Vos publications, vos photos, vos échanges avec un service en ligne pourront-ils servir à entraîner une IA sans qu’on vous demande votre avis ? C’est la question que pose le texte adopté le 21 octobre par les ambassadeurs des 27 États membres de l’UE, sous présidence irlandaise. Il s’agit de leur position sur l’« omnibus numérique », un vaste paquet de « simplification » présenté par la Commission européenne en novembre 2025, qui retouche le RGPD, la directive ePrivacy sur les cookies ou le Data Act. Pour les défenseurs de la vie privée, c’est un recul historique. Pour les États, une clarification. Le texte, que nous avons lu, se situe entre les deux, et rien ne change encore aujourd’hui.
Ce que dit le texte
Le cœur du sujet tient en un nouvel article du RGPD : le traitement de données personnelles pour développer et faire fonctionner un système ou un modèle d’IA « peut être réalisé » au titre de l’intérêt légitime de l’entreprise. Autrement dit, sans consentement, à condition que l’intérêt de l’entreprise ne l’emporte pas sur les droits des personnes. Les États ont ajouté un garde-fou dans les considérants : développer une IA ne constitue pas « en soi » un intérêt légitime, et chaque cas doit être examiné séparément.
Mais ils ont aussi retiré une protection importante. La Commission prévoyait un droit d’opposition « inconditionnel » : vous dites non, vos données sortent de l’entraînement. Le Conseil le remplace par le droit d’opposition ordinaire du RGPD, plus étroit : il faut invoquer sa « situation particulière », et l’entreprise peut faire valoir des « motifs légitimes impérieux ». Les données sensibles (santé, opinions, religion) qui se retrouveraient par accident dans les données d’entraînement devront être effacées, ou neutralisées si l’effacement est impossible. Enfin, des données pseudonymisées ne seraient plus considérées comme personnelles pour un tiers incapable de retrouver la personne. Au passage, le délai pour signaler une fuite de données passerait de 72 à 96 heures.
« Une expropriation numérique »
L’association autrichienne noyb, fondée par le juriste Max Schrems, connu pour avoir fait annuler deux accords de transfert de données vers les États-Unis, n’a pas attendu : elle parle d’une « expropriation numérique des Européens » et du « plus beau cadeau que les États membres aient jamais fait aux géants américains de la tech ». Elle désigne l’Allemagne comme moteur ; des propositions allemandes qui avaient fuité en septembre voulaient même rendre l’intérêt légitime automatique pour l’IA, ce que le texte final ne fait pas. Les autorités européennes de protection des données, CNIL comprise, n’avaient pas encore réagi au moment où nous écrivons. En février, elles jugeaient cet article « superflu », puisque le RGPD permet déjà l’intérêt légitime pour l’IA au cas par cas, et réclamaient des précisions sur le droit d’opposition. C’est précisément ce droit qui recule.
Ce que cela implique
Le texte ne fait qu’écrire noir sur blanc ce que Meta pratique depuis mai 2025, quand le groupe a commencé à entraîner ses IA sur les publications publiques des Européens sans leur accord, au nom de l’intérêt légitime, en laissant à chacun le soin de s’y opposer. Ce qui était une interprétation contestée deviendrait une règle. Le problème n’est pas qu’une PME puisse affiner un modèle sur ses propres données clients avec des garanties : c’est que la règle profite d’abord à ceux qui possèdent déjà des milliards de publications, et que le droit de dire non devient plus difficile à exercer. Nous l’écrivions à propos de Doctolib et des données de santé : un système où il faut s’opposer pour être protégé est un système où la plupart des gens ne le sont pas.
Rien n’est joué. Le Parlement européen n’a pas encore arrêté sa position : ses rapporteures, la Finlandaise Aura Salla et l’Estonienne Marina Kaljurand, sont saisies de plus de 1 750 amendements, et cette dernière veut garder intacte la définition des données personnelles. Viendront ensuite des négociations à trois avec le Conseil et la Commission, sans doute pas avant 2027. C’est le moment de suivre ce que défendront nos eurodéputés. Le RGPD a fait de l’Europe une référence mondiale de la vie privée ; il serait paradoxal de le « simplifier » au moment précis où l’IA en a le plus besoin.
Sources
- Conseil de l’UE — Mandat de négociation sur l’omnibus numérique, ST 14756/26 (22 octobre 2026)
- Conseil de l’UE — Communiqué du 21 octobre 2026
- noyb — « Digital expropriation » (23 octobre 2026)
- EDPB et CEPD — Avis conjoint 2/2026 sur l’omnibus numérique (février 2026)
- Parlement européen — Fiche de procédure 2025/0360(COD)
- NicFab — Analyse du mandat du Conseil
