Un document de travail du Conseil de l'Union européenne, rédigé par la présidence irlandaise et daté du 3 septembre 2026, propose d'inscrire noir sur blanc que l'entraînement des systèmes d'IA sur des données personnelles relève de l'« intérêt légitime » des entreprises. La conséquence est directe : plus besoin du consentement des personnes concernées. Le même texte étend le raisonnement aux cookies qui mesurent l'efficacité de la publicité en ligne. Rendu public le 21 septembre par l'ONG autrichienne noyb, ce compromis a déclenché une alerte des défenseurs de la vie privée, qui y voient une réécriture profonde du RGPD glissée sous l'étiquette « simplification ».

Ce que change la proposition irlandaise

Le point de départ est le « digital omnibus », le paquet législatif présenté par la Commission européenne le 19 novembre 2025 pour « simplifier » l'empilement de règles qui encadrent le numérique en Europe : RGPD, directive ePrivacy sur les cookies, Data Act, AI Act. Le texte n'abroge rien mais révise plusieurs règlements d'un coup (le principe même d'un texte « omnibus »). Le Conseil doit maintenant arrêter sa position de négociation avant d'affronter le Parlement en trilogue.

C'est là qu'intervient la présidence irlandaise, qui tient la barre du Conseil et rédige les textes de compromis. Le document 12535/26, daté du 3 septembre 2026, propose un article nouveau, désigné 88 bis (il portait auparavant le numéro 88 c dans la version de la Commission). Sa formulation opérationnelle : « Le traitement de données à caractère personnel dans le contexte du développement et de l'exploitation d'un système d'IA ou d'un modèle d'IA peut être effectué pour l'intérêt légitime du responsable du traitement ou d'un tiers, conformément à l'article 6, paragraphe 1, point f), du règlement. »

Cette référence à l'article 6(1)(f) est le cœur du basculement. Le RGPD prévoit plusieurs bases légales pour traiter des données personnelles ; le consentement (article 7) en est une, l'intérêt légitime (article 6(1)(f)) en est une autre. La première suppose un accord explicite de la personne ; la seconde permet à l'entreprise de se dispenser de cet accord si elle estime que son intérêt l'emporte sur les droits des personnes, moyennant une mise en balance. En désignant explicitement l'entraînement des IA comme un cas d'intérêt légitime, le texte fait de cette base légale la voie normale et en retire le consentement.

Les cookies publicitaires visés aussi

Le volet IA n'est pas le seul concerné. Le raisonnement s'applique aussi aux cookies de mesure d'audience publicitaire. Aujourd'hui, la directive ePrivacy impose en principe de recueillir le consentement de l'internaute avant de déposer la plupart des traceurs sur son terminal. Ce sont les bandeaux qui saturent le web. La proposition irlandaise dispenserait de ce consentement préalable les cookies servant à mesurer l'efficacité d'une publicité, en les rangeant eux aussi sous un régime dérogatoire.

L'argument affiché reste celui de la compétitivité : alléger la charge pesant sur les entreprises européennes, réduire la « fatigue du consentement » et permettre à l'industrie de l'IA de disposer de la matière première dont elle a besoin. Pour ses opposants, l'effet réel est inverse : ce sont surtout les acteurs qui détiennent déjà d'immenses stocks de données — les grandes plateformes — qui en profiteraient.

Une garantie supprimée en cours de route

Le détail le plus commenté par les juristes tient à ce qui a disparu entre les deux versions du texte. Dans sa proposition de novembre 2025, la Commission avait accompagné l'ouverture à l'intérêt légitime d'une contrepartie : un droit d'opposition inconditionnel des personnes au traitement de leurs données pour l'entraînement de l'IA. Cette clause fermait la porte que l'article 21 du RGPD laisse ouverte, lequel permet à un responsable de traitement de passer outre une opposition s'il démontre des « motifs légitimes impérieux ».

Le compromis irlandais du 3 septembre a retiré cette garantie de l'article 88 bis. Il ne reste que le test de mise en balance de droit commun, sans mécanisme d'opposition propre à l'IA. Autrement formulé, la version de la Commission offrait aux citoyens un bouton « je refuse » ferme ; la version du Conseil le remplace par une appréciation au cas par cas dont l'entreprise garde la main.

