La Commission européenne a récemment amorcé un tournant prudent dans sa politique numérique. Après des années à promouvoir le RGPD et la future loi sur l’Intelligence Artificielle (IA) comme piliers de la régulation face aux abus des grandes entreprises technologiques, Bruxelles a présenté un paquet législatif omnibus qui, en pratique, allège les délais, obligations et limites pour les entreprises qui manipulent des données ou développent des systèmes d’IA.

Officiellement, l’objectif est clair : réduire la bureaucratie, stimuler la croissance économique et réaliser jusqu’à 5 milliards d’euros d’économies en coûts administratifs d’ici 2029, tout en ouvrant la voie à un potentiel d’économies annuelles atteignant 150 milliards d’euros grâce à la numérisation des démarches administratives. Cependant, des organisations de défense des droits numériques, des juristes et des acteurs critiques du pouvoir des Big Tech évoquent déjà une concession face aux pressions exercées par ces grandes entreprises — tant américaines qu’européennes — ainsi que par des gouvernements désireux de disposer de davantage de données pour entraîner leurs modèles IA.

Un paquet législatif global pour « simplifier » la régulation numérique

Ce nouveau paquet, baptisé digital omnibus, regroupe des changements autour de trois axes majeurs : l’intelligence artificielle, la cybersécurité et la protection des données. Il s’accompagne d’une Data Union Strategy — conçue pour débloquer de grands volumes de données de qualité — et d’une proposition de European Business Wallet, une sorte de « portefeuille numérique » destiné aux entreprises et administrations des 27 États membres.

Dans le domaine de l’IA, la Commission propose de relier l’entrée en vigueur des règles applicables aux systèmes à haut risque — ceux pouvant impacter la santé, la sécurité ou les droits fondamentaux — à la disponibilité de « outils de support » et à des standards techniques clairs. Concrètement, cela signifie que ces obligations ne s’appliqueraient pas immédiatement à la date prévue, mais jusqu’à 16 mois après leont certifié que des standards et outils sont en place pour permettre aux entreprises de se conformer.

La ligne officielle veut éviter que de petites et moyennes entreprises (PME) ne se retrouvent face à une réglementation difficile à appliquer. Pour les critiques, le risque est évident : prolonger la période durant laquelle des systèmes d’IA potentiellement dangereux fonctionneraient avec moins de contraintes, ce qui coïncide avec une accélération de la course pour la génération d’IA.

IA et données personnelles : plus de marge pour l’entraînement des modèles

Un des aspects les plus sensibles de ce paquet omnibus concerne les modifications proposées au RGPD. La Commission assure que le noyau du règlement reste intact, mais introduit des ajustements « ciblés » pour harmoniser, clarifier et simplifier certains règlements.

Il sera notamment plus facile de partager des ensembles de données personnelles anonymisées ou pseudonymisées entre entreprises, et une porte s’ouvre pour que des acteurs de l’IA puissent utiliser certains données personnelles pour entraîner leurs modèles, à condition que le processus et son usage ultérieur respectent les principes du RGPD.

En pratique, cela offre un cadre plus souple pour les sociétés souhaitant alimenter leurs modèles avec des données européennes, tout en renforçant la documentation, les garanties techniques et les évaluations d’impact. Pour les technologues, c’est une opportunité ; pour ceux qui craignent une surveillance algorithmique accrue, c’est une étape en arrière par rapport à une réglementation jusqu’ici considérée comme un « standard d’or » en matière de confidentialité.

Cookies plus légers… mais avec un pouvoir accru pour les navigateurs et systèmes

Parmi les mesures phares, la promesse de réduire la saturation des fenêtres de cookies. La Commission prévoit de moderniser les règles de consentement pour diminuer le nombre de pop-up et permettre aux utilisateurs de gérer leurs préférences de manière centralisée, via le navigateur ou le système d’exploitation.

Les utilisateurs pourraient ainsi accepter ou refuser des catégories de cookies « en une seule fois », avec une configuration cohérente sur tous les sites. Certains cookies jugés à « haut risque » resteraient en dehors des paramètres granulaires habituels.

Ce changement pourrait améliorer l’expérience utilisateur, mais certains experts alertent que cela pourrait aussi transférer davantage de pouvoir aux grands navigateurs et systèmes d’exploitation, souvent contrôlés par les mêmes grandes entreprises technologiques, alors que celles-ci sont aussi les ciblés de ces restrictions en matière de collecte de données et de publicité.

Moins de formalités en cybersécurité et plus de données pour l’IA

Sur le plan de la cybersécurité, le paquet introduit un point unique de notification d’incidents, afin que les entreprises puissent signaler un même incident via une étape unique plutôt que plusieurs cadres législatifs (comme NIS2, RGPD ou DORA). Ce guichet unique vise à réduire la charge administrative tout en maintenant les obligations de déclaration.

