Un représentant dans l'UE capable de répondre au régulateur — pas une boîte aux lettres.

Quatre régimes européens imposent désormais à une entreprise sans établissement dans l'Union de désigner un représentant sur le territoire de l'Union avant de publier des notations, de mettre un système d'IA sur le marché, de fournir un service intermédiaire ou de traiter des données personnelles de résidents de l'UE. Le représentant est le point de contact du régulateur et, sous le règlement sur les notations ESG et le règlement sur les services numériques, porte une exposition propre. VieKey prend ces mandats par l'intermédiaire de la société luxembourgeoise — une personne morale, comme l'exige l'article 12 du règlement sur les notations ESG — et les exerce comme une fonction de conformité suivie : pièces conservées au Luxembourg, calendrier de revue, adresse unique pour la correspondance des autorités, et une position écrite sur la conformité du mandant que le représentant est prêt à défendre.

Pour qui

Fournisseurs de notations ESG établis hors de l'Union qui ont besoin de la reconnaissance de l'ESMA au titre de l'article 12 du règlement (UE) 2024/3005, faute de décision d'équivalence couvrant leur pays d'origine et sans accès à la voie de l'aval.
Fournisseurs de systèmes d'IA à haut risque et de modèles d'IA à usage général établis hors de l'Union, tenus de désigner un mandataire au titre des articles 22 et 54 du règlement (UE) 2024/1689 avant la mise sur le marché de l'Union.
Hébergeurs, plateformes B2B et places de marché sans établissement dans l'UE tenus de désigner un représentant légal au titre de l'article 13 du règlement (UE) 2022/2065 — mandats acceptés de manière sélective ; voir l'acceptation des clients ci-dessous.
Responsables du traitement et sous-traitants établis hors de l'Union qui ont besoin d'un représentant au titre de l'article 27 du RGPD — proposé en complément de l'un des mandats ci-dessus, non de manière isolée.
Conseils de ces entreprises qui ont besoin d'un représentant en mesure de signer les déclarations d'adéquation et de suivi qu'exige le dossier, plutôt que d'une adresse de réexpédition.

Ce que vous recevez

Mandat — désignation écrite de droit luxembourgeois comportant les pouvoirs, droits d'information, obligations de reporting, mécanismes d'escalade et de résiliation exigés par chaque régime, avec une annexe propre au régime.
Évaluation d'adéquation — pour le règlement sur les notations ESG, l'évaluation par le représentant lui-même des dispositifs organisationnels et de transparence du fournisseur au regard des articles 15 à 27, avec constatations et plan de remédiation, dans la forme attendue par le dossier de reconnaissance de l'ESMA ; pour le règlement sur l'IA, la vérification que la déclaration UE de conformité et la documentation technique existent et sont complètes avant la mise sur le marché.
Programme de suivi — revue trimestrielle ou semestrielle, déclencheurs événementiels (changements, incidents, demandes d'autorités) et déclaration écrite annuelle au mandant sur l'état de la conformité.
Dépôt de pièces au Luxembourg — les documents qu'une autorité peut demander, conservés pendant la durée légale (dix ans sous le règlement sur l'IA), avec journal d'accès et protocole de transfert à la fin du mandat.
Liaison avec les autorités — accusé de réception de la correspondance de surveillance sous un jour ouvrable ; coordination de la réponse du mandant dans le délai fixé par l'autorité ; journal de chaque échange.

Déroulement

À titre indicatif, quatre à huit semaines du cadrage à la signature du mandat ; davantage lorsque le dossier de reconnaissance ESMA est préparé en parallèle.

Appel de cadrage. Régime, juridiction d'origine, ce qui est mis sur le marché de l'Union, antécédents de surveillance, restrictions de pays tiers sur l'accès aux données.
Acceptation du client. KYC selon les standards luxembourgeois en matière de LBC/FT sur le mandant et ses bénéficiaires effectifs ; filtrage sectoriel et de conduite ; vérification des conflits. Aucun mandat n'est signé avant l'achèvement de cette étape.
Lettre de mission et mandat. Périmètre, obligations de reporting de part et d'autre, pièces à fournir, calendrier de revue.
Mise en place. Collecte des documents → évaluation d'adéquation ou vérification du dossier de conformité → notification à l'autorité lorsque le régime l'exige (DSA, RGPD) ou intégration au dossier de demande (règlement sur les notations ESG, enregistrement au titre du règlement sur l'IA) → fixation de la première date de revue.

