Omnibus numérique : les États de l'UE ouvrent l'entraînement de l'IA à l'intérêt légitime

L'omnibus numérique est un projet de règlement européen, présenté par la Commission européenne le 19 novembre 2025, qui modifie d'un seul coup le Règlement général sur la protection des données (RGPD), la directive ePrivacy, le Data Act et plusieurs textes de cybersécurité. Le 21 octobre 2026, le Comité des représentants permanents (Coreper) du Conseil de l'Union européenne a adopté son mandat de négociation. Point saillant : le traitement de données personnelles pour développer et exploiter l'IA pourrait reposer sur l'« intérêt légitime », sans consentement.

Que contient le mandat adopté par le Conseil le 21 octobre 2026 ?

Le texte du mandat est consigné dans le document 14756/26 du Secrétariat général du Conseil, daté du 22 octobre 2026. Il ne s'agit pas d'une loi adoptée : c'est la position des 27 États membres en vue des trilogues avec le Parlement européen, qui n'a pas encore voté la sienne.

Selon ce document, le mandat retient notamment :

1. Un nouvel article 88 bis du RGPD consacré au traitement de données personnelles « dans le contexte du développement et de l'exploitation » d'un système ou d'un modèle d'IA.
2. Un délai de notification des violations de données porté de 72 à 96 heures.
3. Une précision sur la notion de donnée personnelle : une information n'est pas personnelle pour une entité qui ne peut pas raisonnablement identifier la personne.
4. Un encadrement des traceurs (témoins) intégré au RGPD, avec un refus du consentement possible en un clic.

Que permet l'article 88 bis pour l'IA ?

L'article 88 bis prévoit que le traitement de données personnelles lié au développement ou à l'exploitation d'un système d'IA, au sens de l'article 3 du règlement européen sur l'IA, ou d'un modèle d'IA, peut se fonder sur l'intérêt légitime du responsable ou d'un tiers (article 6(1)(f) du RGPD). Deux limites demeurent : une autre loi peut exiger explicitement le consentement, et l'intérêt de l'entreprise cède devant les droits fondamentaux de la personne, « en particulier lorsque la personne concernée est un enfant ».

Le Conseil a toutefois retiré la liste de garanties prévue par la Commission, dont la minimisation des données lors de la sélection des sources et un « droit d'opposition inconditionnel ». Il les remplace par une formule générale : des mesures techniques et organisationnelles appropriées, y compris le droit d'opposition de l'article 21.

Pourquoi cette position est-elle contestée ?

L'organisme autrichien noyb, fondé par le juriste Max Schrems, a qualifié le texte d'« expropriation numérique des Européens » dans une déclaration du 23 octobre 2026. Selon noyb, les entreprises pourraient présumer un intérêt légitime prépondérant dès qu'un traitement touche à l'IA, et l'organisme évoque un recours devant la Cour de justice de l'Union européenne (CJUE) si le texte est adopté.

Les autorités européennes de protection des données avaient déjà émis des réserves. Dans leur avis conjoint 2/2026 du 10 février 2026, le Comité européen de la protection des données (CEPD) et le Contrôleur européen de la protection des données (EDPS, selon son sigle anglais) estimaient que le projet risquait de réduire la portée de la protection et de créer de l'incertitude juridique. Le Parlement européen reste divisé, selon noyb : la suite dépendra des trilogues.

Quelles conséquences pour les organisations québécoises ?

La Loi 25 suit une logique opposée. La Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) n'offre pas de base générale fondée sur l'intérêt légitime : l'utilisation d'un renseignement à une nouvelle fin, comme l'entraînement d'un modèle, exige en principe le consentement, sauf exceptions précises (fins compatibles, recherche ou statistiques avec renseignements dépersonnalisés, notamment). En cas d'incident de confidentialité présentant un risque de préjudice sérieux, l'avis à la Commission d'accès à l'information (CAI) doit être transmis « avec diligence ».

Pour une entreprise québécoise active en Europe, trois conséquences pratiques se dessinent :

1. Un même jeu de données pourrait être utilisable pour l'entraînement en Europe et interdit au Québec sans consentement.
2. Les fournisseurs d'IA européens pourraient s'aligner sur la règle la plus souple : les contrats devront préciser la base légale des données d'entraînement.
3. L'évaluation des facteurs relatifs à la vie privée exigée par la Loi 25 restera la référence pour tout projet d'IA déployé au Québec.

La CAI a déjà rappelé la rigueur du régime québécois : la Cour du Québec a confirmé en octobre 2026 son ordonnance visant Clearview AI, qui portait sur la collecte d'images sans consentement.

Questions fréquentes

L'omnibus numérique modifie-t-il déjà le RGPD ?

Non. Au 26 octobre 2026, le volet données de l'omnibus numérique n'est pas adopté. Le Conseil a arrêté son mandat le 21 octobre 2026, mais le Parlement européen doit encore fixer sa position. Le RGPD actuel, la directive ePrivacy et le Data Act s'appliquent donc sans changement jusqu'à l'entrée en vigueur d'un texte final.

Qu'est-ce que l'intérêt légitime au sens du RGPD ?

L'intérêt légitime est l'une des six bases légales de l'article 6 du RGPD. Il permet un traitement sans consentement si l'intérêt de l'organisation est réel et nécessaire, et s'il ne cède pas devant les droits de la personne. L'article 88 bis rendrait cette base explicitement disponible pour le développement et l'exploitation de l'IA.

Une entreprise québécoise peut-elle invoquer l'intérêt légitime ?

Non, la Loi 25 ne prévoit pas cette base légale générale. Utiliser des renseignements personnels pour entraîner un modèle à une fin différente de leur collecte exige en principe un consentement, sauf exceptions prévues par la loi, comme les fins compatibles ou la recherche avec des renseignements dépersonnalisés.

Quand le texte final pourrait-il être adopté ?

Aucun calendrier n'est fixé. Les trilogues entre le Conseil, le Parlement et la Commission ne pourront commencer qu'après le vote du Parlement européen sur sa propre position. Le texte final pourra encore s'écarter du mandat du Conseil, en particulier sur l'article 88 bis, qui divise les groupes politiques du Parlement.

Sources

• Conseil de l'Union européenne, document 14756/26, mandat de négociation sur l'omnibus numérique (22 octobre 2026)
• noyb, « AI: EU Member States approve "digital expropriation" of Europeans for AI companies » (23 octobre 2026)
• CEPD et EDPS, avis conjoint 2/2026 sur l'omnibus numérique (10 février 2026)
• Le Club des juristes, « Omnibus numérique : la Commission européenne propose de réformer l'encadrement et la gouvernance du numérique » (novembre 2025)
• LégisQuébec, Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1)
• EUR-Lex, Règlement (UE) 2016/679 (RGPD)