Actualités RGPD AI Act octobre 2026 : Digital Omnibus, norme EN 18286, CNIL et CEPD
Les actualités RGPD AI Act d’octobre 2026 portent sur quatre sujets : la position du Conseil de l’UE sur le Digital Omnibus, la norme harmonisée EN 18286:2026, les emails professionnels reconstitués selon la CNIL et les lunettes connectées selon le CEPD. Aucun changement du volet protection des données du Digital Omnibus n’est applicable à ce stade.
L’essentiel
- Le Conseil de l’Union européenne a adopté le 21 octobre 2026 sa position sur le volet du Digital Omnibus consacré à la protection des données : elle conserve la définition actuelle des données personnelles et certaines protections relatives aux décisions automatisées
- Aucun changement issu du volet protection des données du Digital Omnibus ne doit être considéré comme applicable à ce stade : le texte doit encore être négocié avec le Parlement européen
- La Commission européenne a publié le 14 octobre 2026 la référence de la norme EN 18286:2026, première norme harmonisée de l’AI Act, destinée aux fournisseurs de systèmes d’IA à haut risque et d’application volontaire
- Le 16 octobre 2026, la CNIL précise que la reconstitution d’une adresse email professionnelle peut, selon les circonstances, s’appuyer sur l’intérêt légitime, sans que cette base légale soit automatiquement acquise
- Le 13 octobre 2026, la déclaration du CEPD sur les lunettes connectées attire l’attention sur les enjeux de transparence et de maîtrise des traitements
Quatre décryptages RGPD, privacy et AI Act pour les DPO (délégués à la protection des données), juristes et responsables conformité.
Que change la position du Conseil de l’UE sur le Digital Omnibus ?
La position du Conseil de l’Union européenne sur le Digital Omnibus, adoptée le 21 octobre 2026, conserve notamment la définition actuelle des données personnelles et certaines protections relatives aux décisions automatisées, mais aucun changement du volet protection des données n’est applicable à ce stade, car le texte doit encore être négocié avec le Parlement européen.
Un compromis moins permissif que le projet initial
Le Digital Omnibus est un projet de l’Union européenne visant à simplifier le cadre numérique. Plusieurs propositions initialement envisagées ont suscité des inquiétudes quant à une diminution des garanties offertes par le RGPD (règlement général sur la protection des données, ou GDPR en anglais).
La position du Conseil de l’Union européenne porte sur le volet du Digital Omnibus consacré à la protection des données (RGPD et ePrivacy). Elle conserve notamment :
- La définition actuelle des données personnelles
- Certaines protections relatives aux décisions automatisées
Des garanties préservées, mais des débats encore ouverts
Les défenseurs du RGPD obtiennent des concessions majeures : la position du Conseil de l’Union européenne peut être analysée comme une concession importante aux défenseurs de la protection des données. Cette position ne constitue toutefois pas une victoire définitive. Trois sujets continuent de faire débat :
- Les dispositions relatives à la réutilisation des données pour l’intelligence artificielle
- Les dispositions relatives à la pseudonymisation
- Certaines dérogations
Ce que les entreprises doivent retenir du Digital Omnibus
Aucun changement issu du volet protection des données du Digital Omnibus ne doit être considéré comme applicable à ce stade. Les DPO peuvent cartographier les procédures potentiellement concernées :
- Cookies
- Violations de données
- Bases légales
- Information des personnes
Cette cartographie se fait en maintenant les exigences actuelles.
Notre lecture du Digital Omnibus
Le Digital Omnibus montre que la simplification administrative n’implique pas nécessairement un recul des principes fondamentaux du RGPD. Une gouvernance documentée et adaptable demeure un investissement essentiel. Pour aller plus loin : l’impact du Digital Omnibus sur le RGPD et l’AI Act.
Sources et vérifications sur le Digital Omnibus
- Conseil de l’Union européenne, communiqué du 21 octobre 2026 : https://www.consilium.europa.eu/
- Texte et étapes de la procédure législative : https://eur-lex.europa.eu/
Que prévoit la norme EN 18286:2026, première norme harmonisée de l’AI Act ?
La norme EN 18286:2026, dont la Commission européenne a publié la référence le 14 octobre 2026, est la première norme harmonisée élaborée dans le cadre de l’AI Act : destinée aux fournisseurs de systèmes d’IA à haut risque, elle vise à faciliter l’application de l’article 17 du règlement.
Une avancée vers une conformité plus opérationnelle
L’AI Act (RIA, ou règlement sur l’intelligence artificielle) impose, à son article 17, la mise en place d’un système de management de la qualité documenté. La norme EN 18286:2026 fournit concrètement un cadre pour structurer :
- La gouvernance
- La gestion des risques
- Les procédures de contrôle
- La surveillance des systèmes d’IA tout au long de leur cycle de vie
La présomption de conformité de la norme EN 18286:2026 est-elle acquise ?
La présomption de conformité de la norme EN 18286:2026 reste incertaine : c’est la principale subtilité juridique du texte.
