Si l'on vous a dit que le RGPD allait enfin devenir plus simple, on ne vous a raconté que la moitié de l'histoire. Le paquet Digital Omnibus de la Commission européenne promet un vrai allègement de règles qui ont transformé la conformité en supplice à petit feu : bannières cookies, notification des violations, et même la définition de ce qui constitue une donnée personnelle. Dans le même temps, les contrôles n'ont jamais été aussi nombreux — et ils ne visent plus seulement les géants du numérique.
Pour les petites et moyennes entreprises européennes, 2026 est l'année où les règles ont commencé à changer tandis que les enjeux continuaient de grimper — les deux à la fois. Voici ce qui devient réellement plus simple, ce qui n'est qu'une proposition, et ce que cela implique pour votre conformité cet automne.
Un Omnibus, deux calendriers très différents
La plupart des articles parlent de « l'Omnibus » comme d'un paquet unique en discussion à Bruxelles. Ce n'est pas le cas, et cette différence détermine ce sur quoi vous pouvez agir dès aujourd'hui.
- Le Digital Omnibus sur l'IA est déjà en vigueur. Il modifie le règlement européen sur l'IA, a été publié au Journal officiel le 24 juillet 2026 et est entré en vigueur le 27 juillet.
- Le volet RGPD n'est encore qu'une proposition. La partie qui modifie le RGPD, les règles ePrivacy et NIS2 fait toujours l'objet de discussions préparatoires au Conseil. La commission compétente du Parlement n'a pas adopté de position de négociation, les trilogues entre institutions n'ont pas commencé, et l'adoption définitive n'est pas attendue avant fin 2026 au plus tôt.
Tout ce qui suit sur les cookies, la notification des violations et la définition des données personnelles décrit donc où le droit pourrait aller. Tout ce qui concerne le règlement IA décrit où il en est déjà.
Ce que la proposition RGPD simplifierait
La proposition de la Commission est la plus grande refonte du droit européen de la protection des données depuis 2018, et elle vise directement la charge administrative qui pèse le plus sur les petites structures.
Bannières cookies. Le consentement ne serait plus requis pour les cookies servant à transmettre une communication, à fournir un service demandé par l'utilisateur, à mesurer de façon agrégée l'audience de votre propre site ou à sécuriser le service — les catégories qui représentent l'essentiel de ce que dépose un site de PME typique. Lorsque le consentement resterait nécessaire, le refus devrait se faire en un seul clic et être respecté pendant six mois, au lieu d'une nouvelle demande à chaque visite. Les navigateurs pourraient aussi transmettre automatiquement le choix de l'utilisateur.
Notification des violations. Aujourd'hui, un responsable du traitement doit notifier toute violation à son autorité de contrôle dans les 72 heures, sauf si elle est peu susceptible d'engendrer un risque — un seuil qui pousse de nombreuses organisations à déclarer par prudence des incidents mineurs. La proposition ne l'exigerait qu'en cas de risque élevé, porterait le délai à 96 heures et centraliserait les déclarations sur un point d'entrée européen unique, au lieu de canaux distincts au titre du RGPD, de NIS2 et d'autres textes.
Ce qui constitue une donnée personnelle. La proposition inscrit dans la loi une approche centrée sur le responsable du traitement : une information ne serait pas une donnée personnelle pour une organisation qui ne peut raisonnablement identifier la personne concernée, même si un tiers le pourrait. Pour les entreprises qui détiennent des jeux de données pseudonymisés ou agrégés, cela pourrait réduire d'emblée ce qui relève du RGPD.
Entraînement de l'IA. La proposition confirmerait que l'intérêt légitime peut servir de base juridique au traitement de données personnelles pour développer et exploiter des systèmes d'IA, à condition de mettre en place des garanties comme la minimisation des données et un droit d'opposition.
| Domaine | Règle actuelle | Proposition |
|---|---|---|
| Cookies | Consentement pour tout ce qui n'est pas strictement nécessaire | Pas de consentement pour les finalités à faible risque ; refus en un clic valable 6 mois |
| Violations | 72 heures, sauf risque improbable | 96 heures, seulement en cas de risque élevé, un portail européen |
| Donnée personnelle | Critère d'identifiabilité large et objectif | Apprécié du point de vue du responsable |
| Entraînement IA | Intérêt légitime justifié au cas par cas | Intérêt légitime confirmé, avec garanties |
Tout ne survivra pas. Le texte de travail du Conseil a écarté en juin 2026 la refonte des cookies et la clause sur l'intérêt légitime pour l'IA, et les défenseurs de la vie privée dénoncent le paquet comme une dérégulation déguisée en simplification. Un programme de conformité bâti sur le projet initial de la Commission pourrait devoir être refait une fois le texte final adopté.
Les changements du règlement IA déjà en vigueur
Le volet IA du paquet est acquis, et il donne une vraie marge de manœuvre aux entreprises qui développent ou utilisent l'IA :
- Échéances haut risque repoussées. Les règles applicables aux systèmes d'IA à haut risque de l'annexe III — recrutement, évaluation du crédit, éducation et usages similaires — s'appliquent désormais à partir du 2 décembre 2027 au lieu du 2 août 2026. Les systèmes relevant de la législation européenne sur la sécurité des produits (annexe I) suivent le 2 août 2028.
