Propose par la Commission europeenne le 19 novembre 2025, le Digital Omnibus n'est pas un texte unique mais deux procedures distinctes qui avancent a des vitesses tres differentes. La premiere, COM(2025) 837, dite Digital Omnibus tout court, touche le RGPD, les regles cookies de la directive ePrivacy, le Data Act et la directive NIS2. La seconde, COM(2025) 836, le Digital Omnibus sur l'IA, est deja devenue le reglement (UE) 2026/1744, adopte le 8 juillet 2026 et publie le 24 juillet. Son objet principal est le report de plusieurs echeances de l'AI Act. Le texte sur les donnees, lui, n'a pas encore atteint le trilogue. Cette asymetrie est la cle pour comprendre ce qui s'applique reellement en France aujourd'hui.
Deux textes, deux vitesses : ou en est le Digital Omnibus en octobre 2026
La Commission justifie l'ensemble par un objectif de simplification, avec une economie chiffree a 5 milliards d'euros de couts administratifs d'ici 2029 pour les entreprises. Le volet IA a avance vite parce que l'echeance du 2 aout 2026 pour les systemes a haut risque approchait : mandat du Conseil le 13 mars 2026, vote des commissions parlementaires le 18 mars (101 voix contre 9), adoption en plenieres le 26 mars, puis accord provisoire le 7 mai sous la presidence chypriote. Le volet donnees suit un rythme tout autre. La presidence irlandaise a presente un texte de compromis le 3 septembre 2026, puis le Conseil a produit le document 13886/26 le 2 octobre. Mais les ambassadeurs des Vingt-Sept, reunis en Coreper, n'ont pas adopte de mandat le 7 octobre, et une nouvelle reunion prevue le 11 octobre n'a pas non plus permis d'examiner le texte, selon l'agence Europe. Le blocage ne porte pas sur les cookies mais sur le Data Act : l'Allemagne et la France demandent une protection renforcee des secrets d'affaires, exigeant qu'un partage de donnees protegees passe par un accord explicite entre le detenteur et l'utilisateur. Au Parlement europeen, les corapporteurs Aura Salla (PPE) et Marina Kaljurand (S&D) ont presente un rapport le 22 juin 2026, sans vote en commission a la mi-septembre. Le Conseil europeen souhaite un accord sur l'ensemble des paquets omnibus avant la fin 2026, sans garantie que ce calendrier soit tenu.
Cookies : le Conseil revient vers l'ePrivacy, pas vers le RGPD
La proposition initiale de la Commission prevoyait de faire basculer le consentement a l'acces aux terminaux dans le RGPD, via un nouvel article 88a des lors que des donnees personnelles etaient en jeu, et d'imposer aux sites web de respecter un signal de consentement lisible par machine envoye par les navigateurs, via un article 88b. Ce second point a disparu d'un compromis du Conseil le 18 juin 2026, apres que l'alliance francaise des annonceurs, Alliance Digitale, avait demande sa suppression en mai. Une etude commanditee par Google aupres d'Implement Consulting Group avait chiffre le cout d'un tel mecanisme a 40 a 50 milliards d'euros par an pour les entreprises europeennes, un chiffre que l'association noyb a qualifie de « completely far-fetched ». Dix-neuf organisations ont ensuite demande la reintroduction de ce signal. Resultat du bras de fer : le texte de la presidence irlandaise du 3 septembre 2026 a ramene les regles cookies dans le giron de l'article 5(3) de la directive ePrivacy, et non plus dans le RGPD.
Les six usages qui pourraient echapper a la banniere
Le document 13886/26 du 2 octobre 2026, classe LIMITE et long de 163 pages, dresse une liste fermee de six usages dispenses de consentement : la transmission d'une communication sur le reseau, le service explicitement demande par l'internaute (langue, panier, formulaire), la mesure d'audience first-party agregee et anonyme, la mesure d'audience des medias encadree par l'article 24 de l'European Media Freedom Act, la securite du service ou du terminal, et la mesure de l'affichage et de la performance des publicites contextuelles, plafonnement de frequence compris. Ce sixieme point est conditionne a trois exigences cumulatives : des donnees pseudonymisees, aucun usage pour le profilage ou la publicite programmatique, et aucune observation de l'activite sur d'autres sites. Le retargeting et le ciblage comportemental resteraient donc soumis au consentement.
