Les 27 veulent inscrire l’IA dans le RGPD, avec moins de garde-fous

Une entreprise d’intelligence artificielle qui veut entraîner ses modèles sur des données d’Européens pourrait s’appuyer sur un article du RGPD écrit pour elle, sans demander leur accord aux personnes concernées. C’est la position arrêtée mercredi 21 octobre par les ambassadeurs des Vingt-Sept auprès de l’UE (le Coreper, comité des représentants permanents) sur l’« omnibus numérique », le paquet de simplification présenté par la Commission européenne le 19 novembre 2025 (proposition COM(2025) 837)). Ce mandat de négociation, publié le 22 octobre (document 14756/26, 179 pages), n’est pas une loi : c’est la ligne avec laquelle les gouvernements iront discuter avec le Parlement européen.

L’association autrichienne noyb, fondée par le juriste Max Schrems, y voit une « expropriation numérique ». Le document permet de vérifier ce que les États ont réellement écrit : il reprend la proposition de la Commission et marque les ajouts du Conseil en gras, les suppressions en barré.

Article 88 bis : la base légale gardée, les protections sorties de l’article

Le cœur du débat tient en un article. La Commission proposait un article 88 c ; le Conseil le renumérote 88 bis, réduit son premier paragraphe à une phrase, réécrit le second et en ajoute un troisième. La phrase gardée : le traitement de données personnelles « dans le contexte du développement et du fonctionnement » d’un système ou d’un modèle d’IA « peut être effectué » pour un intérêt légitime de l’entreprise ou d’un tiers, « conformément à l’article 6, paragraphe 1, point f » du RGPD (page 145 du document).

L’intérêt légitime est l’une des six bases légales du RGPD : elle permet de traiter des données sans consentement, à condition que ne prévalent pas « les intérêts ou les libertés et droits fondamentaux de la personne concernée », « notamment lorsque la personne concernée est un enfant », selon l’article 6.

Ce que les États ont barré (pages 145 et 146) :

• la reprise mot pour mot de cette réserve dans l’article sur l’IA, enfants compris ;
• l’exception pour les cas où une autre loi, européenne ou nationale, exige le consentement ;
• la liste des protections que la Commission rendait obligatoires : minimisation des données dès le choix des sources d’entraînement, protection contre la divulgation des données restées « mémorisées » dans le modèle, transparence renforcée ;
• surtout, le « droit inconditionnel de s’opposer » au traitement de ses données.

À la place, le Conseil écrit que l’article ne dispense pas l’entreprise de choisir une base légale appropriée, et que tout traitement lié à l’IA est soumis à des « mesures techniques et organisationnelles appropriées », « y compris le droit d’opposition prévu à l’article 21 ». Ce droit-là n’est pas inconditionnel : la personne doit invoquer des « raisons tenant à sa situation particulière », et l’entreprise peut continuer si elle démontre des « motifs légitimes et impérieux », selon l’article 21.

Le Conseil a aussi barré les deux considérants de la Commission sur l’IA (page 29), dont l’un citait le respect des « indications techniques » par lesquelles un service limite l’usage de ses données pour entraîner une IA par des tiers.

« Tout est permis » ? Ce que la lettre dit, et ce qu’elle a perdu

« C’est comme dire que tout est permis, quoi que l’on fasse, du moment que c’est fait avec l’IA », résume Max Schrems. Pour noyb, les données saisies « il y a des décennies, par exemple dans des messageries ou sur les réseaux sociaux » deviendraient disponibles, et le renvoi ajouté par le Conseil à l’article 21 et aux « mesures techniques et organisationnelles » (l’article 24 du RGPD, selon noyb) n’apporte que des « garanties » de façade, puisque ces règles s’appliquent de toute façon à tout traitement.

Sur ce dernier point, le texte lui donne raison : le paragraphe 3 de l’article 88 bis rappelle des obligations existantes sans en créer de nouvelle. Mais la lecture « tout est permis » va plus loin que la lettre. En renvoyant à l’article 6, 1, f, l’article garde la mise en balance : l’intérêt de l’entreprise doit encore céder devant les droits de la personne. Et le Conseil a ajouté un considérant 33 a (page 32), qui rétablit en toutes lettres la réserve sur les enfants et le consentement exigé par d’autres lois, et précise que le développement d’une IA « ne constitue pas en soi un intérêt légitime », à apprécier « au cas par cas ». Le même considérant reprend, au conditionnel (« devrait »), deux des protections de la Commission : la minimisation des données au choix des sources et la protection contre la divulgation des données résiduelles. Un considérant guide l’interprétation du juge ; il n’oblige pas comme un article.

