Un cadre européen qui module le RGPD pour l'ère de l'IA
Le Conseil de l'Union européenne a rendu publique, le 22 octobre 2026, sa position sur le projet dit Digital Omnibus, une révision réglementaire visant à adapter la législation numérique aux besoins des entreprises tout en encadrant l'usage de données personnelles pour l'intelligence artificielle. Le texte comporte des propositions susceptibles de modifier en profondeur le régime de protection des données en Europe, notamment pour les acteurs des médias, des plateformes publicitaires et des fournisseurs de services numériques.
Usage des données pour l'IA : l'« intérêt légitime » mis en avant
Parmi les dispositions susceptibles de provoquer des débats figure la possibilité, pour certaines finalités, d'appuyer le traitement de données personnelles sur la base juridique de « l'intérêt légitime » plutôt que sur le consentement explicite de chaque personne concernée. Concrètement, le Conseil propose que des entreprises puissent, sous conditions, utiliser des informations personnelles pour développer, entraîner ou exploiter des systèmes d'IA sans obtenir systématiquement le feu vert individuel des personnes concernées.
Le texte précise toutefois que cette faculté ne serait pas automatique : les organisations souhaitant invoquer l'intérêt légitime devraient démontrer la nécessité du traitement, évaluer son impact sur les droits des personnes et offrir des mécanismes d'opposition. Le Conseil indique aussi que le dispositif ne permettrait pas de réutiliser des bases de données obtenues illégalement.
Notification des fuites : 96 heures au lieu de 72
Autre changement notable, le projet étend le délai de notification des incidents de sécurité aux autorités compétentes. Là où le Règlement général sur la protection des données (RGPD) imposait un signalement dans les 72 heures, le Conseil propose désormais un délai de 96 heures. Les motivations avancées visent à laisser aux entreprises un peu plus de temps pour enquêter et contextualiser un incident avant d'alerter — un élément qui intéresse directement les directions juridiques, les RSSI et les médias couvrant les fuites.
Conséquences pour les médias, la publicité et les plateformes
- Médias et plateformes : l'usage de données pour personnaliser contenus et publicités pourrait être facilité si l'intérêt légitime est retenu, ce qui affecterait les pratiques de monétisation et de ciblage.
- Start‑ups et éditeurs d'IA : une assouplissement juridique pourrait réduire les frictions lors de l'entraînement de modèles, mais imposerait des obligations de justification et des garanties pour les droits des personnes.
- Consommateurs : le droit d'opposition et les obligations d'information demeurent, mais les individus pourraient voir leur consentement rendu moins central dans certaines procédures d'entraînement d'IA.
Points de vigilance juridique et politique
Plusieurs éléments du texte devraient nourrir des débats à la fois techniques et politiques : la définition précise des traitements éligibles à l'intérêt légitime, les critères d'évaluation de la nécessité et de proportionnalité, ainsi que le périmètre des données susceptibles d'être réutilisées sans consentement. Les fournisseurs de technologies publicitaires, les régies et les plateformes sociales surveilleront particulièrement l'articulation entre ces règles et les obligations existantes relatives aux cookies et au consentement en ligne.
Calendrier et suite du processus
Le document publié par le Conseil représente sa position formelle au sein des négociations interinstitutionnelles. Le texte doit encore faire l'objet de discussions avec le Parlement européen et la Commission, étapes où des amendements et des compromis restent possibles. Les stakeholders du secteur numérique, y compris les organisations professionnelles des médias et les associations de protection des données, seront appelés à intervenir lors des consultations et des trilogues à venir.
| Élément | Proposition du Conseil |
|---|---|
| Base juridique pour l'entraînement d'IA | Intérêt légitime (avec conditions et droit d'opposition) |
| Délai de notification des fuites | 96 heures (au lieu de 72) |
La portée exacte des modifications et leur impact sur les pratiques industrielles dépendront des textes finaux et des orientations adoptées lors des échanges entre institutions européennes. Pour les éditeurs, les agences et les acteurs du numérique en France, il s'agit d'un chantier réglementaire majeur à suivre, tant pour la conformité que pour les modèles économiques fondés sur les données.
