Le 21 octobre 2026, le Conseil de l’Union européenne a arrêté son mandat de négociation sur le volet du Digital Omnibus qui modifie notamment le RGPD. Cette étape prépare les discussions avec le Parlement européen. Elle ne vaut ni adoption définitive de la réforme ni modification immédiate des obligations des organisations.

Le débat mérite mieux qu’une opposition générale entre innovation et vie privée. Il porte sur une question très concrète : lorsqu’une organisation utilise des données personnelles pour développer une IA, dans quelles conditions une personne peut-elle obtenir l’arrêt de cette utilisation ?

L’intérêt légitime est déjà utilisable pour l’IA

L’article 6, paragraphe 1, point f), du RGPD ne réserve pas l’intérêt légitime à certaines technologies. Dans son avis 28/2024, adopté le 17 décembre 2024, le Comité européen de la protection des données (CEPD) a confirmé que ce fondement peut être mobilisé pour développer ou déployer des modèles d’IA, après une appréciation au cas par cas.

Trois conditions doivent être réunies : identifier un intérêt licite, précis, réel et actuel ; démontrer la nécessité du traitement ; vérifier que les intérêts ou les droits et libertés fondamentaux des personnes ne prévalent pas. L’utilité du projet ne suffit donc pas. L’analyse doit également examiner les moyens moins intrusifs et les conséquences du traitement pour les personnes. Source : CEPD, avis 28/2024.

Cette distinction reste essentielle dans les dossiers opérationnels. « Développer notre IA » ne précise ni le bénéfice recherché ni les raisons pour lesquelles les données de telle catégorie de personnes seraient nécessaires. Une justification exploitable doit permettre de comprendre le lien entre l’objectif, les données retenues et les opérations réalisées.

Le Conseil maintient une appréciation au cas par cas

Le projet d’article 88 bis reconnaît expressément la possibilité d’utiliser l’intérêt légitime pour le développement et l’exploitation de systèmes ou de modèles d’IA, conformément à l’article 6, paragraphe 1, point f). Il maintient l’obligation de choisir une base juridique appropriée et prévoit des mesures techniques et organisationnelles ainsi que des garanties, en renvoyant notamment à l’article 21.

Le considérant 33 bis précise que le développement ou l’exploitation d’une IA ne constitue pas, en soi, un intérêt légitime. L’analyse doit tenir compte de la finalité sous-jacente du traitement. Le mandat ne crée donc pas une présomption générale de licéité au bénéfice de l’IA.

L’apport de cette reconnaissance paraît ainsi limité sur le principe. Son effet pratique dépendra surtout de la manière dont les organisations, les autorités de contrôle et les juridictions articuleront cette disposition avec les exigences générales du RGPD.

Le changement sensible concerne la portée du refus

La proposition initiale de la Commission, présentée le 19 novembre 2025, comportait un article 88 quater, numéroté 88c dans la version anglaise. Il mentionnait notamment, parmi les garanties, une transparence renforcée et un droit d’opposition inconditionnel. La rédaction du Conseil remplace cette énumération par un renvoi plus général aux garanties du RGPD et au droit d’opposition de l’article 21.

La différence doit être mesurée à partir du droit applicable. Lorsqu’un traitement repose sur l’intérêt légitime, l’article 21, paragraphe 1, permet à une personne de s’opposer pour des raisons tenant à sa situation particulière. L’organisme doit cesser le traitement, sauf s’il démontre des motifs légitimes et impérieux prépondérants, ou si le traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice.

Un droit d’opposition inconditionnel offre donc une protection supplémentaire par rapport au régime général applicable à l’intérêt légitime. Son abandon dans le projet réduit l’ambition protectrice de la proposition initiale. Il ne supprime pas un droit inconditionnel général qui existerait déjà pour l’entraînement des IA.

Cette nuance évite deux erreurs : présenter le Conseil comme ayant aboli le droit d’opposition, ou considérer qu’un simple renvoi à l’article 21 reproduit exactement la garantie envisagée par la Commission.

Les autorités européennes avaient identifié cette différence

Dans leur avis conjoint 2/2026, adopté le 10 février 2026, le CEPD et le Contrôleur européen de la protection des données jugeaient inutile d’ajouter une disposition spécifique pour confirmer une possibilité déjà reconnue.

Ils accueillaient toutefois favorablement la référence à une opposition inconditionnelle. Ils recommandaient de l’inscrire directement dans l’article 21 et d’expliciter qu’elle dépasserait le droit d’opposition général. Ils préconisaient également, lorsque cela est possible, une information suffisamment anticipée pour permettre aux personnes de s’opposer dès le départ. Source : avis conjoint 2/2026, paragraphes 39 à 44.

Cet avis porte sur la proposition de la Commission, antérieure au mandat d’octobre. Il ne constitue pas une appréciation de la version du Conseil.

Son analyse éclaire néanmoins l’enjeu : informer une personne et lui permettre d’intervenir avant l’utilisation de ses données peut offrir une maîtrise bien plus effective qu’une contestation après l’entraînement.

Un formulaire ne garantit pas à lui seul l’exercice des droits

La difficulté apparaît lorsqu’une demande arrive après le développement du modèle. La CNIL distingue l’exercice des droits sur les bases d’apprentissage et leur exercice sur un modèle qui contient des données personnelles. Supprimer une donnée du corpus ne signifie pas nécessairement que ses effets ont disparu du modèle déjà entraîné.

La CNIL envisage notamment le réentraînement et, dans certaines circonstances, des filtres de sortie dont l’efficacité et la robustesse doivent être démontrées. Elle reconnaît aussi les contraintes techniques et la nécessité d’une appréciation proportionnée. Ces recommandations n’autorisent pas à assimiler un filtrage à un effacement systématique des données dans les paramètres du modèle.

Pour un DPO, cette distinction justifie de demander une démonstration du parcours réel d’une opposition. Une demande fictive peut servir à vérifier qui la reçoit, comment elle est transmise à l’équipe technique, quelles données sont retrouvées et quelle mesure est effectivement appliquée.

Ce test devrait aussi permettre d’identifier les limites de la réponse : arrêt des collectes futures, exclusion des prochains entraînements, intervention sur un modèle existant ou action auprès d’un prestataire. Ces résultats ne sont pas interchangeables. La réponse à la personne doit permettre de comprendre ce qui a réellement changé.

La sécurité juridique exige des garanties vérifiables

L’intérêt légitime ne dispense pas du respect des autres principes du RGPD. Une réutilisation doit notamment respecter la limitation des finalités. Pour les données relevant de l’article 9, une base juridique au titre de l’article 6 ne suffit pas : une exception à l’interdiction de principe doit également être applicable.

Les recommandations de la CNIL invitent également à apprécier les attentes raisonnables selon la relation avec les personnes, la nature du service et le contexte de publication des données. L’accessibilité d’une information sur internet ne permet pas de tenir toute réutilisation pour prévisible.

La réforme pourrait utilement préciser les conditions d’une information préalable, les effets attendus d’une opposition selon le stade du traitement et les éléments permettant de vérifier l’efficacité des mesures prises. Elle réduirait alors l’incertitude pour les personnes comme pour les organisations.

À l’inverse, confirmer une base juridique tout en laissant imprécise la mise en œuvre des garanties risque de déplacer les difficultés vers les réclamations, les contrôles et les contentieux.

La sécurité juridique se construit aussi dans la capacité à expliquer pourquoi les données sont utilisées, à entendre une opposition et à démontrer les effets de la réponse apportée. C’est sur ces résultats que devrait être évaluée la simplification proposée.