Entraîner une IA sur vos données : le « digital omnibus » inscrirait l’intérêt légitime dans le RGPD

Une entreprise peut-elle entraîner un modèle d’intelligence artificielle sur vos publications sans vous avoir demandé votre accord ? En droit européen, ce n’est pas interdit par principe : le RGPD l’admet déjà, au cas par cas, au titre de l’intérêt légitime. Le texte de compromis de la présidence irlandaise du Conseil de l’UE, daté du 3 septembre 2026 et rendu public par l’association noyb le 21 septembre, en ferait une règle écrite du règlement, tout en retirant le droit d’opposition inconditionnel que la Commission européenne avait prévu en novembre 2025. Rien n’est adopté, et la distinction entre consentement et intérêt légitime suffit à comprendre ce qui se joue — et comment s’opposer dès maintenant.

Six bases légales dans le RGPD : le consentement en est une parmi d’autres

Tout traitement de données personnelles doit reposer sur une base légale. L’article 6.1 du règlement (UE) 2016/679 du 27 avril 2016, le RGPD, en énumère six. Le consentement de la personne (6.1.a) en est une. L’intérêt légitime poursuivi par le responsable du traitement ou par un tiers (6.1.f) en est une autre. Le texte ne les classe pas : aucune n’est la règle et l’autre l’exception, ce que la CNIL rappelle dans sa doctrine sur l’IA.

La différence tient à la place de la personne dans la décision. Le consentement doit être libre, spécifique, éclairé et univoque (articles 4 et 7), et il se retire aussi facilement qu’il se donne. Tant qu’il manque, rien ne se fait. L’intérêt légitime, lui, n’exige aucun accord préalable : le traitement commence sans qu’aucune question soit posée. Il n’est licite qu’à une condition, que les intérêts ou les droits et libertés de la personne ne prévalent pas sur l’intérêt invoqué.

La charge s’inverse donc. Sous le régime du consentement, l’internaute qui ne fait rien est protégé : son silence vaut refus. Sous le régime de l’intérêt légitime, l’internaute qui ne fait rien voit ses données utilisées, et sa protection repose sur deux éléments qu’il ne maîtrise qu’en partie. Le premier est la mise en balance, conduite par l’entreprise elle-même. Le second est l’opposition, une démarche qu’il lui revient d’engager. C’est la logique de l’opt-out, par opposition à celle de l’opt-in.

Pour l’entraînement des modèles d’IA, c’est la seconde logique que la réforme discutée à Bruxelles écrirait dans le règlement. Tout le reste de la réforme se lit à partir de cette inversion : qui fait la balance, qui peut dire non, et avec quelle force.

Le test en trois temps qui décide du sort de vos données

Invoquer un intérêt légitime ne suffit pas à le rendre valable. Le Comité européen de la protection des données (CEPD) a précisé la méthode dans son avis 28/2024 du 18 décembre 2024 consacré aux modèles d’IA. Il y admet l’intérêt légitime comme base possible pour développer et déployer un modèle, à condition que le traitement soit strictement nécessaire et franchisse un test en trois étapes.

La première étape vérifie que l’intérêt est réel et précis. La deuxième, qu’aucun moyen moins intrusif ne permet d’atteindre le même but : c’est le critère de nécessité. La troisième met en balance cet intérêt avec la situation des personnes. Le CEPD y pèse notamment leurs attentes raisonnables, le caractère public ou non des données, le contexte de leur collecte et les usages possibles du modèle.

L’ordre des acteurs compte autant que l’ordre des étapes. Le test est conduit d’abord par le responsable du traitement, avant de commencer. L’autorité de contrôle ou le juge n’intervient qu’après coup, sur plainte ou lors d’un contrôle. Le premier arbitre est donc la partie intéressée.

