Le 21 octobre 2026, les représentants des Vingt-Sept réunis au Coreper ont approuvé un mandat de négociation de 179 pages portant sur le Digital Omnibus, le paquet de simplification des règles numériques présenté par la Commission européenne en novembre 2025. Publié par le Conseil le lendemain, ce mandat introduit un nouvel article 88 bis dans le RGPD : il autoriserait une entreprise à traiter des données personnelles pour développer ou exploiter un système ou un modèle d'intelligence artificielle, au nom de son intérêt légitime ou de celui d'un tiers, sans recueillir de consentement explicite. Pour l'association autrichienne noyb, fondée par l'avocat Max Schrems et qui compte onze plaintes déposées contre Meta AI, le texte revient à organiser « l'expropriation numérique des Européens ».
Ce dossier n'est pas un sujet parmi d'autres pour les directions des systèmes d'information françaises. Il touche directement à la manière dont les contenus publiés par les collaborateurs, les clients ou les prospects d'une entreprise, et parfois les corpus internes eux-mêmes lorsqu'ils transitent par des outils tiers, pourraient se retrouver absorbés par l'entraînement de modèles comme ChatGPT, Gemini ou Meta AI, sans que l'entreprise ait son mot à dire sur la suite.
Ce que change concrètement l'article 88 bis
Le périmètre visé par le texte couvre les publications, avis et photos accumulés depuis des années, aussi bien pour le développement des modèles que pour leur exploitation au quotidien. La Commission avait assorti sa proposition initiale d'un garde-fou : un droit d'opposition inconditionnel, permettant à toute personne de retirer ses données d'un entraînement sans avoir à se justifier. Le Conseil l'a supprimé de sa version du 21 octobre. Ne subsiste que l'opposition classique prévue par l'article 21 du RGPD, qu'une entreprise peut écarter en invoquant des « motifs légitimes et impérieux ».
La protection particulière réservée aux mineurs quitte elle aussi le corps du texte pour devenir un simple considérant, sans portée contraignante équivalente. Les données dites sensibles, qui touchent à la santé, aux opinions ou à l'orientation sexuelle, deviennent tolérées dans les jeux d'entraînement dès lors que leur présence reste « incidente et résiduelle ». L'entreprise est censée les effacer, sauf lorsque l'opération se révèle techniquement impossible ou exige un effort « manifestement disproportionné » : un simple confinement technique suffit alors. Les autorités de protection des données des États membres, dont la CNIL française fait partie, avaient pourtant alerté ensemble dès le 10 février sur ces reculs. Elles n'ont pas été suivies par le Conseil.
Un considérant tente malgré tout de borner l'exercice : développer une IA ne constitue pas en soi un intérêt légitime, et chaque traitement doit s'évaluer au cas par cas. C'est précisément ce garde-fou théorique que Max Schrems juge insuffisant, résumant le dispositif comme « la remise totale des données européennes aux multinationales ».
Un précédent déjà validé par un tribunal allemand
Le Conseil ne légifère pas en terrain vierge. Depuis le 27 mai 2025, Meta entraîne ses modèles sur les publications publiques des Européens adultes, déjà au nom de l'intérêt légitime. Des associations de consommateurs allemandes avaient tenté de bloquer cette collecte en urgence : la cour d'appel de Cologne les a déboutées le 23 mai 2025, jugeant l'opération « légale, même sans le consentement des personnes concernées ». Google et OpenAI défendraient une lecture similaire pour nourrir respectivement Gemini et ChatGPT, selon 01net. L'article 88 bis transformerait ainsi une interprétation jusqu'ici disputée devant les tribunaux en règle écrite, opposable à n'importe quel acteur, de la jeune pousse française au géant américain.
Le calendrier d'entrée en application ajoute à l'inquiétude : le volet IA s'appliquerait trois jours après la publication du règlement au Journal officiel de l'Union européenne, sans période de transition. Pour une direction informatique qui doit habituellement anticiper des mois de mise en conformité, ce délai réduit à quelques jours constitue en soi une rupture de méthode.
La pseudonymisation, nouvelle ligne de fracture
Le mandat du Conseil ne se limite pas à l'article 88 bis. Il introduit également un article 25 bis consacré à la pseudonymisation, cette technique qui remplace un nom ou un identifiant direct par un jeton. Selon le texte, une donnée pourrait ne plus être considérée comme personnelle pour une entreprise tierce dès lors que celle-ci ne dispose pas des moyens de retrouver l'identité de la personne concernée. Noyb pointe un problème de fond : la majorité des systèmes informatiques actuels fonctionnent déjà avec des identifiants pseudonymisés, qu'il s'agisse d'identifiants utilisateurs, de traceurs publicitaires ou d'adresses IP. Une partie du pistage en ligne pourrait ainsi sortir du champ du RGPD, la décision de qualifier une donnée de personnelle ou non revenant en grande partie aux entreprises elles-mêmes.
Cette distinction entre pseudonymisation et anonymisation est pourtant centrale dans le droit actuel. L'article 4-5 du RGPD définit la pseudonymisation comme un procédé réversible : tant qu'il existe un moyen de revenir à l'identité initiale, la donnée reste personnelle et continue de relever du règlement. C'est l'approche que suit par exemple Moon Blur, le dispositif de la plateforme française Moon AI, qui remplace les données personnelles par des jetons avant leur envoi à des modèles tiers, puis les rétablit au retour : parce que le procédé est réversible, il s'agit d'une pseudonymisation au sens strict, jamais d'une anonymisation, et les données continuent donc de relever du RGPD aujourd'hui. L'article 25 bis proposé par le Conseil introduirait une logique différente, où la qualification de donnée personnelle dépendrait des capacités techniques du destinataire plutôt que de la nature réversible ou non du procédé. C'est exactement ce glissement que redoute noyb.
