RGPD et IA : ce que les États membres veulent changer avec l'omnibus numérique
Le 21 octobre, les États membres ont arrêté leur position sur l'omnibus numérique : IA et intérêt légitime, violations de données, cookies. Rien n'est encore du droit, mais la direction se précise.
Le 21 octobre, les représentants des États membres de l'Union européenne ont adopté la position du Conseil sur l'« omnibus numérique », le paquet de textes qui doit simplifier plusieurs règles européennes, dont le RGPD. Utilisation de données personnelles pour l'IA, délai de notification des violations, bandeaux de cookies : plusieurs sujets concernent directement les PME. Mais il faut garder une chose en tête : rien de tout cela n'est encore applicable. Le Parlement européen n'a pas arrêté sa position, et la négociation entre les deux n'a pas commencé.
Ce que les États membres ont décidé le 21 octobre
Selon l'analyse détaillée publiée par le blog EU Internet Policy et selon la Diplo Foundation, la position du Conseil sur la proposition de la Commission retient notamment les points suivants.
La définition des données personnelles ne bouge pas
La Commission proposait de la modifier. Le Conseil a supprimé cet ajout. En revanche, il introduit une approche relative pour les données pseudonymisées : pour un tiers qui n'a aucun moyen de réidentifier les personnes, elles pourraient ne plus être considérées comme personnelles. Pour un sous-traitant, elles le restent toujours.
L'IA pourrait s'appuyer sur l'intérêt légitime, au cas par cas
Un nouvel article 88 bis du RGPD prévoit que le développement et l'exploitation d'un système d'IA « peuvent » reposer sur l'intérêt légitime, l'une des bases légales du RGPD. Ce n'est pas automatique : un considérant précise que développer une IA ne constitue pas en soi un intérêt légitime, et une évaluation au cas par cas reste nécessaire. Le droit d'opposition serait celui, ordinaire, de l'article 21, moins protecteur que le droit inconditionnel que proposait la Commission. C'est le point le plus discuté du texte.
Les violations de données : moins de notifications, plus de temps
Seules les violations présentant un risque élevé devraient être notifiées à l'autorité de contrôle, et le délai passerait de 72 à 96 heures. L'obligation de documenter toutes les violations en interne est maintenue. Le guichet unique européen proposé par la Commission est abandonné au profit d'un point d'entrée national.
Les cookies : consentement maintenu, règles précisées
Le consentement reste la règle, avec une liste fermée d'exceptions, notamment pour certaines finalités liées au service, à la mesure d'audience et à la sécurité. Le refus devrait être possible en un seul clic, et un site ne pourrait pas redemander le consentement avant quatre mois après un refus.
Et l'AI Act, pendant ce temps
L'omnibus numérique ne doit pas être confondu avec le volet IA déjà adopté. Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a déjà modifié le calendrier de l'AI Act. Selon la synthèse de Données Personnelles, trois points comptent pour une PME :
- 2 décembre 2026 : les systèmes qui génèrent du contenu et étaient déjà sur le marché avant le 2 août 2026 doivent marquer leurs contenus de façon lisible par une machine. Deux nouvelles interdictions s'appliquent aussi à cette date, sur les contenus intimes générés sans consentement.
- 2 décembre 2027 : les obligations des systèmes à haut risque de l'annexe III (recrutement, crédit, éducation…) sont repoussées à cette date.
- Formation à l'IA : l'article 4 impose désormais de « soutenir le développement » des compétences en IA de ses équipes. C'est une obligation de moyens, plus une obligation de résultat.
Ce que ça change pour une PME, aujourd'hui
Pour l'instant, rien dans votre conformité quotidienne : le RGPD actuel s'applique tel quel. Le délai de notification reste de 72 heures, les règles des cookies restent celles d'aujourd'hui, et utiliser des données personnelles pour une IA demande toujours une base légale documentée. Il serait imprudent de modifier vos pratiques sur la base d'une position de négociation.
En revanche, la direction est claire, et elle aide à prendre de bonnes décisions dès maintenant :
- Documentez vos usages d'IA. Quels outils, quelles données, quelle base légale. Si l'intérêt légitime devient une base reconnue pour l'IA, il faudra justifier une mise en balance : ceux qui ont déjà écrit leur raisonnement seront prêts.
- Tenez un registre interne des violations, même mineures. Cette obligation-là ne disparaît pas.
- Vérifiez vos fournisseurs d'IA générative si vous publiez des contenus produits par IA : le marquage du 2 décembre 2026 concerne d'abord les fournisseurs, mais vous devez savoir ce que vos outils font.
- Organisez la montée en compétences de vos équipes : l'obligation de l'article 4 est allégée, pas supprimée.
La façon la plus simple de réduire ces questions reste de limiter ce qui part chez des tiers. Avec une IA locale installée chez vous, aucune donnée ne part chez un fournisseur d'IA, et l'analyse RGPD devient beaucoup plus simple. Et pour l'article 4, notre formation en demi-journée donne à vos équipes les bons réflexes. Si vous voulez faire le point sur vos usages, prenez un rendez-vous de 30 minutes.
À relire sur le même sujet : AI Act au 2 août : ce que l'omnibus reporte, et ce qui s'applique déjà.