Un mandat du Conseil qui rebat les bases légales de l'IA en Europe
Le 21 octobre 2026, les représentants des Vingt-Sept ont validé un mandat de négociation sur le Digital Omnibus, un ensemble de mesures présenté par la Commission européenne en novembre 2025 pour simplifier la réglementation numérique. Publié par le Conseil le 22 octobre, ce mandat introduit un nouvel article 88 bis dans le RGPD : une entreprise pourrait traiter des données personnelles pour développer ou faire fonctionner un système ou un modèle d'IA, en invoquant son intérêt légitime ou celui d'un tiers, sans recueillir de consentement explicite.
Le contexte n'est pas anodin. L'AI Act, adopté durant l'été 2024, impose des obligations de transparence sur certains contenus générés par l'IA, mais ne fixe pas lui-même la base légale du traitement des données utilisées pour l'entraînement des modèles. Cette base restait jusqu'ici à chercher dans l'article 6 du RGPD, qui énumère six fondements possibles, dont le consentement et l'intérêt légitime. L'article 88 bis vient trancher ce point en consacrant explicitement l'intérêt légitime pour l'ensemble des activités liées au développement et au fonctionnement d'une IA, quelle que soit la finalité poursuivie.
Le garde-fou de la Commission disparaît du texte
La proposition initiale de la Commission, en novembre 2025, prévoyait un droit d'opposition inconditionnel : toute personne pouvait retirer ses données d'un entraînement sans avoir à se justifier. Le Conseil l'a supprimé. Ne subsiste que l'opposition classique de l'article 21 du RGPD, qu'une entreprise peut écarter en invoquant des « motifs légitimes et impérieux ». La protection particulière accordée aux mineurs quitte elle aussi le corps du texte pour atterrir dans un simple considérant, sans portée contraignante.
Les données sensibles (santé, opinions, orientation sexuelle) deviennent tolérées dans les jeux d'entraînement tant que leur présence reste « incidente et résiduelle ». L'entreprise doit en principe les effacer, sauf si l'opération se révèle techniquement impossible ou exige un effort « manifestement disproportionné » : un simple confinement technique suffit alors. Les autorités de protection des données des États membres, dont la CNIL française, avaient pourtant alerté conjointement dès le 10 février 2026 sur ces risques. Elles n'ont pas été suivies par le Conseil.
L'article 25 bis et la pseudonymisation : le point qui concerne directement les DSI
Le mandat crée un second article, le 25 bis, consacré à la pseudonymisation, cette technique qui remplace un nom par un identifiant. Selon le texte, une donnée pourrait ne plus être considérée comme personnelle pour une entreprise tierce dès lors que celle-ci ne dispose pas des moyens de retrouver l'identité de la personne. Or la majorité des systèmes informatiques professionnels fonctionnent déjà avec des identifiants de ce type : adresses IP, identifiants de suivi, jetons techniques. La qualification de donnée personnelle dépendrait ainsi davantage des moyens détenus par chaque destinataire que de la nature intrinsèque de l'information.
C'est précisément là que se joue le risque contractuel pour un DSI qui envoie des données à un fournisseur d'IA externe. La pseudonymisation, même réversible, reste aujourd'hui une pseudonymisation au sens de l'article 4-5 du RGPD, et non une anonymisation : le responsable de traitement d'origine conserve la capacité de rétablir l'identité. C'est le principe retenu par des plateformes comme Moon AI, dont le dispositif Moon Blur remplace les données personnelles par des jetons avant l'envoi aux modèles tiers, puis les rétablit au retour, sans prétendre à une anonymisation. L'application et le stockage sont hébergés chez OVHcloud, à Strasbourg et Roubaix, mais les requêtes partent bien vers les fournisseurs de modèles tiers une fois pseudonymisées : les données quittent donc la France à ce stade du traitement. Si l'article 25 bis aboutit en l'état, la question deviendra celle de savoir qui, du fournisseur d'IA ou du client professionnel, détient les moyens de réidentification, et donc qui reste soumis au RGPD pour ce traitement précis.
Aucune période de transition prévue, un Parlement pas encore positionné
Le volet IA du texte s'appliquerait trois jours après la publication du règlement au Journal officiel de l'Union européenne, sans période de transition. Un considérant tente de borner l'exercice : développer une IA ne constituerait pas en soi un intérêt légitime, chaque traitement devant s'évaluer au cas par cas. Reste que ce mandat n'est qu'une position de négociation du Conseil. Le Parlement européen n'a pas arrêté la sienne, et les trilogues entre Conseil, Parlement et Commission n'ont pas de calendrier fixe. Au sein du Parlement, le Parti populaire européen pousserait plutôt pour multiplier les exceptions, tandis que la gauche et le centre défendraient le statu quo, rejoints par des groupes d'extrême droite opposés à ce texte.
