Digital Omnibus 2026 : quel impact sur le RGPD et l’AI Act ?
Le Digital Omnibus est un package législatif européen qui modifie plusieurs textes du numérique, dont le RGPD et l’AI Act. Son volet IA, l’AI Omnibus (Règlement UE 2026/1744), s’applique depuis l’été 2026 et réajuste les échéances de l’AI Act. Son volet données reste en négociation depuis le mandat du Conseil du 21 octobre 2026.
L’essentiel
- L’AI Omnibus (Règlement UE 2026/1744) est en vigueur depuis l’été 2026 et reporte les obligations haut risque au 2 décembre 2027 (Annexe III) et au 2 août 2028 (Annexe I).
- À partir du 2 décembre 2026, les contenus générés par IA générative doivent porter un marquage lisible par machine (Art. 50(2) de l’AI Act), y compris pour les systèmes déployés avant août 2026.
- Le 21 octobre 2026, le Coreper a arrêté le mandat du Conseil sur le Digital Omnibus. Les trilogues avec le Parlement européen peuvent s’ouvrir.
- Le mandat du Conseil limiterait la notification à l’autorité aux violations à risque élevé, sous 96 heures au lieu de 72.
- Le RGPD s’applique aujourd’hui dans sa version actuelle, y compris la notification des violations sous 72 heures.
Qu’est-ce que le Digital Omnibus ?
Le Digital Omnibus est un chantier d’allègement administratif ouvert par la Commission européenne. Dans le travail réglementaire européen, un Omnibus désigne un package législatif modificatif : un texte unique qui amende plusieurs règlements en même temps pour en simplifier l’application.
Sur le terrain, la question qui revient chez les DPO et les directions juridiques est pragmatique : comment maintenir un niveau élevé de protection des données sans bloquer l’intégration de l’IA dans l’entreprise ?
Pour construire une feuille de route tenable face au Digital Omnibus, il faut distinguer ce qui est déjà gravé dans la loi de ce qui relève encore des négociations à Bruxelles.
Qu’est-ce qui s’applique déjà avec l’AI Omnibus ?
L’AI Omnibus (Règlement UE 2026/1744) est le volet IA du Digital Omnibus, détaché du reste du paquet pour éviter un blocage du marché. L’AI Omnibus est entré en vigueur à l’été 2026. Il réajuste les échéances de l’AI Act (RIA, règlement sur l’intelligence artificielle) sans annuler les obligations sous-jacentes.
Que change l’échéance du 2 décembre 2026 ?
Le 2 décembre 2026 marque l’application de deux séries de règles de l’AI Act :
- Transparence et marquage technique (Art. 50(2) de l’AI Act) : les contenus générés ou manipulés par IA générative doivent intégrer un marquage lisible par machine. Le watermarking est un marquage numérique invisible inscrit au niveau des métadonnées. L’obligation vaut y compris pour les systèmes déjà déployés avant août 2026.
- Mise en conformité des contenus génératifs : application renforcée des interdictions portant sur la création automatisée d’images intimes non consenties (deepfakes) et de matériels pédopornographiques (CSAM).
Rappel : les interdictions générales de l’AI Act, comme le scoring social ou la manipulation comportementale, s’imposent déjà depuis début 2025.
Quel est le nouveau calendrier des systèmes d’IA à haut risque ?
L’AI Omnibus rééchelonne les obligations applicables aux systèmes d’IA à haut risque selon leur catégorie :
- 2 décembre 2027 : systèmes autonomes de l’Annexe III de l’AI Act. Exemples : recrutement, scoring de crédit, évaluation dans l’éducation. Les fournisseurs devront aussi fournir aux déployeurs les notices d’utilisation requises pour ces systèmes.
- 2 août 2028 : systèmes intégrés à des produits réglementés (Annexe I de l’AI Act).
Consultez notre guide sur la classification des systèmes d’IA à haut risque.
Peut-on traiter des données sensibles pour corriger les biais d’une IA ?
Oui. L’AI Omnibus autorise le traitement de données sensibles (Art. 9 RGPD) dans le seul but de détecter et corriger les biais algorithmiques, sous réserve de garanties de sécurité strictes.
Que prévoit le Digital Omnibus pour le RGPD ?
Le volet données du Digital Omnibus n’est pas adopté, mais la position des États membres sur les amendements au RGPD est désormais connue. Le mandat du Conseil porte sur la pseudonymisation, l’intérêt légitime pour l’IA, les données sensibles et la notification des violations.
Où en est la négociation du Digital Omnibus ?
