Vos données pour entraîner l’IA sans votre accord : les 27 ont validé

Le 21 octobre, les gouvernements des 27 pays de l’Union européenne ont adopté leur position sur le texte qui réécrit le RGPD, la règle commune sur les données personnelles. Leur version permet d’utiliser vos données pour entraîner une intelligence artificielle sans votre accord. Elle couvre aussi le fonctionnement des systèmes entraînés. Rien ne s’applique encore : le Parlement doit voter, sans doute début 2027.

Que change le texte du 21 octobre ?

Le Conseil réunit les ministres des 27 États membres. Il a approuvé ce jour-là son mandat de négociation sur un paquet de simplification, l’« omnibus numérique ». Le communiqué du Conseil promet d’alléger les charges des entreprises, en gardant « un niveau élevé » de protection.

Le texte ajoute un article 88 bis au RGPD. Un traitement peut y reposer sur l’intérêt légitime de l’entreprise, et non sur votre consentement, quand il sert à développer « et à faire fonctionner » un système d’IA. La rédaction figure dans le document ST 14756/26, publié le 22 octobre.

La Commission n’avait proposé que l’entraînement. Le Conseil ajoute le fonctionnement : entraîner un modèle, puis s’en servir en production, sur la même base.

« Sans votre accord » : qu’est-ce que cela veut dire ?

Cela veut dire sans consentement. Pas sans droits.

Le texte impose des garanties. L’entreprise limite les données dès le choix des sources. Elle vous informe. Elle respecte « un droit d’opposition inconditionnel ».

Mais s’opposer suppose de savoir, et d’agir. Et un modèle déjà entraîné ne s’efface pas. Sur les données sensibles (santé, opinions politiques, orientation sexuelle, origine), le Conseil prévoit une exception. Quand l’effacement est techniquement impossible ou disproportionné, l’entreprise peut garder l’information mémorisée dans le modèle. Elle doit alors empêcher tout nouvel usage.

Deuxième changement, moins visible : un article 25a. Les données pseudonymisées, dont le nom est remplacé par un code, ne sont plus des données personnelles pour un tiers incapable de vous identifier. Un revendeur de fichiers pourra donc soutenir qu’il sort du RGPD.

Le Conseil affirme que la définition des données personnelles ne bouge pas. Le Comité européen de la protection des données et le Contrôleur européen, dans leur avis conjoint du 10 février 2026, demandaient de ne pas y toucher.

Troisième changement : le délai pour signaler une violation de données passe de 72 heures à 96 heures. La France a déjà connu le sujet, avec 678 000 dossiers fiscaux volés et 7 semaines sans alerte.

Qui a poussé ce texte, et avec quels moyens ?

Le 28 octobre, Corporate Europe Observatory et l’ONG allemande LobbyControl ont publié un décompte. Depuis novembre 2025, ils recensent 655 rendez-vous entre lobbyistes et députés européens sur ce texte. Cela fait 3 rendez-vous par jour ouvré.

83 % de ces rendez-vous se sont tenus avec des entreprises ou des lobbies patronaux. 11 % avec des ONG ou des syndicats.

Le versant national est documenté aussi. De mai 2025 à septembre 2026, le gouvernement allemand a tenu 85 réunions avec 11 entreprises technologiques non européennes, soit 1,5 par semaine.

Le Sénat français avait prévenu. Dans un rapport du 13 mai 2026, la commission des affaires européennes écrivait que le cumul des modifications « pourrait vider le RGPD de sa substance ».

Ce que cela change pour vous

Rien, pour l’instant. Le RGPD de 2018 s’applique tel quel, et la CNIL garde les mêmes pouvoirs.

Si le texte passe en l’état, quatre choses changent.

Vos données peuvent servir à entraîner et à faire tourner une IA sans que vous ayez dit oui. Vous gardez un droit d’opposition, que l’entreprise doit rendre possible, y compris par un signal envoyé depuis votre navigateur.

Votre droit à l’effacement recule quand les données sont déjà dans le modèle. L’entreprise protège l’information, elle ne la retire pas.

Les données codées sortent du champ du RGPD pour un tiers incapable de vous identifier. C’est la porte ouverte aux revendeurs de fichiers.

Les bannières de cookies diminuent. Quatre cas n’exigeront plus de consentement : l’acheminement d’une communication, un service que vous demandez, la mesure d’audience pour l’éditeur, la sécurité de l’appareil. Le refus devra tenir en un clic, et l’éditeur ne pourra pas redemander avant 6 mois.

La CNIL admet depuis le 19 juin 2025 que l’intérêt légitime fonde le développement d’une IA, sous conditions. Le texte généralise une pratique tolérée, et l’étend au fonctionnement.

Sur la santé, Nvidia est entré au capital de Doctolib sans que le cadre change. Sur l’emploi, France Travail confie le tri de 1,5 million de contrôles à une IA. La question est toujours la même : sur quelle base juridique, et qui peut s’y opposer ?

À regarder : la position d’Insurance Europe, la fédération des assureurs européens, résumée en mai 2026, avant le vote du Conseil. Elle demandait d’assouplir la définition des données personnelles et le délai de signalement des violations.

Et maintenant ?

Le Parlement doit arrêter sa position, attendue début 2027. Les trois institutions négocieront ensuite. D’ici là, aucune de ces règles ne s’applique.

Le rapport signale aussi des allers-retours entre cabinets et entreprises : au Danemark, en Suède et en Irlande, d’anciens responsables publics sont devenus lobbyistes de Meta sur ce dossier.

L’IA a besoin de données. La question est de savoir qui décide de ce qui entre dans la machine, et ce qu’il reste à celui qui refuse.