RGPD : vers un allègement de la législation au profit des IA ?

Des versions préliminaires du document Digital Omnibus, un texte de loi que la Commission européenne envisage de présenter ce mois-ci, ont été consultées par plusieurs médias dont Politico et Netzpolitik.de. Celui-ci introduit des modifications du RGPD, la législation relative aux données personnelles en Europe, ainsi que de l’IA Act. On fait le point !

Assouplissement du RGPD: ce que prévoit l’UE

Officiellement, le texte Digital Omnibus vise à réduire la complexité juridique et les coûts de mise en conformité pour les entreprises et entités publiques. Il envisage plusieurs mesures d’assouplissement du RGPD :

• Consentement aux cookies : la Commission européenne souhaite intégrer les règles de la directive ePrivacy directement dans le RGPD afin de simplifier et unifier la gestion du consentement. Les sites pourraient déposer certains cookies sans accord explicite, à condition que leur usage soit jugé à faible risque ou fondé sur un intérêt légitime.
• Encadrement du consentement automatisé : dans la continuité de cette simplification, les navigateurs et systèmes d’exploitation devraient transmettre automatiquement les préférences de consentement des utilisateurs. Cette automatisation rendrait inutiles la plupart des bandeaux de cookies. Les organes de presse resteraient toutefois autorisés à exiger un consentement explicite pour préserver leurs revenus publicitaires.
• Traitement des données personnelles : le projet autoriserait les entreprises à utiliser des données personnelles pour entraîner, tester ou valider des modèles d’intelligence artificielle sur la base de « l’intérêt légitime », ce qui réduirait considérablement le recours au consentement individuel.
• Redéfinition des données sensibles : la Commission prévoit de restreindre la protection renforcée aux seules données révélant directement l’origine, la religion, la santé ou l’orientation sexuelle, excluant celles qui ne feraient qu’impliquer ces caractéristiques par inférence.
• Données pseudonymisées : le texte proposerait d’exclure les données pseudonymisées du champ d’application complet du RGPD, estimant qu’elles ne présentent pas le même niveau de risque pour la vie privée.

Les associations de défense des données personnelles s’inquiètent

Sans surprise, ces modifications ciblant le RGPD ne sont pas du goût des associations de défense de la confidentialité en ligne. noyb, très actif sur cette thématique, s’est fendu d’un communiqué signalant ses inquiétudes « quant à la menace potentielle que le projet interne de Digital Omnibus représente pour les droits fondamentaux des Européens ».

La Commission propose notamment de modifier des éléments essentiels tels que la définition des « données à caractère personnel » et tous les droits des personnes concernées par le RGPD. Le projet divulgué suggère également de donner aux entreprises d’IA (comme Google, Meta ou OpenAI) un chèque en blanc pour aspirer les données personnelles des Européens, écrit l’association noyb.

L’association fondée par Max Schrems en 2017 craint également un affaiblissement de la protection des données liées à la santé, aux opinions politiques ou à l’orientation sexuelle.

Un allègement de l’IA Act ?

Entré en vigueur en août 2024, l’IA Act est la première législation d’ampleur visant à encadrer les IA en Europe. Mais plusieurs dispositions pourraient faire l’objet de « simplifications », comme indiqué pudiquement dans le rapport.

L’application de certaines réglementations, comme celles relevant des systèmes d’IA dits « à haut risque » (reconnaissance biométrique, recrutement automatisé, surveillance policière), pourrait être repoussée d’un an. En outre, les sanctions et exigences de transparence ne s’appliqueraient pleinement qu’à partir de 2027.

La Commission prévoit également de renforcer le rôle du nouvel « AI Office », chargé de coordonner la supervision du texte dans l’ensemble des États membres. Cet organe central devrait garantir une application harmonisée des règles et éviter les divergences nationales.

La présentation officielle du paquet Digital Omnibus est attendue le 19 novembre 2025, mais ses dispositions devront encore être discutées par le Parlement européen et les États membres avant une éventuelle adoption. Un processus qui pourrait s’étendre sur plusieurs mois.