Les régimes

Règlement sur les notations ESG — représentant légal (article 12)

Le règlement (UE) 2024/3005 s'applique depuis le 2 juillet 2026. Un fournisseur de pays tiers dont le chiffre d'affaires reste, pour chacun des trois derniers exercices, sous le plafond des petites entreprises de la directive comptable peut demander à l'ESMA une reconnaissance plutôt que de créer une entité dans l'Union ; il doit désigner un représentant légal qui soit une personne morale établie dans l'Union, expressément mandatée pour agir en son nom. Le représentant doit être en mesure de démontrer à l'ESMA, de manière continue, que le fournisseur respecte le règlement et en répond devant l'ESMA. Le dossier de reconnaissance exige l'évaluation par le représentant des mesures de conformité du fournisseur et une description de son suivi. Le pouvoir de sanction de l'ESMA au titre de l'article 36 vise le fournisseur ou, le cas échéant, son représentant légal. C'est le mandat pour lequel VieKey est construite : un rôle de conformité face au régulateur, assis sur une base documentaire définie.

Règlement sur l'IA — mandataire (articles 22 et 54)

Un fournisseur établi hors de l'Union doit désigner, par mandat écrit, un mandataire établi dans l'Union avant de mettre un système d'IA à haut risque sur le marché de l'Union ou de le mettre en service ; les fournisseurs de modèles d'IA à usage général y sont tenus depuis le 2 août 2025. Le mandataire vérifie que la déclaration UE de conformité et la documentation technique ont été établies et que l'évaluation de la conformité a été menée ; il tient ces documents à la disposition des autorités pendant dix ans ; il fournit les informations demandées ; il coopère aux mesures de réduction des risques ; il respecte les obligations d'enregistrement ; et il doit mettre fin au mandat et en informer l'autorité de surveillance du marché si le fournisseur agit en violation du règlement. À la suite du règlement (UE) 2026/1744, les obligations relatives aux systèmes à haut risque s'appliquent à compter du 2 décembre 2027 pour les systèmes de l'annexe III et du 2 août 2028 pour les produits de l'annexe I — le mandataire est désigné avant la première mise sur le marché, ce qui, pour la plupart des fournisseurs, signifie au cours de 2027.

Règlement sur les services numériques — représentant légal (article 13)

Un fournisseur de services intermédiaires sans établissement dans l'Union doit désigner une personne physique ou morale dans l'un des États membres où il propose ses services, en informer le coordinateur pour les services numériques et publier les coordonnées du représentant. Le représentant reçoit les injonctions d'agir contre des contenus illicites et les injonctions de fournir des informations, et peut être tenu pour responsable du non-respect des obligations du fournisseur, sans préjudice de la responsabilité propre de celui-ci (article 13, paragraphe 3). VieKey accepte ces mandats pour les hébergeurs, plateformes B2B et places de marché présentant un profil de contenu sain et disposant d'un contact côté client pour les injonctions urgentes. Les plateformes de contenus grand public sont déclinées.

RGPD — représentant dans l'Union (article 27)

Les responsables du traitement et sous-traitants établis hors de l'Union qui proposent des biens ou services à des personnes se trouvant dans l'Union, ou en suivent le comportement, doivent désigner par écrit un représentant, le nommer dans la politique de confidentialité et le mandater pour être le destinataire des autorités de contrôle et des personnes concernées. Le représentant tient également le registre des activités de traitement de l'article 30. VieKey n'accepte les mandats de l'article 27 qu'en complément d'un mandat au titre du règlement sur les notations ESG, du règlement sur l'IA ou du DSA pour le même mandant, la revue du registre des traitements étant intégrée au calendrier de suivi.

MACF (CBAM)

VieKey n'agit ni comme déclarant MACF autorisé ni comme représentant en douane indirect ; ces rôles portent la responsabilité des certificats et de la dette douanière et relèvent des représentants en douane agréés. L'évaluation de l'exposition, la préparation au statut de déclarant, les données fournisseurs et la préparation des déclarations sont traitées sous CBAM et énergie.