La CNIL a décliné cette grille dans ses recommandations du 19 juin 2025. Sa position de principe tient en une phrase : « le développement des systèmes d’IA ne nécessite pas systématiquement le consentement des personnes ». L’intérêt légitime y est possible sous garanties fortes, dont elle donne des exemples : un droit d’opposition discrétionnaire, c’est-à-dire laissé à la seule appréciation de la personne, l’exclusion de certaines données, une transparence accrue et des critères propres au moissonnage du web, la collecte automatisée de pages en ligne. Ce sont des garanties recommandées par une autorité, pas des obligations écrites dans le règlement. C’est cet écart que la Commission proposera, en novembre 2025, de combler pour l’opposition.

Pourquoi tant d’attention à la base légale choisie en amont ? Parce que les données d’entraînement ne disparaissent pas nécessairement dans le modèle. Pour le CEPD, un modèle n’est anonyme que s’il est très improbable d’identifier les personnes dont les données ont servi à l’entraîner, et d’extraire ces données en l’interrogeant. Il en tire une conséquence : un modèle développé à partir de données traitées illicitement peut rendre son déploiement illicite, sauf s’il a été dûment anonymisé. La licéité de l’entraînement peut ainsi suivre le modèle jusque dans son déploiement.

Meta, mai 2025 : l’intérêt légitime déjà à l’œuvre sur les réseaux sociaux

Le cas n’a rien de théorique. Depuis le 27 mai 2025, Meta entraîne ses modèles d’IA sur les contenus publics des utilisateurs européens majeurs de ses plateformes — les comptes de 18 ans et plus — en invoquant l’intérêt légitime, et met à leur disposition un formulaire d’opposition. Quatre jours plus tôt, le 23 mai 2025, le tribunal régional supérieur (OLG) de Cologne avait rejeté la demande d’interdiction déposée par une association de consommateurs (affaire 15 UKl 2/25). Selon l’analyse de la décision publiée par le cabinet Freshfields, la juridiction a jugé la balance des intérêts favorable à Meta.

Ce précédent fixe le point de départ réel du débat. Entraîner une IA sur des données personnelles n’exige donc pas aujourd’hui, de manière systématique, le consentement des personnes. L’intérêt légitime est admis au cas par cas par le CEPD depuis décembre 2024 et par la CNIL depuis juin 2025, et il est déjà utilisé à l’échelle de réseaux sociaux entiers. Le consentement n’est donc pas le régime de départ.

La réforme discutée ne fait pas passer l’IA d’un régime de consentement à un régime d’intérêt légitime : ce passage a déjà eu lieu dans la pratique. Elle changerait deux choses. Une appréciation conduite au cas par cas, sous le regard des autorités, deviendrait un principe écrit dans le RGPD. Et, dans la version du Conseil, les garanties que la Commission attachait à ce principe s’allégeraient. C’est sur ce second point que les lectures divergent.

L’entraînement de modèles sur des contenus publiés en ligne ne se limite pas aux réseaux sociaux : d’autres usages grand public de l’IA générative, comme les aperçus IA de Google, s’alimentent eux aussi à ce qui circule sur le web.

Novembre 2025 : la Commission propose d’écrire l’IA dans le RGPD, avec un droit d’opposition renforcé

Le 19 novembre 2025, la Commission européenne a présenté la proposition COM(2025) 837, dite « digital omnibus ». Son volet données, enregistré sous le dossier 2025/0360(COD), modifie notamment le RGPD et la directive ePrivacy. Il ne se confond pas avec l’autre omnibus, qui modifie le règlement européen sur l’IA.

La proposition insère dans le RGPD plusieurs articles nouveaux : un article 88a sur les traceurs, un article 88b sur les signaux automatisés par lesquels un internaute exprime ses choix, une disposition propre à l’IA, et une dérogation pour les données sensibles présentes de façon résiduelle dans les jeux d’entraînement.

La disposition IA, numérotée 88c, autorisait l’intérêt légitime pour le développement et l’exploitation de systèmes d’IA. Elle l’encadrait de trois manières, selon l’analyse qu’en publie iubenda : le test de balance restait requis ; des garanties étaient écrites dans l’article, dont la minimisation des données et une transparence renforcée sur la finalité d’entraînement ; et la personne disposait d’un droit d’opposition inconditionnel. L’article réservait enfin les cas où d’autres textes exigent le consentement.

