Nos Décryptages

DIGITAL OMNIBUS : Key Changes in EU AI Regulation and Compliance

Overview of amendments adopted by the European Parliament and the Council of the EU

The legislative timetable for the Digital Omnibus, presented by the European Commission on November 19, 2025, as one of the priority projects of its mandate, is accelerating. Following the joint position adopted on March 18 by the parliamentary committees on « industry, research and energy » and « civil liberties, justice and home affairs, » the European Parliament voted on March 26 on some of the measures included in this Omnibus package.

Indeed, the European Parliament adopted (569 for/45 against/23 abstentions) in favor of simplifying the regulation on artificial intelligence (AI Act).

Main changes…….

Révisions des règles sur l’IA : nouvelles implications en Europe

AI DIGITAL OMNIBUS : PROPOSALS OF THE EUROPEAN PARLIAMENT

The European Parliamentary Research Service provided a state of the latest evolution of the AI digital omnibus in 2026 and what to expect from it. The latest discussions introduce targeted but impactful adjustments to the implementation of the Artificial Intelligence Act, focusing on feasibility, timing and administrative burden rather than changing its core risk-based structure. The initiative responds to concrete implementation challenges, particularly delays in harmonised standards, designation of authorities and availability of compliance tools.

The introduction of a new prohibited practices to prevent the development and use of Generative AI systems permitting the nudification of identifiable natural persons (and not only focusing on Deepfakes).

A major adjustment concerns the timeline for high-risk AI obligations. Instead of fixed application dates, the Omnibus introduces a conditional timeline, linking compliance obligations to the availability of technical standards and guidance. In practice, this pushes the effective application of high-risk requirements to late 2027 or even 2028, with a long-stop date ensuring eventual enforcement even if standards lag behind.

A key change relates to simplification of compliance obligations. The proposal reduces administrative burdens through streamlined documentation, clearer conformity assessment procedures and extended proportionality measures.

The Omnibus also strengthens testing and innovation mechanisms, particularly through the expansion of regulatory sandboxes and the introduction of more flexible real-world testing frameworks.

Another important adjustment concerns governance and centralisation, with a reinforced role for EU-level coordination (notably the AI Office) and efforts to clarify interactions between the AI Act and other EU legislation.

The latest adjustments reflect a shift from strict ex ante compliance toward more adaptive and implementation-driven regulation. While the core principles of the AI Act remain intact, the Omnibus introduces greater flexibility in timelines, testing and compliance pathways, seeking to ensure that the framework remains operational, proportionate and aligned with technological and market realities.

Parliament assigned the file to the IMCO and LIBE committees, appointing Arba Kokalari (EPP, Sweden) and Michael McNamara (Renew Europe, Ireland) as rapporteurs. The IMCO and LIBE committees adopted a joint report on the file on 18 March 2026 with 101 votes in favour, 9 against and 8 abstentions.

The report aligns with the Council’s proposal for fixed deadlines for the delayed application of rules governing high-risk AI systems. Additionally, it proposes a targeted ban on AI systems that generate sexual and intimate content without consent and reformulates the conditions for processing special categories of personal data for bias detection and correction. The report also reinstates a simplified registration requirement for non-high-risk AI systems, maintains the extension of the simplified documentation process for medium-sized companies with minor modifications on fines, and lightens the regulatory burden for AI systems embedded in products already subject to sector-specific rules. Furthermore, it modifies the transitional period for compliance with obligations to mark AI-generated content to three months.

 Finally, it envisages that providers and deployers of AI systems should support the improvement of AI literacy among their staff and ensure that the Commission and Member States encourage and support AI literacy in society.

Changements clés de l’Omnibus sur l’IA : évolutions 2026

Understanding the European Health Data Space Regulation :

This document provides answers to frequently asked questions regarding the European Health Data

Space (EHDS) Regulation (EU) 2025/327.

The EHDS Regulation was published in the Official Journal on 5 March 2025 and entered into force 20 days later. However, it will start to apply in stages:

• Key provisions of Chapters II (on primary use) and III (on EHR systems) will apply
  • four years after entry into force, i.e. from 26 March 2029, for the first group of priority categories (patient summaries, electronic prescriptions, electronic dispensations) listed under Article 14(1) of the EHDS Regulation ;
  • six years, i.e. from 26 March 2031, for the remaining priority categories (medical imaging studies, medical test results, discharge reports).
• Chapter IV on secondary use will apply four years after entry into force for most of the data categories listed in Article 51, so from 26 March 2029.
  • For some categories, such as genetic data, it will apply six years after entry into force, so from 26 March 2031
  • Article 75(5) of the EHDS Regulation on the possibility for non-EU countries to become authorised participants in HealthData@EU will apply ten years after entry into force, i.e. from 26 March 2035.

Primary Use

The FAQ provides details on the implementation of provisions related to Primary Use for Patients, for health professionals, for Member States’authorities. Concerning the Electronic Health Record (EHR) systems and wellness apps, the document explains the specific requirements that EHR systems will have to comply with.

It gives information on the compliance to the essential requirements for the interoperability component and the logging component for EHR systems to be respected by the manufacturers of medical devices, in-vitro medical devices and/or high-risk AI systems and the Manufacturer of wellness apps claiming that these products are interoperable with EHR systems.

Secondary Use

The document lists the data categories of art 51 of the EHDS Regulation that the Health Data Holders have to make available, in providing for each data category examples of what is covered and not covered. It is mentioned what king of safeguards the EHDS Regulation includes for intellectual property and the protection of trade secrets. Others provisions are explained in details.

Governance

The EHDS Board will be the main forum for the Member States and the Commission to cooperate and exchange information. The provisions establishing the EHDS Board will apply from 26 March 2027.

Member States will designate two representatives each, covering primary and secondary use aspects. A representative of the Commission will co-chair together with a representative elected from among the Member State representatives.

In the EHDS main tasks are to assist Member States in coordinating their practices, to issue written contributions and exchange best practices on the implementation of the EHDS Regulation.

The EHDS Board can establish subgroups at working level to prepare these activities.

The EHDS Board can also cooperate with other relevant entities, such as ENISA and the EDPB. It can also invite external experts where appropriate.

The EHDS Board (and the steering groups) will gradually take over the tasks of the current eHealth Network. During a transition period until 2031, they will co-exist, with the EHDS Board taking over as more and more parts of the EHDS Regulation will become applicable.

Relationship with other EU law

The EHDS Regulation complements many of the cross-border healthcare rights provided by the EU framework for coordinating social security systems, as it facilitates the exchange of personal electronic health data that may be necessary for a natural person to receive healthcare in another Member State.

At the same time, the EHDS Regulation does not set out any rules on social security, nor does it replace the actual proof of insurance status given by the European Health Insurance Card or the Portable documents S1 or S2.

The EHDS Regulation fully respects the right of the Member States to determine social security benefits and organise their national healthcare systems. The EHDS Regulation does not interfere with existing obligations requiring national competent institutions to provide insured persons with information on their rights under the EU framework for coordinating social security systems.

Comprendre le Règlement EHDS (UE) 2025/327 : Guide Complet

DIGITAL OMNIBUS : Modifications du RGPD

Analyse des Modifications du RGPD dans le Digital Omnibus

Impact du Digital Omnibus sur le RGPD : Modifications proposées

30 janvier 2026 Digital omnibus / notification de violation de données / RGPD / SIA / Violation de données

Posted by escaramozzino

Décryptage du projet de Simplification du cadre numérique européen :

Focus sur les modifications du RGPD proposées par la Commission européenne dans l’omnibus numérique : volet data (1)

Règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données

Eléonore Scaramozzino, Avocat au Barreau de PARIS, Constellation Avocats

La Commission européenne a publié le 19 novembre 2025 sa proposition de règlement « Digital Omnibus », visant à harmoniser et simplifier le cadre numérique européen afin d’en renforcer la compétitivité. Ce texte prévoit la révision d’une grande partie des législations européennes liées au numérique et notamment du RGPD. Cette proposition constitue une première étape dans l’optimisation de l’application du corpus réglementaire numérique. Selon la proposition, les modifications ciblées des règles en matière de protection des données et de la vie privée soutiennent cet objectif et constituent des mesures de simplification immédiates pour les entreprises et les particuliers.

Modifications du règlement (UE) 2016/679 (règlement général sur la protection des données)

Le règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données — RGPD) est entré en vigueur le 25 mai 2018, créant notamment cadre juridique général pour les personnes qui traitent des données à caractère personnel.

L’article 3 de la proposition vise à apporter des modifications ciblées au règlement (UE) 2016/679 («règlement général sur la protection des données»).

