DMA vs Google : Bruxelles exige l'ouverture d'Android aux IA concurrentes, au risque de fragiliser la sécurité

Le DMA exige déjà que toute mesure d'intégrité ou de sécurité que Google impose à l'accès des tiers soit « strictement nécessaire et proportionnée » — ce qui signifie que Google ne peut pas bloquer largement l'interopérabilité pour des raisons de sécurité sans prouver que chaque restriction est ciblée .

Partage des données de recherche (Article 5(10))

Une autre procédure de spécification, également ouverte le 27 janvier 2026, concerne l'obligation de Google de fournir aux moteurs de recherche tiers et aux développeurs d'IA un accès à ses données de recherche en ligne — y compris les données liées au modèle d'IA Gemini — à des conditions « équitables, raisonnables et non discriminatoires » (dites « FRAND ») . Reuters a rapporté que les orientations de la Commission couvrent la manière dont les concurrents peuvent accéder aux données de classement de Google, aux données de clics et de requêtes, ainsi qu'aux services liés à l'IA .

Inquiétudes en matière de cybersécurité et de protection de la vie privée soulevées par Google et des experts externes

La position de Google

Google a fait valoir qu'« Android est intrinsèquement ouvert » et qu'« il partage déjà les données de recherche avec ses concurrents conformément au DMA », mais a prévenu qu'« une approche prescriptive pourrait nuire à la sécurité et à la vie privée des utilisateurs » . Dans un billet de blog de septembre 2025, Google a déclaré que le DMA « rend difficile la protection des utilisateurs contre les arnaques et les liens malveillants sur Android en nous obligeant à supprimer nos mesures de protection légitimes », citant le risque que les obligations d'interopérabilité forcent Android à affaiblir les protections contre les logiciels malveillants téléchargés latéralement (sideloading) et l'hameçonnage . Google s'est également plaint du fait que les contrôleurs d'accès faisant l'objet d'une enquête n'ont pas un accès complet au dossier de la Commission, ce qu'elle qualifie d'« incompatible avec les droits de la défense » du droit de l'UE .

Inquiétudes d'experts externes et de think tanks

• L'ECIPE a mis en garde dans une note d'orientation contre l'article 5(4) du DMA qui pourrait « forcer les fournisseurs de systèmes d'exploitation mobiles à autoriser des liens externes non réglementés, contournant ainsi des contrôles de sécurité critiques et exposant des millions d'utilisateurs de smartphones à des cybermenaces », et contre le fait que l'application du DMA pourrait compromettre le « système open source largement utilisé qu'est Android, limitant potentiellement sa flexibilité, sa sécurité et son innovation » .
• Le Center for Cybersecurity Policy and Law a publié un document avertissant que la poussée du DMA en faveur de l'interopérabilité « pourrait affaiblir » les contrôles de sécurité des plateformes mobiles, car les fonctions de base sont ouvertes à des développeurs externes qui peuvent ne pas respecter les mêmes normes de sécurité .
• L'Information Technology and Innovation Foundation (ITIF) a soumis des commentaires arguant que les mesures d'interopérabilité proposées par la Commission sont trop larges et pourraient « saper la sécurité de l'écosystème Android » si des services d'IA tiers se voient accorder un accès au niveau du système sans obligations de sécurité correspondantes .
• Un article d'informatique sur arXiv (février 2025) a noté que les « initiatives d'interopérabilité ont suscité une controverse importante en raison de leur potentiel à introduire de nouvelles vulnérabilités de sécurité, à affaiblir les défenses des plateformes et à augmenter la surface d'attaque disponible pour les acteurs malveillants » .
• Les documents de travail TTLF de la Stanford Law School ont observé que les décisions DMA « pourraient affecter de manière significative la conception et les modèles d'affaires des plateformes, avec des effets s'étendant bien au-delà des frontières géographiques de l'UE », creusant le fossé réglementaire transatlantique entre sécurité et concurrence .

Contexte plus large : objectifs de concurrence de l'UE contre considérations de sécurité

La tension centrale du DMA

Le DMA a été conçu pour accroître la « contestabilité des marchés numériques » et « créer davantage de marge pour l'innovation et plus de choix pour les consommateurs » . Ses dispositions en matière d'interopérabilité et de partage de données sont considérées comme essentielles pour briser le verrouillage des plateformes, en particulier sur le marché émergent de l'IA. L'examen du DMA par la Commission à deux ans (juin 2026) a conclu que le règlement « reste adapté à son objectif et n'a pas besoin d'être révisé » , signalant l'intention de l'UE de poursuivre ses efforts malgré les mises en garde de l'industrie.

Escalade de la confrontation réglementaire

Les procédures de spécification contre Google font suite à des mesures similaires prises contre Apple en 2025 concernant l'interopérabilité d'iOS pour les appareils connectés comme les montres connectées . Cela démontre une pression réglementaire systématique sur les deux principaux écosystèmes mobiles. La confrontation est la plus marquée autour de l'IA : la Commission tente effectivement d'empêcher Google d'utiliser Android comme un fossé concurrentiel pour Gemini, alors même que le marché de l'IA générative prend forme. TNW a décrit la situation comme le moment de déterminer « si l'intelligence artificielle devient le prochain grand enfermement de plateforme ou le premier à être brisé avant qu'il ne s'installe » .

Conflit avec d'autres cadres de l'UE

L'ECIPE a noté que « l'application du DMA génère désormais également des tensions avec d'autres cadres réglementaires de l'UE, en particulier dans les domaines de la protection des données, de la cybersécurité, des droits de propriété intellectuelle et de la protection des consommateurs » . L'application des obligations d'interopérabilité « illustre ces tensions de manière particulièrement claire », car ce que le DMA exige pour la concurrence peut entrer en conflit direct avec ce que le RGPD, la directive NIS2 et le Cyber Resilience Act exigent pour la sécurité. La Commission reconnaît cette tension dans ses propres documents : le DMA n'autorise les mesures d'intégrité que si elles sont « strictement nécessaires et proportionnées » , mais les critiques estiment que la charge de la preuve incombe au contrôleur d'accès, ce qui crée un effet dissuasif sur une sécurité proactive.

En résumé : L'UE pousse Google à ouvrir les fonctionnalités de base d'Android et ses données de recherche à ses concurrents — en particulier les rivaux dans le domaine de l'IA — tandis que Google et de nombreux experts en sécurité avertissent que l'interopérabilité imposée affaiblira les protections contre les malwares, augmentera les surfaces d'attaque et créera des conflits avec d'autres lois européennes sur la cybersécurité.