Régulation par la donnée : ce qu’enseignent les expériences des autorités
- Quatre usages : superviser, informer le marché, recueillir des signalements, ouvrir les données
- La standardisation des données précède toujours l'analyse
- Une donnée déclarée doit pouvoir être vérifiée indépendamment
- Les preuves d'impact restent surtout descriptives : peu d'évaluations rigoureuses
Pendant longtemps, un régulateur a travaillé sur dossiers : des déclarations périodiques, des contrôles sur place, des plaintes. Depuis une dizaine d’années, plusieurs autorités ont changé de méthode et font de la donnée un instrument de régulation à part entière. La relation entre régulateurs et données ne se limite plus à la collecte : il s’agit de publier, de comparer, de faire signaler, d’ouvrir. Que retenir de ces expériences, et que valent les preuves de leur efficacité ?
Cette synthèse s’appuie sur des sources publiques : textes européens, publications d’autorités de régulation et travaux d’organisations internationales. Elle ne prétend pas à l’exhaustivité ; elle cherche les régularités.
Régulateurs et données : quatre usages distincts
Sous le même mot se cachent des pratiques très différentes. Les distinguer évite de transposer à un secteur ce qui n’a marché que dans un autre.
| Usage | Mécanisme | Exemples publics | Condition de réussite |
|---|---|---|---|
| Superviser | Les régulés transmettent des données normalisées ; l’autorité les vérifie et les analyse | Déclarations de transactions sur instruments financiers (règlement MiFIR), reporting prudentiel bancaire, registre d’informations sur les prestataires TIC exigé par DORA | Formats et définitions communs, outils d’analyse au sein de l’autorité |
| Informer le marché | L’autorité publie des informations comparables pour orienter les choix | Cartes de couverture et mesures de qualité des réseaux mobiles publiées par l’Arcep, comparateurs publics d’offres | Données lisibles par l’usager final, vérifiées indépendamment |
| Recueillir des signalements | Les usagers signalent des dysfonctionnements ; l’autorité agrège | « J’alerte l’Arcep » pour les télécoms, SignalConso pour la consommation | Traitement visible des signalements, lecture prudente des biais |
| Ouvrir les données | L’autorité impose la publication de données par les acteurs, au profit de tiers | Points d’accès nationaux aux données de transport prévus par le droit européen, accès des chercheurs aux données des très grandes plateformes prévu par le règlement sur les services numériques | Formats ouverts, licences claires, contrôle effectif de la publication |
Ces quatre usages ne s’excluent pas. L’Arcep, par exemple, combine depuis la seconde moitié des années 2010 la publication de cartes de couverture, ses propres campagnes de mesure sur le terrain et une plateforme de signalement. C’est cette combinaison qui donne sa cohérence à l’approche : la donnée déclarée par les opérateurs est confrontée à la donnée mesurée par l’autorité et aux signalements des usagers.
Ce que montrent les expériences
La standardisation précède l’analyse
La première leçon est la moins spectaculaire. Une autorité qui reçoit des données dans des formats hétérogènes passe l’essentiel de son temps à les nettoyer. Dans la finance, les taxonomies communes de reporting définies au niveau européen et les identifiants normalisés, comme l’identifiant d’entité juridique (LEI), ont rendu possible la comparaison entre établissements et entre pays. Les travaux de l’Institut pour la stabilité financière de la Banque des règlements internationaux sur la suptech le soulignent : les outils d’analyse avancés ne produisent de valeur que sur des données déjà structurées, et beaucoup d’autorités en sont encore à cette étape.
Une donnée déclarée doit pouvoir être vérifiée
La publication d’informations comparables n’a d’effet que si elle est crédible. Les cartes de couverture mobile n’ont de valeur que parce que l’autorité les confronte à ses propres mesures. Sans vérification indépendante, l’information publiée devient un outil de communication des régulés.
Une donnée que le régulateur ne peut pas vérifier n’est qu’une déclaration de plus.