 Les modifications proposées visent à

• apporter clarté et prévisibilité dans l’application des règles existantes ;
• réduire la charge administrative, dans la mesure du possible, sans compromettre le niveau élevé de protection des données prévu par lesdits règlements ;
• laisser inchangé les compétences des États membres et des organes et institutions de l’Union.
• introduire un guichet unique pour le signalement des incidents, une solution à l’échelle européenne est proposée afin de fournir un canal unique pour les multiples obligations légales imposées aux entreprises concernant le signalement d’un incident qui est substantiellement le même. Cette solution ne modifie en rien les droits et compétences des autorités nationales en tant que destinataires de ces rapports. Étant donné qu’un grand nombre des services concernés sont fournis par-delà les frontières et que les prestataires sont présents dans plusieurs États membres, une solution à l’échelon européen est nécessaire.

Définition des données à caractère personnel : qualification variable

À l’article 3:

Le paragraphe 1 de l’article 3 vise à clarifier la définition des données à caractère personnel figurant à l’article 4 du règlement (UE) 2016/679 (règlement général sur la protection des données) en indiquant que les informations ne doivent pas être considérées comme des données à caractère personnel pour une entité donnée lorsque celle-ci ne dispose pas de moyens pouvant raisonnablement être utilisés pour identifier la personne physique à laquelle les informations se rapportent.

Par conséquent, une telle entité ne relèverait en principe pas dudit règlement.

L’article 4 est modifié comme suit:

(a) au point 1), les phrases suivantes sont ajoutées:

«Les informations relatives à une personne physique ne sont pas nécessairement des données à caractère personnel pour toute autre personne ou entité du simple fait qu’une autre entité peut identifier cette personne physique.

Les informations ne revêtent pas de caractère personnel pour une entité donnée lorsque ladite entité ne peut identifier la personne physique à laquelle elles se rapportent, compte tenu des moyens raisonnablement susceptibles d’être utilisés par cette entité. Ces informations ne se muent pas en informations à caractère personnel pour cette entité du simple fait qu’un destinataire ultérieur éventuel dispose de moyens raisonnablement susceptibles d’être utilisés pour identifier la personne physique à laquelle les informations se rapportent.»;

Deux dérogations supplémentaires au traitement de catégories particulières de données

Il est prévu deux dérogations supplémentaires au traitement de catégories particulières de données:

Données biométriques :

Une dérogation à l’interdiction générale de traiter des données biométriques lorsque cela est nécessaire pour confirmer l’identité de la personne concernée et lorsque les données et les moyens permettant cette vérification sont sous le contrôle exclusif de cette personne.

Traitement de catégories particulières de données pour IA avec conditions

une dérogation pour le traitement résiduel de catégories particulières de données à caractère personnel aux fins du développement et de l’exploitation d’un système d’IA ou d’un modèle d’IA, sous certaines conditions, y compris des mesures organisationnelles et techniques appropriées pour éviter la collecte de catégories particulières de données à caractère personnel ainsi que la suppression de ces données.

« 3. L’article 9 est modifié comme suit:

(a) au paragraphe 2, les points suivants sont ajoutés:

«k) le traitement dans le cadre du développement et de l’exploitation d’un système d’IA au sens de l’article 3, point 1), du règlement (UE) 2024/1689 ou d’un modèle d’IA, sous réserve des conditions visées au paragraphe 5;

l) le traitement de données biométriques est nécessaire à la confirmation de l’identité d’une personne concernée (vérification), lorsque les données biométriques ou les moyens nécessaires à la vérification sont sous le seul contrôle de la personne concernée.»;

(b) le paragraphe suivant est ajouté:

«5. Pour le traitement visé au paragraphe 2, point k), des mesures organisationnelles et techniques appropriées sont mises en oeuvre pour éviter la collecte et tout autre traitement de catégories particulières de données à caractère personnel. Lorsque, malgré la mise en oeuvre de ces mesures, le responsable du traitement constate la présence de catégories particulières de données à caractère personnel dans les ensembles de données utilisés à des fins d’entraînement, d’essais ou de validation ou dans le système d’IA ou le modèle d’IA, il supprime ces données. Si la suppression de ces données nécessite des efforts disproportionnés, le responsable du traitement protège en tout état de cause ces données de façon efficace et sans retard injustifié afin d’empêcher qu’elles soient utilisées pour produire des sorties ou qu’elles soient divulguées ou mises à la disposition de tiers d’une autre manière.».

Droit d’accès abusif :

Le paragraphe 3 entend clarifier la situation visée à l’article 12 du règlement (UE) 2016/679 (règlement général sur la protection des données)

• lorsque le droit d’accès est utilisé de manière abusive par les personnes concernées à des fins autres que la protection de leurs données à caractère personnel. En conséquence, le responsable du traitement pourrait refuser de donner suite à la demande ou exiger le paiement de frais raisonnables ;
• clarification des conditions permettant de démontrer qu’une demande d’accès était excessive.

À l’article 12, le paragraphe 5 est remplacé par le texte suivant:

«5. Aucun paiement n’est exigé pour fournir les informations au titre des articles 13 et 14 et pour procéder à toute communication et prendre toute mesure au titre des articles 15 à 22 et de l’article 34. Lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives,

notamment en raison de leur caractère répétitif, ou également, lorsqu’il s’agit de demandes au titre de l’article 15, parce que la personne concernée abuse des droits conférés par le présent règlement à des fins autres que la protection de ses données, le responsable du traitement peut:

a)            exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées; ou

b)           refuser de donner suite à ces demandes.

Il incombe au responsable du traitement de démontrer que la demande est manifestement infondée ou qu’il existe des motifs raisonnables de croire qu’elle est excessive.»

Suppression de l’Obligation d’information sous conditions

Condition de suppression d’obligation d’information par le responsable de traitement :

l’obligation du responsable du traitement d’informer les personnes concernées du traitement de leurs données à caractère personnel en vertu de l’article 13 du règlement (UE) 2016/679 est supprimée dans les situations où il existe des motifs raisonnables de supposer que la personne concernée dispose déjà des informations.

Exception à la suppression d’information

• Le responsable du traitement
  • transmet les données à d’autres destinataires ou catégories de destinataires,
  • transfère les données vers un pays tiers,
  • procède à une prise de décision automatisée
• le traitement est susceptible d’engendrer un risque élevé pour les droits de la personne concernée.

l’article 13, le paragraphe 4 est remplacé par le texte suivant:

«4. Les paragraphes 1, 2 et 3 ne s’appliquent pas lorsque les données à caractère personnel ont été collectées dans le cadre d’une relation claire et circonscrite entre des personnes concernées et un responsable du traitement exerçant une activité sans usage intensif de données et qu’il existe des motifs raisonnables de supposer que la personne concernée dispose déjà des informations visées au paragraphe 1, points a) et c), sauf si le responsable du traitement transmet les données à d’autres destinataires ou catégories de destinataires, les transfère vers un pays tiers, pratique la décision automatisée, y compris le profilage, au sens de l’article 22, paragraphe 1, ou que le traitement est susceptible de comporter un risque élevé pour les droits et libertés des personnes concernées au sens de l’article 35.».

Clarification des exigences relatives à la prise de décision individuelle automatisée

Sont clarifiées les exigences relatives à la prise de décision individuelle automatisée au titre de l’article 22 du règlement (UE) 2016/679 (règlement général sur la protection des données), dans le cadre de la conclusion ou de l’exécution d’un contrat entre la personne concernée et un responsable du traitement, en particulier le fait que l’exigence de «nécessité» est indépendante de la question de savoir si la décision pourrait être prise autrement que par des moyens exclusivement automatisés.

À l’article 22, les paragraphes 1 et 2 sont remplacés par le texte suivant:

«1. Une décision qui produit des effets juridiques à l’égard d’une personne concernée ou l’affecte de manière significative de façon similaire ne peut être fondée exclusivement sur un traitement automatisé, y compris le profilage, que si cette décision:

a) est nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne concernée et un responsable du traitement, que la décision puisse ou non être prise autrement que par des moyens exclusivement automatisés;

b) est autorisée par le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement est soumis et qui prévoit également des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée; ou

c) est fondée sur le consentement explicite de la personne concernée.».

Violation des données : révision de l’art 33 du RGPD

Limitation de la notification de la violation des données : existence d’un risque élevé pour les droits de la personne

Le paragraphe 8 vise à aligner l’obligation du responsable du traitement de notifier les violations de données à l’autorité de contrôle compétente en vertu de l’article 33 du règlement (UE) 2016/679 (règlement général sur la protection des données) sur l’obligation qui lui incombe d’informer les personnes concernées de ces violations en disposant que la notification n’est requise que si une violation de données est susceptible d’engendrer un risque élevé pour les droits de la personne concernée.

Prolongation du délai de notification à 96 heures

Le paragraphe 6 prolongerait également le délai de notification à 96 heures. Il est également proposé que les responsables du traitement utilisent le guichet unique lorsqu’ils notifient des violations de données à l’autorité de contrôle.

