Le cadre RGPD IA n’a pas encore changé. Le projet d’article 88 bis préciserait que certaines utilisations de données personnelles pour développer ou exploiter une intelligence artificielle peuvent reposer sur l’intérêt légitime, sans consentement systématique. Mais ce fondement resterait soumis à un test strict, au droit d’opposition et à toutes les autres obligations du Règlement général sur la protection des données.
Le RGPD autorise-t-il déjà l’intérêt légitime pour l’IA ?
L’intérêt légitime est déjà l’une des six bases juridiques prévues par l’article 6 du RGPD pour traiter des données personnelles. En 2026, une entreprise peut donc l’utiliser pour certains projets d’intelligence artificielle, à condition de démontrer un intérêt précis, la nécessité du traitement et un équilibre acceptable avec les droits des personnes.
Une base juridique est la justification légale autorisant une organisation à collecter ou utiliser des données personnelles. Le consentement n’est qu’une base parmi d’autres : le RGPD prévoit aussi le contrat, l’obligation légale, la sauvegarde des intérêts vitaux, la mission d’intérêt public et l’intérêt légitime.
L’intérêt légitime ne signifie donc pas « intérêt commercial suffisant ». Selon l’avis 28/2024 du Comité européen de la protection des données, consacré aux modèles d’IA, l’intérêt poursuivi doit être licite, clairement formulé et réel. Le traitement doit ensuite être nécessaire, puis comparé aux libertés, aux attentes raisonnables et aux conséquences possibles pour les personnes.
Un outil interne qui classe des demandes clients ne présente pas les mêmes risques qu’un système aspirant des profils publics afin d’évaluer automatiquement des candidats. Dans le second cas, la collecte massive, le profilage (analyse destinée à prévoir un comportement) et l’effet potentiel sur l’accès à l’emploi rendent la justification beaucoup plus difficile.
Que changerait l’article 88 bis pour le RGPD et l’IA ?
Le projet d’article 88 bis confirmerait explicitement qu’un traitement de données personnelles destiné au développement ou à l’exploitation d’un système ou modèle d’intelligence artificielle peut reposer sur l’intérêt légitime. Cette clarification réduirait une incertitude juridique, mais ne créerait ni nouvelle base légale ni autorisation générale d’entraîner une IA avec toutes les données disponibles.
Le texte figure dans le mandat de négociation ST 14756/26 adopté par les représentants des États membres le 21 octobre 2026, dans le cadre du Digital Omnibus. Le considérant 33a du mandat du Conseil précise que le seul fait de développer ou d’exploiter une intelligence artificielle ne constitue pas, en lui-même, un intérêt légitime.
La nuance change beaucoup de choses. Une entreprise ne pourrait pas inscrire « développement d’une IA » dans son registre et considérer le dossier clos. Elle devrait expliquer l’objectif concret : détecter une fraude, améliorer une fonction de recherche, assister un service client ou sécuriser un logiciel, par exemple.
Le projet n’effacerait pas non plus les autres bases juridiques. L’exécution d’un contrat peut convenir à une fonction demandée par l’utilisateur ; une obligation légale peut justifier certains contrôles ; le consentement resterait requis lorsqu’un autre texte européen ou national l’impose. Pour un usage de ChatGPT intégré au navigateur en entreprise, la première question reste donc la nature des données transmises et la finalité poursuivie.
Le texte européen est-il déjà applicable aux entreprises ?
L’article 88 bis n’est pas applicable au 27 octobre 2026. Le Conseil de l’Union européenne a arrêté une position de négociation, pas une loi définitive. Le Parlement européen doit adopter sa propre position, puis les deux institutions doivent convenir d’un texte commun avant son adoption formelle, sa publication et sa mise en application.
Le Conseil de l’Union européenne indiquait encore le 27 octobre 2026 que les négociations attendaient la position du Parlement. Leur issue peut conserver, modifier ou supprimer certaines dispositions. Une date d’accord politique ne serait d’ailleurs pas nécessairement la date d’application : le texte final pourrait prévoir un délai.
Le piège, pour un décideur non juriste, consiste à confondre un mandat du Conseil avec une réforme acquise. Une présentation commerciale affirmant que « le consentement n’est plus nécessaire pour l’IA » serait fausse en 2026. Elle resterait trop générale même si l’article 88 bis était adopté dans sa rédaction actuelle.