- Maîtrise de l'IA assouplie, pas supprimée. Les entreprises n'ont plus à garantir un niveau donné de maîtrise de l'IA pour chaque membre du personnel, et la Commission et les États membres jouent un rôle accru dans sa promotion. Des mesures pour la favoriser restent attendues : conservez vos preuves de formation.
- Détection des biais. Les organisations peuvent traiter des catégories particulières de données personnelles lorsque c'est nécessaire pour détecter et corriger des biais, sous des garanties strictes.
Ce qui n'a pas bougé : les interdictions des pratiques d'IA prohibées, en vigueur depuis février 2025. Et rien de tout cela ne modifie le RGPD. Un outil d'IA qui traite des données de clients ou de salariés a toujours besoin d'une base légale, d'une politique de confidentialité qui le mentionne et, bien souvent, d'une AIPD — dès aujourd'hui, pas en 2027.
Ce qui ne s'allège pas : les contrôles
Pendant que le texte est renégocié, les autorités continuent d'appliquer celui en vigueur — et les chiffres ne faiblissent pas.
Les amendes qui font les gros titres portent toujours des noms connus. TikTok a écopé de 530 millions d'euros en 2025 pour des transferts de données d'utilisateurs européens vers la Chine, après l'amende record de 1,2 milliard d'euros infligée à Meta en 2023 pour des transferts de l'UE vers les États-Unis. Mais pour les petites entreprises, la tendance la plus importante est l'élargissement des contrôles.
Les autorités n'attendent plus les plaintes. Elles mènent leurs propres campagnes de vérification des sites web sur les cookies et la transparence, et les sanctions visent de plus en plus des organisations de la finance, de la santé, des télécommunications et du secteur public. Les manquements dans le viseur sont fondamentaux : les principes de l'article 5, comme la minimisation des données, la limitation des finalités et la limitation de la conservation, ainsi que les obligations de transparence des articles 12 à 14, dont le CEPD a fait le thème de son action coordonnée de 2026. C'est exactement là que les organisations sans équipe conformité dédiée présentent le plus de lacunes — à commencer par ne pas savoir où se trouvent réellement toutes leurs données personnelles.
Cinq choses à faire dès maintenant
Le résumé honnête n'est ni « le RGPD s'allège » ni « le RGPD se durcit ». Il devient plus précis, pendant que les contrôles s'étendent. Cela appelle quelques actions dès maintenant plutôt qu'une attitude attentiste :
- Ne démontez pas votre dispositif de consentement aux cookies. Les exemptions proposées ne sont pas en vigueur, le Conseil les a déjà retirées une fois de son texte de travail, et les autorités contrôlent les bannières dès aujourd'hui. Corriger les erreurs de bannières les plus courantes est rentable sous les anciennes comme sous les nouvelles règles.
- Formalisez votre plan de réponse aux violations. Que le délai soit finalement de 72 ou de 96 heures, il ne suffit pas pour décider sur le moment qui tranche, qui notifie et ce qui est consigné. Un plan écrit et testé rend l'un comme l'autre tenable.
- Cartographiez vos données personnelles. Un registre des traitements et une cartographie à jour sont le socle de toutes les autres obligations — et la première chose qu'une autorité demande.
- Documentez votre base légale pour l'IA. Si vous développez ou achetez des outils d'IA, consignez dès maintenant votre base au titre de l'article 6 et votre analyse d'intérêt légitime. Si la clause proposée survit, les autorités vérifieront vite à quel point cet intérêt est réellement « légitime » en pratique.
- Profitez du report du règlement IA, sans vous endormir. Si vous êtes concerné par les règles haut risque, décembre 2027 est à environ 15 mois — à peu près le temps qu'il faut pour mettre en place un vrai programme de gestion des risques et de documentation.
En résumé
« Simplification » ne veut pas dire « moins de contrôle ». Le règlement IA a donné du temps aux entreprises, mais les changements du RGPD sont encore en négociation, et les autorités de contrôle vérifient les sites sans attendre qu'on le leur demande. Les entreprises qui tireront leur épingle du jeu en 2026 seront celles qui corrigent ce qui est contrôlé aujourd'hui tout en suivant ce qui pourrait changer demain.
Pour les PME sans service juridique ou conformité interne, c'est le moment où un accompagnement structuré et à jour vaut plus qu'une liste de contrôle RGPD générique — car la liste elle-même est en train d'être réécrite. Lancez l'audit gratuit GDPRGard → pour savoir où en est votre site aujourd'hui, ou réservez une consultation gratuite.
Sources
- Commission européenne — entrée en vigueur de l'AI Omnibus (en anglais)
- Parlement européen — Legislative Train : proposition de règlement Digital Omnibus (en anglais)
- DLA Piper — GDPR Fines and Data Breach Survey, janvier 2026 (en anglais)
- RGPD — article 33, notification d'une violation de données à caractère personnel
- RGPD — article 5, principes relatifs au traitement des données à caractère personnel
À lire aussi :
- Le Digital Omnibus européen : ce qui change vraiment pour le RGPD
- RGPD en 2026 : amendes record, une réforme en mouvement, et ce que vous devez faire maintenant
- Votre chatbot IA n'anonymise rien