Le Paquet législatif « Omnibus numérique » simplifiant1 les règles relatives aux données, à la cybersécurité et à l’intelligence artificielle (IA) et publié par la Commission européenne le 19 novembre 2025, contient certains aspects intéressants2 relatifs à la facilitation de la mise en conformité avec le règlement (RGPD)3 et le règlement européen du 13 juin 2024 établissant un cadre harmonisé pour l’intelligence artificielle4.
L’examen approfondi du contenu de ce Paquet législatif dit « Paquet Digital Omnibus », révèle que ce Paquet semble aller au-delà de l’ambition affichée par la Commission européenne d’une simplification des règles existantes. Ce Paquet comporte en effet certaines modifications structurantes sur le fond au sein du RGPD (1) et le règlement sur l’IA (2), ces deux règlementations transverses étant susceptibles d’intéresser l’industrie bancaire.
1. Parmi les modifications de fond des règles du RGPD, il convient de relever une modification clarifiant la définition de la notion de données à caractère personnel figurant à l’article 4 qui prévoit actuellement que (i) ces données désignent toute information se rapportant à une personne physique « identifiée ou identifiable » et (ii) qu’est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement.
Exclusion du champ d’application du RGPD des données pseudonymisées. C’est la notion d’« identification indirecte » et, par conséquent, l’applicabilité du RGPD à des données pseudonymisées5 qui a été clarifiée pour exclure précisément ces dernières du champ d’application du RGPD en tenant compte de la jurisprudence récente de la CJUE issue de l’arrêt du 4 septembre 20256. La proposition précise que les informations ne sont pas considérées comme des données personnelles pour une entité donnée si cette entité ne dispose pas des moyens raisonnablement susceptibles d’identifier la personne physique à laquelle les informations se rapportent. Cette proposition de modification renforcerait la sécurité juridique des opérateurs lorsque des techniques de pseudonymisation sont utilisées.
Possibilité d’entraîner des systèmes et modèles d’IA sur des catégories particulières de données à caractère personnel sensibles. Par ailleurs, il convient de relever une modification proposant d’ajouter une nouvelle exception du traitement de données spécialement protégées à l’article 9 du RGPD7 qui permettrait l’utilisation de données à caractère personnel sensibles afin d’entraîner des systèmes et des modèles d’IA. Afin de ne pas entraver de manière disproportionnée le développement et le fonctionnement de l’IA, cette proposition de modification tient compte du fait que le développement de certains systèmes et modèles d’IA peut impliquer la collecte de grandes quantités de données, y compris des données à caractère personnel et des catégories particulières de données à caractère personnel8. Cette nouvelle exception à l’interdiction de traitement des catégories particulières de données à caractère personnel pour le développement et le fonctionnement de l’IA est néanmoins entourée de deux garde-fous. Le premier est que cette possibilité de se fonder sur l’intérêt légitime ne devrait s’appliquer que lorsque le responsable du traitement n’a pas pour objectif de traiter des catégories particulières de données à caractère personnel et sous réserve que le responsable du traitement soit toujours tenu de mettre en œuvre des mesures techniques et organisationnelles appropriées pour éviter le traitement de catégories particulières de données à caractère personnel. Le second garde-fou contre toute divulgation ou mise à disposition à des tiers impose au responsable de traitement de supprimer ces données dès qu’elles auraient été identifiées.
2. En ce qui concerne les modifications relatives au règlement européen sur l’intelligence artificielle9, au-delà du report des dates d’application10 des dispositions relatives aux systèmes d’IA à haut risque, initialement prévues au 2 août 202611 et au 2 août 202712, il convient de relever la suppression de l’obligation de déclaration des systèmes d’IA ne présentant pas de risque significatif.
Par ailleurs, du point de vue de l’amélioration du mécanisme européen de surveillance des systèmes d’IA, il est à noter deux propositions intéressantes. Compte tenu de la démultiplication des modèles d’IA à usage général et du fait qu’un grand nombre de systèmes d’IA ont été élaborés sur ces modèles, une proposition vise à renforcer les pouvoirs du Bureau européen de l’IA afin de superviser les systèmes d’IA construits sur des modèles d’IA à usage général, pour garantir leur efficacité. Une autre proposition vise à renforcer la coopération entre les autorités de surveillance du marché et les autorités chargés de superviser ou de faire appliquer les droits fondamentaux tout en veillant à ce que les opérateurs ne soient pas confrontés à de multiples demandes d’information.
Enfin, certaines mesures d’accompagnement des parties prenantes en matière de conformité sont proposées. Une proposition de modification du règlement sur l’IA autorise les fournisseurs de systèmes d’IA à haut risque à utiliser exceptionnellement des données personnelles sensibles, en principe interdites par le RGPD, à des fins de détection et de correction des biais. Cette mesure vise à faciliter l’entraînement et les tests efficaces des IA. La possibilité de s’appuyer sur cette base juridique serait également étendue aux fournisseurs de tous les systèmes d’IA et de modèles d’IA à usage général. Une autre proposition de modification viserait à instaurer des bacs à sable réglementaires13 pour l’IA pour accompagner les innovateurs en IA dans le développement de systèmes d’IA à haut risque fiables et conformes. En outre, le Bureau européen de l’IA serait habilité à mettre en place un bac à sable réglementaire pour l’IA au niveau de l’UE pour les systèmes d’IA placés sous sa surveillance.
En conclusion, s’inscrivant dans un mouvement européen de simplification, ces propositions de modifications au sein de Paquet « Omnibus numérique », actuellement soumises à consultation publique jusqu’au 11 mars 2026, devront encore être soumises, dans le cadre de la procédure législative, au Parlement européen et au Conseil. Au-delà de la volonté de simplifier son cadre réglementaire numérique, la Commission européenne a fait preuve d’agilité à la fois (i) en réduisant les « externalités négatives », pour les parties prenantes au sein des écosystèmes numériques, liées à l’existence de plusieurs textes législatifs européens aux finalités différentes comme le RGPD ou le règlement sur l’IA (ii) en faisant sien l’adage « vingt fois sur le métier remettez votre ouvrage » en décalant des dates d’entrée en application et en ayant pris conscience du blocage que représente l’absence d’adoption de normes de niveau 2 qui devaient être adoptées par des organismes de normalisation européens pour mettre en œuvre le règlement sur l’IA.