Le double calendrier qui désoriente les DSI français
Le Digital Omnibus ne doit pas être confondu avec l'AI Act, la législation européenne encadrant les systèmes d'intelligence artificielle, qui suit sa propre trajectoire réglementaire selon Xataka. Les deux textes avancent donc sur des rails distincts, négociés par des instances et selon des calendriers différents. Pour une direction des systèmes d'information qui pilote déjà sa mise en conformité avec l'AI Act, cette dissociation crée un angle mort concret : le terrain juridique sur lequel reposent les données utilisées par les outils d'IA, y compris celles issues de corpus internes ou de contenus publiés par l'entreprise et ses collaborateurs, peut se déplacer sans préavis et sans coordination avec le chantier de conformité déjà engagé sur le volet IA lui-même.
Le texte reste, à ce stade, une position de négociation. Le Parlement européen n'a pas arrêté la sienne, et les trilogues avec la Commission et le Conseil n'ont pas de calendrier fixé. Si l'article 88 bis survit tel quel à ces négociations, la logique s'inversera par rapport au droit actuel : les publications passées deviendront entraînables par défaut, et il faudra plaider un refus dossier par dossier plutôt que s'appuyer sur un droit de retrait automatique.
Ce qui change, point par point
| Disposition | RGPD actuel | Mandat du Conseil du 21 octobre 2026 |
|---|---|---|
| Base juridique pour l'entraînement d'une IA | Intérêt légitime évalué au cas par cas, sans mention explicite de l'IA | Nouvel article 88 bis dédié, invocable par toute entreprise développant ou exploitant une IA |
| Droit d'opposition | Opposition prévue par l'article 21, écartable par l'entreprise sur motifs légitimes et impérieux | Suppression du droit d'opposition inconditionnel proposé par la Commission ; retour au seul article 21 |
| Protection des mineurs | Garanties spécifiques dans le corps du texte | Basculement vers un simple considérant, sans force contraignante équivalente |
| Données sensibles (santé, opinions, orientation sexuelle) | Traitement interdit sauf exceptions strictement encadrées | Présence tolérée si « incidente et résiduelle », effacement sauf effort disproportionné |
| Donnée pseudonymisée | Reste une donnée personnelle tant qu'un moyen de réidentification existe (art. 4-5) | Nouvel article 25 bis : pourrait sortir du champ du RGPD pour un tiers incapable de réidentifier |
| Entrée en application du volet IA | Sans objet | Trois jours après publication au Journal officiel, sans période de transition |
Quelles marges de manœuvre restent aux entreprises et aux particuliers
Le mandat du Conseil n'est pas la loi définitive. Il doit encore être négocié avec le Parlement européen dans le cadre de trilogues sans calendrier arrêté, et les eurodéputés peuvent supprimer certaines dispositions, ajouter des garanties ou restreindre les traitements autorisés. Noyb prévient déjà qu'une adoption du texte sans modification pourrait déboucher sur un recours devant la Cour de justice de l'Union européenne, qui a par le passé invalidé des dispositifs européens pour des atteintes moindres aux droits fondamentaux, sur la conservation des données de connexion ou leur transfert vers les États-Unis.
Dans l'intervalle, le formulaire d'opposition de chaque plateforme reste, selon 01net, le levier le plus sûr à actionner avant l'entraînement du prochain modèle, sachant qu'une fois des données absorbées par un modèle, elles n'en ressortent plus, opposition ou pas. Pour les directions informatiques, la vigilance porte aussi sur la manière dont les données envoyées aux modèles tiers sont traitées en amont : un procédé réversible de pseudonymisation, comme celui mis en œuvre par certains outils français, ne retire pas la donnée du champ du RGPD aujourd'hui, même si le projet d'article 25 bis pourrait un jour changer cette donne pour les destinataires incapables de réidentifier.
Questions fréquentes
L'article 88 bis du RGPD est-il déjà entré en vigueur ?
Non. Le texte adopté le 21 octobre 2026 n'est qu'un mandat de négociation du Conseil de l'Union européenne. Il doit encore être discuté avec le Parlement européen, qui n'a pas arrêté sa position, dans le cadre de trilogues dont le calendrier n'est pas fixé.
Une entreprise française peut-elle encore s'opposer à l'utilisation de ses données par une IA ?
Le droit d'opposition inconditionnel proposé par la Commission a été supprimé par le Conseil. Il ne reste que l'opposition classique de l'article 21 du RGPD, qu'une entreprise peut écarter en invoquant des motifs légitimes et impérieux, ce qui rend le refus moins automatique qu'avant.
Ce texte modifie-t-il aussi l'AI Act ?
Non. Le Digital Omnibus, dont fait partie l'article 88 bis, et l'AI Act suivent des trajectoires réglementaires distinctes. Les sources consultées ne détaillent pas de mécanisme de coordination entre les deux textes.
Pseudonymiser des données suffit-il à sortir du RGPD ?
Pas dans le droit actuel. Tant qu'un moyen de réidentification existe, la donnée reste personnelle au sens de l'article 4-5 du RGPD. Le projet d'article 25 bis du mandat du Conseil propose de changer cette règle pour les tiers incapables de réidentifier, mais ce point n'est pas encore adopté.