Sur le delai avant une nouvelle sollicitation apres un refus, les versions successives divergent nettement, ce qui illustre a quel point le texte reste mouvant.
| Texte | Delai avant nouvelle demande | Statut |
|---|---|---|
| Proposition de la Commission (19 novembre 2025) | 6 mois | Base de travail initiale |
| Texte du Conseil, presidence irlandaise (3 septembre 2026) | 6 mois | Remplace par le compromis suivant |
| Document du Conseil 13886/26 (2 octobre 2026) | 4 mois minimum | Non adopte, bloque en Coreper |
| Recommandation de la CNIL (2020) | 6 mois | En vigueur en France aujourd'hui |
Tant qu'aucun mandat n'est adopte, la reference operationnelle en France reste la recommandation de la CNIL. Raccourcir aujourd'hui la relance d'un refus a quatre mois reviendrait a s'ecarter du referentiel actuel sans aucun texte vote pour couvrir la decision.
Entrainement des modeles d'IA sur des donnees personnelles : la bataille de l'interet legitime
Le texte en discussion introduirait un nouvel article 88c confirmant que le developpement et l'exploitation de systemes d'IA peuvent reposer sur l'interet legitime au sens de l'article 6.1.f du RGPD, et une exception a l'article 9 tolererait des donnees sensibles residuelles dans les jeux d'entrainement. Une revision de l'article 4(1) rendrait par ailleurs la definition des donnees personnelles relative : une information ne serait pas personnelle pour une entite qui ne peut raisonnablement identifier la personne concernee. Ce point codifie l'arret de la Cour de justice de l'UE du 4 septembre 2025 dans l'affaire EDPS contre SRB (C-413/23 P), qui a juge que des donnees pseudonymisees ne sont pas des donnees personnelles « in all cases and for every person ». Le Comite europeen de la protection des donnees et le Controleur europeen de la protection des donnees ont rejete cette definition retrecie dans un avis conjoint du 10 fevrier 2026, tout en soutenant le signal de navigateur. L'Allemagne a propose que l'entrainement de l'IA soit « presumed as a legitimate interest », tandis que Max Schrems, de noyb, a qualifie le projet de texte du Conseil de septembre de « a digital expropriation of Europeans ». Le compromis de la presidence irlandaise du 3 septembre 2026 a par ailleurs supprime le droit d'opposition inconditionnel a l'entrainement qui figurait dans des versions anterieures.
Le volet IA deja en vigueur : les nouvelles echeances a connaitre
Contrairement au volet donnees, le reglement (UE) 2026/1744 est une realite juridique depuis le 24 juillet 2026. Son effet principal est le report de plusieurs obligations de l'AI Act, et non leur suppression.
| Echeance | Obligation | Nouvelle date |
|---|---|---|
| Systemes a haut risque, annexe III (recrutement, scoring de credit) | Mise en conformite complete | 2 decembre 2027 (au lieu du 2 aout 2026) |
| Systemes a haut risque, annexe I (couverts par la legislation sur la securite des produits) | Mise en conformite complete | 2 aout 2028 |
| Systemes generatifs deja commercialises | Marquage au titre de l'article 50(2) | 2 decembre 2026 |
| Interdictions nouvelles, article 5 | Imagerie intime non consentie (applications dites « nudifier ») | 2 decembre 2026 |
Le reglement confie en outre a l'AI Office une supervision exclusive des systemes d'IA construits sur le propre modele a usage general d'un fournisseur et de ceux integres dans de tres grandes plateformes en ligne, avec des astreintes pouvant atteindre 5 % du chiffre d'affaires journalier moyen. L'allegement destine aux PME a ete etendu aux « petites capitalisations intermediaires » de moins de 750 salaries.
Notification des violations et guichet unique : ce qui changerait pour le RSSI
Sur le terrain de la securite, le texte en negociation prevoit de ne notifier les autorites qu'en cas de risque eleve, avec un delai porte de 72 a 96 heures, depose via un point d'entree unique partage avec le regime NIS2 et d'autres regimes d'incident. Le document du Conseil du 2 octobre 2026 conserve ce delai de 96 heures. Les demandes d'acces jugees abusives pourraient par ailleurs etre refusees ou facturees au titre de l'article 12, et les obligations d'information de l'article 13 seraient allegees lorsque la relation avec la personne concernee est deja claire. L'environnement repressif reste toutefois exigeant : le cumul des amendes RGPD atteignait 7,1 milliards d'euros en janvier 2026 selon l'enquete annuelle du cabinet DLA Piper, et le Comite europeen de la protection des donnees a mis en consultation en septembre 2026 une methode commune en cinq etapes pour decider s'il convient de sanctionner.
