Article 88c : ce que le projet européen changerait — et ce qu’il ne permettrait pas

L’idée selon laquelle l’Union européenne s’apprêterait à laisser les entreprises entraîner leurs IA sur des données personnelles « sans consentement » est trop simplificatrice.

La disposition en cause est le projet d’article 88c du RGPD. Elle reconnaîtrait explicitement l’intérêt légitime prévu à l’article 6, paragraphe 1, point f), comme base juridique possible lorsque le traitement est fonctionnellement nécessaire à la conception, au développement ou à l’utilisation licites d’un système ou d’un modèle d’IA. Elle ne supprimerait ni le RGPD, ni les contraintes applicables au moissonnage de données en ligne, ni les cas où une autre règle exige le consentement.13

Point essentiel : cette proposition relève du Digital Omnibus sur les données, qui est encore en cours de négociation au niveau européen. Elle ne doit pas être confondue avec le Digital Omnibus sur l’IA, déjà adopté. Le contenu final de l’article 88c n’est donc pas arrêté.

Ce que l’article 88c pourrait changer

Dans sa formulation proposée, un responsable du traitement — ou un tiers — pourrait potentiellement invoquer l’intérêt légitime pour des traitements intervenant durant le cycle de vie d’un système ou d’un modèle d’IA, à condition qu’ils soient fonctionnellement nécessaires à sa conception, son développement ou son utilisation licites.3

Autrement dit, le texte rendrait plus explicite, dans le contexte de l’IA, une voie juridique qui peut déjà exister sous le RGPD. Le Comité européen de la protection des données (CEPD, ou EDPB en anglais) avait déjà indiqué que l’intérêt légitime pouvait, dans certains cas, constituer une base juridique appropriée pour développer ou déployer des modèles et systèmes d’IA.45

Mais ce « dans certains cas » est déterminant. Une entreprise ne pourrait pas se contenter d’affirmer que son intérêt à construire un modèle l’emporte. Elle devrait toujours :

• identifier un intérêt légitime réel ;
• démontrer que le traitement est nécessaire à cet intérêt ;
• mettre cet intérêt en balance avec les droits et libertés des personnes concernées.15

Les règles européennes ou nationales qui imposent le consentement continueraient par ailleurs de s’appliquer. L’article 88c ne serait donc pas une autorisation générale de collecter toutes les données personnelles, publiques ou privées, pour entraîner une IA.1

Des garanties au cœur du débat

Le débat ne porte pas seulement sur la possibilité d’invoquer l’intérêt légitime, mais sur les protections qui devraient l’accompagner.

Parmi les garanties évoquées figurent la minimisation des données lors du choix des sources et de l’entraînement, des protections techniques et organisationnelles, une transparence effective, ainsi que des mécanismes reconnaissant les oppositions ou retraits exprimés dans des formats lisibles par machine. L’approche proposée prévoit aussi un droit d’opposition inconditionnel pour les traitements concernés liés à l’IA.13

Ces garde-fous ne sont pas accessoires. La minimisation empêcherait de justifier la collecte de tout contenu disponible au seul motif qu’il pourrait être utile un jour. La transparence permettrait aux personnes de comprendre le traitement. Et un droit d’opposition effectif suppose davantage qu’un réglage discret et difficile à trouver.

Les données sensibles ne seraient pas en libre accès

Les discussions du Conseil sur une dérogation distincte concernant les catégories particulières de données — par exemple les données de santé, biométriques ou révélant des opinions politiques — visent un cas beaucoup plus restreint : un traitement incident et résiduel. Il s’agirait de données sensibles présentes de manière non recherchée dans une opération principale, et non d’une collecte intentionnelle de telles données comme matériau d’entraînement.2

Pourquoi les régulateurs européens ont émis des réserves

Le CEPD et le Contrôleur européen de la protection des données (CEPD/EDPS) ne contestent pas que l’intérêt légitime puisse parfois justifier un traitement lié à l’IA. Leur objection principale est qu’un article 88c spécifique ne serait pas nécessaire : le cadre actuel du RGPD permet déjà cette analyse lorsqu’elle est justifiée.45

Leur inquiétude est à la fois juridique et pratique. Une règle propre à l’IA pourrait être interprétée comme allant au-delà d’une simple clarification et créer de l’incertitude autour de garanties établies du RGPD. Leur avis n’est pas contraignant pour les colégislateurs, mais il pèse dans le débat.5

L’article 88c a-t-il été rétabli ? Son sort reste incertain

Les éléments législatifs disponibles montrent que les travaux du Conseil de l’Union européenne sont contestés. Un vote prévu au COREPER — l’instance qui prépare les décisions du Conseil — sur un mandat de négociation a été annulé faute d’accord sur les points encore ouverts. Les travaux ont ensuite continué sous la présidence irlandaise du Conseil.

Le programme de cette présidence affiche l’objectif de parvenir à un accord avec le Parlement européen sur le paquet Digital Omnibus d’ici à la fin de 2026. En revanche, les documents officiels fournis n’établissent pas de manière indépendante que l’article 88c aurait été définitivement réintroduit dans une position finale du Conseil.

La description la plus prudente est donc la suivante : l’article 88c demeure politiquement contesté et négociable. Les entreprises ne peuvent pas le traiter comme une base juridique contraignante venant remplacer les exigences actuelles du RGPD.

Ne pas confondre les deux « Digital Omnibus »

La confusion vient aussi de l’existence d’un autre texte : le Digital Omnibus sur l’IA, adopté sous la forme du règlement (UE) 2026/1744.

Ce règlement modifie le calendrier de mise en œuvre de certaines parties de l’AI Act, le règlement européen sur l’intelligence artificielle. Les obligations applicables aux systèmes d’IA autonomes à haut risque figurant à l’annexe III s’appliqueront à partir du 2 décembre 2027. Les systèmes à haut risque intégrés à des produits réglementés suivent un calendrier ultérieur.1920

À compter de cette date, les exigences applicables aux systèmes de l’annexe III incluront notamment l’évaluation et l’atténuation des risques, des jeux de données de qualité visant à réduire les risques de discrimination, la journalisation et la traçabilité, la documentation, l’information des utilisateurs professionnels, la supervision humaine, ainsi que des mesures de robustesse et de cybersécurité.20

Ces obligations de l’AI Act sont distinctes de la question RGPD : sur quelle base juridique des données personnelles peuvent-elles être utilisées pour entraîner une IA ? Le report des obligations relatives aux systèmes à haut risque n’adopte pas l’article 88c.

Ce qu’il faut retenir pour les entreprises et les personnes

Pour les développeurs, l’article 88c apporterait éventuellement une clarification textuelle, mais pas un raccourci de conformité. Une démarche solide exigerait toujours une analyse documentée de nécessité et de mise en balance, la minimisation des données, une information transparente et des procédures opérationnelles pour traiter les oppositions.

Pour les personnes concernées, l’enjeu est de savoir si le texte final préservera des limites concrètes : l’utilisation des données est-elle réellement nécessaire ? Les données sensibles restent-elles strictement encadrées ? Et l’opposition peut-elle être exercée de façon techniquement effective, plutôt que symbolique ?

La tendance générale n’est pas celle d’un abandon de la régulation préventive de l’IA en Europe. Le Digital Omnibus sur l’IA reporte certaines obligations pour les systèmes à haut risque ; séparément, le projet sur les données explore une voie plus explicite pour certains traitements liés à l’IA. L’équilibre final dépendra des négociations entre le Conseil et le Parlement européen, puis de l’interprétation et de l’application du texte éventuellement adopté.19