci.
Qui contrôle les intermédiaires en France ?
L’Arcep.
Qu’est-ce que l’altruisme des données ?
La mise à disposition volontaire de données pour des objectifs d’intérêt général, sans recherche d’une rémunération dépassant la compensation des coûts.
Qui contrôle les organisations altruistes en France ?
La CNIL.
Une organisation altruiste peut-elle avoir une activité commerciale ?
L’activité altruiste reconnue doit être exercée sans but lucratif et être juridiquement séparée des autres activités lucratives éventuelles.
Le DGA remplace-t-il le RGPD ?
Non. Toute utilisation de données personnelles doit toujours respecter le RGPD.
Le DGA autorise-t-il l’entraînement d’une IA ?
Il peut faciliter l’accès aux données, mais ne constitue pas à lui seul une autorisation d’entraînement. Les bases juridiques, licences et autres règles restent applicables.
Quelle différence avec le Data Act ?
Le DGA crée des structures de confiance pour le partage volontaire. Le Data Act crée davantage de droits matériels d’accès, notamment aux données des objets connectés.
Un organisme public doit-il ouvrir toutes ses données ?
Non. Le DGA ne supprime pas les secrets, droits de propriété intellectuelle et restrictions légales d’accès.
Méthodologie : Cette fiche a été générée avec l’assistance de l’intelligence artificielle à partir de la base documentaire et de sources juridiques complémentaires lorsque cela était nécessaire. Elle constitue une synthèse documentaire et ne remplace pas un avis juridique.
Résumé pédagogique
Définition
Le Data Governance Act est le règlement européen qui organise des mécanismes de confiance pour faciliter le partage des données. Applicable depuis le 24 septembre 2023, il encadre la réutilisation de certaines données protégées du secteur public, les intermédiaires de données et les organisations altruistes.
Exemple
Des hôpitaux souhaitent permettre à des chercheurs d’entraîner une IA sur des données de santé. Les données ne sont pas publiées librement. Elles sont consultées dans un environnement sécurisé par l’intermédiaire d’un tiers neutre. Les chercheurs ne peuvent extraire que des résultats autorisés. Le RGPD, le secret médical et les règles de recherche restent applicables.
Problématique juridique
Le partage des données est souvent freiné par la crainte d’une perte de contrôle ou d’une exploitation commerciale non prévue. Le DGA cherche à créer de la confiance grâce à des intermédiaires neutres, des autorités de contrôle et des procédures sécurisées. Il ne garantit cependant ni la qualité des données, ni la licéité de tous les usages futurs.
Cadre légal
Le cadre repose sur le règlement (UE) 2022/868, complété en France par la loi SREN du 21 mai 2024. L’Arcep contrôle les services d’intermédiation et la CNIL les organisations altruistes. Le DGA s’articule avec le RGPD, le Data Act, la directive Open Data, l’AI Act et les règles relatives aux secrets et à la propriété intellectuelle.
Fiches Dabo Tibi Ius associées :
- Gouvernance des données
- Data Act
- Jeu de données juridiques
- RGPD
- AI Act
- European Legal Data Space
- Espace européen des données de santé
- Secret des affaires
- Souveraineté numérique