Avertissement : « l'omnibus » n'existe pas au singulier !

Depuis le début de l'année 2025, la Commission européenne conduit un programme de simplification décliné en trains successifs, dits omnibus. Le paquet numérique présenté le 19 novembre 2025 en constitue le septième. Il ne s'agit ni d'un texte unique, ni d'un texte en vigueur.

Ce paquet se compose de trois propositions distinctes :

Première conséquence pratique. Le seul instrument entré en vigueur est le volet IA. Aucune obligation RGPD, ePrivacy, NIS 2 ou Data Act n'a été modifiée à ce jour. Toute analyse affirmant que « l'omnibus a réformé le RGPD » commente une proposition, non le droit positif.

Seconde conséquence, propre à notre matière PI stricto sensu. Le règlement (UE) 2026/715 du 11 mars 2026 relatif aux dessins ou modèles de l'Union est régulièrement rattaché, par erreur, à la nomenclature omnibus. Il n'a aucun lien avec elle : il achève le « paquet Modèles » de 2024.

I.Les domaines couverts par le paquet omnibus numérique

1.1. Le volet adopté : intelligence artificielle, aviation civile, machines

Le règlement (UE) 2026/1744 ne modifie que trois textes :

1. le règlement (UE) 2024/1689 (AI Act) ;
2. le règlement (UE) 2018/1139 (aviation civile) ;
3. le règlement (UE) 2023/1230 (machines).

Il n'abroge rien. L'architecture de l'AI Act demeure intacte : approche par les risques, quatre niveaux, définition du système d'IA à l'article 3, § 1er, champ d'application extraterritorial de l'article 2. L'annexe III n'a pas été modifiée : une classification opérée avant juillet 2026 reste valable.

1.2. Le volet en négociation : le droit des données et de la cybersécurité

La proposition COM(2025) 837 poursuit une double opération de modification et d'absorption. Elle modifie sept instruments :

• règlement (UE) 2016/679 : RGPD ;
• règlement (UE) 2018/1724 : portail numérique unique ;
• règlement (UE) 2018/1725 : traitements des institutions de l'Union ;
• règlement (UE) 2023/2854 : Data Act ;
• directive 2002/58/CE : ePrivacy ;
• directive (UE) 2022/2555 : NIS 2 ;
• directive (UE) 2022/2557 : résilience des entités critiques (CER).

Elle abroge quatre instruments, dont la substance serait consolidée dans le Data Act :

• règlement (UE) 2018/1807 : libre circulation des données non personnelles ;
• règlement (UE) 2019/1150 : relations plateformes-entreprises (P2B) ;
• règlement (UE) 2022/868 : gouvernance des données (DGA) ;
• directive (UE) 2019/1024 : données ouvertes et réutilisation des informations du secteur public.

Les domaines matériellement concernés sont donc les suivants :

1. Données à caractère personnel : définition même de la donnée personnelle et sort des données pseudonymisées ; intérêt légitime comme base de l'entraînement des modèles ; recherche scientifique, y compris à finalité commerciale ; décision automatisée ; droits des personnes.
2. Traçage et cookies : extraction du régime de la directive ePrivacy et intégration dans le RGPD par de nouveaux articles ; signaux automatisés de consentement.
3. Notification des incidents : relèvement du seuil de notification, allongement du délai de 72 à 96 heures, guichet unique de déclaration commun au RGPD, à NIS 2 et à DORA, opéré par l'ENISA.
4. Analyses d'impact : liste unique à l'échelle de l'Union, modèle et méthodologie harmonisés.
5. Données industrielles et accès aux données : consolidation de l'acquis « données » dans le Data Act, la question de l'article 4, § 8, sur la protection du secret des affaires demeurant l'un des points durs des travaux du Conseil.
6. Données du secteur public : abrogation de la directive Open Data et du DGA au profit d'un corpus unifié.
7. Relations plateformes-entreprises : abrogation du règlement P2B.
8. Identité numérique des entreprises : proposition distincte COM(2025) 838.

1.3. Ce que le paquet ne touche pas

Ne sont concernés ni le DSA, ni le DMA, ni le Cyber Resilience Act sous réserve des passerelles créées par le volet IA, ni la directive (UE) 2019/790 sur le droit d'auteur dans le marché unique numérique, ni aucun droit de propriété industrielle.

1.4. État d'avancement du volet données

Le comité européen de la protection des données et le Contrôleur européen ont rendu un avis conjoint sévère le 10 février 2026, qualifiant plusieurs mesures de régression. Le Sénat a adopté une proposition de résolution européenne en ce sens (rapport d'information n° 25-626). Au Parlement, le rapport conjoint ITRE-LIBE a été publié fin juin 2026, la date limite de dépôt des amendements étant fixée au 15 juillet 2026 ; l'adoption en plénière n'était pas attendue avant la fin de l'année 2026. Il est donc prématuré d'ajuster une politique de conformité sur ce fondement.

