Digital Omnibus : le mandat du Conseil ouvre l'intérêt légitime à l'entraînement de l'IA et retire les garde-fous de la Commission
Le 21 octobre 2026, le Comité des représentants permanents (Coreper) a arrêté le mandat du Conseil de l'UE pour négocier le Digital Omnibus avec le Parlement européen. Le texte, publié le lendemain (document 14756/26), réécrit l'article sur l'IA : le traitement de données personnelles pour développer ou exploiter un système ou un modèle d'IA pourrait reposer sur l'intérêt légitime, sans les garde-fous que la Commission avait inscrits. Pour un DPO, c'est la base légale des projets d'entraînement qui est en jeu.
Ce que le Conseil a adopté
Le mandat porte sur la proposition de règlement « Digital Omnibus » (procédure 2025/0360 (COD)), qui modifie notamment le RGPD. Trois changements comptent pour les responsables de traitement.
- L'article 88 bis sur l'IA. L'ancien article 88 quater de la Commission devient l'article 88 bis. Son premier paragraphe dit désormais que le traitement « dans le cadre du développement et de l'exploitation » d'un système ou d'un modèle d'IA peut être effectué pour un intérêt légitime du responsable ou d'un tiers, conformément à l'article 6, paragraphe 1, point f). Le Conseil a supprimé la réserve des lois exigeant explicitement le consentement et la mention explicite de la mise en balance avec les droits des personnes, « en particulier lorsque la personne concernée est un enfant ».
- Des garanties réécrites. La liste de la Commission (minimisation dès la sélection des sources, protection contre la divulgation de données résiduelles, transparence renforcée, droit d'opposition inconditionnel) disparaît. Le Conseil la remplace par un rappel : quelle que soit la base légale, le traitement pour l'IA reste soumis à des mesures techniques et organisationnelles appropriées, droit d'opposition de l'article 21 compris.
- La pseudonymisation plutôt que la définition. Le Conseil retire l'ajout de la Commission à la définition des données personnelles de l'article 4 et crée un article 25 bis : des données pseudonymisées ne sont pas des données personnelles pour un tiers incapable d'identifier la personne, elles le redeviennent si elles sont transmises à un tiers qui en a les moyens, et elles restent des données personnelles pour le sous-traitant qui les traite pour un responsable.
Le mandat ajoute enfin à l'article 97 un rapport de la Commission, attendu six mois après l'entrée en vigueur, sur la proportionnalité des obligations du chapitre IV pour les PME et les organisations non commerciales aux traitements à faible risque.
Pourquoi c'est important
L'intérêt légitime exige déjà aujourd'hui un test en trois temps : un intérêt réel, la nécessité du traitement, et une mise en balance avec les droits des personnes. En visant l'IA comme technologie, et non une finalité, le texte du Conseil change la lecture de ce test. Pour noyb, qui a publié sa critique le 23 octobre, il revient à présumer un intérêt prépondérant ; Max Schrems y voit une « expropriation numérique des Européens ». L'association estime que les références aux articles 21 et 24 n'apportent aucune garantie concrète, puisqu'elles s'appliqueraient de toute façon.
Le dossier n'en est pas à son premier signal. En septembre, EDRi avait écrit aux États membres sur ces mêmes points, pseudonymisation et IA, et nous avions détaillé ce que la « simplification » proposée changeait pour le RGPD. Le mandat n'est pas le texte final : le Conseil doit maintenant négocier en trilogue avec le Parlement, qui n'a pas encore arrêté sa position selon noyb, et la Commission.
Ce que ça change pour les organisations
Rien, pour l'instant : le RGPD en vigueur s'applique tel quel. Mais trois chantiers méritent d'être ouverts dès maintenant.
- Documenter les analyses d'intérêt légitime de vos projets IA comme si le texte actuel restait la règle : finalité précise, nécessité, mise en balance, mesures compensatoires. Une analyse solide tiendra sous les deux régimes.
- Préparer le droit d'opposition sur les jeux d'entraînement : c'est la seule garantie que le Conseil cite nommément. Savoir retrouver et exclure les données d'une personne est un sujet d'outillage, pas de doctrine.
- Revoir la cartographie des données pseudonymisées partagées avec des tiers : qui détient la clé, qui pourrait réidentifier. Côté prestataires, le texte rappelle que les données restent personnelles pour le sous-traitant, et les clauses de l'article 28 ne bougent pas. Notre guide sur les enjeux de la pseudonymisation reste la base.
Ce que Leto en pense
Un texte de négociation n'est pas une règle, et les DPO ont tout intérêt à ne pas anticiper un assouplissement qui peut encore changer au trilogue, ou être contesté devant la CJUE. Le geste utile est le même dans tous les scénarios : une analyse d'intérêt légitime écrite, datée, rattachée au traitement dans le registre, et un droit d'opposition qui fonctionne vraiment. C'est ce que Leto outille au quotidien ; pour le voir, demandez une démo.
Sources