Le document révise aussi la définition même de la donnée personnelle. Selon le texte, une information « n'est pas nécessairement une donnée personnelle pour toute autre personne ou entité, du seul fait qu'une autre entité peut identifier cette personne » : le caractère personnel dépendrait des moyens dont dispose concrètement le responsable du traitement. Un troisième ajustement, visant l'article 12(5) du RGPD, permettrait de refuser une demande d'accès jugée abusive, c'est-à-dire exercée « à d'autres fins que la protection des données ».

L'alerte de noyb et le poids de l'Irlande

C'est l'ONG noyb, fondée par le juriste autrichien Max Schrems, qui a sorti le document le 21 septembre 2026 et lui a donné son cadrage : une « expropriation numérique » des Européens. « Ces propositions font primer les profits des entreprises d'IA sur le droit fondamental des Européens à la vie privée », déclare Schrems, qui cite parmi les bénéficiaires OpenAI, Anthropic, Google, Meta et SpaceX. « Depuis les années 1980, nous avons promis aux gens que même si de grandes entreprises conservent leurs données, elles ne sont autorisées à les utiliser que de façon limitée. L'article 88 bis ouvre soudain les vannes et autorise un usage illimité de toutes les données pour l'IA. » Sa crainte centrale : le texte permettrait de réutiliser des données collectées il y a des années, y compris auprès de personnes qui n'ont jamais été clientes de l'entreprise concernée, du moment que l'opération se déroule « dans le contexte » de l'IA.

La présidence irlandaise n'est pas un acteur neutre dans ce dossier. L'Irlande héberge les sièges européens de la plupart des grandes plateformes numériques, et sa Data Protection Commission est l'autorité chef de file chargée de contrôler nombre d'entre elles au titre du RGPD. Cette position, régulièrement critiquée pour sa mansuétude, nourrit les soupçons de conflit d'intérêts au moment où le pays rédige les compromis qui allègent les obligations de ces mêmes entreprises. Max Schrems y voit un texte qui « bénéficie d'abord aux gros acteurs, ceux qui ont accumulé des masses de données des Européens ».

Ce que disent les autorités de protection

Les gardiens institutionnels du RGPD avaient déjà exprimé leurs réserves en amont. Dans un avis conjoint publié le 11 février 2026, le Comité européen de la protection des données (EDPB) et le Contrôleur européen (EDPS) avaient jugé que la version initiale de la Commission « ne clarifie pas » la question de l'entraînement des IA sur le fondement de l'intérêt légitime, et s'étaient opposés au rétrécissement de la définition de la donnée personnelle comme à la limitation du droit d'accès prévu à l'article 12(5). Pour Schrems, ces autorités indépendantes « ont dit ce que ces changements sont réellement : ni des ajustements techniques ni une simplification, mais des limitations du droit à la protection des données ».

Ces critiques rejoignent celles déjà formulées côté français. En mai 2026, le Sénat avait adopté à l'unanimité une résolution demandant à Bruxelles de « ne pas trembler » sur la régulation du numérique, et pointait déjà l'élargissement des justifications ouvertes au traitement de données par les IA. La CNIL travaille à encadrer les usages émergents comme l'IA agentique, un chantier que la nouvelle base légale viendrait fragiliser. Le débat prolonge aussi les difficultés déjà connues de l'encadrement des grands modèles par l'AI Act et la ligne de crête européenne entre souveraineté et ouverture.

Une proposition, pas encore une loi

Rien de tout cela n'est adopté. Le document du 3 septembre est un texte de compromis destiné à forger la position du Conseil, encore en cours de négociation entre États membres. Vient ensuite le trilogue avec le Parlement européen, où les groupes politiques restent divisés, puis un vote. Les observateurs situent une adoption réaliste, au plus tôt, début 2027, suivie d'un délai de transposition de vingt-quatre mois pour les États membres.

La bataille se jouera donc sur la formulation retenue au fil des allers-retours entre Conseil et Parlement. Le prochain jalon connu est l'établissement du mandat de négociation du Conseil, préalable indispensable au trilogue.

Sources