II.L'inventaire exact des reports opérés sur l'AI Act

2.1. Ce qui n'a pas été reporté : la date générale du 2 août 2026

Le point est décisif et constitue la principale source d'erreur des commentaires publiés cet été. La date générale d'application fixée par l'article 113, alinéa 2, n'a pas bougé. Ce sont des exceptions à cette date qui ont été déplacées.

Sont donc applicables depuis le 2 août 2026 :

• l'article 50 (transparence) : identification des systèmes conversationnels, marquage lisible par machine des contenus synthétiques, information des personnes soumises à un système de reconnaissance des émotions, étiquetage des hypertrucages ;
• le chapitre XII (sanctions) : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour la plupart des autres manquements, 7,5 M€ ou 1 % pour la fourniture d'informations inexactes ;
• le chapitre IX (surveillance du marché), articles 74 et 75 réécrits, articles 75 bis à 75 quinquies nouveaux ;
• les procédures d'évaluation de la conformité (articles 40, 42 et 43) ;
• les dispositions relatives aux bacs à sable réglementaires (articles 57, 58, 60 et 60 bis nouveau).

Étaient déjà applicables et n'ont jamais été concernés par un report : les pratiques interdites de l'article 5 et l'obligation de littératie IA de l'article 4 (2 février 2025) ; le régime des modèles à usage général, articles 51 à 56, et celui des organismes notifiés, articles 28 à 39 (2 août 2025).

2.2. Les reports proprement dits

L'omnibus réécrit l'article 113, alinéa 3, et introduit un article 111, § 4, nouveau. Cinq déplacements de calendrier en résultent.

Demeure inchangée la date du 2 août 2030 applicable aux systèmes à haut risque destinés aux autorités publiques (art. 111, § 2).

2.3. Le contenu matériel du report « haut risque »

Pour les systèmes de l'annexe III (recrutement et gestion des travailleurs, éducation, accès au crédit et à l'assurance, biométrie, services essentiels, administration de la justice), les obligations dont l'application glisse au 2 décembre 2027 sont les suivantes :

• système de gestion des risques (art. 9) ;
• gouvernance des données d'entraînement, de validation et de test (art. 10) ;
• documentation technique (art. 11) ;
• enregistrement automatique des événements (art. 12) ;
• transparence à l'égard du déployeur et notice d'utilisation (art. 13) ;
• contrôle humain (art. 14) ;
• exactitude, robustesse et cybersécurité (art. 15) ;
• obligations respectives des fournisseurs, mandataires, importateurs, distributeurs et déployeurs (art. 16 à 27), en ce compris l'analyse d'impact sur les droits fondamentaux de l'article 27.

2.4. Un point juridique décisif : des dates fermes, non conditionnelles

La proposition de la Commission de novembre 2025 subordonnait l'application des exigences « haut risque » à une décision constatant la disponibilité des normes harmonisées et des outils de soutien, avec une date butoir. Ce mécanisme conditionnel a été supprimé en trilogue. Il n'en subsiste qu'une invitation dépourvue de force contraignante dans les considérants.

Les dates du 2 décembre 2027 et du 2 août 2028 sont donc civiles, fixes et inconditionnelles. Il n'y aura pas de report automatique supplémentaire. Les analyses qui décrivent encore un déclenchement conditionnel commentent la proposition, non le texte publié.

2.5. Ce qui, à l'inverse, a été durci

Le report ne doit pas masquer trois durcissements.

Deux nouvelles pratiques interdites, applicables au 2 décembre 2026 et sanctionnées au palier maximal de 35 M€ ou 7 % : l'article 5, § 1er, sous ba), prohibe les systèmes générant ou manipulant des représentations réalistes des parties intimes d'une personne physique identifiable, ou d'une personne identifiable dans une activité sexuellement explicite, sans son consentement explicite ; le sous bb) étend l'interdiction aux matériels relevant de la directive 2011/93/UE. Ces deux dispositions ont été introduites par le Conseil, à l'initiative de la France, et ne figuraient pas dans la proposition initiale.

L'article 5, § 1er bis, établit une asymétrie qu'il convient de bien saisir. Le fournisseur est en infraction non seulement lorsque cette génération constitue la destination du système, mais aussi lorsque sa conception, son entraînement, son architecture ou ses capacités rendent ce résultat raisonnablement prévisible et reproductible sans modification technique significative, et que le système est dépourvu de garde-fous adéquats. Le déployeur, lui, n'est en infraction qu'en cas d'utilisation effective à cette fin ; l'usage licite d'un outil mal protégé et la génération accidentelle sont expressément exclus. Le considérant 12 exclut par ailleurs les représentations non réalistes, les personnes non identifiables, les applications d'essayage virtuel et les usages médicaux.

