Digital Omnibus : la grande simplification réglementaire du numérique européen en 2026

L'Europe réglemente depuis cinq ans à marche forcée. Le Digital Omnibus est le premier signal d'un rétropédalage partiel : trop de droit tue le droit - et la compétitivité.

Depuis 2020, les entreprises numériques européennes ont dû absorber un nombre inédit de textes majeurs : le RGPD s'applique depuis 2018, mais l'AI Act, le Data Act, le DSA (Digital Services Act), le DMA (Digital Markets Act) et le Cyber Resilience Act se sont accumulés en moins de cinq ans. Résultat : une usine à gaz réglementaire que même les juristes spécialisés peinent à maîtriser entièrement.

Le Digital Omnibus - ou Omnibus numérique - est la réponse de la Commission européenne à ce constat. Proposé fin 2025, ce projet législatif ne crée aucun nouveau droit : il simplifie, aligne et allège ce qui existe déjà. Son ambition est double - réduire la charge administrative pesant sur les entreprises, en particulier les PME et les ETI, et restaurer la compétitivité de l'écosystème numérique européen face aux géants américains et asiatiques qui évoluent dans un cadre beaucoup moins contraint.

Ce guide analyse les deux volets du projet, les polémiques qu'il suscite, et les implications concrètes pour les entreprises déployant des agents vocaux IA.

Le contexte : cinq ans d'empilement réglementaire numérique

L'Union européenne a produit en cinq ans davantage de réglementation numérique que dans les trente années précédentes. La cohérence entre les textes n'a pas toujours suivi le rythme d'adoption.

Un cadre protecteur devenu source de friction

Le bilan réglementaire européen du numérique depuis 2020 est considérable. Chaque texte répond à un besoin légitime : le RGPD protège les données personnelles, l'AI Act encadre les risques des systèmes d'intelligence artificielle, le Data Act régule le partage des données industrielles, le DSA lutte contre les contenus illicites en ligne, le DMA régule les plateformes dominantes, et le Cyber Resilience Act sécurise les produits connectés.

Le problème n'est pas la légitimité de chaque texte pris isolément. C'est leur coexistence. Les chevauchements de définitions, les obligations redondantes, les délais différents, les autorités compétentes multiples et les incertitudes d'interprétation créent une charge de conformité disproportionnée - surtout pour les entreprises de taille moyenne qui ne disposent pas d'une équipe juridique dédiée.

La pression de la compétitivité : le rapport Draghi en toile de fond

Le rapport Draghi sur la compétitivité européenne, publié en 2024, a mis en évidence un écart croissant entre l'Europe et ses concurrents sur l'innovation numérique et l'IA. L'un des facteurs identifiés : la charge réglementaire disproportionnée que les entreprises européennes supportent par rapport à leurs homologues américaines ou asiatiques, qui bénéficient d'un cadre plus souple - voire d'une absence quasi-totale de régulation de l'IA.

Le Digital Omnibus s'inscrit directement dans cette logique. Il ne s'agit pas de renoncer à la protection des citoyens, mais de rationaliser les contraintes pour que les entreprises européennes puissent innover et croître sans être paralysées par la conformité.

Les quatre textes principalement visés

• L'AI Act (2024) : première législation mondiale sur l'IA, entrée en vigueur en août 2024, avec des délais d'application échelonnés jusqu'en 2027
• Le RGPD (2018) : règlement fondateur sur la protection des données, dont certaines dispositions sont jugées trop rigides ou mal adaptées aux cas d'usage IA
• La directive NIS2 (2022) : cadre de cybersécurité pour les entités essentielles et importantes, avec des exigences de notification des incidents
• La directive ePrivacy : texte encadrant les cookies et la confidentialité électronique, source de la prolifération des bannières de consentement

Volet 1 : l'Omnibus IA - assouplir l'AI Act sans le vider

Report des échéances pour les systèmes à haut risque

L'AI Act classe les systèmes d'IA en quatre catégories de risque. Les systèmes à "haut risque" - ceux utilisés dans des domaines sensibles comme la santé, l'éducation, l'emploi, la justice ou les infrastructures critiques - sont soumis aux exigences les plus strictes : documentation technique détaillée, registre de traçabilité, supervision humaine, gestion des risques formalisée.