- L’article 40 de l’AI Act prévoit une présomption de conformité pour les exigences couvertes par les normes harmonisées
- La rédaction de l’article 40 vise toutefois la section 2 du chapitre III, alors que l’article 17 relatif au management de la qualité figure dans la section 3
- Si les organismes européens de normalisation présentent la norme EN 18286:2026 comme ouvrant droit à une présomption de conformité, son fondement juridique exact reste donc à clarifier
L’application de la norme EN 18286:2026 demeure volontaire et ne dispense pas les fournisseurs de respecter les autres obligations de l’AI Act.
Quelles conséquences de la norme EN 18286:2026 pour les entreprises ?
La norme EN 18286:2026 constitue un premier référentiel concret pour :
- Réaliser des analyses d’écart
- Formaliser les procédures internes
- Documenter les preuves de conformité
La norme EN 18286:2026 peut également aider les entreprises utilisatrices de solutions d’IA à évaluer leurs fournisseurs.
D’autres normes sont encore attendues, notamment sur la qualité des données, la transparence, la surveillance humaine et la cybersécurité.
Notre lecture de l’AI Act pour Adequacy
L’AI Act passe progressivement d’un cadre réglementaire à des exigences opérationnelles vérifiables. Les organisations doivent cependant avancer sans attendre un référentiel exhaustif, en identifiant leurs systèmes d’IA, en évaluant les risques et en documentant leur conformité.
Sources et vérifications sur la norme EN 18286:2026
- Commission européenne, stratégie numérique : https://digital-strategy.ec.europa.eu/
- Règlement (UE) 2024/1689, notamment article 17 : https://eur-lex.europa.eu/eli/reg/2024/1689/oj
Peut-on reconstituer des emails professionnels pour la prospection B2B ?
Oui, selon les circonstances : la CNIL précise le 16 octobre 2026 que la reconstitution d’une adresse email professionnelle à partir du nom, du prénom et du format d’email d’une entreprise peut s’appuyer sur l’intérêt légitime, sans que cette base légale soit automatiquement acquise.
Une pratique fréquente, mais pas libre de toute obligation
Reconstituer une adresse professionnelle à partir du nom, du prénom et du format d’email d’une entreprise peut constituer un traitement de données personnelles. La pratique est fréquente, mais elle n’est pas libre de toute obligation.
Le contexte et les attentes raisonnables comptent
Pour apprécier la reconstitution d’une adresse email professionnelle, quatre éléments doivent être examinés :
- La finalité commerciale
- La provenance des informations
- Les attentes raisonnables de la personne
- Les garanties mises en place
Une information publiquement accessible n’est pas nécessairement librement réutilisable. Le droit d’opposition et les obligations d’information restent centraux.
Un cas concret : l’import d’adresses reconstituées dans un CRM
Une entreprise SaaS qui importe dans son CRM des adresses reconstituées par un prestataire doit :
- Examiner les sources
- Documenter sa base légale
- Organiser l’information des personnes
- Empêcher de nouvelles sollicitations après opposition
Notre lecture de la position de la CNIL sur la prospection B2B
La CNIL n’interdit pas par principe la prospection B2B : elle demande une justification proportionnée et transparente. La conformité des équipes marketing se construit dès la collecte, pas seulement lors de l’envoi des campagnes.
Sources et vérifications sur les emails professionnels reconstitués
- CNIL, publications et actualités : https://www.cnil.fr/fr/actualite
- RGPD, articles 6, 14 et 21 : https://eur-lex.europa.eu/eli/reg/2016/679/oj
Quels risques les lunettes connectées posent-elles selon le CEPD ?
Les lunettes connectées dotées de caméras, de microphones et parfois de fonctionnalités d’intelligence artificielle peuvent enregistrer des personnes qui ne savent pas qu’elles sont filmées ou écoutées : la déclaration du 13 octobre 2026 du Comité européen de la protection des données (CEPD, ou EDPB en anglais) attire l’attention sur les enjeux de transparence et de maîtrise de ces traitements.
Une collecte de données de plus en plus discrète
La collecte de données par les lunettes connectées est de plus en plus discrète et pose au CEPD la question d’une surveillance invisible : les personnes enregistrées peuvent ne pas savoir qu’elles sont filmées ou écoutées.
L’innovation n’efface pas les responsabilités
Les fabricants et fournisseurs de services de lunettes connectées doivent examiner leurs propres obligations RGPD.
- Des dispositifs signalant les enregistrements peuvent contribuer à la transparence, mais ne suffisent pas à eux seuls à garantir la licéité des traitements
- Les fonctions biométriques et d’analyse automatisée peuvent soulever des risques supplémentaires
Un cas concret : des techniciens équipés pour des interventions à distance
Une entreprise qui équipe des techniciens de lunettes connectées pour des interventions à distance doit définir, pour les clients et salariés susceptibles d’être enregistrés :
- Les finalités
- Les accès
- La durée de conservation
- Les garanties
Une analyse d’impact relative à la protection des données (AIPD, ou DPIA en anglais) peut être requise selon les risques.