Proposition de modèle commun pour les notifications de violations de données par le CEPD

En outre, le comité européen de la protection des données serait tenu d’élaborer et de soumettre à la Commission une proposition de modèle commun pour les notifications de violations de données, que la Commission serait habilitée à adopter par voie d’acte d’exécution, après l’avoir révisée, le cas échéant.

L’article 33 est modifié comme suit:

(a) le paragraphe 1 est remplacé par le texte suivant:

«1. En cas de violation de données à caractère personnel susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement la notifie à l’autorité de contrôle compétente conformément à l’article 55 et à l’article 56, dans les meilleurs délais et, si possible, 96 heures au plus tard après en avoir pris connaissance, par l’intermédiaire du guichet unique mis en place en application de l’article 23 bis de la directive (UE) 2022/2555. Lorsque la notification à l’autorité de contrôle n’a pas lieu dans les 96 heures, elle est accompagnée des motifs du retard.»;

(b) le paragraphe suivant est ajouté:

«1 bis. Jusqu’à la mise en place du guichet unique en application de l’article 23 bis de la directive (UE) 2022/2555, les responsables du traitement continuent de notifier les violations de données à caractère personnel directement à l’autorité de contrôle compétente conformément à l’article 55 et à l’article 56.»;

(c) les paragraphes suivants sont ajoutés:

«6. Le comité élabore et transmet à la Commission une proposition contenant un modèle commun pour la notification d’une violation de données à caractère personnel à l’autorité de contrôle compétente visée au paragraphe 1, ainsi qu’une liste des circonstances dans lesquelles une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique. La proposition est soumise à la Commission dans un délai de [OP: date = neuf mois à compter de la date d’application du présent règlement]. La Commission, après l’avoir dûment examinée, la révise s’il y a lieu et est habilitée à l’adopter au moyen d’un acte d’exécution en conformité avec la procédure d’examen prévue à l’article 93, paragraphe 2.

7. Le modèle et la liste visés au paragraphe 6 sont réexaminés au moins tous les trois ans et, s’il y a lieu, mis à jour. Le comité soumet en temps utile son évaluation et d’éventuelles propositions de mise à jour à la Commission. La Commission, après les avoir dûment examinées, révise les propositions et est habilitée à adopter les éventuelles mises à jour conformément à la procédure

visée au paragraphe 6.»

AIPD : harmonisation des listes des traitements soumis à l’AIPD

Le paragraphe 9 vise à harmoniser les listes des activités de traitement qui nécessitent, ou qui ne nécessitent pas, une analyse d’impact relative à la protection des données en prévoyant qu’une liste unique des opérations de traitement qui nécessitent, ou qui ne nécessitent pas, une analyse d’impact relative à la protection des données soit fournie au niveau de l’Union, contribuant ainsi à l’harmonisation de la notion de risque élevé.

Le comité européen de la protection des données serait tenu :

•  d’élaborer des propositions pour ces listes.
• des propositions de modèle commun et de méthodologie commune pour la réalisation d’analyses d’impact relatives à la protection des données, que la Commission serait habilitée à adopter par voie d’acte d’exécution, après les avoir révisées, le cas échéant.

L’article 35 est modifié comme suit:

(a) les paragraphes 4, 5 et 6 sont remplacés par le texte suivant:

«4. Le comité élabore et transmet à la Commission une proposition de liste des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données est requise en vertu du paragraphe 1.

5. Le comité élabore et transmet à la Commission une proposition de liste des types d’opérations de traitement pour lesquelles aucune analyse d’impact relative à la protection des données n’est requise.

6. Le comité élabore et transmet à la Commission une proposition de modèle commun et de méthode commune pour la réalisation d’analyses d’impact relatives à la protection des données.»;

(b) les paragraphes suivants sont insérés:

«6 bis. Les propositions relatives aux listes visées aux paragraphes 4 et 5 et au modèle et à la méthode visés au paragraphe 6 sont soumises à la Commission dans un délai de [OP date = 9 mois à compter de la date d’application du présent règlement]. La Commission, après les avoir dûment examinées, les révise s’il y a lieu et est habilitée à les adopter au moyen d’un acte d’exécution en conformité avec la procédure d’examen prévue à l’article 93, paragraphe 2.

6 ter. Les listes ainsi que le modèle et la méthode visés au paragraphe 6 bis sont réexaminés au moins tous les trois ans et, s’il y a lieu, mis à jour. Lecomité soumet en temps utile son évaluation et d’éventuelles propositions demise à jour à la Commission. La Commission, après les avoir dûment examinées, révise les propositions et est habilitée à adopter les éventuellesmises à jour conformément à la procédure visée au paragraphe 6 bis.»

6 quater Les listes, établies et rendues publiques par les autorités de contrôle, des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données est requise et des types d’opérations de traitement pour lesquelles aucune analyse d’impact relative à la protection des données n’est requise restent valables jusqu’à ce que la Commission adopte l’acte d’exécution visé au paragraphe 6 bis.».

Evaluation des Données pseudonymisées : données personnelles ? risques de ré-identification

La Commission peut aider, en collaboration avec le comité européen de la protection des données, les responsables du traitement à évaluer si les données résultant de la pseudonymisation ne constituent pas des données à caractère personnel en précisant les moyens et critères pertinents pour une telle évaluation, y compris l’état de la technique en ce qui concerne les techniques et critères disponibles pour évaluer le risque de ré-identification.

L’article suivant est ajouté:

«Article 41 bis

1) La Commission peut adopter des actes d’exécution afin de préciser les moyens et les critères permettant de déterminer si les données résultant de la pseudonymisation ne constituent plus des données à caractère personnel pour certaines entités.

2) Aux fins du paragraphe 1, la Commission:

a) évalue l’état des techniques disponibles;

b) élabore des critères et/ou des catégories permettant aux responsables du traitement et aux destinataires d’évaluer le risque de réidentification à l’égard des destinataires types des données.

3) La mise en oeuvre des moyens et des critères définis dans un acte d’exécution est un élément pouvant servir à démontrer que les données ne sauraient conduire à une réidentification des personnes concernées.

4) La Commission associe étroitement le comité européen de la protection des données à la préparation des actes d’exécution. Le comité européen de la protection des données émet un avis sur les projets d’actes d’exécution dans un délai de 8 semaines à compter de la réception du projet de la Commission.

5) Les actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 93, paragraphe 3.».

L’article 57, paragraphe 1, est modifié comme suit:

(a) le point k) est supprimé.

12. À l’article 64, paragraphe 1, le point a) est supprimé.

13. À l’article 70, paragraphe 1, le point h) est supprimé.

14. À l’article 70, paragraphe 1, les points suivants sont insérés:

«h bis) d’élaborer et de transmettre à la Commission une proposition de liste des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données est requise et pour lesquelles aucune analyse d’impact relative à la protection des données n’est requise, conformément à l’article 35;

h ter) d’élaborer et de transmettre à la Commission une proposition de modèle commun et de méthode commune pour la réalisation d’analyses d’impact relatives à la protection des données, conformément à l’article 35;

h quater) d’élaborer et de transmettre à la Commission une proposition contenant un modèle commun pour la notification d’une violation de données à caractère personnel à l’autorité de contrôle compétente, ainsi qu’une liste des circonstances dans lesquelles une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, conformément à l’article 33.».

Intégration de dispositions de la directive 2002/58 (e-privacy) dans le RGPD

La directive 2002/58/CE concernant la protection de la vie privée dans le secteur des communications électroniques révisée en dernier lieu en 2009, s’applique à des données à caractère personnel collectées dans le cadre de communications électroniques. Elles sont soumises à une autre base juridique ,qui peut-être un consentement, lorsqu’elles sont soumises au RGPD

Bases légales pour le traitement des données

Si le consentement est requis pour garantir le contrôle des personnes concernées, il ne constitue pas la base juridique la plus appropriée pour un traitement ultérieur, par exemple lorsque le traitement est nécessaire à l’exécution d’un service autre que le service de la société de l’information. Cette situation a entraîné une insécurité juridique ainsi que des coûts de mise en conformité plus élevés pour les responsables du traitement qui traitent des données à caractère personnel obtenues au départ d’équipements terminaux. En outre, le double régime découlant de la directive «vie privée et communications électroniques» et du règlement général sur la protection des données a eu pour effet que des autorités nationales différentes sont compétentes pour superviser les règles des deux cadres juridiques.

Proposition

Il est proposé de simplifier immédiatement l’interaction entre les règles applicables. Le traitement des données à caractère personnel stockées sur des équipements terminaux ou émises à partir de ces équipements ne devrait être régi que par le règlement (UE) 2016/679, lequel intégrerait également l’exigence claire du consentement pour accéder à l’équipement terminal d’une personne physique lorsque des données à caractère personnel sont collectées.

