Face à des considérations économiques, technologiques et politiques, la Commission européenne a plié. Sous la pression combinée de l’Allemagne, des États-Unis et des géants de la tech, Bruxelles propose d’assouplir deux textes emblématiques du cadre numérique européen. Ces changements s’inscrivent dans un paquet législatif baptisé Digital Omnibus qui est censé remettre à niveau plusieurs règles devenues difficiles à appliquer ou inadaptées aux usages actuels.
Les bannières de cookies sur le gril
Dans ce train de mesures, Bruxelles propose notamment de simplifier le RGPD, la grande loi sur la protection des données adoptée il y a près de dix ans. Selon la Commission, l’explosion de l’IA impose de revoir certains points du règlement, suivant en cela une recommandation de Mario Draghi dans son rapport sur la compétitivité publié en 2024. Au lendemain de l’annonce d’un partenariat entre le Français Mistral et l’Allemand SAP autour d’une « IA souveraine » destinée à l'administration publique, Bruxelles veut faciliter le traitement des données personnelles afin de simplifier le développement des modèles.
La Commission propose ainsi que les données « pseudonymisées », c’est-à-dire qui empêchent de réidentifier les utilisateurs, sortent du champ du RGPD, ce qui les rendrait pleinement exploitables pour l’entraînement des modèles. Les données « sensibles », révélant des opinions politiques, une orientation sexuelle ou une pratique religieuse, resteraient en revanche protégées.
Dans le même mouvement, Bruxelles souhaite revoir les règles encadrant les cookies pour améliorer l’expérience en ligne. Il ne vous aura pas échappé qu’une première visite sur un site s’accompagne presque systématiquement d’un choix à faire sur le traitement des cookies. L’objectif est justement de réduire la prolifération des bannières et de permettre aux internautes de gérer leur consentement global en un seul clic, directement depuis le navigateur ou le système d’exploitation.
Selon le plan, les sites pourront s’abstenir de mettre des bannières pour les usages « inoffensifs » (comme le simple comptage des visites) et ils devront respecter les choix de cookies pendant au moins six mois. De quoi se passer d’extensions dédiées pour éviter des dizaines de clics… à condition que les navigateurs intègrent ce nouveau mécanisme.
L’AI Act remodelé
L’autre texte bien parti pour être rouvert est l’AI Act, pourtant adopté seulement l’an dernier. Outre la question des données disponibles pour l’entraînement, la Commission veut repousser à décembre 2027, au lieu d’août 2026, l’entrée en vigueur des obligations pesant sur les modèles dits « à haut risque », susceptibles d’avoir un impact sur la santé ou la sécurité. Elle souhaite également alléger les exigences de signalements en cybersécurité, aujourd’hui fragmentées entre plusieurs législations qui obligent parfois à déclarer un même incident à différentes autorités.
Ce virage réjouit la droite européenne et les grands patrons de la tech, qui y voient un moyen de renforcer la compétitivité du continent. À l’inverse, la gauche et les associations de défense des consommateurs dénoncent des concessions dangereuses. Si ces aménagements étaient adoptés, ils offriraient « aux entreprises d’IA un chèque en blanc pour aspirer les données personnelles des Européens », critique l’organisation de défense de la vie privée Noyb.
Pour le moment, il ne s’agit que de propositions de la Commission. Elles devront être examinées et votées par les parlementaires. Le Parti populaire européen, première force politique dans l’Union européenne, y semble favorable, mais elle devra rallier suffisamment d’alliés pour les faire adopter.
