RGPD : l’Europe veut laisser l’IA se servir dans vos données sans consentement

Le mercredi 21 octobre, pendant que la France était focalisée sur la panne Orange et les failles critiques PHP, les États membres de l’Union européenne signaient un accord pouvant mettre à mal le RGPD.

Si cet accord abouti, les entreprises d’IA pourraient utiliser toutes les données personnelles qu’elles peuvent récupérer. Cela vaut pour des messages postés il y a des décennies sur un réseau social, et même pour des personnes qui n’ont jamais été leurs clientes. L’association Noyb parle d’une « expropriation numérique des Européens » et du « plus gros cadeau » jamais fait par les États membres aux géants américains de la tech.

Cet accord, l’article 88b du RGPD, fait partie du Digital Omnibus, un ensemble de mesures que la Commission européenne a présenté le 19 novembre 2025 pour alléger les règles numériques de l’UE.

Ce que dit vraiment l’article 88 bis

Le texte se trouve dans le mandat de négociation publié par le Conseil le 22 octobre. Il prévoit qu’une entreprise peut traiter des données personnelles « dans le contexte du développement et du fonctionnement » d’un système ou d’un modèle d’IA au nom de son intérêt légitime ou de celui d’un tiers. Autrement dit, il permet de se passer du consentement si l’intérêt de l’entreprise pèse plus lourd que les droits des personnes concernées.

Le Conseil crée aussi un article 25 bis sur la pseudonymisation, qui consiste à remplacer le nom d’une personne par un identifiant. Une entreprise tierce qui ne peut pas retrouver l’identité de la personne ne traiterait plus de données personnelles. Or, selon Noyb, la plupart des systèmes informatiques fonctionnent avec ce genre d’identifiants, comme les identifiants de suivi ou les adresses IP. Le pistage en ligne pourrait donc sortir du champ du RGPD. Et ce serait surtout aux entreprises elles-mêmes de décider si une donnée reste personnelle.

Ce qui est interdit dans Excel deviendrait permis avec une IA

Depuis le 25 mai 2018, le RGPD oblige les entreprises à justifier chaque traitement de données par une finalité précise, comme la lutte contre la fraude. Pour Noyb, l’article 88 bis autorise au contraire toute une technologie, quel que soit l’usage qui en est fait. L’association prend l’exemple de la publicité personnalisée sans consentement : interdite aujourd’hui dans l’UE, elle pourrait devenir légale si elle passe par une IA. « Si quelque chose est illégal dans un tableur Excel, cela devient légal si c’est effectué par un agent d’IA », résume Noyb.

Cette mesure profiterait d’abord à ceux qui ont déjà amassé d’énormes volumes de données européennes, comme Google, Meta, Microsoft, OpenAI, Anthropic ou SpaceX. L’Europe dépend déjà d’acteurs américains sur des sujets sensibles. On a appris récemment que les signalements de messages privés d’Européens passent tous par le logiciel américain de Palantir.

Le texte n’est pas encore une loi. Les États membres doivent négocier sa version finale avec le Parlement européen, qui n’a pas encore arrêté sa position. Si le texte est adopté tel quel, l’association compte sur la Cour de justice de l’UE. Celle-ci a déjà annulé des textes européens pour des atteintes moins graves, sur la conservation des données ou leur transfert vers les États-Unis.