Des pouvoirs d'enquête de type concurrence pour le Bureau de l'IA. Les articles 75 bis à 75 quinquies transplantent dans l'AI Act le modèle procédural du droit de la concurrence : demandes d'information par décision, inspections sur place et à distance, apposition de scellés, engagements rendus obligatoires, astreintes plafonnées à 5 % du chiffre d'affaires mondial journalier, prescription quinquennale, contrôle de pleine juridiction de la Cour de justice. L'article 75 réécrit confère au Bureau une compétence exclusive sur les systèmes fondés sur un modèle à usage général émanant du même fournisseur ou de la même entreprise, ainsi que sur ceux constituant une très grande plateforme ou un très grand moteur de recherche au sens du DSA. La CNIL a critiqué devant le Sénat le caractère exclusif de cette compétence, qui empêche une autorité nationale de se saisir d'un dossier que le Bureau délaisse. Les rapporteures du Sénat plaidaient pour une logique de dessaisissement ; elles n'ont pas été suivies.

Le maintien de l'enregistrement des systèmes auto-évalués non à haut risque au titre de l'article 6, § 3, que la Commission proposait de supprimer, allégé de deux champs seulement à l'annexe VIII, section B.

2.6. Ce qui a été allégé sans être reporté

• Article 4, littératie IA. L'obligation d'« assurer » un niveau suffisant devient celle de « prendre des mesures pour soutenir le développement » de cette littératie, le texte précisant qu'elle n'impose pas de garantir un niveau donné pour une personne déterminée. On passe d'une obligation de résultat à une obligation de moyens, applicable depuis le 27 juillet 2026. Pour l'appréciation des situations antérieures, la version stricte a lié les opérateurs du 2 février 2025 au 27 juillet 2026.
• Article 4 bis nouveau. L'article 10, § 5, est supprimé et remplacé par une disposition autonome, placée au chapitre I et applicable dès le 27 juillet 2026, autorisant le traitement de catégories particulières de données au sens de l'article 9 du RGPD aux seules fins de détection et de correction des biais, sous six conditions cumulatives. Le champ est élargi à l'ensemble des fournisseurs et déployeurs, modèles à usage général compris. Le critère de stricte nécessité, que la Commission souhaitait assouplir, a été rétabli par les colégislateurs. L'article 4 bis n'est pas une base légale autonome : il constitue une spécification de l'article 9, § 2, sous g), du RGPD.
• PME et petites entreprises de taille intermédiaire. Deux définitions entrent à l'article 3. Les allègements associés : documentation technique simplifiée sur un modèle que les organismes notifiés sont tenus d'accepter (art. 11, § 1er), système de gestion de la qualité proportionné (art. 17, § 2), accès prioritaire aux bacs à sable (art. 57, § 3 bis) et, surtout, plafonnement de l'amende au plus faible des deux termes, pourcentage ou montant fixe, et non au plus élevé (art. 99, § 6 bis).
• Articulations nouvelles. Présomption de conformité aux exigences de cybersécurité de l'article 15 pour les systèmes conformes au Cyber Resilience Act (art. 42, § 3) ; faculté, pour l'analyse d'impact sur les droits fondamentaux, de renvoyer aux sections pertinentes de l'analyse d'impact relative à la protection des données ou d'en incorporer des parties (art. 27, § 4 et 5).

III.Cinq contre-vérités à ne pas reprendre

IV.En pratique

Sources

• Règlement (UE) 2026/1744 du 8 juillet 2026 modifiant les règlements (UE) 2024/1689, (UE) 2018/1139 et (UE) 2023/1230, JOUE L du 24 juillet 2026, en vigueur le 27 juillet 2026
• Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle
• Proposition COM(2025) 837 final, 2025/0360 (COD), omnibus numérique, volet données ; proposition COM(2025) 838 final
• Avis conjoint n° 2/2026 du CEPD et du Contrôleur européen de la protection des données, 10 février 2026
• Sénat, rapport d'information n° 25-626 et proposition de résolution européenne n° 625 (2025-2026), Mmes Morin-Desailly et Daniel
• Conclusions du Conseil européen du 19 mars 2026 sur les paquets de simplification
• Schéma d'inter-régulation de l'IA publié par la DGE et la DGCCRF le 9 septembre 2025

Avant toute mise en œuvre, ces informations doivent être vérifiées, réactualisées et validées.