Côté agence, le réflexe est de cadrer un projet selon le droit applicable le jour du lancement, puis de prévoir une veille et une clause de réexamen. Attendre une hypothétique simplification peut bloquer un produit pendant des mois ; l’anticiper comme si elle était votée expose au risque inverse.
Comment justifier l’intérêt légitime d’un projet d’IA ?
Justifier l’intérêt légitime d’un projet d’intelligence artificielle exige une analyse écrite en trois temps : définir l’intérêt poursuivi, prouver que le traitement est nécessaire et mettre cet intérêt en balance avec les droits des personnes. Le projet d’article 88 bis maintiendrait cette méthode ainsi que la minimisation, la transparence, la sécurité et la responsabilité du responsable de traitement.
La nécessité impose de rechercher une option moins intrusive. Si un modèle peut fonctionner avec des données anonymisées, synthétiques ou limitées à quelques champs, collecter l’historique complet des utilisateurs devient difficile à défendre. L’anonymisation doit empêcher réellement la réidentification ; masquer un nom ou remplacer un identifiant relève souvent d’une simple pseudonymisation.
Une démarche exploitable par la direction, le délégué à la protection des données et l’équipe technique suit généralement ces étapes :
- décrire une finalité précise et l’intérêt licite de l’entreprise ou d’un tiers ;
- inventorier les données, leurs sources, les destinataires et leur durée de conservation ;
- vérifier si une autre base juridique ou une méthode moins intrusive convient mieux ;
- évaluer les effets sur les personnes, leurs attentes raisonnables et les populations vulnérables ;
- prévoir des garanties techniques et organisationnelles, une information compréhensible et un mécanisme d’opposition effectif ;
- conserver la décision et la réexaminer lorsque le modèle, les données ou la finalité changent.
Sur les projets que nous menons, nous voyons souvent le même angle mort : l’équipe documente l’outil acheté, mais pas les données réellement saisies par les salariés. Un assistant autorisé pour des textes génériques peut devenir risqué dès qu’on y copie un contrat, un dossier médical ou un export du fichier clients. Un VPN utilisé avec ChatGPT chiffre une partie du transport, mais ne règle ni la base juridique ni la réutilisation des données par le fournisseur.
Quels projets d’IA présentent le plus de risques RGPD ?
Les projets RGPD IA les plus difficiles à fonder sur l’intérêt légitime utilisent des données sensibles, des informations concernant des enfants, une collecte massive sur le web ou un profilage produisant des effets importants. Le risque augmente aussi lorsque la réutilisation surprend les personnes, manque de transparence ou ne permet pas une opposition effective.
| Usage de l’IA | Facteur déterminant | Lecture de l’intérêt légitime | Mesure prioritaire |
|---|---|---|---|
| Recherche dans une base documentaire interne | Documents professionnels limités et accès contrôlés | Envisageable selon la finalité et les données | Filtrer les documents et journaliser les accès |
| Assistant de service client | Conversations contenant des données personnelles | Possible après analyse de nécessité et d’équilibre | Réduire les données envoyées au modèle |
| Prospection B2B automatisée | Profilage, sources tierces et attentes des contacts | Justification plus exigeante | Informer clairement et permettre l’opposition |
| Recrutement ou notation de candidats | Effet important sur les personnes | Risque élevé, analyse approfondie nécessaire | Contrôle humain et analyse d’impact |
| Entraînement par collecte massive du web | Volume, provenance et réutilisation inattendue | Difficile à défendre sans fortes garanties | Tracer les sources et exclure les données injustifiées |
| Traitement de données de santé | Catégorie particulière au titre de l’article 9 | L’article 6 ne suffit pas à lui seul | Identifier aussi une exception valable de l’article 9 |
Le Digital Omnibus traite séparément les données dites particulières, comme la santé, les opinions politiques ou la biométrie. Le mandat du Conseil de 2026 envisage une dérogation étroitement encadrée lorsque de telles données apparaissent de manière incidente et résiduelle pendant l’entraînement, le test, la validation ou l’exploitation technique.
