Omnibus numérique : le Conseil assouplit le RGPD pour l'IA

Le 21 octobre 2026, les ambassadeurs des Vingt-Sept réunis au Coreper ont approuvé le mandat de négociation du Conseil sur l'omnibus numérique. Selon le mandat du Conseil publié sous la référence 14756/26, entraîner un système d'IA sur des données personnelles pourra reposer sur l'intérêt légitime, mais au cas par cas. Pour une entreprise qui développe ou affine des modèles, la base juridique se clarifie, sans devenir un blanc-seing.

Que contient le mandat du Conseil sur l'IA et le RGPD ?

Le texte modifie le RGPD, la directive ePrivacy et le Data Act. D'après le document 14756/26 du Conseil, daté du 22 octobre 2026, le développement et l'entraînement d'une IA peuvent, « where appropriate », s'appuyer sur l'intérêt légitime de l'article 6(1)(f) du RGPD. C'est la base juridique qui évite de recueillir le consentement de chaque personne.

Le Conseil pose aussitôt une limite. Le même considérant précise que le développement d'un système d'IA « does not in itself constitute a legitimate interest ». Autrement dit, l'entreprise devra toujours démontrer un intérêt précis, la nécessité du traitement et une mise en balance favorable, avec des garanties comme la minimisation des données. La logique reste celle du RGPD actuel, simplement écrite noir sur blanc.

Qu'est-ce qui change pour les données sensibles ?

Les données de santé, d'opinion ou biométriques restent en principe interdites de traitement. Selon le mandat du Conseil, la dérogation prévue pour l'IA est limitée au traitement « incidental and residual » de ces données, c'est-à-dire aux données sensibles qui se glissent malgré tout dans un jeu d'entraînement. Elle ne couvre pas les données sensibles collectées volontairement ni celles fournies au système une fois déployé.

L'obligation qui l'accompagne est concrète : effacer ces données dès qu'elles sont identifiées ou, si l'effacement est impossible ou disproportionné, les protéger contre toute réutilisation. Pour une équipe data, cela suppose un processus de détection et de purge documenté, pas une déclaration de principe.

Pourquoi les autorités de protection des données restent réservées

Le Comité européen de la protection des données (CEPD) et le Contrôleur européen (EDPS) avaient prévenu. Dans leur avis conjoint 2/2026, adopté le 10 février 2026, ils jugent qu'« it is not necessary to add a specific provision to the GDPR on this point », car leur avis 28/2024 admettait déjà l'intérêt légitime pour les modèles d'IA. La CNIL a relayé cet avis le 12 février 2026.

Les deux autorités demandaient aussi de ne pas toucher à la définition de la donnée personnelle. Sur ce point, le Conseil leur donne raison : d'après la synthèse du communiqué du Conseil diffusée par EuropaWire, la définition reste inchangée et une disposition sur la pseudonymisation est ajoutée. L'association EDRi, dans une lettre du 18 septembre 2026 rapportée par Leto, y voit pourtant un régime où une même donnée pseudonymisée serait personnelle pour un acteur et non personnelle pour un autre.

Violations de données, droit d'accès, cookies : les autres changements

Trois chantiers intéressent directement les entreprises, IA ou non :

• Notification des violations : selon le mandat, aucune notification à l'autorité ne serait due si la violation n'est pas susceptible d'engendrer un risque élevé. Le CEPD établirait des listes communes de situations à risque et un modèle de notification, revus au moins tous les trois ans. La Commission proposait de porter le délai de 72 à 96 heures, ce que le CEPD et l'EDPS soutenaient.
• Droit d'accès : une demande pourra être refusée ou facturée si elle est manifestement infondée ou excessive, notamment en cas d'intention abusive démontrée. Le texte précise que des demandes répétées ne sont pas automatiquement excessives.
• Cookies : les règles restent dans la directive ePrivacy. Selon la synthèse du communiqué du Conseil, certains cookies, comme ceux de mesure d'audience ou de sécurité, ne nécessiteraient plus de consentement. D'après l'analyse de Legal247, le délai avant de redemander un consentement refusé serait fixé à quatre mois.

Quand ces règles s'appliqueront-elles ?

Pas avant plusieurs mois. Le mandat du Conseil n'est qu'une position de négociation. Selon l'Observatoire législatif du Parlement européen, la proposition de la Commission date du 19 novembre 2025 et la procédure 2025/0360(COD) est toujours « awaiting committee decision » : les commissions ITRE et LIBE, avec Aura Salla et Marina Kaljurand comme rapporteures, n'ont pas encore voté.

Les trilogues, ces négociations entre Conseil, Parlement et Commission, ne s'ouvriront qu'après ce vote. Le Conseil vise un accord rapide : d'après le communiqué relayé par EuropaWire, la feuille de route « One Europe, One Market » prévoit de boucler les paquets de simplification d'ici fin 2027. D'ici là, le RGPD actuel s'applique sans changement, ce que rappelle aussi Legal247.

Ce que le texte ne règle pas

L'omnibus ne touche ni aux obligations de l'AI Act, dont le calendrier a été détaillé dans notre article sur ce qui s'applique depuis le 2 août 2026, ni au droit d'auteur sur les données d'entraînement. Un modèle entraîné légalement au regard du RGPD peut rester contestable au titre de la propriété intellectuelle.

Il ne supprime pas non plus le test de mise en balance. Les entreprises qui comptaient sur un « droit d'entraîner » général se trompent de lecture : le texte rend la base juridique plus lisible, il ne dispense pas de la justifier, et l'autorité de contrôle pourra toujours contester l'analyse.

Ce que les dirigeants doivent faire maintenant

Rien ne change juridiquement aujourd'hui, mais le sens de la négociation est clair. Quatre chantiers peuvent démarrer :

1. Recenser les traitements d'entraînement : quels modèles, quelles données, quelle base juridique. La cartographie des usages IA engagée pour l'AI Act sert de point de départ.
2. Documenter une analyse d'intérêt légitime pour chaque projet : finalité, nécessité, mise en balance, droit d'opposition.
3. Mettre en place la détection des données sensibles dans les jeux d'entraînement, avec une procédure d'effacement tracée.
4. Suivre le vote ITRE-LIBE : la version du Parlement peut durcir ou assouplir l'article sur l'IA. Les retours d'expérience des pionniers des agents IA en production montrent que la conformité se construit dès la conception, pas après.

Cet article ne constitue pas un conseil juridique : la qualification d'un traitement dépend de chaque cas.

Sources : Conseil de l'UE, Parlement européen, CEPD et EDPS, CNIL, Legal247, Leto. Article rédigé avec l'aide de l'IA selon notre [charte](https://www.shareware.fr/charte-ia).