Certaines parties de la loi sur l'IA seront reportées
Le 20 novembre 2025, la Commission européenne a dévoilé un paquet de mesures très attendu visant à simplifier la réglementation numérique, communément appelé « Digital Omnibus ». Son objectif est de rationaliser l'ensemble croissant de règles européennes dans le domaine du numérique et des données, de réduire les doublons et de renforcer la compétitivité de l'Europe. Pour les décideurs informatiques, les directeurs techniques, les responsables de la sécurité des systèmes d'information et les responsables de la sécurité, il ne s'agit pas d'un simple exercice théorique de Bruxelles, mais d'un changement tangible dans l'environnement réglementaire qui aura une incidence directe sur les feuilles de route, les budgets et les processus de conformité.
Fondamentalement, ce paquet touche simultanément plusieurs cadres réglementaires majeurs : la loi européenne sur l'IA, le RGPD, la directive NIS2 et la DORA. Il comprend également des ajustements aux règles relatives aux cookies et une consolidation des régimes liés aux données dans le cadre de la loi sur les données. Parallèlement, la Commission lance une stratégie pour l'Union des données et d'autres initiatives visant à améliorer l'accès à des données de haute qualité pour l'IA.
Cela soulève des questions essentielles : quels sont les moteurs de ces changements, quels seront les changements concrets dans la pratique et comment les entreprises doivent-elles réagir ?
Pourquoi la Commission procède-t-elle à cette simplification maintenant ?
Le paysage réglementaire numérique de l'UE s'est rapidement développé ces dernières années. De nouvelles lois et réglementations visent à rendre l'innovation plus sûre, à protéger les droits fondamentaux et à renforcer la cyber-résilience. Dans le même temps, les entreprises sont confrontées à des exigences qui se chevauchent, à des définitions incohérentes et à des obligations de déclaration parallèles. La Commission répond à une préoccupation largement exprimée selon laquelle une réglementation complexe et en partie redondante entrave les investissements et affaiblit la position concurrentielle de l'Europe. Ce point de vue a été clairement exprimé dans le rapport Draghi sur la compétitivité de l'UE et constitue l'un des principaux moteurs du programme de simplification.
Le Digital Omnibus est l'une des nombreuses initiatives visant à examiner différents domaines réglementaires en vue d'une éventuelle rationalisation. Dans le domaine numérique, le débat est particulièrement sensible, car la tension entre protection et innovation y est plus prononcée que dans de nombreux autres secteurs.
Dans la pratique, l'UE ne revient pas sur les règles numériques, mais les rend plus compatibles, plus cohérentes et, dans certains cas, plus réalistes en termes de délais. Cela allégera la pression pour de nombreuses organisations, mais nécessitera également des ajustements au niveau de la gouvernance interne et des structures de conformité.
Ce que contient le Digital Omnibus
La Commission souligne plusieurs changements profonds, notamment :
- Un retard dans les dispositions relatives à l'IA à haut risque de la loi sur l'IA
- Un canal de signalement unifié pour les incidents liés à la cybersécurité
- Une réforme du RGPD pour créer un cadre plus favorable à l'innovation
- Règles modernisées relatives aux cookies
- Consolidation de plusieurs régimes de données dans le cadre de la loi sur les données
Ces mesures sont interdépendantes et ont un impact sur l'ensemble de la chaîne, du traitement des données et de la gestion de la sécurité au développement de l'IA et aux flux de travail opérationnels.
Loi sur l'IA : report des dispositions à haut risque et implications pour les programmes d'IA
La mesure la plus visible est le report prévu des exigences relatives aux systèmes à haut risque de la loi sur l'IA, qui pourrait aller jusqu'à 16 mois. La Commission fait valoir que les normes harmonisées, les lignes directrices et les outils d'aide nécessaires à la mise en œuvre ne sont pas encore suffisamment disponibles.