Ces exigences sont légitimes. Mais leur calendrier d'application est jugé irréaliste par de nombreuses entreprises. Le Digital Omnibus propose de reporter certaines échéances pour les systèmes à haut risque, afin de laisser aux entreprises le temps de se mettre en conformité sans précipitation. Ce report ne supprime aucune obligation : il décale leur application pour éviter une non-conformité de masse liée à un calendrier trop ambitieux.

Extension des simplifications aux ETI

L'AI Act prévoyait déjà des dispositions allégées pour les PME et les start-ups, reconnaissant leur capacité limitée à absorber des coûts de conformité élevés. Le Digital Omnibus propose d'étendre ces simplifications aux entreprises de taille intermédiaire (ETI) - celles qui ont dépassé le seuil des PME mais qui ne disposent pas encore des ressources d'un grand groupe.

En pratique, cela signifie des obligations de documentation réduites, des délais de mise en conformité plus longs, et un accès facilité aux bacs à sable réglementaires (sandboxes) permettant de tester des systèmes d'IA en conditions réelles sous supervision des autorités.

Autorisation du traitement de données sensibles pour corriger les biais

L'un des défis techniques de l'IA est la détection et la correction des discriminations algorithmiques. Pour auditer un modèle et détecter si ses décisions sont biaisées selon le genre, l'origine ethnique ou l'état de santé, il faut traiter ces données sensibles. Or le RGPD interdit en principe leur traitement sauf exception.

Le Digital Omnibus introduit une base légale explicite et conditionnelle pour ce cas précis : les entreprises développant des systèmes d'IA pourront traiter des données sensibles dans le but de détecter et corriger des biais, sous conditions strictes de gouvernance, de minimisation des données et de supervision indépendante.

Centralisation de la surveillance auprès de l'AI Office

L'AI Act prévoit un système de surveillance à deux niveaux : les autorités nationales pour la plupart des systèmes, et le Bureau européen de l'IA (AI Office) pour les modèles d'IA générale (GPAI). Le Digital Omnibus propose de centraliser davantage la surveillance de certaines catégories de systèmes directement auprès de l'AI Office, afin d'éviter les divergences d'interprétation entre États membres et de créer un guichet unique pour les entreprises opérant dans plusieurs pays européens.

Volet 2 : l'Omnibus données et cybersécurité - pragmatisme ou recul ?

Lutter contre la fatigue des cookies : l'approche signal navigateur

Depuis 2018, chaque site web affiche une bannière de consentement aux cookies. Le résultat est bien documenté : les utilisateurs cliquent sur "tout accepter" de manière quasi-automatique, sans lire ni comprendre ce à quoi ils consentent. La protection effective est minimale, la friction maximale, et la valeur ajoutée du dispositif proche de zéro pour tout le monde.

Le Digital Omnibus propose une approche radicalement différente : permettre aux utilisateurs d'exprimer une seule fois leurs préférences de confidentialité via leur navigateur ou leur système d'exploitation. Ce signal serait ensuite automatiquement transmis aux sites web, qui seraient tenus de le respecter. Les bannières répétitives deviendraient superflues.

Cette approche existe déjà - le mécanisme "Global Privacy Control" (GPC) fonctionne de manière similaire, et certains États américains en ont reconnu la validité légale. L'Europe proposerait un cadre harmonisé. La critique des associations de protection des données : qui contrôle le paramètre par défaut dans le navigateur ? Si les éditeurs de navigateurs (Google, Apple, Microsoft) configurent "tout accepter" par défaut, le résultat est pire qu'avant.

Allongement du délai de notification des incidents de cybersécurité

L'article 33 du RGPD impose de notifier une violation de données personnelles à l'autorité compétente dans les 72 heures suivant la découverte de l'incident. Ce délai est généralement jugé trop court par les équipes de sécurité : dans les premières 72 heures d'un incident, les équipes sont mobilisées sur la réponse technique. Rédiger une notification précise et utile à l'autorité est une tâche secondaire qui entre en conflit avec la priorité de stopper l'attaque et de limiter les dégâts.