Notre lecture du sujet des lunettes connectées
Le sujet dépasse les lunettes connectées : à mesure que les objets intelligents rendent la collecte moins visible, la protection des données dès la conception (privacy by design) devient une condition essentielle d’un déploiement responsable.
Sources et vérifications sur les lunettes connectées
- Comité européen de la protection des données : https://www.edpb.europa.eu/
- RGPD, articles 5, 25 et 35 : https://eur-lex.europa.eu/eli/reg/2016/679/oj
Que retenir des actualités RGPD AI Act d’octobre 2026 ?
Les actualités RGPD AI Act d’octobre 2026 appellent des actions différentes selon les textes : maintenir les exigences actuelles du RGPD face au Digital Omnibus, utiliser la norme EN 18286:2026 comme référentiel, justifier la prospection B2B dès la collecte et cadrer tout déploiement de lunettes connectées.
Digital Omnibus : position du Conseil de l’UE
- Date : 21 octobre 2026
- Périmètre : Union européenne
- Thème : RGPD et ePrivacy
- Action : cartographier les procédures potentiellement concernées (cookies, violations de données, bases légales, information des personnes) tout en maintenant les exigences actuelles
Norme EN 18286:2026
- Date : 14 octobre 2026
- Périmètre : Union européenne
- Thème : AI Act et gouvernance de l’IA
- Action : réaliser des analyses d’écart, formaliser les procédures internes et documenter les preuves de conformité
Emails professionnels reconstitués : CNIL
- Date : 16 octobre 2026
- Périmètre : France
- Thème : RGPD et marketing
- Action : examiner les sources, documenter la base légale, organiser l’information des personnes et empêcher de nouvelles sollicitations après opposition
Lunettes connectées : déclaration du CEPD
- Date : 13 octobre 2026
- Périmètre : Europe
- Thème : Privacy by design et IA
- Action : définir les finalités, les accès, la durée de conservation et les garanties ; une AIPD peut être requise selon les risques
Actualités RGPD AI Act d’octobre 2026 en un coup d’œil
Pour remonter le fil de la veille réglementaire : les actualités RGPD et AI Act d’août 2026.
Adequacy, éditeur SaaS français de logiciels de mise en conformité RGPD et AI Act, présente comment la solution s’adapte à votre réalité terrain : demander une démo d’Adequacy.
FAQ - Actualités RGPD AI Act octobre 2026
Le Digital Omnibus modifie-t-il déjà le RGPD ?
Non, le volet protection des données du Digital Omnibus ne modifie pas le RGPD à ce stade : aucun changement ne doit être considéré comme applicable. Le Conseil de l’Union européenne a adopté sa position le 21 octobre 2026, mais le texte doit encore être négocié avec le Parlement européen. Les DPO peuvent cartographier les procédures potentiellement concernées tout en maintenant les exigences actuelles.
La norme EN 18286:2026 est-elle obligatoire pour les fournisseurs d’IA à haut risque ?
Non, l’application de la norme EN 18286:2026 demeure volontaire et ne dispense pas les fournisseurs de respecter les autres obligations de l’AI Act. Cette première norme harmonisée, dont la Commission européenne a publié la référence le 14 octobre 2026, vise à faciliter l’application de l’article 17, qui impose un système de management de la qualité documenté.
La norme EN 18286:2026 donne-t-elle droit à une présomption de conformité ?
Le fondement juridique de cette présomption de conformité reste à clarifier. L’article 40 de l’AI Act prévoit une présomption pour les exigences couvertes par les normes harmonisées, mais vise la section 2 du chapitre III, alors que l’article 17 relatif au management de la qualité figure dans la section 3. Les organismes européens de normalisation présentent néanmoins la norme comme ouvrant droit à cette présomption.
Peut-on utiliser des emails professionnels reconstitués pour la prospection B2B ?
Oui, selon les circonstances : pour la CNIL, la reconstitution d’une adresse email professionnelle peut s’appuyer sur l’intérêt légitime, sans que cette base légale soit automatiquement acquise. Il faut examiner la finalité commerciale, la provenance des informations, les attentes raisonnables de la personne et les garanties mises en place, et respecter le droit d’opposition et les obligations d’information.
Une AIPD est-elle nécessaire pour équiper des salariés de lunettes connectées ?
Une AIPD peut être requise selon les risques. Une entreprise qui équipe des techniciens de lunettes connectées pour des interventions à distance doit définir les finalités, les accès, la durée de conservation et les garanties pour les clients et salariés susceptibles d’être enregistrés. Les fonctions biométriques et d’analyse automatisée peuvent soulever des risques supplémentaires.
Un signal d’enregistrement suffit-il à rendre licites des lunettes connectées ?
Non, un dispositif signalant les enregistrements ne suffit pas à lui seul à garantir la licéité des traitements, même s’il peut contribuer à la transparence. Les fabricants et fournisseurs de services de lunettes connectées doivent aussi examiner leurs propres obligations RGPD, et les fonctions biométriques et d’analyse automatisée peuvent soulever des risques supplémentaires.