Acceptation des clients

Le nom du représentant est public sous le DSA et le RGPD, et connu du régulateur sous les deux autres régimes : la conduite d'un mandant rejaillit sur l'ensemble des mandats. VieKey filtre chaque mandant et son actionnariat selon les standards luxembourgeois en matière de LBC/FT, les listes de sanctions et la presse défavorable avant signature, et renouvelle ce filtrage chaque année ; les contenus pour adultes, les jeux d'argent, l'hébergement anonyme et les mandants à actionnariat sanctionné ou opaque sont hors périmètre. Lorsque le droit d'un pays tiers pourrait empêcher le représentant d'obtenir les documents qu'une autorité de l'Union peut exiger, la question est tranchée, avec un conseil juridique, avant la signature du mandat et non après la première demande.

Là où le texte et la pratique divergent

L'article 12, paragraphe 3, du règlement sur les notations ESG rend le représentant responsable devant l'ESMA de la démonstration de la conformité du fournisseur. Un représentant qui se borne à transmettre la correspondance ne peut s'en acquitter ; le dossier de reconnaissance exige une évaluation que le représentant a réellement conduite. C'est pourquoi le marché se partage entre des cabinets juridiques qui facturent le rôle au temps passé et se méfient de l'exposition, et des prestataires de volume qui ne peuvent signer l'évaluation.
Sous l'article 22 du règlement sur l'IA, le mandataire vérifie que le dossier de conformité existe et est complet ; il ne refait pas l'évaluation de la conformité. Lorsqu'un système de l'annexe III ne dispose ni d'un organisme notifié ni d'une auto-évaluation clairement documentée, un expert technique est associé avant que VieKey n'accepte le dossier.
Au bas du marché, les mandats de représentant sont des produits standardisés — réception et transmission, sans suivi. Ce modèle convient lorsque l'exposition propre du représentant est nulle ; il ne convient pas sous l'article 13, paragraphe 3, du DSA ni sous l'article 12 du règlement sur les notations ESG, où le représentant répond en son nom de la conformité du mandant.
Le siège du représentant n'a pas à se trouver là où siège le régulateur. L'ESMA surveille directement les fournisseurs de notations ESG depuis Paris ; pour le DSA et le RGPD, tout État membre où se trouvent les services ou les personnes concernées convient, et le Luxembourg remplit la condition dès que le public visé dans l'Union l'inclut.

Questions fréquentes

Le représentant doit-il être une personne morale ?

Sous le règlement sur les notations ESG, oui — l'article 12, paragraphe 3, exige une personne morale établie dans l'Union. Le règlement sur l'IA, le DSA et le RGPD admettent une personne physique ou morale. VieKey exerce chaque mandat par l'intermédiaire de Vie Key Consulting S.à r.l., afin que la continuité ne dépende pas d'une seule personne.

Un même représentant peut-il couvrir plusieurs régimes ?

Oui. Un éditeur de logiciels hors UE aura souvent besoin à la fois d'un mandataire au titre du règlement sur l'IA, d'un représentant DSA et d'un représentant RGPD. VieKey utilise un mandat cadre unique avec une annexe par régime, un seul dépôt de pièces et un seul calendrier de revue.

Que doit fournir le mandant ?

Un contact nommé, habilité à répondre dans les délais du régulateur ; les documents listés à l'annexe du mandat, remis selon un calendrier ; la notification des changements, incidents et contacts d'autorités au fur et à mesure ; et l'accès aux dossiers dans les jours suivant une demande. Un mandant qui ne peut s'y engager ne devrait pas désigner un représentant qui répond de sa conformité.

Que se passe-t-il si le mandant cesse de se conformer ?

Le mandat prévoit l'escalade, une période de remédiation et le droit de démission du représentant. Sous le règlement sur l'IA, le mandataire doit mettre fin au mandat et en informer l'autorité de surveillance du marché ; sous le règlement sur les notations ESG, la responsabilité du représentant devant l'ESMA implique qu'il ne continue pas à représenter un fournisseur dont il ne peut plus démontrer la conformité.

Agissez-vous comme déclarant MACF autorisé ou représentant en douane indirect ?

Non. Voir CBAM et énergie pour les travaux de conseil et de préparation des déclarations que VieKey réalise.

Prochaine étape

Réserver un appel de cadrage de 20 minutes ou demander la liste des documents d'un mandat de représentant.