Le Digital Omnibus propose de porter ce délai à 96 heures (soit 4 jours). Cela ne supprime aucune obligation de notification : cela donne 24 heures supplémentaires pour formuler une déclaration de qualité plutôt qu'une déclaration précoce et incomplète, qui ne sert ni l'autorité ni les personnes concernées.

Redéfinition de la notion de donnée personnelle

C'est le point le plus sensible du volet données. Le RGPD définit la donnée personnelle de manière très large : toute information se rapportant à une personne physique identifiée ou identifiable. Cette définition extensive a permis une protection solide, mais elle est aussi source d'insécurité juridique - notamment pour les données agrégées, anonymisées ou pseudo-anonymisées.

Le Digital Omnibus propose une clarification - et selon les défenseurs des libertés, un resserrement - de cette notion, en s'alignant sur la jurisprudence récente de la CJUE. L'objectif déclaré est de faciliter la recherche scientifique et l'innovation en santé en levant l'incertitude juridique sur des données qui, en pratique, ne permettent pas d'identifier une personne. La crainte des associations : que cette clarification devienne un angle mort permettant de contourner le RGPD pour des données qui, sans être formellement identifiantes, permettent tout de même un profilage fin.

Synthèse des modifications clés

Les polémiques : simplification ou démantèlement ?

Le CEPD, NOYB et plusieurs parlements nationaux alertent : sous couvert de simplification, certaines propositions affaibliraient structurellement la protection des données personnelles des Européens.

La position du CEPD (Comité européen de la protection des données)

Le CEPD, organe indépendant regroupant les autorités nationales de protection des données (dont la CNIL française), a publié un avis critique sur plusieurs aspects du volet données. Sa principale préoccupation : la redéfinition de la notion de donnée personnelle. Le Comité estime que tout rétrécissement de cette définition crée des angles morts dans la protection, que les responsables de traitement ne manqueront pas d'exploiter. Il appelle à préserver l'interprétation extensive qui a fait la force du RGPD depuis 2018.

NOYB et Max Schrems : la critique du mécanisme cookies

L'association NOYB (None of Your Business), menée par l'avocat autrichien Max Schrems - déjà à l'origine de plusieurs arrêts majeurs de la CJUE sur le transfert de données vers les États-Unis - est particulièrement critique sur le mécanisme de signal navigateur. NOYB pointe un risque structurel : en confiant la gestion du consentement aux navigateurs, on délègue de facto le contrôle à Google (Chrome, 65 % de part de marché), Apple (Safari) et Microsoft (Edge). Ces entreprises, dont le modèle économique repose sur la publicité ciblée ou l'écosystème applicatif, ne sont pas des garantes neutres du consentement des utilisateurs.

La réserve du Sénat français

La commission des affaires européennes du Sénat français a émis des réserves formelles sur le projet, demandant des garanties supplémentaires concernant la préservation du niveau de protection du RGPD. Le Sénat s'inquiète en particulier de l'utilisation du Digital Omnibus comme vecteur de réductions discrètes de droits qui, prises isolément, semblent mineures mais qui, cumulées, pourraient significativement affaiblir le cadre européen de protection des données.

La défense de la Commission : simplification technique, pas recul politique

La Commission européenne conteste fermement l'idée d'un démantèlement. Son argumentaire : les modifications proposées sont des ajustements techniques destinés à corriger des incohérences pratiques, non des choix politiques de réduction de la protection. Sur les cookies, le mécanisme navigateur est présenté comme un moyen d'améliorer le consentement réel (qui n'est plus simulé par un clic automatique) plutôt que de le réduire. Sur la notification des incidents, 96 heures reste une obligation bien plus stricte que ce qui existe dans la plupart des législations mondiales.

Impact sur les agents vocaux IA et les callbots : ce qui change concrètement

Les systèmes à haut risque dans les secteurs couverts par l'AI Act

Les agents vocaux IA déployés dans des secteurs réglementés - santé, juridique, ressources humaines, éducation, accès à des prestations sociales - peuvent être classifiés comme systèmes à haut risque sous l'AI Act. Pour ces déploiements, le report des échéances proposé par le Digital Omnibus est une bouffée d'air : les équipes conformité gagnent du temps pour préparer la documentation technique, les registres de traçabilité et les procédures de supervision humaine exigées par l'AI Act.

