Omnibus numérique : l’UE veut réorganiser les lois numériques

Florian Bodoky

12/11/2025

Traduction : Yannick Meilleray

La Commission européenne souhaite harmoniser sa règlementation numérique : l’« omnibus numérique » (ou « Digital Omnibus ») vise à uniformiser et, dans certains cas, à modifier en profondeur la loi sur les données (« Data Act »), le RGPD et l’AI Act.

La Commission européenne prévoit de réorganiser la législation numérique européenne dans le cadre d’un « omnibus numérique ». Sont principalement concernés la loi sur les données, l’AI Act et le Règlement général sur la protection des données (RGPD). La vice-présidente de la Commission européenne, Henna Virkkunen, présentera le projet le 19 novembre. Ce dernier vise notamment à améliorer la protection et l’utilisation des données, les notifications de cybersécurité et l’AI Act. Le portail Netzpolitik.org a déjà publié les deux projets.

• Loi omnibus sur la loi sur les données et le RGPD (en anglais)
• Loi omnibus sur l’IA (en anglais)

L’essentiel en bref

À l’avenir, la loi sur les données devrait jouer un rôle encore plus central. Il regroupera désormais trois autres règlementations, à savoir la directive sur les données ouvertes (« Open Data »), le Règlement sur la libre circulation des données à caractère non personnel et l’acte sur la gouvernance des données (« Date Governance Act »). L’objectif étant d’éviter que certains points ne soient règlementés deux fois ou ne se contredisent en partie. Dans le même temps, la Commission souhaite modifier la règlementation relative aux cookies. Celle-ci ne devrait plus faire partie que du RGPD ; l’ancienne directive sur la vie privée et les communications électroniques sera supprimée. En outre, la conservation des données sera réglée séparément, à savoir dans le Digital Networks Act.

Ce qui change dans le RGPD

Le projet de loi apporte des modifications significatives dans le domaine de la protection des données. Ces dernières concernent dans un premier temps l’« intérêt légitime », par exemple pour l’entraînement de systèmes d’IA à l’aide de données à caractère personnel. Là où votre consentement est souvent nécessaire aujourd’hui, une mise en balance en faveur des entreprises pourrait suffire à l’avenir. Cela signifie par exemple que l’entreprise XYZ a intérêt à entraîner l’IA pour améliorer son service clientèle, en utilisant vos données. Comme celles-ci sont anonymisées ou pseudonymisées, l’intérêt de l’entreprise (service, efficacité) l’emporte sur votre intérêt à préserver votre vie privée. Même si la pondération doit être compréhensible et justifiée, la décision revient à l’entreprise et vous ne pouvez pas refuser de donner votre consentement de manière générale.

La Commission souhaite supprimer l’obligation d’opt-in pour les cookies non nécessaires. À l’avenir, toutes les bases du RGPD devraient suffire pour stocker et lire ces cookies ; toute opposition devra alors se faire par opt-out. Cela signifie que vous devrez vous opposer activement aux cookies volontaires, les fournisseurs n’auront pas à demander votre permission de manière proactive. Parallèlement, la technologie des « signaux de préférence lisibles par machine » (c’est-à-dire les outils « Do-Not-Track ») deviendra obligatoire : les navigateurs ou les systèmes d’exploitation enverront votre décision concernant le suivi, et les sites Internet devront en tenir compte automatiquement. Les fournisseurs de médias (par exemple, les portails en ligne des journaux) en seront exemptés afin de ne pas compromettre leurs contenus financés par la publicité.

Selon l’article 9 du RGPD, à l’avenir, seules les informations qui « révèlent directement » des caractéristiques sensibles, telles que la santé, les opinions politiques ou l’orientation sexuelle, seraient considérées comme « sensibles ». Les sensibilités dérivées ou accessibles uniquement par des « processus intellectuels complexes » relèveraient des règles générales du RGPD. Seules les données génétiques et biométriques resteraient exclues et continueraient à bénéficier d’une protection stricte.

Exemple : si vous avez souvent liké les publications Instagram d’un parti politique, l’algorithme en déduit une probabilité accrue de vos opinions politiques. Jusqu’à présent, cette information est considérée comme sensible. Avec la nouvelle règlementation, elle relèvera des règles normales du RGPD, car vous ne révélez pas explicitement vos opinions politiques.