Les modifications proposées prévoient également certaines finalités pour lesquelles il ne devrait pas être nécessaire d’obtenir le consentement et pour lesquelles le traitement ultérieur devrait être considéré comme licite, en particulier lorsqu’elles présentent un faible risque pour les droits et libertés des personnes concernées ou lorsque le placement de ces solutions technologiques est nécessaire à la fourniture d’un service demandé par la personne concernée.

La proposition prévoit l’intégration d’indications automatisées et lisibles par machine quant aux choix individuels ainsi que le respect de ces indications par les fournisseurs de sites web et d’applications mobiles et par les fournisseurs d’applications de téléphonie mobile une fois que des normes seront

Cette proposition s’appuie sur la modification de 2009 de la directive 2002/58/CE (directive «vie privée et communications électroniques») (voir le considérant 66 de la directive 2009/136/CE), qui incitait déjà à permettre l’expression du consentement de l’utilisateur par l’utilisation des paramètres appropriés d’un navigateur ou d’une autre application lorsque cela était techniquement possible et effectif;

La proposition habilite la Commission à demander aux organismes de normalisation d’élaborer un ensemble de normes pour l’encodage d’indications automatisées et lisibles par machine des choix des personnes concernées, ainsi que pour la communication de ces choix depuis les navigateurs vers les sites web et depuis les applications de téléphonie mobile vers les services web. Une fois ces informations disponibles, et après un délai de grâce de six mois, les responsables du traitement utilisant un site web ou des applications mobiles pour fournir leur service seront tenus de respecter les indications automatisées et lisibles par machine qui ont été encodées.

Dès lors que les responsables du traitement veillent à ce que leurs sites web ou applications de téléphonie mobile respectent ces normes, ils devraient bénéficier d’une présomption de conformité.

Sur cette base, il est attendu que des paramètres pertinents soient également mis au point dans les navigateurs. Les dispositions sont formulées d’une manière neutre sur le plan technologique, de sorte que d’autres outils, tels que l’IA agentique, pourraient également aider les utilisateurs à faire des choix en matière de consentement, pour autant que ces outils soient en mesure de garantir le respect des exigences du RGPD.

Traitement des données stockées sur des équipements terminaux

Le paragraphe 15 réforme le régime juridique relatif au traitement des données à caractère personnel stockées sur des équipements terminaux ou émises à partir de ces équipements («dispositifs connectés»), lequel relève actuellement de la directive 2002/58/CE (directive «vie privée et communications électroniques»).

Consentement pour stockage ou accès à des données déjà stockées sur les équipements terminaux (article 88 bis)

Un nouvel article 88 bis est inséré dans le règlement (UE) 2016/679 (règlement général sur la protection des données), qui prévoit l’exigence de consentement pour le stockage de données à caractère personnel ou pour l’accès à des données déjà stockées sur les équipements terminaux des personnes physiques, et qui intègre dans les dispositions du règlement (UE) 2016/679 (règlement général sur la protection des données) le traitement de données à caractère personnel stockées sur les équipements terminaux ou émises à partir de ces équipements.

«Article 88 bis

Traitement des données à caractère personnel dans l’équipement terminal des personnes physiques

1) Le stockage de données à caractère personnel, ou l’obtention de l’accès à des données à caractère personnel déjà stockées, dans l’équipement terminal d’une personne physique n’est permis que si cette personne a donné son consentement, conformément au présent règlement.

2) Le paragraphe 1 ne fait pas obstacle au stockage de données à caractère personnel, ou à l’obtention de l’accès à des données à caractère personnel déjà stockées, dans l’équipement terminal d’une personne physique, sur la base du droit de l’Union ou du droit d’un État membre au sens de l’article 6 et sous réserve des conditions qui y sont énoncées, afin de préserver les objectifs visés à l’article 23, paragraphe 1.

3) Le stockage de données à caractère personnel, ou l’obtention de l’accès à des données à caractère personnel déjà stockées, dans l’équipement terminal d’une personne physique à défaut de consentement, ainsi que leur traitement ultérieur, sont licites dans la mesure où ils sont nécessaires pour:

a) effectuer la transmission d’une communication électronique par la voie d’un réseau de communications électroniques;

b) fournir un service expressément demandé par la personne concernée;

c) créer des informations agrégées sur l’utilisation d’un service en ligne afin de mesurer l’audience de ce service, lorsque cette action est effectuée par le responsable du traitement de ce service en ligne pour son propre usage exclusif;

d) maintenir ou rétablir la sécurité d’un service fourni par le responsable du traitement et demandé par la personne concernée ou l’équipement terminal utilisé pour la fourniture de ce service.

4) Lorsque le stockage de données à caractère personnel, ou l’obtention de l’accès à des données à caractère personnel déjà stockées, dans l’équipement terminal d’une personne physique est fondé sur le consentement, les dispositions suivantes s’appliquent:

a) la personne concernée est en mesure de rejeter les demandes de consentement d’une manière simple et compréhensible au moyen d’un bouton à simple clic ou par un moyen équivalent;

b) si la personne concernée donne son consentement, le responsable du traitement ne présente pas de nouvelle demande de consentement pour la même finalité pendant la période au cours de laquelle le responsable du traitement peut licitement se fonder sur le consentement de la personne concernée;

c) si la personne concernée rejette une demande de consentement, le responsable du traitement ne présente pas de nouvelle demande de consentement pour la même finalité pendant une période d’au moins six mois.

Le présent paragraphe s’applique également au traitement ultérieur des données à caractère personnel fondé sur un consentement.

5) Le présent article est applicable à partir du [OP: prière d’insérer la date correspondant à 6 mois après la date d’entrée en vigueur du présent règlement].

Indications automatisées et lisibles par machine des choix individuels, (article 88 ter)

Un nouvel article 88 ter est inséré dans le règlement (UE) 2016/679 (règlement général sur la protection des données) concernant les indications automatisées et lisibles par machine des choix individuels, ainsi que le respect de ces indications par les fournisseurs de sites web une fois que des normes seront disponibles.

Article 88 ter

Indications automatisées et lisibles par machine quant aux choix de la personne concernée en ce qui concerne le traitement de données à caractère personnel dans l’équipement terminal des personnes physiques

1) Les responsables du traitement veillent à ce que leurs interfaces en ligne permettent aux personnes concernées:

a) de donner leur consentement par des moyens automatisés et lisibles par machine, pour autant que les conditions applicables au consentement énoncées dans le présent règlement soient remplies;

b) de rejeter une demande de consentement et d’exercer le droit d’opposition conformément à l’article 21, paragraphe 2, par des moyens automatisés et lisibles par machine.

2) Les responsables du traitement respectent les choix effectués par les personnes concernées conformément au paragraphe 1.

3) Les paragraphes 1 et 2 ne s’appliquent pas aux responsables du traitement qui sont des fournisseurs de services de médias lorsqu’ils fournissent un service de médias.

4) Conformément à l’article 10, paragraphe 1, du règlement (UE) nº 1025/2012, la Commission demande à une ou plusieurs organisations européennes de normalisation d’élaborer des normes pour l’interprétation des indications lisibles par machine quant aux choix des personnes concernées.

Les interfaces en ligne de responsables du traitement conformes à des normes harmonisées ou à des parties de normes harmonisées dont les références ont été publiées au Journal officiel de l’Union européenne sont présumées conformes aux exigences couvertes par ces normes ou parties de normes visées au paragraphe 1.

5) Les paragraphes 1 et 2 sont applicables à partir du [OP: prière d’insérer la date correspondant à 24 mois après la date d’entrée en vigueur du présent règlement].

6) Les fournisseurs de navigateurs internet qui ne sont pas des PME fournissent les moyens techniques permettant aux personnes concernées de donner leur consentement, de refuser une demande de consentement et d’exercer leur droit d’opposition en vertu de l’article 21, paragraphe 2, par les moyens automatisés et lisibles par machine visés au paragraphe 1 du présent article, en application des paragraphes 2 à 5 du présent article.

7) Le paragraphe 6 est applicable à partir du [OP: prière d’insérer la date correspondant à 48 mois après la date d’entrée en vigueur du présent règlement].

Traitement dans le cadre du développement et de l’exploitation de l’IA : Article 88 quater

Article 88 quater

Traitement dans le cadre du développement et de l’exploitation de l’IA

Lorsque le traitement de données à caractère personnel est nécessaire aux intérêts du responsable du traitement dans le cadre du développement et de l’exploitation d’un système d’IA au sens de l’article 3, point 1), du règlement (UE) 2024/1689 ou d’un modèle d’IA, ce traitement peut être réalisé aux fins d’intérêts légitimes au sens de l’article 6, paragraphe 1, point f), du règlement (UE) 2016/679, le cas échéant, à moins que le consentement soit expressément requis par d’autres dispositions du droit de l’Union ou du droit national et à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.

