Le 19 novembre, la Commission européenne a présenté son Omnibus Digital , un vaste paquet législatif touchant à l’IA, la cybersécurité et les données, modifiant plusieurs textes phares, comme l’AI Act, le RGPD ou encore le Data Act.

Si la Commission entend permettre aux entreprises de “consacrer moins de temps aux démarches administratives et à la conformité, et davantage à l’innovation et à la croissance”, les critiques dénoncent un dangereux recul des droits numériques.

Contexte

À l’origine, les textes omnibus servaient à consolider ou simplifier des directives ou règlements sans en altérer la substance. Avec cette nouvelle vague, l’omnibus se transforme en outil législatif de choix pour toucher au fond des règles, sans forcément passer par les consultations et études d’impact qui sont nécessaires à des législations ordinaires. Selon certains juristes, cette pratique fait peser un risque de violation du droit européen et d’affaiblissement de l’État de droit.

Cet Omnibus Digital s’inscrit dans une dynamique plus large de “simplification”, portée par la droite au Parlement européen, plusieurs États membres, les géants américains du numérique, ainsi que des acteurs européens majeurs comme Airbus, ASML ou Mistral.

La pression économique ajoute à l’urgence. Mario Draghi a alerté sur une menace “existentielle” qu’une absence de réformes majeures pourrait entraîner pour la compétitivité européenne.

Aujourd’hui, la conformité au RGPD alourdit le coût de de la donnée de 20 % par rapport aux États-Unis.

L’Europe doit composer avec près de 100 lois numériques appliquées par plus de 270 régulateurs aux échelons nationaux et européen.

Pour ses détracteurs, cette réforme sonne comme un glissement dérégulateur. AccessNow parle d’une “destruction des garanties fondamentales”, tandis que Brando Benifei, rapporteur de l’AI Act, dénonce une “course vers le bas”, refusant l’idée que l’Europe doive choisir entre innovation et responsabilité.

Données et vie privée : vers plus de liberté des flux de données ?

L’Omnibus Digital introduit des changements majeurs dans la réglementation sur les données, la vie privée et la cybersécurité. Il propose notamment de mettre à jour le RGPD et de fusionner le Data Governance Act (2022), la Directive Open Data (2019) et le Règlement sur la libre circulation des données non personnelles (2018) au sein d’un seul texte : le Data Act.

Une définition plus restrictive des “données personnelles”. Une organisation ne pourrait considérer des données comme “personnelles” que si elle dispose de moyens raisonnables pour identifier l’individu concerné. Les entreprises pourraient ainsi décider que certaines données qu’elles détiennent ne sont pas personnelles (via la pseudonymisation par exemple), leur offrant plus de latitude pour les réutiliser ou les partager.

Un usage facilité des données personnelles pour l’entraînement de l’IA. La réforme autorise le traitement des données personnelles pour le développement et l’exploitation de systèmes d’IA, sous certaines conditions. Résultat : vos données d’usage sur les plateformes pourraient être réutilisées pour entraîner des modèles d’IA, sans consentement explicite supplémentaire requis.

Allègement des obligations d’information. Les entreprises pourraient ne plus informer les utilisateurs de l’usage de leurs données si elles estiment que ces derniers en ont déjà connaissance — sauf en cas de transfert à un tiers, de décision automatisée ou de transfert transfrontalier.

AI Act : pause et révision ?

L’AI Act, adopté en 2024, est souvent cité comme exemple de la lourdeur bureaucratique européenne. Rédigé avant l’essor de ChatGPT, son adoption a été précipitée avant la fin de la législature précédente a laissé peu de place à des ajustements nécessaire. Les acteurs industriels dénoncent un texte trop fragmenté et impossible à appliquer dans les délais.

Les propositions de l’Omnibus Digital à :

  • Repousser les échéances. Les entreprises développant ou déployant des systèmes d’IA à haut risque (santé, sécurité, droits fondamentaux) devaient se conformer aux obligations du AI Act d’ici mi-2026. Le projet de réforme accorde un délai supplémentaire pour l’adaptation, l’élaboration des normes et la préparation des régulateurs.
  • Élargir les compétences du Bureau européen de l’IA (AI Office). Celui-ci se verrait attribuer une compétence exclusive de supervision et d’application pour les systèmes d’IA basés sur des modèles généralistes, ainsi que pour ceux intégrés aux grandes plateformes et moteurs de recherche (DSA).
  • Alléger les obligations pour les PME. Les entreprises de moins de 750 salariés et dont le chiffre d’affaires est inférieur à 150 millions d’euros bénéficieraient de sanctions atténuées et, éventuellement, d’obligations allégées – sans pour autant être exemptées des règles essentielles.

Le bras de fer politique commence

Le débat se déplace désormais vers le Parlement et le Conseil.

Les groupes de centre-droit mettent l’accent sur la compétitivité, tandis que les Verts, le S&D et une partie de Renew alertent sur le risque d’érosion des droits et d’affaiblissement des contrôles.

Les États membres sont divisés : l’Allemagne et la France défendent un report des échéances, tandis que les Pays-Bas réclament de la clarté sans suspension totale.

Une fois les positions arrêtées, les trilogues avec la Commission débuteront au printemps 2026 pour aboutir à un texte unique. Si le Parlement active la procédure d’urgence, un vote pourrait intervenir dès le premier semestre 2026. Sinon, l’adoption n’est pas attendue avant la mi, voire la fin 2026.

LEGAL CHECKING

Avec Les Surligneurs

L’UE veut-elle vraiment sanctionner les Etats qui ne permettent pas aux enfants de changer de genre ?

Depuis la sortie de la stratégie européenne pour l’égalité LGBTQI+, certains internautes s’inquiètent : l’UE voudrait permettre aux enfants de changer de genre à tout âge et sanctionner les États qui s’y opposent.

La stratégie européenne pour l’égalité LGBTQI+ 2026-2030 encourage l’échange de bonnes pratiques, mais ne crée aucun droit ou obligation juridique.

La stratégie, simple acte sans force normative, ne prévoit ni sanctions ni mécanisme coercitif contre les États membres.

Le changement de genre des mineurs relève exclusivement de la compétence nationale et l’UE ne peut ni imposer une procédure uniforme ni sanctionner le refus d’une telle reconnaissance légale.

En savoir plus ici.