Ce qui disparaît, c’est donc moins la possibilité de contester que les outils concrets : le droit d’opposition sans condition et la transparence renforcée, absents du considérant comme de l’article ; les deux autres protections passent d’une obligation de la loi à une indication sans force obligatoire. Le comité européen de la protection des données (CEPD, qui réunit les CNIL européennes) jugeait d’ailleurs, en février 2026, que l’intérêt légitime « peut être utilisé, dans certains cas » pour l’IA et n’estimait « pas nécessaire » d’en faire une disposition spécifique. L’article 88 bis ne crée pas une possibilité nouvelle : il l’inscrit dans la loi, en retirant les contreparties que la Commission y attachait.

Cookies : le refus en un clic change de texte

Les articles 88 a et 88 b voulus par la Commission sont entièrement barrés (pages 143 à 145). Ils prévoyaient un refus des cookies d’un seul clic, aucune nouvelle demande pendant six mois après un refus, et l’obligation pour les grands navigateurs de transmettre automatiquement les choix de l’internaute, pour qu’il n’ait plus à répondre à chaque bandeau.

Le refus en un clic n’est pas abandonné : le Conseil le déplace dans la directive ePrivacy, le texte de 2002 qui encadre déjà les cookies (pages 156 à 158). Il réécrit son article 5, paragraphe 3 : le consentement reste la règle, avec une liste fermée de six exceptions (transmission d’une communication sur le réseau, service demandé par l’utilisateur, mesure d’audience anonyme et agrégée, mesure d’audience des médias selon le règlement européen sur la liberté des médias, avec des données pseudonymisées, sécurité technique, mesure de la publicité liée au seul contenu de la page, sans profilage). L’internaute doit pouvoir refuser « avec un bouton en un clic ou un moyen équivalent », et le site ne peut redemander qu’après « au moins quatre mois », contre six chez la Commission. Un considérant ajouté (page 50) autorise toutefois une nouvelle demande si l’internaute a effacé ses cookies, ou si la finalité change.

Le signal automatique des navigateurs, lui, disparaît : son considérant est barré et la nouvelle rédaction de la directive n’en parle pas. Promesse du communiqué de la Commission (« enregistrer ses préférences » dans le navigateur), il n’est plus dans la position des États.

Une directive doit être transposée : chaque État devrait adopter ses règles dans les 24 mois suivant l’adoption du règlement, délai encore entre crochets dans le mandat. Leur application reviendrait à l’autorité chargée du RGPD.

Fuites, données pseudonymisées : deux autres changements

Violations de données. Aujourd’hui, une entreprise victime d’une fuite doit prévenir l’autorité de contrôle « 72 heures au plus tard », sauf si la fuite n’est pas susceptible de créer un risque (article 33). Le Conseil garde la version de la Commission (page 137) : notification seulement en cas de « risque élevé », dans les 96 heures. Le CEPD s’y était déclaré favorable.

Définition de la donnée personnelle. Le Conseil a renoncé à la réécriture générale de l’article 4 du RGPD : il a barré la phrase de la Commission selon laquelle une information n’est pas personnelle pour qui ne peut pas identifier la personne (page 131), ainsi que le considérant qui l’expliquait (page 24). Mais il garde cette approche pour les données pseudonymisées, c’est-à-dire dont on a retiré les noms et identifiants directs, la clé de correspondance étant conservée à part. Selon un nouvel article 25 a (page 140), elles ne sont pas des données personnelles pour un tiers incapable d’identifier la personne, et le redeviennent si elles sont transmises à quelqu’un qui en a les moyens. C’est ce point que vise noyb quand il accuse les États de restreindre « drastiquement » la définition : l’association rappelle que la plupart des systèmes informatiques fonctionnent avec des pseudonymes, « identifiants d’utilisateur, identifiants de suivi, adresses IP ou numéros de sécurité sociale », et juge incertain que le pistage en ligne reste couvert par le RGPD. C’est la question au centre de l’affaire IQVIA.

Commission et Conseil, point par point

Ce qui change pour l’internaute, et quand

Pour l’instant, rien : le RGPD et les règles actuelles sur les cookies s’appliquent tels quels. Le texte doit encore être négocié en « trilogue » entre Conseil, Parlement et Commission. Or le Parlement n’a pas de position : selon l’Observatoire législatif), les commissions de l’industrie (ITRE) et des libertés civiles (LIBE), qui pilotent le dossier avec deux rapporteures, Aura Salla (droite, PPE) et Marina Kaljurand (sociaux-démocrates, S&D), ont reçu un projet de rapport le 22 juin et des amendements le 27 juillet, mais n’ont pas voté. Selon noyb, les élus du centre gauche défendent jusqu’ici le statu quo.

Si l’article 88 bis passe en l’état, Max Schrems prévient : « Si le législateur a perdu tout sens de la mesure et de la direction, il ne reste aux citoyens que les tribunaux », c’est-à-dire, à terme, la Cour de justice de l’UE, juge de la conformité de la loi à la Charte des droits fondamentaux.

Les citations du document du Conseil et de noyb sont traduites de l’anglais par la rédaction.