Ce traitement éventuel fait l’objet de mesures organisationnelles et techniques et de garanties appropriées pour les droits et libertés de la personne concernée, consistant notamment à veiller au respect de la minimisation des données au cours de la phase de sélection des sources et lors de l’entraînement et de l’essai d’un système d’IA ou d’un modèle d’IA, à prévenir la non-divulgation des données conservées de manière résiduelle dans le système d’IA ou le modèle d’IA, à garantir une transparence renforcée aux personnes concernées et à leur donner le droit inconditionnel de s’opposer au traitement de leurs données à caractère personnel.».

A suivre….

Décryptage des Modifications proposées par le « Digital omnibus » : volet data hors RGPD

Partager :

Opinion conjointe EDPB-EDPS sur l’IA et ses réglementations

23 janvier 2026 de l’IA / Digital omnibus on IA / EDPB / EDS / Evaluation de l’IA / IA

EU’s Digital Omnibus on AI: EDPB-EDPS Insights

Posted by escaramozzino

EDPB-EDPS JOINT OPINION 1/2026

 Proposal for a Regulation as regards the simplification of the implementation of harmonized rules on artificial intelligence (Digital Omnibus on AI)

Eléonore Scaramozzino, Avocate Constellation Avocats

On 19 November 2025, the European Commission issued a Proposal for a Regulation of the European Parliament and of the Council amending Regulations (EU) 2024/1689 and (EU) 2018/1139 as regards the simplification of the implementation of harmonised rules on artificial intelligence (Digital Omnibus on AI) (hereafter, ‘the Proposal’). On 25 November 2025, the Commission formally consulted the European Data Protection Board and the European Data (EDPB) and the Protection Supervisor (EDPS)  in accordance with Article 42(2) of Regulation (EU) 2018/1725. The EDPB and the EDPS adopted a joint opinion on 20 January 2026.

In this opinion, the EDPB and the EDPS:

• support the Proposal’s general objective to address certain implementation challenges of Regulation (EU) 2024/1689 (the ‘AI Act’), with a view to the effective application of the relevant rules ;
• support in principle the proposed extension of the legal basis allowing the exceptional processing of special categories of personal data for purposes of bias detection and correction. At the same time, to avoid potential abuse, the cases where providers and deployers would be able to rely on this legal ground in the context of non-high risk AI systems and models should be clearly circumscribed and limited to cases where the risk of adverse effects caused by such bias is sufficiently serious;
• recommend maintaining the standard of strict necessity currently applying for the processing of special categories of personal data for bias detection and correction in relation to high-risk AI systems ( article 10 (5), Article 10(2) (f)  and (g) AI Act);
• support the general aim of the Proposal to ease administrative burdens for operators ;
• recommend maintaining the obligation for providers to register AI systems in the EU database for high-risk systems also in the cases where the provider has concluded the system is – despite being referred to in Annex III (Article 6(3)) AI Act – not high risk.
• support the creation of EU-level AI regulatory sandboxes to promote innovation and help small and medium-sized enterprises (‘SMEs’) across the EEA (new article 57 (3a) AIA);
• suggest improvements to ensure better legal certainty:
• competent Data Protection Authorities (DPAs) should be involved in the operation and supervision of the corresponding data processing carried out in these sandboxes, in line with Regulation (EU) 2016/679 (‘the GDPR’);
  •  the competence of DPAs in these sandboxes and its interplay with the GDPR cooperation mechanism should be clarified;
  • the EDPB should have
    • (1) an advisory role to ensure consistency on data protection aspects, specifically in cases where several DPAs would be concerned by the EU-level AI sandbox, and
    • (2) the status of observer at the European Artificial Intelligence Board.
• welcome the introduction of the requirement for active cooperation between the AI Office and authorities involved in the application of AI Act for the supervision of AI systems based on a general-purpose AI model, where the provider of the model is also the provider of the system (particularly where there are risks to the fundamental rights to privacy and data protection).
• recommend to clearly delimitate the types of general-purpose AI models that would trigger the exclusive competence of the AI Office, to ensure effective supervision of such AI systems.
• support the goal of streamlining cooperation between fundamental rights authorities or bodies (‘FRABs’) and market surveillance authorities (‘MSAs’) The central point of contact to increase efficiency is welcomed ;
• BUT recommend:
  • clarifying the role of the MSAs as administrative points of contact for the execution and transmission of requests to providers and deployers; 
  • ensuring that the proposed change does not affect the independence and powers of DPAs; 
  • adding details to the Proposal, such as requiring MSAs to provide the information requested by FRABs without undue delay; 
  • further clarifying the new obligation for cooperation and mutual assistance between MSAs and FRABs, particularly for cross-border cases.
• consider that AI systems providers and deployers should not be released from their obligation to ensure that their staff have a sufficient level of AI literacy, as it helps raising ethical and social awareness on AI benefits and risks :
  • If this new obligation to foster AI literacy is maintained, it should apply in addition to the current obligation applying to AI systems providers and deployers, instead of replacing it.
• express concerns on proposed postponement of the application of a number of core provisionsof AI Act (According to the Proposal, the cut-off date would be changed from 2 August 2026 to 2 December 2027 for high-risk AI systems in Annex III, and 2 August 2028 as regards high-risk AI systems in Annex I.) in particular about the potential impact on the protection of fundamental rights in the fast-evolving AI landscape :
  • invite the co-legislators to consider whether it would be appropriate and feasible to maintain the current timeline for certain obligations, e.g. on transparency ;
  • if the proposed delay is adopted, call for concerted actions in order to minimize the delay to the extent possible.
  • https://escaramozzino.legal/wp-content/uploads/2026/01/DIGITAL-OMNIBUS-PACKAGE-opinion-EDPB.pdf

Proposition de règlement Omnibus : Simplification de l’IA

Simplification du Règlement Omnibus sur l’IA : Dates clés et principales mesures

Posted by escaramozzino

Décryptage de la Proposition de règlement Omnibus numérique sur l’IA

COM(2025) 836 final

Eléonore Scaramozzino, Avocate Constellation Avocats

Le 19 novembre 2025, la Commission a proposé des mesures de simplification ciblées afin de garantir une mise en œuvre rapide et proportionnée de certaines dispositions de la législation sur l’IA.

Cette proposition de mesures de simplification ciblées relatives au Régle ment sur l’IA s’inscrit dans le cadre plus large d’un paquet numérique sur la simplification, composé de mesures visant à réduire les coûts administratifs de mise en conformité pour les entreprises et les administrations dans l’UE, qui s’applique à plusieurs règlements de l’acquis numérique de l’UE sans compromettre les objectifs des règles sous-jacentes. La proposition s’appuie sur le règlement (UE) 2024/1689 et est alignée sur les politiques existantes visant à faire de l’UE un acteur mondial de premier plan dans le domaine de l’IA, à faire de l’UE un continent de l’IA et à promouvoir l’adoption d’une IA axée sur l’humain et digne de confiance.

1-Objectifs

Objectifs généraux

• Renforcer le suivi et la surveillance de certaines catégories de systèmes d’IA par le Bureau de l’IA.
• Faciliter le développement et la mise à l’essai, au niveau de l’UE, de systèmes d’IA innovants soumis à une surveillance réglementaire stricte avant que ces systèmes ne soient mis sur le marché ou mis en service d’une autre manière

Objectifs spécifiques

• Améliorer la gouvernance et l’application effective des dispositions du règlement sur l’IA relatives aux systèmes d’IA en renforçant les pouvoirs et les procédures applicables et en prévoyant de nouvelles ressources pour le Bureau de l’IA chargé de l’application.
• Prévoir la mise en place d’un bac à sable au niveau de l’UE, permettant des activités et des essais transfrontières.

2- Retard dans l’entrée en application du règlement sur l’IA 

2.1- Différentes étapes

Le règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle (ci-après le «règlement sur l’IA»), entré en vigueur le 1er août 2024, établit un marché unique de l’intelligence artificielle (ci-après l’«IA») digne de confiance dans l’ensemble de l’UE.

L’entrée en application du règlement sur l’IA se fait par étapes, toutes les règles entrant  en application au plus tard le 2 août 2027.

• Les interdictions de pratiques en matière d’IA présentant des risques inacceptables et les obligations liées aux modèles d’IA à usage général sont déjà applicables.
• Mais, la plupart des dispositions, en particulier celles régissant les systèmes d’IA à haut risque, ne commenceront à s’appliquer qu’à partir du 2 août 2026 ou du 2 août 2027.

Ces dispositions comprennent des exigences détaillées en matière de gouvernance des données, de transparence, de documentation, de contrôle humain et de robustesse, afin de garantir que les systèmes d’IA mis sur le marché de l’UE sont sûrs, transparents et fiables.

