Le Conseil de l'UE veut entraîner les IA sur vos données sans votre accord

Le 21 octobre 2026, les États membres ont arrêté leur mandat de négociation sur l'« omnibus numérique », un paquet de 179 pages censé simplifier le RGPD (Règlement général sur la protection des données), la directive ePrivacy et les règles de cybersécurité. Publié le lendemain, le texte contient un article 88 bis : il autorise le traitement de données personnelles pour développer et faire fonctionner des systèmes d'intelligence artificielle (IA) sur la base de l'intérêt légitime, sans consentement préalable. Le Parlement européen doit encore fixer sa position avant toute négociation à trois.

Article 88 bis : ce que change le mandat

L'article 88 bis rattache l'entraînement et l'exploitation des modèles à l'article 6.1.f du RGPD. L'entreprise n'a plus à demander l'accord des personnes : elle documente un intérêt légitime, vérifie qu'il ne heurte pas leurs droits et prévoit des garanties. La Commission avait proposé un droit d'opposition inconditionnel, qui permettait de refuser de figurer dans un entraînement sans se justifier. Le Conseil l'a supprimé. Reste l'opposition de droit commun, que l'entreprise peut écarter en invoquant des « motifs légitimes et impérieux ».

Les données sensibles, celles de santé ou relatives à l'orientation sexuelle par exemple, ne sont plus interdites par principe dans les jeux d'entraînement. Elles sont tolérées si leur présence est « incidente et résiduelle » et doivent être effacées, sauf si l'opération est techniquement impossible ou « manifestement disproportionnée » : un confinement technique peut alors suffire. La protection spécifique des enfants quitte le corps du texte pour un considérant, passage explicatif sans portée obligatoire propre. Le volet IA s'appliquerait trois jours après la publication au Journal officiel, sans période de transition.

Le silence vaudrait autorisation

Si le texte passe tel quel, les publications, avis et photos mis en ligne depuis des années deviendraient entraînables par défaut. Le refus subsiste, mais il se plaide dossier par dossier, avec les moyens juridiques de chacun : c'est désormais à la personne de contester.

Le précédent existe. En juin 2024, noyb avait déposé onze plaintes dans autant de pays contre l'entraînement des modèles de Meta. Depuis le 27 mai 2025, Meta entraîne pourtant ses modèles sur les publications publiques des adultes européens au nom de l'intérêt légitime, et la cour d'appel de Cologne a rejeté en référé, le 23 mai 2025, la demande de suspension d'une association de consommateurs. Le mandat du Conseil ferait de cette interprétation contestée une règle générale, applicable de la jeune pousse au géant américain. Les petites structures n'ont ni les mêmes volumes de données ni les mêmes services juridiques.

« C'est comme dire que tout est permis, quoi qu'on fasse, tant que c'est fait avec de l'IA. » — Max Schrems, noyb

Studios et PME : où se trouvent les données concernées

Un studio web ou une PME qui n'entraîne aucun modèle manipule pourtant la matière visée par l'article 88 bis : formulaires de contact, avis clients, archives de projets, dossiers RH. L'exposition passe surtout par les outils et les relations clients.

• Fournisseurs d'IA. Si un outil s'entraîne sur les données qu'on lui envoie, la question de la base légale s'ajoute à celle du contrat, et l'article 88 bis offre au prestataire un fondement commode. Le contrat reste le premier document à relire : que revendique le fournisseur, que lui interdit-on ?
• Usages internes. Un CRM enrichi, un chatbot sur le site d'un client ou une recherche sémantique dans des dossiers supposent chacun un traitement. L'intérêt légitime demande une mise en balance documentée, une information compréhensible et un canal d'opposition qui fonctionne.
• Clients. Ils demanderont ce qu'il advient de leurs données, et « c'est légal » ne répond à rien. Une réponse utile indique les données concernées, la base légale retenue, la façon de s'opposer et ce qui n'est pas fait.

Les acteurs qui disposent déjà de gros volumes de données, d'équipes juridiques et de modèles internes y gagnent en sécurité juridique. Les petites structures héritent d'une documentation supplémentaire et d'un risque de réputation si elles cèdent à la facilité.

Un mandat, pas une loi : calendrier et limites

Le Conseil n'a pas adopté une loi : il a arrêté une position de négociation. Le Parlement européen n'a pas encore fixé la sienne et aucune date n'est connue pour les trilogues, ces négociations à trois avec la Commission. L'article 88 bis peut être réécrit, amputé ou abandonné. Présenter le texte comme définitif revient à confondre mandat et loi.

L'intérêt légitime reste soumis à une analyse au cas par cas, avec les obligations d'information, de sécurité et de minimisation. Le Conseil a aussi écarté la réécriture de l'article 4 proposée par la Commission, ce qui maintient la définition actuelle des données personnelles : le même paquet protège ce périmètre d'un côté et élargit l'usage de l'autre.

Un considérant du mandat précise que développer une IA ne constitue pas, en soi, un intérêt légitime. Le texte ne dit pas qui tranche.

Ce qui peut se vérifier dès maintenant

Refondre sa politique de confidentialité n'a rien d'urgent tant que le texte n'est pas adopté. Certaines vérifications gardent leur valeur quelle que soit l'issue : cartographier les flux de données (formulaires, messageries, CRM, sauvegardes, outils d'IA) et relire dans les contrats fournisseurs les clauses d'entraînement, de conservation et de sous-traitance. Un DPA (accord de traitement des données) signé ne dit pas tout, il faut lire ce qu'il autorise.

Une mise en balance datée, conservée au dossier, constitue la trace qu'un contrôleur ou un plaignant demandera si l'intérêt légitime est invoqué. Le droit d'opposition se teste aussi : l'article 12.3 du RGPD fixe à un mois le délai de réponse à une demande d'exercice de droits, et un formulaire introuvable ou une réponse tardive suffisent à vider la garantie de son contenu.

La suite se joue au Parlement européen, puis en trilogue, sans date connue. On ne sait pas encore ce qui survivra de l'article 88 bis, ni si le droit d'opposition inconditionnel reviendra.