Le 21 octobre 2026, le Comité des représentants permanents (Coreper) a arrêté le mandat de négociation du Conseil sur le Digital Omnibus. Les trilogues avec le Parlement européen vont pouvoir s’ouvrir.
La définition de la donnée personnelle va-t-elle changer ?
Non : le mandat du Conseil abandonne la redéfinition générale de la donnée personnelle au profit d’une règle sur la pseudonymisation.
La Commission proposait de modifier la définition de la donnée personnelle (Art. 4(1) RGPD) en introduisant un critère d’identification relatif, propre à chaque entité, dans la lignée de l’arrêt Breyer de la CJUE. Face à la vive opposition des autorités de protection (CEPD) et de nombreux juristes, le Conseil a supprimé cette modification.
Le Conseil la remplace par un nouvel article dédié à la pseudonymisation (Art. 25a RGPD). Une donnée pseudonymisée :
- ne serait pas une donnée personnelle pour un tiers incapable d’identifier la personne ;
- redeviendrait une donnée personnelle dès sa transmission à un destinataire disposant de moyens raisonnables de ré-identification ;
- resterait toujours une donnée personnelle pour le sous-traitant.
Le CEPD serait chargé de rendre un avis sur la pseudonymisation et l’anonymisation.
L’intérêt légitime pourra-t-il fonder le développement d’une IA ?
Oui, selon le mandat du Conseil. Un nouvel article 88a du RGPD confirmerait que le développement et l’exploitation d’un système ou d’un modèle d’IA peuvent reposer sur l’intérêt légitime (Art. 6.1.f RGPD). Deux exceptions : lorsqu’une autre loi impose le consentement, ou lorsque les droits des personnes prévalent, en particulier s’il s’agit d’enfants.
La réalisation d’une Évaluation de l’intérêt légitime (LIA) et le respect du droit d’opposition restent indispensables.
Quelles nouvelles exceptions pour les données sensibles ?
Le mandat du Conseil ajouterait deux exceptions à l’article 9 du RGPD :
- Art. 9(2)(k) : le traitement incident et résiduel de données sensibles lors du développement d’une IA, lorsque ce traitement n’est pas recherché par le responsable de traitement et sous réserve de garanties ;
- Art. 9(2)(l) : la vérification biométrique de l’identité, lorsque la personne garde seule le contrôle de ses données.
Comment évoluerait la notification des violations de données ?
Le mandat du Conseil aligne le seuil de notification à l’autorité sur celui de l’information des personnes concernées (Art. 34 RGPD) : seules les violations susceptibles d’engendrer un risque élevé devraient être notifiées.
- Violations notifiées à l’autorité : aujourd’hui, toutes sauf celles peu susceptibles d’engendrer un risque ; selon le mandat du Conseil, uniquement celles susceptibles d’engendrer un risque élevé.
- Délai : aujourd’hui 72 heures ; selon le mandat du Conseil, 96 heures.
- Canal : selon le mandat du Conseil, un point d’entrée national prévu par NIS2.
- Violations à faible risque : selon le mandat du Conseil, elles ne seraient plus notifiées, mais resteraient évaluées et consignées dans le registre interne (Art. 33(5) RGPD).
Le CEPD publierait un modèle commun de notification ainsi que des listes de situations à risque élevé et sans risque élevé.
Rappel opérationnel : le volet données du Digital Omnibus reste un projet de texte, dont le contenu peut encore évoluer lors des trilogues. Le RGPD s’applique aujourd’hui dans sa version actuelle, notamment l’obligation de notifier toute violation sous 72 heures. Aucune démarche de conformité ne doit être mise en attente.
Quelles priorités pour le DPO face au Digital Omnibus ?
L’enjeu pour le DPO est d’orienter le pilotage des risques IA en lien avec les métiers. Quatre priorités de terrain se dégagent.
1. Réguler le Shadow AI
L’urgence est de cartographier les usages non officiels de l’IA. Sans politique claire d’utilisation des LLM et sans formation des collaborateurs (AI literacy), l’envoi de données confidentielles vers des outils grand public reste le premier risque opérationnel.
2. Auditer la supply chain logicielle
La majorité des entreprises intègrent des solutions d’IA tierces (SaaS, API) plutôt que de développer leurs propres modèles. La conformité se joue dans les contrats d’approvisionnement : il convient de demander aux éditeurs la documentation technique et les garanties de traçabilité nécessaires.