2.2-Pourquoi retarder l’application du RIA ?

L’existence de difficultés de mise en œuvre susceptibles de compromettre l’entrée en application effective de dispositions essentielles du règlement sur l’IA, notamment

• retards dans la désignation des autorités nationales compétentes ;
  • retards dans les organismes d’évaluation de la conformité,
  •  l’absence de normes harmonisées pour les exigences applicables aux systèmes à haut risque,
  • absence des orientations et des outils de conformité du règlement sur l’IA.

risquent d’augmenter considérablement les coûts de mise en conformité pour les entreprises et les pouvoirs publics et de ralentir l’innovation.

2.3- Proposition d’application du RIA

3-Mesures de simplification ciblées proposées

La Commission propose des mesures de simplification ciblées de certaines dispositions du règlement sur l’IA. Parmi celles-ci:

• lier le calendrier de mise en œuvre des règles relatives aux systèmes d’IA à haut risque à la disponibilité de normes ou d’autres outils de soutien;
• étendre aux petites entreprises à moyenne capitalisation les simplifications réglementaires accordées aux petites et moyennes entreprises (PME), y compris pour ce qui concerne les exigences simplifiées en matière de documentation technique et l’attention particulière dans l’application des sanctions;
• exiger de la Commission et des États membres qu’ils favorisent la maîtrise de l’IA, plutôt que d’imposer de vagues obligations aux fournisseurs et aux acteurs qui déploient des systèmes d’IA à cet égard, tout en maintenant des obligations de formation pour ceux qui déploient des systèmes d’IA à haut risque;
• offrir une plus grande souplesse dans la surveillance après commercialisation en supprimant la prescription d’un plan harmonisé de surveillance après commercialisation;
• réduire la charge liée à l’enregistrement pour les fournisseurs de systèmes d’IA qui sont utilisés dans des domaines à haut risque mais pour lesquels le fournisseur a conclu qu’ils ne sont pas à haut risque, étant donné qu’ils ne sont utilisés que pour des tâches restreintes ou procédurales;
• centraliser la surveillance d’un grand nombre de systèmes d’IA fondés sur des modèles d’IA à usage général ou intégrés dans de très grandes plateformes en ligne et de très grands moteurs de recherche auprès du Bureau de l’IA;
• faciliter le respect de la législation en matière de protection des données en permettant aux fournisseurs et aux déployeurs de tous les systèmes et modèles d’IA de traiter des catégories particulières de données à caractère personnel afin d’assurer la détection et la correction des biais, avec les garanties appropriées;
• une utilisation plus large des bacs à sable réglementaires de l’IA et des essais en conditions réelles, qui profitera à des secteurs clés en Europe, et la facilitation d’un bac à sable réglementaire de l’IA au niveau de l’UE que le Bureau de l’IA mettra en place à partir de 2028;
•  des modifications ciblées clarifiant l’interaction entre le règlement sur l’IA et d’autres actes législatifs de l’UE et adaptant les procédures du règlement sur l’IA

4- Autres mesures supplémentaires pour faciliter le respect du règlement sur l’IA

• Adoption de lignes directrices :

des lignes directrices  sur l’application pratique de la classification à haut risque ;

des lignes directrices  sur l’application pratique des exigences de transparence prévues à l’article 50 du règlement sur l’IA,

des orientations sur la notification des incidents graves par les fournisseurs de systèmes d’IA à haut risque;

des lignes directrices sur l’application pratique des exigences relatives aux systèmes d’IA à haut risque;

des lignes directrices sur l’application pratique des obligations incombant aux fournisseurs et aux déployeurs de systèmes d’IA à haut risque;

des lignes directrices assorties d’un modèle pour l’analyse d’impact sur les droits fondamentaux;

des lignes directrices sur l’application pratique des règles relatives aux responsabilités tout au long de la chaîne de valeur de l’IA;

des lignes directrices sur l’application pratique des dispositions relatives aux modifications substantielles;

des lignes directrices sur la surveillance après commercialisation des systèmes d’IA à haut risque

des lignes directrices sur les éléments du système de gestion de la qualité auxquels les PME et les petites entreprises à moyenne capitalisation peuvent se conformer de manière simplifiée;

des lignes directrices sur l’interaction entre le règlement sur l’IA et d’autres actes législatifs de l’Union,

des lignes directrices sur les compétences et la procédure de désignation des organismes d’évaluation de la conformité à désigner en vertu du règlement sur l’IA.

• Adoption d’orientations sur l’application pratique des exemptions en matière de recherche prévues à l’article 2, paragraphes 6 et 8, du règlement sur l’IA, y compris sur la manière dont elles s’appliquent dans des contextes sectoriels tels que la recherche préclinique et le développement de produits dans le domaine des médicaments ou des dispositifs médicaux, sur lesquels la Commission travaillera en priorité.

5- Focus sur certaines dispositions de la proposition modifiant le RIA

5.1- Détection de biais : base juridique pour traiter « des catégories particulières de données à caractère personnel »

L’article 1er paragraphe 5 modifie le RIA en introduisant un nouvel article 4 bis, remplaçant l’article 10, paragraphe 5, du règlement sur l’IA : L’objectif est de permettre aux fournisseurs et aux déployeurs de systèmes d’IA et de modèles d’IA de traiter des catégories particulières de données à caractère personnel, à titre exceptionnel, dans la mesure nécessaire aux fins de la détection et de la correction des biais, sous réserve de certaines conditions. 

La base juridique est établie conformément à l’article 9, paragraphe 2, point g), du règlement (UE) 2016/679 (RGPD) et à l’article 10, paragraphe 2, point g), du règlement (UE) 2018/1725, et l’article 10, point a), de la directive (UE) 2016/680 fournit une base juridique permettant, lorsque cela est nécessaire pour détecter et éliminer les biais, le traitement de catégories particulières de données à caractère personnel par les fournisseurs et les déployeurs de tous les systèmes et modèles d’IA, sous réserve de garanties appropriées qui complètent le règlement (UE) 2016/679 (RGPD), le règlement (UE) 2018/1725 et la directive (UE) 2016/680, selon le cas.

«Article 4 bis Traitement de catégories particulières de données à caractère personnel à des fins de détection et de correction des biais   1-. Dans la mesure nécessaire à la détection et à la correction des biais en ce qui concerne les systèmes d’IA à haut risque, conformément à l’article 10, paragraphe 2, points f) et g), du présent règlement, les fournisseurs de ces systèmes peuvent exceptionnellement traiter des catégories particulières de données à caractère personnel, sous réserve de garanties appropriées pour les droits et libertés fondamentaux des personnes physiques. Outre les garanties prévues dans les règlements (UE) 2016/679 et (UE) 2018/1725 et dans la directive (UE) 2016/680, selon le cas, toutes les conditions suivantes doivent être réunies pour que ce traitement puisse avoir lieu:   a) la détection et la correction des biais ne peuvent être satisfaites de manière efficace en traitant d’autres données, y compris des données synthétiques ou anonymisées;   b) les catégories particulières de données à caractère personnel sont soumises à des limitations techniques relatives à la réutilisation des données à caractère personnel, ainsi qu’aux mesures les plus avancées en matière de sécurité et de protection de la vie privée, y compris la pseudonymisation;   c) les catégories particulières de données à caractère personnel font l’objet de mesures visant à garantir que les données à caractère personnel traitées sont sécurisées, protégées et soumises à des garanties appropriées, y compris des contrôles stricts et une documentation de l’accès, afin d’éviter toute mauvaise utilisation et de veiller à ce que seules les personnes autorisées ayant des obligations de confidentialité appropriées aient accès à ces données à caractère personnel;   d) les catégories particulières de données à caractère personnel ne sont pas transmises, transférées ou consultées d’une autre manière par d’autres parties;   e) les catégories particulières de données à caractère personnel sont supprimées une fois que le biais a été corrigé ou que la période de conservation des données à caractère personnel a expiré, selon celle de ces deux échéances qui arrive en premier;   f) les registres des activités de traitement visés dans les règlements (UE) 2016/679 et (UE) 2018/1725 et dans la directive (UE) 2016/680 comprennent les raisons pour lesquelles le traitement des catégories particulières de données à caractère personnel était nécessaire pour détecter et corriger les biais, ainsi que la raison pour laquelle cet objectif n’a pas pu être atteint par le traitement d’autres données.   2. Le paragraphe 1 peut s’appliquer aux fournisseurs et aux déployeurs d’autres systèmes et modèles d’IA et aux déployeurs de systèmes d’IA à haut risque, lorsque cela est nécessaire et proportionné, si le traitement a lieu aux fins qui y sont énoncées et pour autant que les conditions énoncées dans les garanties prévues au présent paragraphe soient remplies.»;

5.2- Suppression d’enregistrer les SIA dans la base de données

Les paragraphes 6, 14 et 32 font référence à la suppression de l’obligation pour les fournisseurs d’enregistrer les systèmes d’IA dans la base de données de l’UE pour les systèmes à haut risque au titre de l’annexe III lorsqu’ils ne sont pas considérés comme systèmes à haut risque au titre de l’article 6, paragraphe 3, du règlement sur l’IA, parce qu’ils ne sont par exemple utilisés que pour des tâches préparatoires.