L'association noyb, fondée par l'avocat autrichien Max Schrems, qualifie le dispositif d'« expropriation numérique des Européens » et prévient qu'une adoption sans modification pourrait conduire à un recours devant la Cour de justice de l'Union européenne, qui a déjà invalidé plusieurs textes européens pour des atteintes aux droits fondamentaux jugées moins graves, notamment sur la conservation ou le transfert de données. Pour un DSI, cela signifie que même en cas d'adoption, l'incertitude juridique ne se refermera pas immédiatement : un contentieux européen reste une hypothèse ouverte pendant plusieurs années.
Ce que le texte change déjà, et ce qu'il ne change pas encore, pour un DSI français
À ce stade, aucune obligation nouvelle ne s'impose : le mandat du Conseil est une base de négociation, pas une loi en vigueur. Mais un DSI qui pilote des contrats avec des fournisseurs d'IA générative a intérêt à anticiper trois points précis.
- Vérifier, dans les contrats de sous-traitance IA en cours, la base légale invoquée par le fournisseur pour l'entraînement ou l'amélioration de ses modèles, et la distinction entre pseudonymisation et anonymisation effectivement appliquée aux données professionnelles transmises.
- Suivre la position que prendra le Parlement européen sur l'article 21 et sur les « motifs légitimes et impérieux » qui permettraient à un fournisseur d'écarter une opposition formulée par l'entreprise cliente au nom de ses salariés ou de ses contacts professionnels.
- Documenter dès maintenant les analyses d'intérêt légitime existantes, puisque le futur article 88 bis prévoit une mise en balance au cas par cas, même s'il en élargit explicitement le champ aux activités d'IA.
À noter : les sources disponibles ne précisent pas si un régime distinct est envisagé pour les données strictement professionnelles (salariés, contacts B2B) par rapport aux données des particuliers. Le texte du Conseil vise le traitement de données personnelles « dans le cadre du développement et du fonctionnement » d'un système d'IA, sans exclusion explicite rapportée pour le contexte professionnel.
Comparatif : proposition de la Commission contre mandat du Conseil
| Disposition | Proposition de la Commission (novembre 2025) | Mandat du Conseil (21 octobre 2026) |
|---|---|---|
| Base légale de l'entraînement IA | Article 88c dédié dans la proposition initiale de la Commission | Article 88 bis dédié, intérêt légitime consacré explicitement pour le développement et le fonctionnement d'une IA |
| Droit d'opposition | Droit d'opposition inconditionnel, sans justification à apporter | Opposition classique de l'article 21, écartable par l'entreprise si « motifs légitimes et impérieux » |
| Protection des mineurs | Régime spécifique inscrit dans le corps du texte | Simple considérant, sans force contraignante |
| Qualification des données pseudonymisées | Pas de disposition nouvelle identifiée | Article 25 bis : une donnée pseudonymisée peut ne plus être « personnelle » pour un tiers incapable de réidentifier |
Questions fréquentes
Le RGPD est-il déjà modifié par l'article 88 bis ?
Non. Le texte adopté le 21 octobre 2026 est un mandat de négociation du Conseil de l'UE, pas une loi en vigueur. Il doit encore être négocié avec le Parlement européen, qui n'a pas arrêté sa position, lors de trilogues sans calendrier fixe.
Les données des salariés et des clients professionnels sont-elles concernées de la même manière que les données grand public ?
Les sources disponibles ne détaillent pas de régime distinct pour les données strictement professionnelles. Le texte vise tout traitement de données personnelles réalisé dans le cadre du développement ou du fonctionnement d'un système d'IA, sans exclusion rapportée pour le contexte B2B.
Un DSI pourra-t-il encore s'opposer à l'usage des données de son organisation par un fournisseur d'IA ?
Le droit d'opposition de l'article 21 du RGPD subsisterait, mais une entreprise pourrait l'écarter en invoquant des « motifs légitimes et impérieux ». Le droit d'opposition inconditionnel proposé initialement par la Commission a été retiré du mandat du Conseil.
Que change l'article 25 bis pour les contrats avec des fournisseurs d'IA ?
Il introduit la possibilité qu'une donnée pseudonymisée ne soit plus considérée comme personnelle pour un destinataire qui ne peut pas la réidentifier. Cela ne change rien aux obligations du responsable de traitement d'origine, qui reste soumis au RGPD tant que la pseudonymisation demeure réversible pour lui, comme c'est le cas pour des dispositifs de ce type déjà utilisés par certaines plateformes d'IA françaises.