/// Signal

Article 88 bis : le Conseil veut rendre vos données entraînables par défaut — le Parlement, lui, n’a pas encore parlé

Le fait : le 21 octobre 2026, les représentants des États membres ont adopté la position du Conseil sur l’« omnibus numérique », un mandat de négociation de 179 pages dont le texte a été publié le 22 octobre. Il contient un futur article 88 bis du RGPD qui autorise le traitement de données personnelles « dans le contexte du développement et du fonctionnement » d’un système d’IA au nom de l’intérêt légitime de l’entreprise — sans consentement, et pour des données saisies des décennies plus tôt, y compris celles de personnes qui n’ont jamais été clientes d’une entreprise d’IA. Le garde-fou que la Commission avait mis dans sa proposition de novembre 2025, un droit d’opposition inconditionnel, a été supprimé au passage. Et le Parlement européen n’a pas encore arrêté sa position. La fiche de veille qui a attiré notre attention sur ce sujet attribuait l’initiative au Parlement ; c’est l’inverse, et cette inversion change tout ce qu’on peut en dire.

Ce que le texte fait, d’abord, mot pour mot, parce que le mécanisme est plus étroit — et plus large — que le résumé qu’on en fait d’ordinaire. Frandroid, qui a lu le mandat, écrit qu’« une entreprise peut traiter des données personnelles « dans le contexte du développement et du fonctionnement » d’un système ou d’un modèle d’IA au nom de son intérêt légitime ou de celui d’un tiers ». noyb, l’association militante de Max Schrems, précise le numéro et la généalogie : « Article 88c, as proposed by the European Commission (now Article 88bis in the Council document) ». Deux points du texte méritent d’être vus. Le premier est un article 25 bis sur la pseudonymisation — un ajout du Conseil, que la note du cabinet appelle « Article 25a », les deux lectures désignant le même texte, qui fait sortir du champ des données personnelles celles qu’un tiers ne peut plus rattacher à quelqu’un — et noyb rappelle que la plupart des systèmes fonctionnent avec des identifiants de suivi et des adresses IP, donc que le pistage en ligne pourrait quitter le RGPD par cette porte. Le second est le traitement des données sensibles : la santé, les opinions, l’orientation sexuelle deviennent tolérées dans les jeux d’entraînement tant que leur présence reste « incidente et résiduelle » (01net), et la protection particulière des enfants quitte le corps du texte pour un simple considérant. L’IAPP, qui a lu le mandat, décrit de son côté des « new safeguards on sensitive data to allow its use in biometric verification and artificial intelligence model training » : les deux textes ne se contredisent pas, ils décrivent deux faces du même dispositif — la garantie pour certains usages, la tolérance sous condition pour l’entraînement.

Le garde-fou supprimé, ensuite, et c’est la pièce que la plupart des reprises ont laissée de côté. La Commission avait assorti sa proposition d’un droit d’opposition inconditionnel : on pouvait retirer ses données d’un entraînement sans avoir à se justifier. « Le Conseil l’a supprimé », écrit 01net. Il ne reste que l’opposition de droit commun de l’article 21, qu’une entreprise peut écarter en invoquant des « motifs légitimes et impérieux ». Le Conseil a bien ajouté un renvoi aux articles 21 et 24 du RGPD, mais noyb le lit comme un habillage : « these alleged « safeguards » would apply to any processing even without that reference. In essence, no material safeguards are required by the new Article 88bis on AI. » Autrement dit, la version du Conseil ne réduit pas un droit existant à la marge : elle déplace la charge de la preuve. Ce n’est plus à l’entreprise de démontrer qu’elle a une base légale pour entraîner ; c’est au lecteur de démontrer, dossier par dossier, qu’elle n’aurait pas dû.

