Le calendrier de conformité 2027 et les preuves qui l'étayent

Dans les entreprises de taille intermédiaire, les programmes de conformité produisent généralement des politiques : une politique de gestion des incidents cyber, une politique de protection des données, un code de conduite fournisseurs. Les régulateurs, les auditeurs, les clients et les tribunaux posent de plus en plus une autre question : montrez-nous ce qui s'est passé, quand, et qui a décidé. Une politique ne peut pas y répondre. Les journaux, les horodatages, les validations et les documents conservés le peuvent, à condition d'avoir été créés au moment des faits.

Les règles qui arrivent au cours des huit prochains mois rendent cela concret. Plusieurs imposent des délais comptés en heures, une charge de la preuve qui pèse sur l'entreprise, ou des données qui doivent accompagner un produit ou une expédition. Pour chacune, la question utile est de savoir quel système détiendra la preuve, qui en est responsable, et si elle existe aujourd'hui.

Le calendrier ci-dessous couvre des règles qui concernent couramment les entreprises actives au Royaume-Uni et dans l'Union européenne. C'est un outil de planification. L'applicabilité d'une règle, et ses modalités, dépendent de l'entreprise, et cet article ne constitue pas un conseil juridique. Les avocats et conseils de chaque juridiction confirment le périmètre et les obligations.

La vérification d'identité auprès de Companies House est devenue obligatoire le 18 novembre 2025. Les administrateurs en fonction avant cette date se font vérifier à l'occasion de la prochaine déclaration de confirmation (confirmation statement) de leur société déposée pendant une période transitoire de 12 mois, qui s'achève en novembre 2026. Une déclaration de confirmation ne peut être déposée que lorsque la vérification de chaque administrateur est effectuée, et les personnes exerçant un contrôle significatif disposent de leurs propres délais de 14 jours. Un groupe comptant plusieurs sociétés britanniques et des administrateurs à l'étranger a donc une échéance distincte pour chaque fonction.

Le droit du travail évolue par étapes. Les délais de saisine des employment tribunals (juridictions du travail) sont passés de trois à six mois pour les litiges nés à compter du 1er octobre 2026. À partir du 1er janvier 2027, l'ancienneté requise pour contester un licenciement abusif de droit commun est ramenée à six mois et le plafond d'indemnisation est supprimé, et les restrictions visant le licenciement suivi d'une réembauche destiné à modifier des conditions essentielles du contrat sont prévues pour le même mois.

Le nouveau régime des contrats d'abonnement prévu par le Digital Markets, Competition and Consumers Act 2024 est désormais attendu en janvier 2027, avancé par rapport au printemps 2027, même si le droit dérivé et les lignes directrices restaient à adopter au moment de l'annonce de la date. Il incombera aux professionnels de prouver que les notifications requises, comme les notifications relatives au délai de rétractation, ont bien été adressées.

Le mécanisme britannique d'ajustement carbone aux frontières (UK CBAM) démarre le 1er janvier 2027 pour les importateurs de produits couverts en aluminium, ciment, engrais, hydrogène, fer et acier au-delà d'un seuil d'enregistrement de 50 000 £.

Deux dispositifs sont déjà en vigueur et génèrent des preuves dès maintenant. En application du Data (Use and Access) Act 2025, chaque responsable de traitement doit disposer d'une procédure de traitement des réclamations relatives à la protection des données depuis le 19 juin 2026. Deux projets de loi restent devant le Parlement : le Cyber Security and Resilience Bill, qui élargirait le régime des réseaux et systèmes d'information (NIS), et le Commercial Payments Bill, sur les délais de paiement et les intérêts de retard. Aucun des deux n'est encore adopté.

Les identifiants de produits deviennent obligatoires dans les déclarations en douane des colis de faible valeur à compter du 1er novembre 2026, après l'introduction le 1er juillet 2026 d'un droit de 3 € par article.

Au titre du règlement européen sur l'IA, les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026. L'omnibus numérique sur l'IA, publié en juillet 2026, a accordé aux systèmes génératifs déjà sur le marché un délai jusqu'au 2 décembre 2026 pour appliquer un marquage lisible par machine, a ajouté deux interdictions à compter de la même date et a reporté au 2 décembre 2027 les obligations relatives aux usages à haut risque de l'annexe III, qui incluent le recrutement et le crédit.

La nouvelle directive relative à la responsabilité du fait des produits défectueux doit être transposée d'ici le 9 décembre 2026. L'ancienne directive est abrogée à cette date mais continue de s'appliquer aux produits mis sur le marché avant celle-ci. La nouvelle définition du produit couvre les logiciels, y compris les applications et les systèmes d'IA.