Pour de nombreuses organisations, cela offre un soulagement à court terme, en particulier dans des domaines tels que les processus d'identification, la détection des fraudes, la sélection des ressources humaines, la surveillance OT ou les applications médicales et financières. Ce délai supplémentaire aide les entreprises à évaluer les modèles de manière plus approfondie, à stabiliser les pipelines de données, à constituer une documentation et à auditer les chaînes d'approvisionnement pour garantir la conformité de l'IA.
Cependant, cela ne signifie pas qu'il faille marquer une pause. Les entreprises qui développent l'IA devraient profiter de cette période tampon pour se préparer à des obligations à haut risque, notamment :
- Classification claire du système
- Évaluations des risques et des impacts
- Gouvernance des données de formation
- Journalisation et surveillance
- Processus de supervision humaine
Ceux qui mettent ces bases en place aujourd'hui rencontreront beaucoup moins de difficultés lorsque les obligations seront pleinement applicables.
D'un point de vue stratégique, ce report montre également que l'UE est ambitieuse mais pragmatique. Elle est prête à ajuster les délais si l'écosystème et les normes ne sont pas prêts. Cela rend la planification réglementaire plus flexible, mais renforce également la nécessité d'une planification basée sur des scénarios plutôt que sur des approches rigides axées sur des délais.
RGPD, NIS2 et DORA : moins de frictions en matière de protection des données et de reporting
Réforme du RGPD pour plus de flexibilité en matière d'innovation
La Commission prévoit de mettre à jour le RGPD afin de créer un environnement plus propice à l'innovation en matière de protection des données. Cela comprend l'ajustement des seuils et des délais dans le régime de notification des violations de données, la clarification de définitions telles que « données à caractère personnel » et l'introduction de nouvelles exceptions et clarifications afin de soutenir le développement et le fonctionnement des systèmes d'IA.
Pour les équipes chargées de la confidentialité et de la sécurité, cela offre une plus grande flexibilité opérationnelle. Les obligations en matière de déclaration deviendraient moins mécaniques et davantage axées sur les risques, ce qui permettrait de concentrer les ressources sur les incidents ayant un impact réel. Cependant, les entreprises devront documenter soigneusement les critères de violation et les décisions internes afin de garantir la transparence et la responsabilité.
Pour les projets d'IA, des définitions plus claires du traitement légal des données pertinentes pour l'IA apporteraient la sécurité juridique nécessaire pour éviter que des cas d'utilisation ne soient bloqués ou ne restent au stade pilote en raison d'interprétations floues.
Signalement unifié des incidents
Un point d'entrée unique pour le signalement des incidents de cybersécurité est également prévu. Au lieu de soumettre des notifications distinctes dans le cadre des directives NIS2, RGPD et DORA, les organisations utiliseront un mécanisme unifié, qui pourrait s'appuyer sur la plateforme développée pour la loi sur la cyber-résilience.
Cela pourrait considérablement améliorer l'efficacité. Quiconque a déjà dû traiter des rapports d'incidents dans l'urgence connaît le défi que représente la gestion de multiples délais et formats. Un canal de reporting unique réduit la complexité et peut améliorer la qualité des données grâce à des champs et des taxonomies standardisés.
Cependant, cela nécessite que les organisations repensent leurs processus de reporting. Beaucoup ont séparé les normes NIS2, RGPD et DORA en flux de conformité distincts. L'Omnibus exigera un modèle intégré avec des registres centralisés, des critères de gravité harmonisés et des processus de communication coordonnés.
Loi sur les données, cookies et stratégie de l'Union en matière de données
Consolidation en vertu de la loi sur les données
L'UE a l'intention de fusionner plusieurs régimes de données dans la loi sur les données, notamment le règlement sur la libre circulation des données, la loi sur la gouvernance des données et la directive sur les données ouvertes. Une fois combinées, ces règles seront mieux harmonisées et rationalisées.
Pour les entreprises, cela concerne principalement la gouvernance. Aujourd'hui, différentes sources juridiques doivent être consultées en fonction du type de données, du secteur et de l'objectif. La consolidation simplifie l'élaboration de stratégies en matière de données, en particulier pour les organisations qui utilisent des données transfrontalières pour l'IA, l'analyse ou les modèles de plateformes.