L’autre volet majeur est la Data Union Strategy, qui cherche à débloquer davantage de données de qualité pour entraîner des modèles d’IA et favoriser l’innovation dans des secteurs clés. Parmi les mesures annoncées :

• la consolidation de différentes normes relatives au Data Act en un texte plus cohérent ;
• des dérogations spécifiques pour les PME concernant le changement de fournisseur cloud ;
• des contrats-type facilitant l’accès et l’utilisation des données ;
• une « boîte à outils » contre les fuites de données sensibles et des mesures pour renforcer la souveraineté européenne sur les données non personnelles.

En théorie, l’objectif est d’empêcher que les données européennes ne se retrouvent hors contrôle, dans des juridictions à la réglementation moins protectrice, tout en créant un environnement plus favorable aux entreprises européennes d’IA capables d’accéder à de vastes bases de données à jour.

Un « portefeuille numérique » pour les entreprises dans toute l’UE

Le troisième pilier du paquet est le European Business Wallet, un outil numérique destiné à fournir aux entreprises et aux organismes publics une identité et un environnement commun pour opérer dans les 27 États membres.

Avec ce portefeuille, les sociétés pourraient :

• signer, dater et certifier des documents de façon numérique ;
• créer, stocker et échanger des documents vérifiés ;
• communiquer de manière sécurisée avec les administrations et autres entreprises à travers toute l’UE.

Si son adoption est généralisée, Bruxelles table sur un gain potentiel de 150 milliards d’euros par an en simplification administrative, développement transfrontalier et interactions officielles sans démarche physique.

Une tension croissante entre compétitivité et droits fondamentaux

Les vice-présidents et commissaires en charge du paquet insistent sur un même argument : l’Europe possède des talents, des infrastructures et un marché, mais ses entreprises — en particulier les plus petites — sont freinent par une réglementation excessive. Diminuer la charge, simplifier les obligations et repousser certaines exigences serait, selon eux, essentiel pour rattraper le retard en innovation face aux autres puissances.

Cependant, du côté de la société civile et d’une partie du corps juridique, un autre message émerge : l’UE commence à céder sur ses standards élevés, un cadre très exigeant en matière de vie privée et d’approche prudente vis-à-vis de l’IA.

Accorder plus de flexibilité sur l’utilisation des données personnelles pour l’entraînement, retarder la mise en œuvre des règles pour les systèmes à haut risque, ou recentraliser le contrôle du consentement aux cookies entre les mains de quelques grands acteurs technologiques, représente, pour ces critiques, une évolution risquée dans un contexte de concentration accrue du pouvoir numérique.

Ce qui nous attend : Parlement, États membres et « examen approfondi »

Le paquet omnibus et ses propositions connexes sont désormais transmis au Parlement européen et au Conseil, où une majorité qualifiée des États membres suffira à adopter le texte. Le processus pourrait durer plusieurs mois, avec d’éventuelles amendements et ajustements dus aux négociations politiques et à la pression des groupes d’intérêt.

Par ailleurs, la Commission a lancé une initiative de Digital Fitness Check, une revue de l’ensemble du cadre réglementaire numérique, comprenant une consultation publique ouverte jusqu’en mars 2026. L’objectif est de tester si la réglementation actuelle favorise ou freine la compétitivité européenne.

Il est clair que le débat sur la possibilité ou non d’assouplir suffisamment le RGPD et la loi sur l’IA sans compromettre les droits fondamentaux s’est intensifié. Et, cette fois, ce sont les institutions européennes elles-mêmes qui se trouvent au cœur de la controverse.

Questions fréquentes

Quels changements propose la Commission européenne au RGPD dans ce paquet numérique ?
La Commission suggère des modifications ponctuelles pour harmoniser et simplifier la mise en œuvre du RGPD, notamment concernant l’échange de jeux de données anonymisées ou pseudonymisées entre entreprises, ainsi que l’utilisation de certains données personnelles pour l’entraînement des modèles IA, tout en respectant les principes du règlement. Le cœur du RGPD n’est pas modifié, mais un cadre plus flexible est prévu pour certains usages en contexte d’innovation.

Comment la simplification des banners cookies impactera-t-elle l’utilisateur ?
L’objectif est que les internautes voient moins de fenêtres pop-up et puissent gérer leurs préférences cookies via un panneau unique dans le navigateur ou le système d’exploitation. Cela pourrait améliorer l’expérience de navigation, mais confère aussi davantage de contrôle aux acteurs qui contrôlent ces systèmes.

Qu’est-ce que le European Business Wallet et quels bénéfices pour les PME ?
Ce dispositif sera une plateforme numérique commune permettant aux entreprises et administrations européennes de signer, certifier et partager des documents vérifiés, tout en facilitant la communication sécurisée avec les autorités et partenaires. Pour les PME, cela pourrait réduire la paperasserie, accélérer leur déploiement dans d’autres pays de l’UE et diminuer les coûts administratifs.

Pourquoi le report de l’application des règles pour l’IA à haut risque suscite-t-il la polémique ?
Parce que ces systèmes touchent directement à des enjeux cruciaux de sécurité, de santé et de droits fondamentaux. En retardant de jusqu’à 16 mois leur application complète, on donne plus de marges aux entreprises pour s’adapter, mais cela allonge aussi la période pendant laquelle ces systèmes évoluent avec moins de contraintes strictes.

Source : Union européenne