Les ETI enfin concernées par les simplifications

La majorité des entreprises qui déploient des agents vocaux IA en France sont des ETI : trop grandes pour bénéficier des allègements PME existants, trop petites pour avoir une équipe juridique IA dédiée. L'extension des simplifications à cette catégorie est donc directement pertinente. Elle se traduit en pratique par un accès aux bacs à sable réglementaires, des formats de documentation simplifiés et des délais adaptés.

Le traitement de données sensibles pour l'équité algorithmique

Les agents vocaux IA utilisés dans le recrutement ou la gestion de la relation client peuvent être exposés à des risques de biais - par exemple, un modèle qui traiterait différemment les appelants selon leur accent, leur rythme de parole ou d'autres caractéristiques pouvant être corrélées à une origine ethnique ou un état de santé. Auditer et corriger ces biais nécessite précisément de traiter des données sensibles pour mesurer les écarts de traitement. La base légale proposée par le Digital Omnibus pour ce cas d'usage est une avancée concrète.

La notification des incidents : 24 heures de plus pour les équipes techniques

Une plateforme d'agents vocaux traitant des milliers d'appels par jour est une cible potentielle pour des attaques visant les données personnelles des appelants. En cas de violation de données, le passage de 72 à 96 heures pour la notification permet aux équipes de sécurité de produire une déclaration précise plutôt que précoce. L'efficacité de la réponse à l'incident n'est pas réduite - la priorité reste la remédiation technique, mais la production du rapport formel se fait dans de meilleures conditions.

Les données vocales et la redéfinition de la donnée personnelle

C'est le point à surveiller le plus attentivement. Si la redéfinition restrictive de la notion de donnée personnelle exclut certaines formes de données agrégées ou pseudo-anonymisées, cela pourrait faciliter certains usages analytiques des données vocales (analyse de volume d'appels, patterns conversationnels, indicateurs de satisfaction) qui aujourd'hui nécessitent une base légale RGPD formelle. Mais cela soulève aussi la question de la robustesse réelle de la pseudo-anonymisation vocale, qui est techniquement plus fragile qu'il n'y paraît - la voix est une donnée quasi-biométrique même sans empreinte vocale explicite.

Calendrier et processus législatif : quand ça s'appliquera

Le processus législatif ordinaire : 18 à 36 mois minimum

Le Digital Omnibus a été proposé par la Commission européenne fin 2025. Pour devenir du droit applicable, le texte doit suivre la procédure législative ordinaire :

• Phase 1 - Parlement européen : examen par les commissions compétentes (LIBE pour les libertés civiles, IMCO pour le marché intérieur), adoption d'une position en première lecture (estimée mi-2026)
• Phase 2 - Conseil de l'UE : position du Conseil, représentant les États membres (les désaccords entre États peuvent allonger significativement cette étape)
• Phase 3 - Trilogue : négociations entre Parlement, Conseil et Commission pour trouver un texte de compromis (estimée fin 2026 - début 2027)
• Phase 4 - Publication et entrée en vigueur : publication au Journal officiel de l'UE, suivie d'une période de transition (variable selon les mesures)

Ce que les entreprises doivent faire maintenant

Le Digital Omnibus n'est pas encore du droit applicable. Les obligations actuelles - AI Act, RGPD, NIS2 - restent en vigueur dans leur version existante. Mais les entreprises ont intérêt à :

• Suivre l'évolution du texte pour anticiper les modifications de calendrier de l'AI Act qui pourraient affecter leur programme de conformité
• Ne pas reporter leur mise en conformité AI Act en espérant que le Digital Omnibus allongera les délais - les textes actuels s'appliquent tant que la modification n'est pas publiée
• Documenter dès maintenant les biais potentiels de leurs systèmes d'IA, afin d'être prêts à utiliser la base légale pour données sensibles si elle est adoptée
• Préparer leur architecture de gestion du consentement pour être compatible avec un futur signal navigateur unique