L’information publiée agit par la comparaison
Publier une donnée isolée change peu de choses. La publier de façon comparable, opérateur par opérateur, territoire par territoire, crée une incitation : l’usager peut choisir, la presse et les élus peuvent interpeller, les acteurs peuvent se situer. L’Arcep présente explicitement ce levier comme une incitation à l’investissement dans les réseaux. L’effet réel est difficile à isoler d’autres facteurs (obligations de couverture, concurrence, subventions publiques), mais le mécanisme est cohérent avec ce que la théorie de la régulation attend de la réduction des asymétries d’information.
Les signalements alertent, ils ne mesurent pas
Les plateformes de signalement apportent une information rapide, de terrain, que ni les déclarations ni les mesures ne captent. Mais ceux qui signalent ne représentent pas l’ensemble des usagers : les plus à l’aise avec le numérique, les plus mécontents, les plus informés de l’existence du dispositif. Les autorités qui en tirent le meilleur parti les utilisent pour repérer des signaux (un acteur, une zone, une pratique qui revient) et déclencher une vérification, pas pour produire des statistiques.
Ouvrir les données ne suffit pas à créer des usages
Imposer la publication de données par les acteurs régulés (horaires et perturbations de transport, données de qualité, informations tarifaires) repose sur un pari : des tiers les réutiliseront pour créer des services, comparer, alerter. Le pari est parfois gagné, notamment dans la mobilité, où les calculateurs d’itinéraires reposent largement sur des données ouvertes. Il l’est beaucoup moins quand les jeux de données sont incomplets, publiés dans des formats hétérogènes ou mis à jour irrégulièrement. Les points d’accès nationaux prévus par le droit européen dans les transports en donnent une illustration : leur utilité dépend moins de leur existence que du contrôle de la qualité et de la complétude des données qui y sont déposées. Une obligation de publication sans contrôle produit des portails remplis de fichiers que personne n’utilise.
La charge déclarative peut annuler le bénéfice
Chaque nouvelle obligation de donnée a un coût pour les régulés, et les obligations se superposent : prudentiel, statistique, résilience opérationnelle, lutte contre le blanchiment. Le principe consistant à ne demander qu’une fois une même donnée est largement partagé dans les discours ; sa mise en œuvre reste un chantier. Les projets européens d’intégration du reporting statistique et prudentiel en témoignent : leur ambition est précisément de réduire les redondances, ce qui suppose un dictionnaire de données commun entre autorités.
Le ciblage automatisé engage la responsabilité de l’autorité
Utiliser les données pour cibler les contrôles est l’usage le plus tentant, et le plus risqué. L’affaire des allocations pour la garde d’enfants aux Pays-Bas, où un système de profilage de l’administration fiscale a conduit à traiter comme fraudeurs des milliers de familles, a abouti à la démission du gouvernement en janvier 2021. Elle reste la référence de ce qu’il ne faut pas faire : critères opaques, absence de contrôle humain effectif, impossibilité de contester. Le règlement européen sur l’intelligence artificielle classe désormais plusieurs usages de l’IA par les autorités publiques parmi les systèmes à haut risque, soumis à des exigences renforcées.
Les expériences réussies partagent quatre traits : des données standardisées avant d’être analysées, une vérification indépendante de ce qui est déclaré, une publication comparable et lisible, et des garde-fous explicites dès que la donnée sert à cibler des personnes ou des entreprises.
Ce que cela change pour les organisations régulées
Pour une banque, un opérateur, un exploitant de réseau ou une plateforme, la régulation par la donnée déplace la conformité. Il ne suffit plus de respecter la règle ; il faut pouvoir le démontrer avec des données cohérentes, dans le format attendu, et expliquer comment elles ont été produites.
Trois capacités deviennent centrales. La traçabilité : savoir d’où vient chaque donnée transmise, quelles transformations elle a subies, qui l’a validée. La cohérence : la même information transmise à deux autorités, ou publiée dans deux rapports, doit être identique, sous peine d’ouvrir des questions difficiles. La reproductibilité : pouvoir reconstituer, des mois plus tard, la déclaration envoyée à une date donnée et les éléments qui la fondaient.