Qui fait quoi, maintenant, parce que c’est là que la fiche de veille se trompait — et que six sources lisibles le disent. Le Conseil — les États membres, pas les eurodéputés — a adopté sa position le 21 octobre. Une note de cabinet le confirme : « The European Council agreed its position on the Digital Omnibus » ; elle écrit « European Council », là où noyb et netzpolitik désignent les États membres, et elle précise que cette position reste « subject to negotiation with the European Parliament ». Le Parlement, lui, n’a pas de position commune : 01net écrit que « le Parlement européen n’a pas arrêté la sienne, et les trilogues n’ont pas de calendrier » ; netzpolitik, qui suit le dossier en allemand, situe cette position au mois de février 2027. La même note de cabinet avance, elle, une échéance : « These negotiations are not expected to start before March 2027 ». Un calendrier officiel peut manquer alors qu’une projection existe, et l’article porte les deux. Il n’y a donc pas encore de trilogue, et rien n’est loi : le texte est un mandat. La confusion n’est pas anecdotique — elle change le sujet. Une institution abstraite qui assouplirait le RGPD n’a encore rien fait ; ce qui existe, c’est un Conseil qui a parlé et un Parlement qui ne s’est pas prononcé, et c’est le second qui décidera si l’article 88 bis survit.

Ce que les sources ne disent pas la même chose, et que nous ne tranchons pas. Sur le vote allemand, deux sources se contredisent. netzpolitik écrit — en l’attribuant à des sources gouvernementales, « Regierungskreisen zufolge » — que l’Allemagne a voté contre la position du Conseil, avec l’Autriche et l’Estonie, et qu’elle réclamait une étude d’impact ; noyb écrit que le Conseil a approuvé « with the support of Germany and other EU powerhouses ». Les deux ne peuvent pas être vrais au sens propre. Nous n’avons pas trouvé de troisième source qui tranche : la divergence est signalée, pas résolue, et l’article rapporte les deux versions sans choisir. Une divergence entre sources se raconte ; elle ne se comble pas par l’instinct.

Ce que ça change concrètement, et pour qui. Le premier effet est le renversement du test : noyb résume l’objection en une phrase — « If something is illegal in an Excel spreadsheet, it’s legal if done with an AI agent » — que Frandroid traduit par « Si quelque chose est illégal dans un tableur Excel, cela devient légal si c’est effectué par un agent d’IA » Le deuxième effet est la rétention : 01net écrit qu’« une fois avalées par un modèle, vos données n’en ressortent plus, opposition ou pas ». Le troisième effet est de calendrier : le volet IA s’appliquerait « trois jours après la publication du règlement au Journal officiel, sans période de transition ». Et le bénéficiaire n’est pas neutre — noyb nomme « OpenAI, Anthropic, Google, Meta and SpaceX », c’est-à-dire ceux qui ont déjà accumulé des volumes de données européennes que personne ne peut reconstituer. Le paquet ne s’arrête pas à l’IA : le Conseil a aussi refusé le signal de consentement centralisé proposé par la Commission et préféré allonger la liste des usages dispensés de consentement, pendant que la protection des secrets d’affaires, elle, était renforcée dans le volet Data Act.

Notre lecture, et le test du retour à la moyenne. Ce dossier est le cas d’école de ce que la veille rate quand elle lit un titre : la fiche qui l’a fait remonter le 28 octobre attribuait l’initiative au Parlement, alors qu’un autre organe avait déjà voté sept jours plus tôt. Le fait vérifiable n’en est pas moins important, et il est daté : 21 octobre pour le Conseil, 22 octobre pour la publication, février pour la position du Parlement, et, pour le début des négociations, pas avant mars 2027 selon un cabinet privé. Le test du retour à la moyenne, ici, ne porte pas sur la loi mais sur ce qui se passe avant qu’elle existe : dans six mois, l’article 88 bis aura-t-il survécu au Parlement tel quel, aura-t-il été vidé de son article 25 bis, ou le dossier sera-t-il encore en négociation sans calendrier ? La seule chose qui ne se rattrape pas, c’est ce qui est déjà entré dans un modèle — et c’est ce que le texte rendrait possible trois jours après sa publication au Journal officiel, sans période de transition, donc pas avant d’être adopté.