règlement omnibus numérique

Cette note présente une analyse conjointe des deux textes composant «l'omnibus tech». Présenté le 19 novembre 2025 par la Commission européenne, il s'agit d'un paquet de simplification des règles européennes de régulation du secteur numérique.

Composé de deux propositions de règlement, l'une portant sur l'intelligence artificielle (IA) et l'autre sur l'acquis numérique, ce paquet omnibus se veut, selon la commissaire européenne Henna Virkkunen, « un bon équilibre » entre l'innovation et la protection.

A. Le contenu de la proposition législative de la Commission

L'omnibus tech est composé d'un texte visant à simplifier le règlement sur l'intelligence artificielle et d'un texte portant sur l'acquis numérique, qui concerne en particulier les données.

1- La proposition de règlement sur l'IA

Ce premier texte est organisé en trois articles.

En particulier, il inclut :

- un mécanisme de flexibilité pour les systèmes d'IA à haut risque : les obligations liées à ces systèmes dépendent désormais de la disponibilité des outils (lignes directrices, standards, codes, spécifications communes ...). Aucune obligation ne leur incomberait tant que de tels outils ne seraient pas publiés, puis, après publication de ces règles d'harmonisation, les systèmes à haut risque auraient une période de transition pour leur permettre de se mettre en conformité, allant de six mois (pour les IA à haut risque classées dans l'annexe III, c'est-à-dire les systèmes pouvant porter atteinte aux droits fondamentaux des personnes dans certains domaines spécifiques comme la justice, l'éducation ou l'emploi) à douze mois (pour celles classées dans l'annexe I, à savoir les systèmes d'IA constituant un composant de sécurité d'un produit, par exemple d'un dispositif médical). Cette période de flexibilité serait tout de même limitée dans le temps puisque, même sans outils d'harmonisation, les obligations incombant aux IA à haut risque devront s'appliquer à compter du 2 décembre 2027 (pour les systèmes classés dans l'annexe III) et à partir du 2 août 2028 pour ceux de l'annexe I ;

- Un ajout dans l'article 111 du règlement sur l'intelligence artificielle (RIA), concernant les obligations relatives aux mesures de transparence : les systèmes d'IA à usage général mis sur le marché avant août 2026 auraient désormais droit à une « période de transition » de six mois pour entrer en application avec ces obligations ;

- L'ajout d'un nouvel article 4a sur les données collectées par les systèmes d'IA, en remplacement de l'article 10(5) du RIA : la liste des conditions à remplir pour pouvoir collecter des données personnelles à des fins de détection et de correction des biais en ce qui concerne les systèmes d'IA à haut risque, sous réserve de garanties appropriées pour les droits et libertés fondamentaux des personnes physiques, n'est pas modifiée ; en revanche, il est ajouté que cela peut s'appliquer aux fournisseurs et aux déployeurs d'autres systèmes et modèles d'IA et aux déployeurs de systèmes d'IA à haut risque, lorsque cela est nécessaire et proportionné.

- Un rôle plus étoffé pour le bureau de l'IA de la Commission européenne : la compétence du bureau de l'IA est renforcée s'agissant de la surveillance et de l'application du règlement pour certains systèmes d'IA, basés sur un modèle d'IA à usage général, lorsque le modèle et le système sont fournis par le même prestataire. En outre, la supervision et le contrôle de la conformité des systèmes d'IA intégrés dans des plateformes en ligne ou des moteurs de recherche en ligne de très grande taille désignés relèvent de la compétence du bureau de l'IA.

- Une prise en compte des petites entreprises de taille intermédiaire (« small and mid cap enterprises », employant entre 250 et 749 personnes) pour qu'elles puissent bénéficier de certaines simplifications techniques au même titre que les PME

2- La proposition de règlement sur l'acquis numérique

Ce texte vise à modifier plusieurs textes européens, portant en particulier sur les données.

a) Le RGPD, première cible de la proposition de règlement

L'article 4, sur la catégorisation des données personnelles, serait modifié afin que des informations ne soient pas considérées comme des données à caractère personnel pour une entité donnée si cette dernière ne dispose pas des moyens raisonnablement susceptibles d'être utilisés pour identifier la personne physique à laquelle ces informations se rapportent.

Cette modification serait conforme à l'arrêt de la Cour de justice de l'Union européenne du 4 septembre 2025^1(*), selon lequel « des données pseudonymisées ne doivent pas être considérées comme constituant, en toute hypothèse et pour toute personne, des données à caractère personnel [...] dans la mesure où la pseudonymisation peut, selon les circonstances de l'espèce, effectivement empêcher des personnes autres que le responsable du traitement d'identifier la personne concernée de telle manière que, pour elles, celle-ci n'est pas ou n'est plus identifiable ».