• « obligation d’enregistrer les systèmes d’IA visés à l’article 6, paragraphe 3, du règlement (UE) 2024/1689 dans la base de données de l’UE conformément à l’article 49, paragraphe 2, dudit règlement ».

Étant donné que ces systèmes ne sont pas considérés comme à haut risque dans certaines conditions dès lors qu’ils ne présentent pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes, l’imposition d’exigences d’enregistrement constituerait une charge disproportionnée en matière de mise en conformité.

Néanmoins, un fournisseur qui considère qu’un système d’IA relève de l’article 6, paragraphe 3, reste tenu de documenter son évaluation avant que ce système ne soit mis sur le marché ou mis en service. Cette évaluation peut être demandée par les autorités nationales compétentes.

5.3- SMQ et documentation technique adaptés aux PME

Les paragraphes 8 et 9 étendent aux petites entreprises à moyenne capitalisation les privilèges réglementaires existants du règlement sur l’IA pour les PME en ce qui concerne la documentation technique et la mise en place d’un système de gestion de la qualité qui tient compte de leur taille.

5.4- Clarification de la procédure d’évaluation de la conformité

Le paragraphe 13 clarifie la procédure d’évaluation de la conformité prévue à l’article 43 du règlement sur l’IA lorsqu’un système d’IA à haut risque est couvert par la législation d’harmonisation de l’Union énumérée à l’annexe I, section A, du règlement sur l’IA et lorsqu’un système d’IA est classé comme étant à haut risque à la fois en vertu de l’annexe I et de l’annexe III du règlement sur l’IA.

5.5-Bac à sable réglementaire

 Modifications à l’article 57 du règlement sur l’IA

• en fournissant au Bureau de l’IA la base juridique lui permettant d’introduire un bac à sable réglementaire au niveau de l’UE pour certains systèmes d’IA relevant de sa compétence exclusive de surveillance et d’exiger des États membres qu’ils renforcent la coopération transfrontière de leurs bacs à sable.

l’article 57 est modifié comme suit: (a)          le paragraphe 3 bis suivant est inséré: «3 bis Le Bureau de l’IA peut également mettre en place un bac à sable réglementaire de l’IA au niveau de l’Union pour les systèmes d’IA relevant de l’article 75, paragraphe 1. Ce bac à sable réglementaire de l’IA est mis en œuvre en étroite coopération avec les autorités compétentes concernées, en particulier lorsque le respect de la législation de l’Union autre que le présent règlement est supervisé dans le cadre du bac à sable réglementaire de l’IA, et fournit un accès prioritaire aux PME.»;   (b)          le paragraphe 5 est remplacé par le texte suivant: «5. Les bacs à sable réglementaires de l’IA établis en vertu du présent article offrent un environnement contrôlé qui favorise l’innovation et facilite le développement, l’entraînement, la mise à l’essai et la validation de systèmes d’IA innovants pendant une durée limitée avant leur mise sur le marché ou leur mise en service conformément à un plan spécifique de bac à sable convenu entre les fournisseurs ou fournisseurs potentiels et l’autorité compétente, en veillant à ce que des garanties appropriées soient en place. Ces bacs à sable peuvent comprendre des essais en conditions réelles qui y sont supervisés. Le cas échéant, le plan du bac à sable intègre dans un document unique le plan d’essais en conditions réelles.»;   (c)          au paragraphe 9, le point e) est remplacé par le texte suivant: «e) faciliter et accélérer l’accès au marché de l’Union pour les systèmes d’IA, en particulier lorsqu’ils sont fournis par des PEMC et des PME, y compris des jeunes pousses.»;   (d)          le paragraphe 13 est remplacé par le texte suivant: «13. Les bacs à sable réglementaires de l’IA sont conçus et mis en œuvre de manière à faciliter la coopération transfrontière entre les autorités nationales compétentes.»;   (e)          le paragraphe 14 est remplacé par le texte suivant: «14. Les autorités nationales compétentes coordonnent leurs activités et coopèrent dans le cadre du Comité IA. Elles soutiennent la mise en place et l’exploitation conjointes de bacs à sable réglementaires de l’IA, y compris dans des secteurs différents.»;

Modification de l’article 58

• Précision sur l’habilitation de la Commission à adopter des actes d’exécution précisant les modalités détaillées de mise en place, de développement, de mise en œuvre, d’exploitation et de surveillance des bacs à sable réglementaires de l’IA.
• Renforcement de la coopération au niveau de l’Union en ce qui concerne les bacs à sable réglementaires de l’IA, et extension du champ d’application des tests en conditions réelles en dehors des bacs à sable réglementaires de l’IA aux systèmes d’IA à haut risque couverts par la législation d’harmonisation de l’Union énumérée à l’annexe I dudit règlement.
• En particulier, afin de permettre une simplification des procédures, le cas échéant, dans les projets supervisés dans les bacs à sable réglementaires de l’IA qui comprennent également des essais en conditions réelles, le plan d’essais en conditions réelles
  • intégration dans le plan de bac à sable approuvé par les fournisseurs ou fournisseurs potentiels et l’autorité compétente dans un document unique ;
  •  possibilité pour le Bureau de l’IA de mettre en place un bac à sable réglementaire de l’IA au niveau de l’Union pour les systèmes d’IA qui relèvent de l’article 75, paragraphe 1, du règlement (UE) 2024/1689.

l’article 58, le paragraphe 1 est remplacé par le texte suivant: «1. Afin d’éviter une fragmentation à travers l’Union, la Commission adopte des actes d’exécution précisant les modalités détaillées de mise en place, de développement, de mise en œuvre, d’exploitation, de gouvernance et de surveillance des bacs à sable réglementaires de l’IA. Les actes d’exécution contiennent des principes communs sur les questions suivantes: a) les critères d’éligibilité et de sélection pour la participation au bac à sable réglementaire de l’IA; b) les procédures de demande, de surveillance, de sortie et d’expiration du bac à sable réglementaire de l’IA, ainsi que de participation à celui-ci, y compris le plan du bac à sable et le rapport de sortie; c) les conditions applicables aux participants; d) les règles détaillées applicables à la gouvernance des bacs à sable réglementaires de l’IA visés à l’article 57, y compris en ce qui concerne l’exercice des tâches des autorités compétentes ainsi que la coordination et la coopération aux niveaux national et de l’Union.»;

5.6- Essais et tests en conditions réelles de systèmes d’IA à haut risque

Modification de l’article 60

 Modifications aux essais de systèmes d’IA à haut risque en conditions réelles en dehors des bacs à sable réglementaires de l’IA régis par l’article 60 du règlement sur l’IA, notamment en étendant cette possibilité aux systèmes d’IA à haut risque couverts par l’annexe I, section A.

l’article 60 est modifié comme suit: (a)          au paragraphe 1, le premier alinéa est remplacé par le texte suivant: «Les essais de systèmes d’IA à haut risque en conditions réelles en dehors des bacs à sable réglementaires de l’IA peuvent être effectués par les fournisseurs ou fournisseurs potentiels de systèmes d’IA à haut risque énumérés à l’annexe III ou relevant de la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, section A, conformément au présent article et au plan d’essais en conditions réelles visé au présent article, sans préjudice des interdictions prévues à l’article 5.»; (b)          le paragraphe 2 est remplacé par le texte suivant: «2. Les fournisseurs ou fournisseurs potentiels peuvent effectuer, seuls ou en partenariat avec un ou plusieurs déployeurs ou déployeurs potentiels, des essais des systèmes d’IA à haut risque visés à l’annexe III ou relevant de la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, section A, en conditions réelles, à tout moment avant la mise sur le marché ou la mise en service du système d’IA concerné.»;

Essais des systèmes d’IA à haut risque relevant de la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, section B, en conditions réelles en dehors des bacs à sable réglementaires de l’IA

 Le paragraphe 20 crée une base juridique supplémentaire permettant aux États membres intéressés et à la Commission, sur une base volontaire, de conclure des accords écrits pour tester les systèmes d’IA à haut risque visés à l’annexe I, section B, en conditions réelles.