Le troisième verrou est le plus concret pour un internaute. Il se distingue de l’opposition ordinaire. Sous l’article 21 du RGPD, la personne s’oppose pour des raisons tenant à sa situation particulière, et l’entreprise peut poursuivre le traitement si elle démontre des motifs légitimes et impérieux. Un droit inconditionnel fonctionne autrement, sur le modèle de l’opposition à la prospection commerciale : aucune justification à fournir, aucun refus possible. La Commission ouvrait donc la base légale, mais garantissait une sortie sans discussion.

Le compromis du 3 septembre : la base demeure, des garanties glissent vers un considérant

Le document 12535/26 est un texte de compromis révisé de la présidence irlandaise du Conseil, daté du 3 septembre 2026 et classé LIMITE, c’est-à-dire non destiné à la publication. L’association noyb l’a rendu public le 21 septembre 2026, accompagné de commentaires allemands (WK 11020/2026 ADD 4, datés du 17 août 2026). Les formulations reprises ici sont celles du document lui-même, que PPC Land et GDPR Local ont analysé en détail.

La disposition IA, renumérotée 88bis, prévoit que le traitement de données personnelles dans le contexte du développement et de l’exploitation d’un système ou d’un modèle d’IA peut être effectué pour un intérêt légitime au sens de l’article 6.1.f. La base légale demeure. Ce qui change se trouve autour d’elle.

Selon la lecture article par article de PPC Land, le droit d’opposition inconditionnel, la minimisation et la transparence renforcée disparaissent de l’article opérant, qui ne garde qu’une obligation générale de mesures et de garanties techniques et organisationnelles appropriées. Certaines garanties, dont la protection des enfants, ne figurent plus qu’au considérant 33a. Ce considérant conserve la réserve de l’article 6.1.f : le traitement « peut être effectué pour un intérêt légitime du responsable du traitement concerné […] sauf lorsque prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée ». La formule d’une version antérieure, selon laquelle un tel traitement pouvait être regardé comme relevant d’un intérêt légitime, est barrée dans le document : le texte décrit une possibilité, pas une qualification acquise. Le test de balance, le droit d’opposition de l’article 21 et l’obligation d’information des articles 13 et 14 restent applicables.

La différence entre article et considérant explique pourquoi deux lectures du même texte coexistent. Un considérant éclaire l’interprétation d’un règlement, mais ne crée pas d’obligation autonome. Une garantie qui passe de l’un à l’autre devient plus difficile à invoquer devant une autorité ou un juge. À l’inverse, la réserve maintenue au considérant 33a garde le test de balance en vie.

noyb retient la première conséquence. L’association soutient que le texte rendrait licite par défaut tout usage de données lié à l’IA, y compris de données collectées il y a des années auprès de personnes qui n’ont jamais consenti ; elle y voit une forme d’expropriation numérique des Européens au profit des entreprises d’IA, qui porterait atteinte au droit fondamental à la protection des données, et rappelle que la Cour de justice de l’UE a déjà invalidé des textes européens pour des atteintes bien moindres, en matière de conservation des données ou de transferts de données vers les États-Unis. Cette portée rétroactive est la lecture de noyb, pas une disposition explicite relevée dans le texte. Les analyses de PPC Land et de GDPR Local retiennent la seconde : le test de balance et la réserve des droits de la personne subsistent, et ce qui disparaît, c’est l’opposition inconditionnelle et une partie des garanties écrites dans l’article. Aucune position publique de la présidence irlandaise ou du gouvernement irlandais ne répond à ces lectures à la date du 23 septembre 2026.

En l’état, le texte ouvre une base légale. Il ne décrète pas une licéité automatique.

La présomption proposée par Berlin

Les commentaires allemands du 17 août 2026 vont plus loin que la présidence. L’Allemagne y propose que le traitement pour l’entraînement et le fonctionnement technique d’un système d’IA soit présumé relever d’un intérêt légitime. La nuance n’est pas de vocabulaire. Le texte de la présidence dit qu’un traitement peut reposer sur l’intérêt légitime : l’entreprise doit toujours le démontrer par le test de balance. Une présomption renverse la charge de la preuve. Ce serait alors à la personne ou à l’autorité de démontrer que ses droits l’emportent. Cette proposition est celle d’un État membre, pas la position du Conseil ni celle de la présidence.