L’IA centralisée, les PME soulagées ?

En ce qui concerne la règlementation de l’IA, la Commission prévoit, selon le projet, des « simplifications ciblées ». Jusqu’à présent, l’AI Office était chargé de la règlementation et de la surveillance de l’IA dans le cadre de l’AI Act. Désormais, il devrait assumer des responsabilités centrales, notamment pour les très grandes plateformes en ligne et les moteurs de recherche (VLOP) qui comptent plus de 45 millions d’utilisatrices et d’utilisateurs au sein de l’UE selon les critères de la législation sur les services numériques (« Digital Service Act ») ou DSA. Dans le même temps, des allègements pour les entreprises, des interfaces plus claires avec la législation sur la protection des données ainsi que des règles spéciales pour les PME en matière de documentation et de surveillance sont également prévus.

Qu’est-ce que cela signifie ? Les modifications visent à éviter les chevauchements entre l’AI Act et le RGPD et à définir clairement quand l’un ou l’autre s’applique. En outre, il s’agit de clarifier la compétence des différentes autorités. Les règles spéciales applicables aux PME signifient qu’elles sont soumises à moins d’exigences que les grandes entreprises, car elles ne peuvent pas les remplir avec la même efficacité sur le plan administratif.

Exemple : une petite start-up développe un logiciel basé sur l’IA pour aider à trouver la personne adéquate lors d’une candidature. Il s’agit toutefois d’un système d’IA à haut risque. La nouvelle règlementation doit permettre à la start-up de standardiser l’évaluation des risques, de simplifier l’obligation de documentation sur le plan technique, etc.

Qui fait pression, qui freine, et pourquoi ?

La Commission européenne est la force motrice. Le gouvernement fédéral allemand est un autre partisan. Selon certains rapports, l’Allemagne serait le seul État membre à soutenir activement les modifications du RGPD. Sur le plan économique, la Commission avance des arguments tels que la réduction de la bureaucratie, la baisse des coûts et l’amélioration de la compétitivité.

De l’autre côté, on trouve les organisations de protection des données et les particuliers. Noyb ou Max Schrems, par exemple, mettent en garde contre une atteinte à la vie privée : des normes de consentement moins strictes pour les cookies, une définition large de l’« intérêt légitime » pour l’entraînement de l’IA et une définition plus restrictive des données sensibles pourraient donner aux entreprises d’IA « carte blanche » pour collecter des données.

Quelles en seraient les conséquences ?

• Loi sur les données : quatre actes fusionnent dans la loi sur les données révisée ; moins de chevauchements, plus d’uniformité.
• Cookies : l’opt-in est remplacé par un système qui autorise toutes les bases juridiques du RGPD ; opt-out pour les utilisatrices et les utilisateurs, respect obligatoire des « signaux de préférence automatiques » ; exceptions pour les fournisseurs de médias.
• Entraînement de l’IA : traitement des données à caractère personnel possible sur la base d’un « intérêt légitime » ; le débat sur les limites et la surveillance s’intensifie.
• Données sensibles : article 9 rédigé de manière plus restrictive ; les données génétiques / biométriques continuent de bénéficier d’une protection particulière.
• Surveillance de l’IA : compétences davantage concentrées au sein de l’AI Office ; allègements pour les PME.
• Signalement des cyberincidents : les structures de signalement doivent être allégées ; les détails suivront avec le projet.

Henna Virkkunen présentera le projet de la Commission le 19 novembre 2025. La procédure législative normale au sein du Conseil et du Parlement européen débutera ensuite.

Florian Bodoky

Editor

Florian.Bodoky@digitecgalaxus.ch

Depuis que j'ai découvert comment activer les deux canaux téléphoniques de la carte RNIS pour obtenir une plus grande bande passante, je bricole des réseaux numériques. Depuis que je sais parler, je travaille sur des réseaux analogiques. Un Winterthourois d'adoption au cœur rouge et bleu. plus

---

En coulisse

Des informations intéressantes sur le monde des produits, un aperçu des coulisses des fabricants et des portraits de personnalités intéressantes.

Tout afficher

Ces articles pourraient aussi vous intéresser