Réglementation · Le 8 heures IA

RGPD entrainement IA données personnelles : ce que change le Conseil de l’UE

Publié le 28 octobre 2026 · Oriq · Lecture 4 min

Article produit par une intelligence artificielle à partir de sources nommées et datées, publié sous la responsabilité éditoriale d’Oriq. Nos systèmes d’IA · Le responsable éditorial

Le 21 octobre 2026, les États membres de l’UE ont arrêté leur position sur les règles qui autorisent une entreprise à entraîner une IA avec des données personnelles. Rien n’est encore voté, mais le texte dessine déjà ce qu’une PME française pourra faire, ou pas, avec ses propres données clients.

Ce qui vient de se passer

RGPD entrainement ia donnees personnelles : c’est la question que se posent de plus en plus de dirigeants depuis le 21 octobre 2026, date à laquelle les représentants des États membres de l’Union européenne ont adopté une position commune sur une réforme du RGPD, baptisée Digital Omnibus. Au cœur du texte : les conditions dans lesquelles une entreprise peut utiliser des données personnelles, clients, usagers ou salariés, pour entraîner ou faire fonctionner un modèle d’IA. C’est le sujet que devrait suivre toute PME française qui a un projet de chatbot client, de scoring ou de recommandation fondé sur ses propres données.

La Commission européenne avait présenté ce paquet le 19 novembre 2025 pour simplifier plusieurs textes numériques, dont le RGPD. La position du Conseil du 21 octobre 2026 relance un débat ancien : jusqu’où une entreprise peut-elle s’appuyer sur ses données sans demander un consentement explicite, dès lors qu’elle invoque un « intérêt légitime » ?

Ce que dit le texte en discussion

Le texte introduit un article, numéroté 88 bis par le Conseil (88 quater dans la version initiale de la Commission), qui permettrait que le développement et le fonctionnement de systèmes d’IA reposent sur l’intérêt légitime du responsable de traitement, au sens de l’article 6 du RGPD. Cette base légale dispense du consentement explicite, mais impose de justifier l’usage selon trois conditions cumulatives : un intérêt légitime réel, la nécessité du traitement pour cet objectif, et la non-prévalence des droits des personnes concernées.

Un texte qui a déjà changé d’avis

Un rapport du Sénat sur l’Omnibus numérique montre que la position du Conseil a évolué en six mois. Dans un compromis antérieur daté du 15 avril 2026, l’ajout d’un article spécifique sur l’IA avait été écarté, jugé superflu : un tel traitement était déjà jugé possible selon l’avis du Comité européen de la protection des données. La position d’octobre 2026 relance pourtant le débat sous une autre forme.

Le texte qui définira ce qu’une entreprise a le droit de faire avec ses propres données n’est pas encore écrit, mais il se décide maintenant.

Cette hésitation entre deux versions du Conseil dit une chose simple : personne n’a encore la réponse définitive, ni Bruxelles, ni les cabinets de conseil qui vendent des certitudes sur le sujet. Attendre le texte final avant de changer ses pratiques reste la position la plus sûre.

Ce qu’une PME peut préparer dès maintenant

Attendre le trilogue ne veut pas dire ne rien faire. Trois chantiers peuvent démarrer sans attendre le texte définitif :

• Cartographier les données personnelles qui entrent dans un pipeline d’entraînement ou d’affinage : chatbot client, scoring, recommandation. Un état des lieux clair permettra de documenter rapidement un « test de mise en balance » si l’intérêt légitime devient la base légale de référence.
• Vérifier que les mentions d’information sur le site ou dans les CGU permettent déjà un droit d’opposition clair : si le texte passe, les personnes concernées garderont ce droit pour s’opposer à l’usage de leurs données dans un entraînement.
• Ajouter une clause de revue juridique dans tout nouveau projet IA qui utilise des données RH ou CRM, le temps que le texte se stabilise.

À noter : ce texte est distinct de l’AI Act, même si le Digital Omnibus touche aussi certaines de ses échéances. Ne pas confondre les deux calendriers.

Et dans votre entreprise ?

• Demandez à votre DPO ou à votre prestataire IA un état des lieux des traitements qui utilisent des données personnelles pour entraîner ou affiner un modèle.
• Relisez vos mentions d’information et vos CGU pour vérifier qu’un droit d’opposition clair existe déjà.
• Listez vos projets IA en cours qui touchent à des données RH, CRM ou clients, et ajoutez-y une étape de revue juridique avant tout déploiement.

Le premier pas, cette semaine : demander cet état des lieux des traitements IA en cours, en moins d’une heure, avant de lancer ou d’étendre un projet d’entraînement sur vos propres données.