Données de santé ou d’opinion égarées dans les corpus d’entraînement

L’article 9 du RGPD interdit en principe de traiter certaines catégories de données, dites sensibles : santé, opinions, convictions religieuses, entre autres. Or tout corpus aspiré sur le web en contient. Un message sur un forum mentionne une maladie, un commentaire affiche une opinion politique, une page personnelle évoque une pratique religieuse.

La Commission comme la présidence prévoient de lever l’interdiction de l’article 9 pour ces données présentes de façon résiduelle dans des jeux d’entraînement ; là où la Commission parlait de présence incidente, la présidence parle de présence involontaire. Deux conditions s’y attachent : le responsable doit prendre des mesures pour éviter de les collecter, et les effacer sans délai lorsqu’il les identifie. L’effacement a toutefois une porte de sortie : s’il exige un effort disproportionné, ou, ajoute la présidence, s’il se révèle techniquement impossible, le responsable doit seulement protéger ces données contre tout autre traitement, pour éviter notamment qu’elles ressortent dans les réponses du modèle ou soient divulguées.

La portée de cette dérogation se situe entre deux lectures excessives. Elle ne vise pas une collecte ciblée de données de santé ou d’opinion, qui reste soumise à l’interdiction de principe de l’article 9. Elle ne se réduit pas non plus à un détail technique, puisqu’elle couvre un résidu que tout grand corpus contient. C’est une dérogation pour des données résiduelles, conditionnée à l’évitement et à l’effacement, ou à défaut à une protection contre tout autre usage. Une donnée sensible mémorisée par un modèle pourrait donc y demeurer, à condition d’être tenue à l’écart de ses réponses.

Cookies : la mesure de la publicité contextuelle sortirait du consentement

Le même texte touche aux traceurs, ces fichiers déposés ou lus sur votre terminal lorsque vous visitez un site. Aujourd’hui, les déposer ou les lire exige votre consentement, en vertu de l’article 5.3 de la directive ePrivacy et de l’article 82 de la loi Informatique et Libertés, sauf exceptions. La France en pratique déjà une : la CNIL dispense de consentement la mesure d’audience strictement limitée, qui produit des statistiques anonymes, sans recoupement avec d’autres traitements ni suivi global de la navigation. Elle recommande pour ces traceurs une durée de vie plafonnée à 13 mois et une conservation des données plafonnée à 25 mois.

Le texte du 3 septembre liste six finalités dispensées de consentement, selon PPC Land :

• la transmission d’une communication ;
• la fourniture d’un service expressément demandé ;
• des chiffres d’audience agrégés et anonymes, sans partage ;
• la mesure d’audience au titre du règlement européen sur la liberté des médias, sur données pseudonymisées ;
• la sécurité technique ;
• la mesure de l’affichage et de la performance d’une publicité fondée uniquement sur le contenu de la page visitée, sans profilage ni lien avec l’activité passée ou future de l’internaute.

La dernière finalité est la nouveauté. Elle porte sur la publicité contextuelle, choisie en fonction de la page et non du profil du visiteur : une annonce de chaussures de randonnée sur un article consacré à la randonnée, par exemple. La publicité ciblée par suivi de la navigation resterait soumise au consentement. La logique française de la mesure d’audience anonyme serait ainsi étendue à la mesure de performance publicitaire.

La proposition de la Commission contenait aussi des règles sur le bandeau lui-même. Son article 88a imposait un refus en un clic, aussi accessible que l’acceptation, et interdisait de redemander le consentement pour la même finalité pendant six mois après un refus. Son article 88b obligeait les sites à respecter les signaux de choix émis par le navigateur, une fois des normes disponibles. Le texte de la présidence retire ces deux articles du RGPD et renvoie le régime des traceurs à la directive ePrivacy. Le nouvel article 5.3 de cette directive reprend le refus en un clic et l’interdiction de redemander le consentement pendant au moins six mois après un refus. L’obligation de respecter les signaux du navigateur, elle, disparaît.

