Le consentement ne pèse plus rien. L'omnibus européen ouvre les données à l'entraînement des IA

Thèse : si l'entraînement des IA devient un « intérêt légitime » par défaut, le consentement ne protège plus rien et la charge de la preuve passe de l'entreprise au citoyen. Ce n'est pas une dérégulation, c'est un changement de régime de protection des données.

Le débat sur l'omnibus européen des données a repris après la pause parlementaire d'été. Il revient avec l'idée que la Commission européenne avait inscrite dans son projet initial : considérer par principe l'usage de données personnelles pour entraîner des systèmes d'IA comme un « intérêt légitime ». Plus besoin de consentement explicite et éclairé de l'utilisateur, plus de mise en balance des intérêts au cas par cas.

L'élément déclencheur est le compromis de la présidence irlandaise du 3 septembre 2026, révélé par Politico. La proposition figurait déjà dans le projet de la Commission, puis avait disparu sous la présidence chypriote. Elle est revenue. Selon le média allemand « SZ Digitalwende », des États membres influents, dont l'Allemagne, ont poussé pour cette solution, en arguant qu'elle aidera les entreprises européennes d'IA.

Max Schrems, président de l'organisation noyb, répond sans détour : « La proposition montre clairement que les intérêts des géants de l'IA doivent primer sur le droit constitutionnel à la protection des données. » Il parle ouvertement d'« expropriation numérique des Européens » et d'« ouverture totale des données européennes aux groupes mondiaux ». La levée de la protection profitera surtout aux entreprises qui ont déjà accumulé les plus grands volumes de données. L'argument est difficile à réfuter : l'obligation de consentement devait égaliser les chances entre un géant et un petit acteur. Supprimée partout, elle disparaît surtout là où les données sont déjà.

Ce n'est pas une exception. Le même omnibus doit notamment supprimer les bannières cookies et toucher à la définition des données personnelles. Avant cela, le même agenda de dérégulation avait supprimé des obligations de reporting environnemental et assoupli les règles sur l'IA. L'argument de la « simplification » sonne juste dans sa partie technique : harmoniser la notification des violations de données a du sens. Mais l'utiliser comme écran pour changer les règles d'entraînement est un abus d'étiquette.

L'autre face du même problème, c'est la police. À Berlin, la nouvelle loi policière autorise le retraitement de données personnelles pour entraîner et tester des systèmes d'IA. La réponse à une interpellation de Die Linke a révélé que ces données peuvent être transmises à des entreprises privées, comme Staige GmbH, liée à Adesso SE, qui construit les scanners de comportement berlinois. Et ce sans anonymisation si « l'anonymisation fait obstacle aux finalités de test ou d'entraînement ». L'élu Die Linke Niklas Schrader parle d'« une porte ouverte à l'usage de l'IA dans la police, avec une bienveillance effrayante ». Son groupe, avec les Verts, porte l'affaire devant la cour constitutionnelle.

Voilà où mène la règle du consentement par défaut quand elle remplace la mise en balance des intérêts. Les données des citoyens, y compris des passants que rien ne met en cause, deviennent le carburant du développement technologique. Le contrôle sur ces données leur échappe. Au lieu d'un « c'est permis » par défaut, l'Europe devrait exiger une transparence par défaut : un registre des ensembles de données, la finalité, la durée de conservation et une possibilité réelle d'opposition. Sinon, l'omnibus ne simplifiera pas le droit, il l'effacera là où il est le plus nécessaire.