Cette dérogation ne couvrirait pas les données sensibles délibérément nécessaires à l’objectif du système. Une IA médicale entraînée volontairement sur des dossiers de santé devrait toujours relever d’une exception distincte de l’article 9 du RGPD. Honnêtement, tenter de faire entrer un besoin métier central dans la catégorie « incident » serait une stratégie juridique fragile.
La sécurité reste indépendante du choix de la base légale. Le mandat du Conseil exige des mesures techniques et organisationnelles appropriées, quel que soit le fondement retenu. La gestion des accès, le chiffrement, la conservation limitée et la surveillance des prestataires doivent donc être cadrés, comme pour la protection des données confiées à un sous-traitant ou la sécurisation des clés API d’intelligence artificielle.
Quelles conséquences pour le budget, les délais et les contrats ?
L’intérêt légitime ne supprime pas le coût de conformité d’un projet d’intelligence artificielle. Il déplace surtout l’effort vers la documentation, l’architecture des données, l’information des personnes et le traitement des oppositions. Le budget et le calendrier dépendent alors du volume de données, de leur sensibilité, des fournisseurs impliqués et de l’impact des décisions automatisées.
Un prototype sans données personnelles et une mise en production connectée au CRM ne sont pas le même projet. Le second exige au minimum une cartographie des flux, la vérification du contrat de sous-traitance, des durées de conservation, des transferts hors de l’Espace économique européen et des paramètres du fournisseur. Une analyse d’impact relative à la protection des données peut aussi devenir nécessaire lorsque le traitement présente un risque élevé.
Il faut également prévoir le droit d’opposition de l’article 21 du RGPD. Le mandat du Conseil de 2026 conserverait ce régime ordinaire plutôt que le droit d’opposition spécifique et inconditionnel envisagé dans une version antérieure. L’entreprise doit néanmoins recevoir la demande, arrêter le traitement lorsque les conditions l’exigent et être capable de retrouver les données concernées.
Le bon arbitrage consiste rarement à choisir une base juridique pour accélérer le lancement. À budget contraint, mieux vaut réduire les sources de données et limiter la première version du produit plutôt que financer après coup une refonte du stockage, de l’information et des contrats. Le choix d’une infrastructure, y compris d’un serveur GPU destiné à l’IA, doit suivre cette cartographie plutôt que la précéder.
Cadrer le traitement, les responsabilités et les flux de données avant le développement évite la plupart des mauvaises surprises. Un regard extérieur peut surtout aider à relier les exigences juridiques aux choix fonctionnels, techniques et contractuels sans transformer la conformité en frein permanent.
FAQ sur le RGPD, l’IA et l’intérêt légitime
Faut-il demander le consentement pour entraîner une intelligence artificielle ?
Le consentement n’est pas systématiquement obligatoire pour entraîner une intelligence artificielle. En 2026, le responsable du traitement doit choisir une base juridique adaptée à la finalité et respecter, le cas échéant, les règles supplémentaires applicables aux données sensibles.
Une entreprise peut-elle utiliser les données de ses clients dans ChatGPT ?
L’utilisation de données clients dans ChatGPT dépend de la finalité, de la base juridique, du contrat avec le fournisseur, des transferts de données et des paramètres de conservation. Une entreprise ne devrait pas autoriser cette pratique sans cartographier les informations envoyées et limiter les données au strict nécessaire.
L’article 88 bis supprime-t-il le droit d’opposition ?
Le projet d’article 88 bis ne supprime pas le droit d’opposition. Le mandat du Conseil de 2026 maintient le régime de l’article 21 du RGPD, qui impose une analyse de la demande et peut obliger le responsable à cesser le traitement.
Une donnée publique sur internet peut-elle servir librement à une IA ?
Une donnée personnelle accessible publiquement reste protégée par le RGPD. Sa collecte pour une intelligence artificielle exige une base juridique, une finalité déterminée, une information adaptée et un examen des attentes raisonnables de la personne.
Le Digital Omnibus est-il une loi européenne définitive ?
Le Digital Omnibus n’est pas une loi définitive au 27 octobre 2026. Le mandat adopté par le Conseil doit encore être négocié avec le Parlement européen avant un éventuel texte commun, son adoption formelle et sa publication.