Règles modernisées relatives aux cookies
La Commission prévoit également de réduire le nombre de bannières publicitaires et de transférer davantage la gestion des préférences vers le navigateur.
Il s'agit d'une mesure pratique pour les équipes numériques : la réduction du nombre de bannières améliore l'expérience utilisateur, augmente les taux de conversion et réduit la charge opérationnelle liée à la gestion des consentements. La responsabilité d'assurer un suivi adéquat et de limiter les finalités reste toutefois inchangée.
Stratégie de mise en commun des données : davantage de données de haute qualité pour l'IA
Parallèlement à la simplification, la Commission lance une stratégie pour l'Union des données afin de mettre à disposition davantage de données de haute qualité pour l'IA. Celle-ci comprend un service d'assistance juridique sur la loi sur les données et des mesures visant à renforcer la souveraineté européenne en matière de données, par exemple en protégeant les données sensibles à caractère non personnel et en établissant des règles d'utilisation équitable pour les données de l'UE à l'étranger.
Cela témoigne d'un engagement clair en faveur de la mise en place d'un écosystème européen solide dans le domaine de l'IA. Non seulement la réglementation doit être sûre, mais les données doivent également être facilement utilisables. Pour l'industrie, les infrastructures critiques et les PME, un meilleur accès aux espaces de données peut être déterminant pour faire passer les projets d'IA du stade pilote à celui de la production.
Ce que les entreprises devraient faire maintenant
Bien que le paquet doive encore être examiné et approuvé par le Parlement et le Conseil, il est conseillé de s'y préparer dès maintenant.
- Réaliser une analyse comparative des lacunes réglementaires.
Examiner conjointement l'AI Act, le RGPD, la NIS2 et la DORA, et non de manière isolée. Identifier les incohérences dans les définitions, les exigences en matière de preuves redondantes et les processus susceptibles de converger ultérieurement. - Intégrer le signalement des incidents.
Si un point d'entrée unique voit le jour, l'intégration sera essentielle. Créer un registre central des incidents, harmoniser les échelles de gravité et définir les responsabilités pour un signalement consolidé. - Accélérer la gouvernance de l'IA.
Le report de la loi sur l'IA donne du temps, mais ne constitue pas une suspension. Développez dès maintenant des inventaires de modèles, des méthodes de classification, des cadres de surveillance et des pratiques de documentation. - Adaptez votre stratégie en matière de données.
À mesure que les régimes de données convergent, redéfinissez les flux de données, les types de données et les droits d'accès. Cela peut réduire les coûts de conformité à long terme, en particulier dans les environnements hybrides multi-cloud et périphériques. - Préparez les équipes marketing et produit aux nouvelles règles relatives aux cookies.
Passez en revue vos outils de consentement, évaluez votre état de préparation aux modèles de préférences basés sur les navigateurs et assurez-vous que vos pratiques de suivi sont conformes.
Conclusion
Le paquet Digital Omnibus et les dispositions reportées de la loi sur l'IA marquent un changement politique clair : moins de règles parallèles, plus de cohérence et des délais de mise en œuvre plus réalistes. Cela n'élimine pas les exigences, mais les rapproche et les rend plus axées sur les risques. Cela crée un espace pour l'innovation, en particulier dans les applications basées sur l'IA et les données, tout en exigeant simultanément des ajustements en matière de gouvernance, de reporting intégré, de gestion des risques liés à l'IA et de stratégie en matière de données.
Damovo peut accompagner les organisations tout au long de cette transition : de l'évaluation des réglementations concernées à l'intégration des programmes de conformité existants, en passant par la mise en place de processus unifiés de signalement des incidents et la mise en œuvre de mesures de gouvernance de l'IA et de protection des données. Cela aide les entreprises à atteindre la sécurité juridique et à accélérer leurs initiatives numériques et d'IA, sans bureaucratie inutile, mais avec une conformité solide.