L'article 9 intègrerait une dérogation supplémentaire au traitement et au stockage des catégories particulières de données à caractère personnel, en indiquant que le développement et l'exploitation de modèles ou systèmes d'IA constituerait un intérêt légitime pour l'exploitation et le traitement des données à caractère personnel, sous réserve que des mesures techniques et organisationnelles soient mises en place afin qu'elles ne soient pas conservées.

Un nouvel article 88b viserait à lutter contre la « fatigue du consentement » en matière de cookies en permettant des indications automatisées des choix individuels, ainsi que le respect de ces indications par les fournisseurs de sites web.

b) Les autres textes numériques concernés par la proposition de règlement

En vertu de ce texte :

- un point d'entrée unique pour la notification d'incidents de cybersécurité serait créé. Actuellement, les entreprises sont tenues de signaler les incidents de cybersécurité en vertu de plusieurs actes législatifs, notamment la directive SRI 2, le règlement général sur la protection des données (RGPD) et le règlement sur la résilience opérationnelle numérique du secteur financier (DORA) ;

- les quatre textes sur les données seraient fusionnés : le règlement sur la gouvernance des données (2022), la directive concernant les données ouvertes et la réutilisation des informations du secteur public (2019) et le règlement sur la libre circulation des données non personnelles (2018) seraient intégrés au sein du règlement sur les données (Data Act) ;

- sur le changement de fournisseurs de services de traitement des données, des dérogations seraient accordées en faveur des PME ;

- le règlement (UE) 2019/1150 du Parlement européen et du Conseil du 20 juin 2019 promouvant l'équité et la transparence pour les entreprises utilisatrices de services d'intermédiation en ligne serait abrogé.

B. Cette proposition est-elle conforme aux principes de subsidiarité et de proportionnalité ?

La proposition de règlement sur l'IA est fondée sur l'article 114 du traité sur le fonctionnement de l'Union européenne (TFUE). Le RIA ayant été négocié à l'échelle européenne, sa modification repose logiquement sur la même base juridique;

La proposition de règlement sur l'acquis numérique est fondée sur les articles 114 et 16 du traité sur le fonctionnement de l'Union européenne (TFUE°. Ce sont également les bases juridiques des textes modifiés, puisque le règlement (UE) 2016/679 (règlement général sur la protection des données) et le règlement (UE) 2018/1725 reposent sur l'article 16 du TFUE, tandis que les autres actes modifiés sont fondés sur l'article 114 du TFUE.

Si ces textes ne semblent pas soulever de question sur le respect du principe de subsidiarité, une vigilance plus importante s'impose sur le fond.

En effet, derrière les objectifs affichés, ceux de lisibilité, d'efficacité et de simplification, se profilent des enjeux, et des craintes, en matière de régulation numérique, de protection des données et d'intelligence artificielle.

La première crainte est celle d'une remise en cause progressive d'un texte majeur du droit européen : le RGPD. En effet, des petits ajustements, même techniques ou à visée de simplification, peuvent, cumulativement, conduire à un détricotage du dispositif européen de protection des données. Une analyse approfondie des dispositions proposées semble nécessaire pour appréhender au mieux l'ampleur des conséquences.

La seconde crainte est celle d'un affaiblissement de la protection des droits fondamentaux en matière d'intelligence artificielle. Ainsi que le souligne l'avis conjoint du comité européen de la protection des données et du contrôleur européen de la protection des données, la question est aussi celle des conséquences des modifications proposées sur la protection des droits fondamentaux, rappelant la nécessité de maintenir le principe de la responsabilité des fournisseurs de systèmes d'IA. En outre, en revenant aussi rapidement sur un cadre de régulation qui avait pourtant fait l'objet d'une longue négociation, la Commission n'envoie pas un message de sécurité juridique aux entreprises comme aux citoyens.

Il semble donc indispensable d'analyser de manière approfondéie ces deux textes sur le fond.

Compte tenu de ces observations, le groupe de travail sur la subsidiarité a décidé de ne pas intervenir plus avant sur ce texte au titre de l'article 88-6 de la Constitution. La commission des affaires européennes a en revanche décidé de se saisir de ces propositions de règlement au titre de l'article 88-4 de la Constitution, Mmes Karine Daniel et Catherine Morin-Desailly ayant été désigné rapporteures à cette fin .

* ¹ Affaire C-413/23 P, Contrôleur européen de la protection des données (CEPD) contre Conseil de résolution unique (CRU).