Présenté mercredi 19 novembre, le paquet « omnibus » de la Commission européenne vise à simplifier les règles existantes et à en proposer de nouvelles dans le domaine de l’intelligence artificielle (IA) et des données. L’initiative, qui devra obtenir l’accord du Parlement européen et du Conseil de l’Union européenne, se présente comme une tentative de réduire les coûts administratifs et de soutenir la compétitivité des entreprises européennes, en particulier des petites et moyennes entreprises (PME).
Objectifs et contexte politique
Dans son communiqué, la Commission met en avant un double objectif : « réduire les coûts administratifs et soutenir la compétitivité des entreprises européennes », afin que celles-ci « consacrent moins de temps au travail administratif et à la conformité, et plus de temps à innover et à se développer ». Le paquet intervient alors que les chefs d’État et de gouvernement — cités dans le texte — ont déjà souligné la nécessité de préserver la souveraineté numérique de l’Europe, lors d’un « sommet sur la souveraineté numérique » évoqué par les présidents français et allemand, Emmanuel Macron et Friedrich Merz.
La Commission motive aussi l’initiative par la volonté de permettre aux acteurs européens d’IA générative de rester dans la course internationale, alors que le continent accuse, selon le communiqué, un retard face aux États‑Unis et à la Chine.
Assouplissements proposés pour le RGPD et l’AI Act
Le paquet propose d’assouplir certaines mesures du Règlement général sur la protection des données (RGPD) qui encadre l’utilisation des données personnelles dans l’Union européenne. Selon la Commission, des « modifications ciblées du RGPD harmoniseront, clarifieront et simplifieront certaines règles afin de stimuler l’innovation et de soutenir la conformité des organisations ». La révision est présentée comme un moyen d’autoriser un accès plus important des entreprises aux données personnelles pour l’entraînement de systèmes d’IA.
Sur le volet IA, la Commission propose de décaler de 16 mois l’application de certaines dispositions de l’AI Act. Le texte rappelle que l’AI Act est entré en vigueur en 2024, qu’il interdit déjà les systèmes à « risque inacceptable » et qu’il instaure des obligations renforcées de traçabilité, de transparence et de robustesse. Ces exigences renforcées de traçabilité et de transparence devraient s’appliquer, selon la proposition, à partir d’août 2027 pour les systèmes qualifiés de « à haut risque », notamment lorsqu’un préjudice pour la sécurité ou les droits des personnes est possible (exemples cités : identification biométrique, gestion d’infrastructures critiques).
La Commission indique également que les développeurs d’IA pourraient s’appuyer sur un « intérêt légitime » pour entraîner leurs modèles avec certaines données, un point identifié dans le texte comme l’un des plus controversés du paquet, car il touche à l’équilibre entre innovation et protection de la vie privée.
Cookies, consentement et cybersécurité
Le paquet s’attaque aussi à ce que la Commission appelle la « fatigue des bannières » de consentement sur les sites Internet. En s’appuyant sur la directive « vie privée et communications électroniques » de 2002, les modifications proposées devraient réduire le nombre d’apparitions de bannières et permettre aux internautes d’accepter ou de refuser tous les cookies d’un simple clic. Les sites devront respecter ce choix pendant au moins six mois.
La Commission prévoit par ailleurs une liste blanche de « finalités inoffensives » qui exonérerait certaines opérations du consentement préalable. Toutefois, les associations de défense de la vie privée rappellent que les procédures de consentement restent aujourd’hui « artificiellement complexes » et pourraient inciter les internautes à céder à la collecte de leurs données.
Sur la cybersécurité, le paquet simplifie les obligations de déclaration en créant un point d’entrée unique où les entreprises pourront remplir toutes les déclarations d’incidents, ce qui devrait alléger les formalités pour les organisations qui gèrent des infra‑structures critiques ou des services en ligne.
Portefeuille numérique et stratégie des données
Une autre mesure prévoit la création d’un portefeuille numérique pour les entreprises, offrant une identité numérique unique destinée à simplifier les formalités administratives. L’usage de ce portefeuille serait optionnel pour les entreprises, mais les administrations publiques devront, en revanche, accepter cette identité si elle est présentée. L’outil s’inspirerait du projet d’identité numérique européenne pour les citoyens et permettrait, selon la Commission, de signer, horodater et échanger numériquement des documents vérifiés entre acteurs privés et administrations publiques au sein des États membres.
Enfin, la Commission a publié une stratégie pour l’Union des données. Non contraignante, elle vise à faciliter l’accès aux données de haute qualité pour les entreprises européennes, en s’appuyant sur trois leviers : élargir l’accès aux données, simplifier et harmoniser les règles de partage, et renforcer la maîtrise européenne des flux internationaux de données.
Le paquet « omnibus » combine donc assouplissements réglementaires et outils techniques destinés à réduire les obstacles administratifs, tout en conservant des garanties — selon le communiqué — sur la traçabilité et la sécurité. Il devra désormais franchir les étapes législatives au Parlement et au Conseil pour devenir effectif.