Ces capacités relèvent autant de l’organisation que de la technique : dictionnaire de données partagé, responsables désignés, piste d’audit des décisions. C’est le terrain de notre produit Gouvernance, conçu pour prouver qui a décidé quoi, quand et sur quelle base. Le sujet rejoint aussi la question des référentiels multiples, traitée dans notre guide pour gérer plusieurs référentiels de conformité sans multiplier les audits.
Ce que l’on sait mal
Les preuves disponibles appellent une lecture prudente. La plupart des retours d’expérience sont publiés par les autorités elles-mêmes, qui ont un intérêt légitime à présenter leurs outils sous un jour favorable. Les évaluations indépendantes et rigoureuses de l’effet de la régulation par la donnée sur les résultats (qualité de service, prix, investissement, protection des consommateurs) restent rares. Isoler l’effet d’une publication de celui des obligations réglementaires concomitantes est méthodologiquement difficile.
Trois questions restent ouvertes. La première porte sur la capacité des autorités : recruter et garder des profils de données dans le secteur public demande des moyens que toutes n’ont pas, et les écarts entre autorités se creusent. La deuxième porte sur la dépendance : lorsque l’outillage de supervision repose sur des prestataires privés, la maîtrise des méthodes d’analyse et des données mérite d’être organisée dès le départ. La troisième porte sur la contestation : une organisation ciblée par un contrôle issu d’un modèle doit pouvoir comprendre pourquoi, ce qui suppose des modèles explicables et documentés.
Pour les autorités qui s’engagent dans cette voie, comme pour les organisations qui s’y préparent, la recommandation qui ressort de ces expériences est la même : commencer par la définition et la qualité des données, avant les outils d’analyse. Notre expertise cybersécurité et conformité accompagne ce travail de fond.
- Arcep, publications sur la « régulation par la data » et dispositifs « Mon réseau mobile » et « J’alerte l’Arcep » (arcep.fr).
- Banque des règlements internationaux, Institut pour la stabilité financière, travaux sur la suptech (série FSI Insights).
- Règlement (UE) n° 600/2014 concernant les marchés d’instruments financiers (MiFIR), obligations de déclaration des transactions.
- Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA), registre d’informations.
- Règlement délégué (UE) 2017/1926 de la Commission relatif à la mise à disposition de services d’informations sur les déplacements multimodaux.
- Règlement (UE) 2022/2065 relatif à un marché unique des services numériques (DSA), article 40.
- Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle, annexe III.
Questions fréquentes
Qu'appelle-t-on régulation par la donnée ?
L'expression, popularisée en France par l'Arcep, désigne l'usage de la donnée comme levier de régulation à part entière : publier des informations comparables pour orienter les choix des usagers et des acteurs, recueillir des signalements, outiller la supervision. Elle complète les outils classiques (autorisation, contrôle, sanction) sans les remplacer.
Quelle différence entre suptech et regtech ?
La regtech désigne les technologies utilisées par les organisations régulées pour satisfaire leurs obligations (déclarations, contrôles internes, conformité). La suptech désigne celles qu'utilisent les autorités de supervision pour collecter, vérifier et analyser les données qu'elles reçoivent. Les deux gagnent à partager des formats et des définitions communs.
Les organisations régulées y gagnent-elles ?
Potentiellement, si la collecte est standardisée et si une même donnée n'est demandée qu'une fois. Dans le cas contraire, la régulation par la donnée se traduit surtout par une charge déclarative supplémentaire. La qualité et la traçabilité des données internes deviennent un enjeu de conformité en soi.
Quels risques pour les droits des personnes ?
Le ciblage automatisé des contrôles peut produire des discriminations difficiles à détecter et à contester, comme l'a montré l'affaire des allocations pour la garde d'enfants aux Pays-Bas. Transparence des critères, contrôle humain, possibilité de recours et protection des données personnelles sont des conditions, pas des options.