Résumé exécutif
Le Digital Omnibus sur l’IA désigne une démarche européenne visant à clarifier l’application du RGPD aux systèmes d’intelligence artificielle, en particulier aux modèles de fondation et à l’IA générative.
Il ne constitue pas un nouveau règlement autonome, mais une interprétation structurée et opérationnelle des obligations existantes, dans le prolongement de l’IA Act (Règlement UE 2024/1689).
1. Contexte juridique et calendrier normatif
- Le RGPD est applicable depuis le 25 mai 2018.
- Le Règlement sur l’IA (IA Act) a été adopté en 2024.
- Son application est progressive entre 2025 et 2026, selon la catégorie de systèmes concernés.
- Le Digital Omnibus s’inscrit dans cette phase de transition, afin d’assurer une cohérence normative entre protection des données et régulation de l’IA.
👉 Objectif principal : éviter une application théorique du RGPD incompatible avec les réalités techniques des modèles d’IA, sans affaiblir la protection des personnes.
2. Donnée à caractère personnel et IA : un critère inchangé, une application renouvelée
2.1 Principe juridique applicable
Au sens de l’article 4, §1 du RGPD, constitue une donnée à caractère personnel toute information se rapportant à une personne physique identifiée ou identifiable.
Ce critère :
- est technologiquement neutre,
- s’applique indépendamment du type de traitement,
- repose sur la notion d’identifiabilité, directe ou indirecte.
2.2 La question des modèles et de leurs paramètres
Le Digital Omnibus met en lumière un débat juridique central, sans le trancher :
- Les paramètres internes d’un modèle (poids, embeddings, espace latent)
➜ ne sont pas qualifiés automatiquement de données personnelles. - Ils peuvent néanmoins entrer dans le champ du RGPD lorsqu’il existe une possibilité raisonnable de ré-identification d’une personne à partir du modèle.
Il s’agit d’une analyse au cas par cas, fondée sur :
- les capacités techniques d’extraction ou d’inversion,
- l’état des connaissances,
- les moyens raisonnablement accessibles au responsable de traitement.
👉 Le droit reste fondé sur le risque d’identification, non sur la nature abstraite de l’objet technique.
3. Obligation d’information et entraînement des modèles d’IA
3.1 Principe général
L’article 14 du RGPD impose d’informer les personnes lorsque leurs données sont collectées indirectement.
Dans le contexte de l’IA générative :
- les données proviennent souvent de sources publiques,
- l’entraînement repose sur des volumes massifs,
- l’information individualisée peut s’avérer matériellement complexe.
3.2 Encadrement des exceptions
Le Digital Omnibus rappelle que :
- l’exception fondée sur l’effort disproportionné (article 14, §5, b)
➜ n’est ni automatique, ni générale. - elle doit être strictement justifiée, documentée et proportionnée.
L’IA Act complète cette approche par des obligations de transparence structurée, notamment :
- information sur les grandes catégories de données utilisées,
- description des finalités d’entraînement,
- articulation avec la protection du secret des affaires.
4. Droit d’accès et IA générative : portée et limites
4.1 Fondement juridique
Le droit d’accès prévu à l’article 15 du RGPD permet à une personne d’obtenir :
- confirmation qu’un traitement existe,
- accès aux données personnelles la concernant,
- informations sur la logique générale du traitement.
4.2 Application aux modèles d’IA
Le Digital Omnibus opère une distinction essentielle :
- Le droit d’accès porte sur :
- les données personnelles concernant la personne,
- les résultats ou sorties du système lorsqu’ils lui sont liés.
- Il ne porte pas sur :
- les modèles,
- les algorithmes,
- les paramètres internes en tant que tels.
Lorsque les données ont été intégrées dans un modèle de manière irréversible et anonymisée, le droit d’accès peut être limité, à condition que :
- cette impossibilité soit objectivement démontrée,
- elle soit documentée dans la gouvernance du système.
5. Portée opérationnelle du Digital Omnibus pour les entreprises
Le Digital Omnibus consacre une évolution claire :
- la conformité IA devient une ingénierie juridique et technique de la donnée,
- chaque choix technique doit pouvoir être expliqué, justifié et documenté.
Il ne crée pas de nouvelles obligations autonomes, mais :
- renforce l’exigence de traçabilité,
- impose une lecture combinée RGPD / IA Act,
- accroît la responsabilité des acteurs tout au long de la chaîne de valeur.
Conclusion
Le Digital Omnibus sur l’IA marque la fin d’une approche abstraite de la conformité.
Il consacre une application contextualisée, proportionnée et techniquement informée du RGPD aux systèmes d’intelligence artificielle.
À l’horizon 2025–2026, la sécurité juridique des projets d’IA reposera moins sur des déclarations de principe que sur la capacité des organisations à démontrer une gouvernance maîtrisée des données et des modèles.