Ce que les DSI francais doivent faire maintenant, et ce qu'ils doivent eviter
Premier reflexe a eviter : reconfigurer une plateforme de gestion du consentement sur la base d'un texte non adopte. Tant que le Coreper n'a pas vote et que le Parlement n'a pas arrete sa position, la directive ePrivacy telle que transposee en droit francais et la recommandation CNIL de six mois restent la reference juridique. Trois chantiers preparatoires sont en revanche utiles des maintenant : inventorier les traceurs par finalite pour reperer ceux qui releveraient d'une exemption de mesure first-party ou contextuelle, verifier ou le refus de consentement est stocke (cookie, stockage local, serveur) et dans quelle mesure les purges de navigateur l'effacent deja, et cartographier les flux de donnees utilises dans l'entrainement de modeles d'IA au regard de la base legale invoquee. Sur ce dernier point, la distinction entre pseudonymisation et anonymisation, au coeur du futur article 4(1) du RGPD, devient structurante. Un procede reversible reste une pseudonymisation au sens de l'article 4-5 du RGPD, jamais une anonymisation, quelle que soit la solidite technique du dispositif. Moon AI, plateforme editee par Stellarr Studio SAS, illustre cette distinction avec son dispositif Moon Blur, qui remplace les donnees personnelles par des jetons avant l'envoi aux plus de 70 modeles accessibles via l'abonnement (GPT, Claude, Gemini, Mistral, DeepSeek, Llama, Grok, Qwen et le modele maison Moon 6), puis les retablit au retour. L'application et le stockage sont heberges par OVHcloud, a Strasbourg et Roubaix, mais les requetes adressees aux fournisseurs de modeles tiers partent bien chez eux apres pseudonymisation : un hebergement francais ne signifie pas que les donnees restent en France a chaque etape du traitement.
Questions frequentes
Faut-il deja modifier la banniere de consentement cookies de son site ?
Non. Le Coreper n'a adopte aucun mandat aux dates examinees, les 7 et 11 octobre 2026, et le Parlement europeen n'a pas non plus arrete sa position. Le cadre applicable reste le RGPD, la directive ePrivacy transposee en droit national, et en France la recommandation CNIL de 2020, qui preconise un delai de six mois avant une nouvelle sollicitation apres un refus.
Le futur guichet unique de notification de violation remplace-t-il la CNIL comme interlocuteur ?
Non d'apres les textes disponibles. Ce guichet vise a mutualiser le depot d'une notification entre le RGPD et NIS2, avec un delai porte de 72 a 96 heures, mais uniquement pour les violations a risque eleve. La CNIL resterait l'autorite de controle competente pour les entreprises francaises.
L'entrainement de modeles d'IA sur des donnees personnelles europeennes devient-il legal sans consentement ?
Le texte en discussion (nouvel article 88c) confirmerait que le developpement et l'exploitation de systemes d'IA peuvent reposer sur l'interet legitime, et une exception a l'article 9 tolererait des donnees sensibles residuelles dans les jeux d'entrainement. Cette base reste vivement contestee, l'Allemagne la voulant presumee legitime et Max Schrems parlant d'expropriation numerique, et le compromis de septembre 2026 a deja supprime le droit d'opposition inconditionnel initialement envisage.
Les obligations de l'AI Act sur les systemes a haut risque sont-elles suspendues ?
Non, elles sont reportees et non supprimees. Le reglement (UE) 2026/1744, deja adopte et publie, deplace l'echeance des systemes a haut risque de l'annexe III (recrutement, scoring de credit) au 2 decembre 2027, et celle de l'annexe I (securite des produits) au 2 aout 2028. Les interdictions nouvelles sur l'imagerie intime non consentie et l'obligation de marquage pour les systemes generatifs deja commercialises s'appliquent, elles, des le 2 decembre 2026.