Le règlement sur la déforestation s'applique à partir du 30 décembre 2026 aux grands et moyens opérateurs, ainsi qu'aux micro et petits opérateurs déjà couverts par le règlement sur le bois, et à partir du 30 juin 2027 aux autres micro et petits opérateurs.

Au titre du règlement sur la cyberrésilience, les fabricants de produits comportant des éléments numériques doivent signaler les vulnérabilités activement exploitées et les incidents graves depuis le 11 septembre 2026, y compris pour les produits déjà sur le marché. Une alerte précoce est due dans les 24 heures suivant la prise de connaissance, une notification dans les 72 heures et un rapport final ultérieurement. Les principales obligations du règlement s'appliquent à partir du 11 décembre 2027.

Les certificats MACF (CBAM) correspondant aux importations de 2026 seront mis en vente le 1er février 2027. Les États membres doivent transposer les modifications apportées par l'omnibus au reporting de durabilité d'ici le 19 mars 2027. Les employeurs de 150 salariés ou plus doivent publier leurs premiers rapports sur l'écart de rémunération entre les femmes et les hommes au titre de la directive sur la transparence des rémunérations d'ici le 7 juin 2027.

Une piste de preuves comporte quatre éléments : un système de référence, un horodatage créé par ce système, un responsable nommément désigné et une règle de conservation. Appliquée au calendrier, elle produit des enregistrements précis.

Au titre du règlement sur la cyberrésilience, le délai de 24 heures court à partir du moment où le fabricant prend connaissance d'une exploitation active. La preuve est le ticket ou l'alerte qui enregistre ce moment, la décision de tri et la référence de transmission sur la plateforme unique de déclaration. Si l'outil de sécurité et le système de tickets ne sont pas reliés, l'horodatage doit être reconstitué après coup, ce qu'un régulateur ne manquera pas de mettre en cause.

Pour les abonnements, la preuve est un journal des messages indiquant quel rappel ou quelle notification chaque client a reçu, son contenu à cette date et s'il a bien été délivré. Des captures d'écran d'un modèle ne prouvent pas qu'un client donné l'a reçu.

Pour les règles sur la déforestation, la preuve est la référence de la déclaration de diligence raisonnée rattachée à chaque bon de commande et à chaque lot, avec les données de géolocalisation qui l'étayent. Pour le MACF, ce sont les données d'émissions de l'installation ou la valeur par défaut utilisées pour chaque déclaration d'importation. Pour la vérification d'identité, c'est un registre du statut de vérification et de l'échéance de chaque administrateur et de chaque personne exerçant un contrôle, dans toutes les sociétés britanniques du groupe. Pour les réclamations relatives à la protection des données, c'est un journal de chaque réclamation, de la date d'accusé de réception, des mesures prises et de l'issue.

Rien de tout cela n'exige une nouvelle plateforme. Il faut généralement relier deux ou trois systèmes, ajouter des champs à des enregistrements existants et programmer un contrôle qui signale les lacunes à un responsable nommément désigné. Nous construisons ces pistes dans les outils que l'entreprise utilise déjà, en séparant la preuve de l'appréciation : l'interprétation juridique reste du ressort des avocats du client.

En octobre 2026, recensez dans chaque société britannique du groupe les administrateurs et personnes exerçant un contrôle dont l'identité reste à vérifier, et déposez les déclarations de confirmation en avance lorsque la période transitoire est sur le point de s'achever.

D'ici novembre 2026, vérifiez la présence des identifiants de produits dans les déclarations de colis à destination de l'Union, et déterminez quels produits comportant des éléments numériques l'entreprise fabrique, afin que le circuit de déclaration prévu par le règlement sur la cyberrésilience et l'enregistrement de la prise de connaissance sous 24 heures soient en place.

D'ici décembre 2026, préparez pour janvier le journal des notifications d'abonnement et le parcours de résiliation, vérifiez le marquage des contenus générés par IA lorsqu'il est requis, et demandez à vos avocats spécialisés comment les nouvelles règles de responsabilité traitent les logiciels fournis par l'entreprise.

D'ici fin décembre 2026, les grands et moyens opérateurs qui mettent des produits de base couverts sur le marché de l'Union doivent disposer des références de déclaration de diligence raisonnée pour chaque bon de commande concerné.

D'ici février 2027, les importateurs doivent disposer des données d'émissions ou des valeurs par défaut sous-jacentes à chaque déclaration MACF de 2026, et les importateurs britanniques doivent avoir vérifié leur situation au regard du seuil d'enregistrement du CBAM britannique.

D'ici juin 2027, les micro et petits opérateurs soumis au règlement sur la déforestation doivent être prêts pour le 30 juin, les employeurs européens de 150 salariés ou plus doivent avoir publié leurs rapports sur les rémunérations, et chaque piste de preuves décrite plus haut doit avoir un responsable, une règle de conservation et un rapport mensuel des lacunes.