Le lien entre publicité et IA ne s’arrête pas aux traceurs, comme le montre le recours à des visages générés par IA dans la publicité.

S’opposer dès aujourd’hui : l’article 21 et ses limites

Le droit d’opposition existe déjà et ne dépend pas de la réforme. Aucune version en discussion ne le supprime : seul le droit inconditionnel propre à l’IA, prévu par la Commission, est retiré dans le texte de la présidence.

Son fonctionnement, décrit par la CNIL sur sa page consacrée au droit d’opposition, tient en trois règles. Face à un traitement fondé sur l’intérêt légitime, vous pouvez vous opposer pour des raisons tenant à votre situation particulière. L’organisme peut refuser s’il démontre des motifs légitimes et impérieux. Pour la prospection commerciale, en revanche, l’opposition se fait sans motif et s’impose. Dans tous les cas, l’organisme dispose d’un mois pour répondre.

Trois limites encadrent ce levier. C’est une démarche active : rien ne se passe si vous ne la faites pas. Elle se mène acteur par acteur : s’opposer auprès de Meta ne vaut pas pour une autre entreprise. Et hors prospection, elle n’a pas de force absolue : l’entreprise peut la refuser en la motivant, sous le contrôle de la CNIL. Aucune de ces démarches ne garantit un résultat.

C’est précisément cette troisième limite que le droit inconditionnel de la Commission levait pour l’IA. Sa suppression ramènerait l’entraînement des modèles au droit commun de l’article 21. Plus incertain pour la personne.

Cinq étapes encore avant toute application du texte

L’Irlande préside le Conseil de l’UE depuis le 1ᵉʳ juillet 2026, pour six mois, jusqu’au 31 décembre. Le « digital omnibus » figure à son programme, selon le service de recherche du Parlement européen. Sa méthode est celle de toute présidence : faire circuler des textes de compromis successifs — un précédent portait la référence ST 10677/26 — jusqu’à réunir une majorité d’États.

Le texte du 3 septembre est l’un de ces compromis. Il n’est pas la position du Conseil. Selon The Irish Times du 21 septembre 2026, les États membres devaient transmettre leurs avis d’ici la fin de cette même semaine. Le texte a d’ailleurs déjà été révisé : selon l’agence de presse spécialisée Agence Europe, la présidence a fait circuler un nouveau compromis daté du 21 septembre 2026, qui précise le volet traceurs, notamment l’usage des données de mesure d’audience, et le régime des données pseudonymisées ; son contenu n’a pas été rendu public. Au 23 septembre 2026, aucune position du Conseil n’a été rendue publique.

Côté Parlement européen, un projet de rapport a été publié en juin 2026, et environ 1 840 amendements ont été déposés en août 2026, selon le décompte publié par GDPR Local, seule source à le chiffrer. L’ordre de grandeur dit l’étendue du désaccord à réduire avant tout vote.

Le chemin restant compte cinq étapes : un mandat du Conseil, la position du Parlement, un trilogue — la négociation à trois entre Conseil, Parlement et Commission qui rapproche les deux versions —, une adoption formelle, puis un délai avant application. Aucun accord n’existe à ce stade. D’ici là, le RGPD et la directive ePrivacy actuels restent pleinement en vigueur. Pour l’internaute, rien ne change avant ce terme.

Article ou considérant : l’enjeu que le trilogue devra trancher

Sur la base légale elle-même, la Commission et la présidence convergent : l’intérêt légitime pour l’IA serait écrit dans le RGPD. Leur écart porte sur l’emplacement des garanties. Dans la version de la Commission, l’opposition inconditionnelle, la minimisation et la transparence renforcée figuraient dans l’article, donc s’imposaient. Dans la version de la présidence, ces trois garanties disparaissent du texte, et l’article 88bis ne garde qu’une obligation générale de mesures et de garanties appropriées. D’autres protections, dont celle des enfants, la réserve des lois qui exigent le consentement et la protection contre la divulgation des données restées mémorisées dans le modèle, ne figurent plus qu’au considérant 33a, qui oriente l’interprétation sans obliger par lui-même.