3. Articuler AIPD et FRIA
L’AIPD (Analyse d’impact relative à la protection des données, ou DPIA) est l’analyse requise par le RGPD. La FRIA (Analyse d’impact sur les droits fondamentaux, Art. 27 de l’AI Act) est l’analyse requise par l’AI Act. Si l’entreprise déploie un système d’IA à haut risque traitant des données personnelles, la FRIA pourrait être menée conjointement avec l’AIPD pour éviter les doublons administratifs.
Pour la méthode, consultez notre guide pour réaliser une AIPD.
4. Instaurer une gouvernance transverse
La conformité de l’IA nécessite des arbitrages réguliers entre DPO, RSSI, Direction Data et Juridique pour ajuster le registre des traitements et la cartographie des risques à mesure que les outils évoluent. Un logiciel de conformité RGPD et AI Act comme Adequacy permet de centraliser le registre des traitements et la cartographie des risques au même endroit.
Digital Omnibus : que retenir pour votre conformité ?
Le Digital Omnibus avance en deux temps. L’AI Omnibus (Règlement UE 2026/1744) s’applique depuis l’été 2026, avec une première échéance de marquage le 2 décembre 2026. Le volet RGPD du Digital Omnibus reste en négociation depuis le mandat du Conseil du 21 octobre 2026 : le RGPD actuel continue de s’appliquer intégralement.
Pour préparer ces évolutions, vous pouvez demander une démo d’Adequacy.
FAQ - Digital Omnibus, RGPD et AI Act
Qu’est-ce que le Digital Omnibus ?
Le Digital Omnibus est un projet de règlement modificatif proposé par la Commission européenne. Il vise à harmoniser et simplifier l’articulation de plusieurs textes du cadre numérique européen, notamment le RGPD, le Data Act et l’AI Act. Comme tout Omnibus, le Digital Omnibus est un texte unique qui amende plusieurs règlements en même temps.
Le Digital Omnibus remplace-t-il le RGPD ?
Non. Le Digital Omnibus est un texte modificatif en cours de négociation : le Conseil a arrêté son mandat le 21 octobre 2026 et les trilogues avec le Parlement européen doivent s’ouvrir. Le RGPD demeure pleinement en vigueur dans sa forme actuelle, et aucune démarche de conformité ne doit être mise en attente.
L’AI Omnibus est-il déjà applicable ?
Oui. L’AI Omnibus (Règlement UE 2026/1744) s’applique depuis l’été 2026. Le volet IA a été détaché du reste du Digital Omnibus pour des raisons de calendrier, afin d’éviter un blocage du marché. L’AI Omnibus réajuste les échéances de l’AI Act sans annuler les obligations sous-jacentes.
Que change l’échéance du 2 décembre 2026 pour l’AI Act ?
À partir du 2 décembre 2026, les contenus générés ou manipulés par IA générative doivent intégrer un marquage technique lisible par machine (watermarking), conformément à l’article 50(2) de l’AI Act, y compris pour les systèmes déployés avant août 2026. Cette échéance confirme aussi l’application des règles sur les contenus synthétiques trompeurs ou non consentis.
Les obligations pour les IA à haut risque sont-elles supprimées ?
Non. Les obligations pour les systèmes d’IA à haut risque sont reportées, pas supprimées : elles s’appliqueront le 2 décembre 2027 pour les systèmes de l’Annexe III et le 2 août 2028 pour les systèmes de l’Annexe I. C’est à ces échéances que les obligations complètes (dossier technique, notices d’utilisation, gouvernance) deviendront exigibles.
Peut-on utiliser l’intérêt légitime pour entraîner une IA ?
Oui, sous le RGPD actuel, l’intérêt légitime (Art. 6.1.f) peut servir de base légale à condition de réaliser une LIA formelle démontrant la nécessité du traitement, la mise en balance des droits et le respect du droit d’opposition. Le mandat du Conseil prévoit un nouvel article 88a qui confirmerait expressément cette possibilité, mais le Digital Omnibus n’est pas encore adopté.
L’AIPD reste-t-elle obligatoire pour l’IA ?
Oui. Dès qu’un traitement d’IA présente un risque élevé pour les personnes, l’AIPD reste requise au titre du RGPD. L’AIPD a vocation à s’articuler avec la FRIA (Art. 27 de l’AI Act) lorsque le système relève également du haut risque sous l’AI Act, afin d’éviter les doublons administratifs.
Faudra-t-il encore notifier toutes les violations de données ?
Aujourd’hui, oui : toute violation de données doit être notifiée à l’autorité sous 72 heures, sauf si elle est peu susceptible d’engendrer un risque. Si le mandat du Conseil sur le Digital Omnibus est retenu, seules les violations à risque élevé seraient notifiées, sous 96 heures, les autres restant documentées dans le registre interne.
