L’Union européenne prépare une modification majeure du RGPD via le paquet Digital Omnibus. L’objectif affiché est de faciliter l’entraînement des modèles d’intelligence artificielle en élargissant la notion d’intérêt légitime. Concrètement, les entreprises pourraient exploiter vos données personnelles pour développer leurs IA sans obtenir votre consentement explicite. Cette évolution réglementaire place les PME dans une position délicate entre opportunité technologique et risque de conformité accru.
Le projet Digital Omnibus et l’article 88b
Le mercredi 21 octobre 2026, alors que l’attention médiatique était captée par d’autres sujets techniques, les États membres de l’UE ont signé un accord préliminaire susceptible de modifier profondément l’équilibre du cadre juridique des entreprises. Ce texte, intégré au Digital Omnibus présenté fin 2025, introduit un nouvel article 88b au sein du règlement général sur la protection des données.
Selon les informations révélées par Frandroid, cet accord permettrait aux entreprises d’IA de traiter des données personnelles « dans le contexte du développement et du fonctionnement » de leurs modèles, au nom de leur intérêt légitime ou de celui d’un tiers. La conséquence directe est la suppression de l’obligation de consentement pour ces usages spécifiques, dès lors que l’intérêt de l’entreprise est jugé supérieur aux droits des personnes concernées.
Cette mesure ne se limite pas aux clients directs. Elle pourrait s’appliquer à des données collectées il y a des décennies, y compris sur des réseaux sociaux, touchant ainsi des individus n’ayant aucune relation commerciale avec l’entreprise développant l’IA. L’association de défense des droits numériques Noyb qualifie cette démarche d' »expropriation numérique des Européens » et y voit un cadeau immense aux géants technologiques américains.
De l’intérêt légitime à l’expropriation de données
Pour comprendre la portée de ce changement, il faut revenir aux bases du RGPD. Le règlement repose sur six bases légales de traitement, dont le consentement, l’exécution d’un contrat et l’intérêt légitime, qui ne requiert pas d’accord préalable mais impose une mise en balance des intérêts selon la CNIL. Jusqu’à présent, l’intérêt légitime était interprété de manière restrictive pour les traitements à grande échelle impliquant des données sensibles ou une surveillance systématique.
L’article 88b vise à élargir cette base légale spécifiquement pour l’IA. L’idée sous-jacente, portée par plusieurs États membres dont l’Irlande, est que les contraintes actuelles du RGPD freinent l’innovation européenne face à la concurrence américaine et chinoise. Comme le note ITdaily, cette volonté de réduire les protections répond principalement aux souhaits des grandes entreprises d’IA, souvent américaines, plutôt qu’à une stratégie industrielle européenne autonome.
Le texte prévoit également un article 25 bis sur la pseudonymisation. En remplaçant les noms par des identifiants techniques, les données ne seraient plus considérées comme « personnelles » si l’identité ne peut être retrouvée par un tiers. Or, la plupart des systèmes informatiques utilisent déjà ce type d’identifiants (adresses IP, cookies de suivi). Cette modification pourrait donc sortir une grande partie du pistage en ligne du champ d’application du RGPD, réduisant d’autant les obligations de transparence et de sécurité.
Les leviers d’opposition pour les PME et les citoyens
Face à cette évolution, les entreprises françaises doivent anticiper. Si le consentement n’est plus la norme pour l’entraînement des IA, d’autres mécanismes de protection subsistent, bien que leur efficacité soit remise en question par les nouvelles formulations.
La mise en balance des intérêts
L’intérêt légitime n’est pas un chèque en blanc. L’entreprise doit documenter une analyse d’impact et prouver que ses intérêts ne prévalent pas sur les droits fondamentaux des personnes comme l’explique Legiscope. Pour une PME, cela signifie maintenir un registre précis des traitements IA et des justifications associées. En cas de contrôle de la CNIL, la capacité à démontrer cette « mise en balance » sera cruciale.
Le droit d’opposition renforcé
Le droit d’opposition permet à toute personne de refuser un traitement fondé sur l’intérêt légitime, sauf motif impérieux contraire selon la CNIL. Dans le contexte de l’IA, exercer ce droit deviendra probablement plus complexe, les entreprises invoquant la nécessité technique ou la propriété intellectuelle pour refuser la suppression des données des jeux d’entraînement. Les PME devront donc mettre en place des processus clairs pour gérer ces demandes, sous peine de sanctions lourdes.
Transparence et AI Act
Parallèlement, l’AI Act européen impose des obligations de transparence et de documentation sur les systèmes d’IA, notamment en matière de données d’entraînement via la Commission européenne. Même si le RGPD s’assouplit sur le consentement, l’AI Act maintient une exigence de traçabilité. Les entreprises devront être capables d’identifier l’origine des données utilisées pour entraîner leurs modèles, ce qui constitue un défi technique majeur pour les solutions basées sur le web scraping massif.
Conseils pour naviguer la réforme du RGPD
Ce projet de réforme est un signal clair : l’ère du consentement universel pour l’IA touche à sa fin en Europe. Pour les PME, attendre la publication officielle du texte serait une erreur. Il est recommandé d’auditer dès maintenant ses jeux de données, d’identifier celles qui pourraient être utilisées pour de l’IA générative ou analytique, et de mettre à jour les mentions d’information pour inclure explicitement ces usages potentiels sous la base légale de l’intérêt légitime. Préparer les processus de réponse aux droits d’opposition devient la principale ligne de défense des utilisateurs. La conformité n’est plus une case à cocher, c’est un avantage concurrentiel qui rassure les clients face à l’opacité algorithmique.