Un second chantier pèse sur la même question. La Commission propose qu’une information ne soit pas une donnée personnelle pour une entité qui n’a pas de moyens raisonnables d’identifier la personne. Selon PPC Land, le texte de la présidence reprend une formule analogue pour les données pseudonymisées, dans la ligne d’un arrêt de la Cour de justice de l’UE du 4 septembre 2025 (CEPD c/ CRU). Une donnée pseudonymisée n’est pas une donnée anonyme. Les éléments qui identifient la personne y sont remplacés par un code, mais l’information qui permet de revenir à elle existe toujours, conservée à part. La conséquence est directe : une donnée pseudonymisée cesserait d’être une donnée personnelle chez l’acteur incapable de réidentifier, et sortirait du RGPD chez lui. C’est l’une des voies par lesquelles, selon noyb, des identifiants de suivi échapperaient à la protection.

Reste une question que le texte ne tranche pas. Une garantie qui n’existe que dans un considérant protège-t-elle encore l’internaute qui voudrait l’invoquer ? La réponse dira si l’intérêt légitime pour l’IA reste une balance que la personne peut contester avec efficacité devant une autorité ou un juge.

Questions fréquentes sur l’intérêt légitime et l’entraînement des IA

Une entreprise doit-elle obtenir votre consentement pour entraîner une IA sur vos données ?

Pas nécessairement, et ce dès aujourd’hui. Le CEPD (décembre 2024) et la CNIL (juin 2025) admettent l’intérêt légitime au cas par cas, sous réserve d’un test de nécessité et de balance. Meta s’appuie sur cette base depuis le 27 mai 2025 pour les contenus publics des utilisateurs majeurs.

Quelle différence entre consentement et intérêt légitime ?

Le consentement exige un accord actif, libre et retirable : sans lui, rien ne se fait. L’intérêt légitime permet de traiter sans demander, à condition que vos droits ne prévalent pas. Votre protection repose alors sur la balance faite par l’entreprise et sur votre opposition.

Le texte du 3 septembre 2026 est-il applicable ?

Non. C’est un texte de compromis de la présidence irlandaise, pas la position du Conseil. Il faut encore un mandat du Conseil, la position du Parlement, un trilogue, une adoption formelle et un délai d’application. Le RGPD et la directive ePrivacy actuels restent pleinement en vigueur.

Le droit d’opposition disparaîtrait-il ?

Non. L’article 21 du RGPD demeure. Le texte de la présidence retire le droit d’opposition inconditionnel propre à l’IA que la Commission avait proposé : l’entreprise pourrait donc refuser une opposition si elle démontre des motifs légitimes et impérieux.

Comment vous opposer dès maintenant ?

Auprès de chaque organisme, au titre de l’article 21, en invoquant votre situation particulière, ou via les formulaires proposés par certaines plateformes. L’organisme a un mois pour répondre. En cas de difficulté, la CNIL peut être saisie d’une plainte, sans garantie de résultat.

Les bandeaux cookies disparaîtraient-ils ?

Non. Le texte dispense de consentement six finalités, dont la mesure de l’affichage et de la performance d’une publicité contextuelle, sans profilage ni suivi. La publicité ciblée par suivi de la navigation resterait soumise au consentement. Le refus en un clic et l’interdiction de relancer pendant six mois après un refus seraient repris dans la directive ePrivacy.

Vos données de santé pourraient-elles servir à entraîner une IA ?

Pas au sens d’une autorisation générale. Le texte prévoit une dérogation pour les données sensibles présentes de façon résiduelle et involontaire dans un corpus, si le responsable prend des mesures pour les éviter et les efface lorsqu’il les identifie ; si l’effacement est techniquement impossible ou disproportionné, il doit seulement les protéger contre tout autre usage. Une collecte ciblée reste soumise à l’interdiction de principe de l’article 9.