Afin de favoriser l’innovation, il convient également d’étendre le champ d’application des essais en conditions réelles en dehors des bacs à sable réglementaires de l’IA visés à l’article 60 du règlement (UE) 2024/1689, actuellement applicables aux systèmes d’IA à haut risque énumérés à l’annexe III dudit règlement, et de permettre aux fournisseurs et fournisseurs potentiels de systèmes d’IA à haut risque couverts par la législation d’harmonisation de l’Union énumérés à l’annexe I dudit règlement de tester également ces systèmes en conditions réelles. Ceci est sans préjudice du droit de l’Union ou du droit national relatif aux essais en conditions réelles de systèmes d’IA à haut risque liés aux produits qui relèvent de la législation d’harmonisation de l’Union.

Pour faire face à la situation spécifique des systèmes d’IA à haut risque couverts par la législation d’harmonisation de l’Union énumérée à l’annexe I, section B, dudit règlement, il est nécessaire d’autoriser la conclusion d’accords volontaires entre la Commission et les États membres afin de permettre la mise à l’essai de ces systèmes d’IA à haut risque en conditions réelles.

«Article 60 bis Essais des systèmes d’IA à haut risque relevant de la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, section B, en conditions réelles en dehors des bacs à sable réglementaires de l’IA   Les essais de systèmes d’IA à haut risque en conditions réelles en dehors des bacs à sable réglementaires de l’IA peuvent être effectués par les fournisseurs ou fournisseurs potentiels de produits dotés d’IA relevant de la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, section B, conformément au présent article et à un accord volontaire sur les essais en conditions réelles, sans préjudice des interdictions prévues à l’article 5.   L’accord volontaire sur les essais en conditions réelles visé au paragraphe 1 est conclu par écrit entre les États membres intéressés et la Commission. Il fixe les exigences relatives aux essais en conditions réelles des produits dotés d’IA relevant de la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, section B.   Les États membres, la Commission, les autorités de surveillance du marché et les autorités publiques chargées de la gestion et de l’exploitation des infrastructures et des produits relevant de la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, section B coopèrent étroitement entre eux et de bonne foi. Ils suppriment tout obstacle pratique, y compris en ce qui concerne les règles de procédure donnant accès aux infrastructures publiques physiques, lorsque cela est nécessaire, pour mettre en œuvre efficacement l’accord volontaire sur les essais en conditions réelles et tester les produits dotés d’IA relevant de la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, section B.           Les signataires de l’accord volontaire sur les essais en conditions réelles précisent les conditions des essais en conditions réelles et établissent des éléments détaillés du plan d’essais en conditions réelles pour les systèmes d’IA relevant de la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, section B.   5.            L’article 60, paragraphes 2, 5 et 9, s’applique.»;

5.7-Simplification de compliance au SMQ pour les PME

Le paragraphe 21 étend aux PME la dérogation accordée aux microentreprises leur permettant de se conformer de manière simplifiée à certains éléments du système de gestion de la qualité requis par l’article 17 du règlement sur l’IA.

L’article 63 du règlement (UE) 2024/1689 offre aux microentreprises qui fournissent des systèmes d’IA à haut risque la possibilité de bénéficier d’une manière simplifiée de se conformer à l’obligation d’établir un système de gestion de la qualité. Afin de faciliter le respect des règles par un plus grand nombre d’innovateurs, cette possibilité devrait être étendue à toutes les PME, y compris les jeunes pousses.

l’article 63, paragraphe 1, est remplacé par le texte suivant: «1. Les PME, y compris les jeunes pousses, peuvent se conformer de manière simplifiée à certains éléments du système de gestion de la qualité requis par l’article 17. À cette fin, la Commission élabore des lignes directrices sur les éléments du système de gestion de la qualité qui peuvent être respectés de manière simplifiée en tenant compte des besoins des PME, sans affecter le niveau de protection ni la nécessité de se conformer aux exigences relatives aux systèmes d’IA à haut risque.»;

5.8-Surveillance après commercialisation

Modification article 72

pouvoir conféré à la Commission à l’article 72 du  règlement sur l’IA d’adopter un acte d’exécution en ce qui concerne le plan de  surveillance après commercialisation.

à l’article 72, le paragraphe 3 est remplacé par le texte suivant: «3. Le système de surveillance après commercialisation repose sur un plan de surveillance après commercialisation. Le plan de surveillance après commercialisation fait partie de la documentation technique visée à l’annexe IV. La Commission adopte des orientations sur le plan de surveillance après commercialisation.»;

«Surveillance du marché et contrôle des systèmes d’IA et assistance mutuelle»

•             Le paragraphe 25 apporte des modifications à la surveillance et au contrôle de  l’application de certains systèmes d’IA à l’article 75 du règlement sur l’IA:

• renforce la compétence du Bureau de l’IA en matière de surveillance et de contrôle de l’application de certains systèmes d’IA fondés sur un modèle d’IA à usage général lorsque le modèle et le système sont fournis par le même prestataire. Dans le même temps, la disposition précise que les systèmes d’IA liés à des produits couverts par l’annexe I ne sont pas inclus dans cette surveillance. En outre, il est précisé que la surveillance et le contrôle de la conformité des systèmes d’IA intégrés dans de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne désignés devraient relever de la compétence du Bureau de l’IA ;
• La Commission organise et effectue des évaluations de la conformité et des essais avant la mise sur le marché des systèmes d’IA visés au paragraphe 1 qui sont classés comme étant à haut risque et font l’objet d’une évaluation de la conformité par un tiers en vertu de l’article 43, avant que ces systèmes d’IA ne soient mis sur le marché ou mis en service

(b)          le paragraphe 1 est remplacé par le texte suivant:   «1. Lorsqu’un système d’IA est fondé sur un modèle d’IA à usage général, à l’exclusion des systèmes d’IA liés à des produits relevant de la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, et que ce modèle et ce système sont développés par le même fournisseur, le Bureau de l’IA est seul compétent pour surveiller ce système et contrôler qu’il respecte les obligations prévues par le présent règlement, conformément aux tâches et responsabilités qu’il assigne aux autorités de surveillance du marché. Le Bureau de l’IA est également seul compétent pour la surveillance et le contrôle du respect des obligations prévues par le présent règlement en ce qui concerne les systèmes d’IA qui constituent une très grande plateforme en ligne ou un très grand moteur de recherche en ligne au sens du règlement (UE) 2022/2065 ou qui sont intégrés dans une telle plateforme ou un tel moteur.   Lorsqu’il effectue ses tâches de surveillance et de contrôle de l’application conformément au premier alinéa, le Bureau de l’IA dispose de tous les pouvoirs d’une autorité de surveillance du marché prévus dans la présente section et dans le règlement (UE) 2019/1020.   Le Bureau de l’IA est habilité à prendre des mesures et des décisions appropriées pour exercer correctement ses pouvoirs de surveillance et de contrôle de l’application. L’article 14 du règlement (UE) 2019/1020 s’applique mutatis mutandis.   Les autorités participant à l’application du présent règlement coopèrent activement dans l’exercice de ces pouvoirs, en particulier lorsque des mesures d’exécution doivent être prises sur le territoire d’un État membre.»;

(c)         les paragraphes 1 bis à 1 quater suivants sont insérés:   «1 bis. La Commission adopte un acte d’exécution pour définir les pouvoirs du Bureau de l’IA en matière de contrôle de l’application et les procédures pour l’exercice de ces pouvoirs, y compris sa capacité à imposer des sanctions, telles que des amendes ou d’autres sanctions administratives, conformément aux conditions et aux plafonds définis à l’article 99, en ce qui concerne les systèmes d’IA visés aux paragraphes 1 et 1 bis du présent article qui sont jugés non conformes au présent règlement, dans le cadre de ses tâches de contrôle et de surveillance au titre du présent article.».   «1 ter. L’article 18 du règlement (UE) 2019/1020 s’applique mutatis mutandis aux fournisseurs de systèmes d’IA visés au paragraphe 1, sans préjudice des droits procéduraux plus spécifiques prévus par le présent règlement.»   «1 quater. La Commission organise et effectue des évaluations de la conformité et des essais avant la mise sur le marché des systèmes d’IA visés au paragraphe 1 qui sont classés comme étant à haut risque et font l’objet d’une évaluation de la conformité par un tiers en vertu de l’article 43, avant que ces systèmes d’IA ne soient mis sur le marché ou mis en service. Ces essais et évaluations ont pour objet de vérifier que les systèmes sont conformes aux exigences pertinentes du présent règlement et peuvent être mis sur le marché ou mis en service dans l’Union conformément au présent règlement. La Commission peut confier la réalisation de ces essais ou évaluations à des organismes notifiés désignés en vertu du présent règlement, auquel cas l’organisme notifié agit au nom de la Commission.    L’article 34, paragraphes 1 et 2, s’applique mutatis mutandis à la Commission lorsqu’elle exerce les pouvoirs qui lui sont conférés par le présent paragraphe. Les redevances pour les activités d’essai et d’évaluation sont perçues auprès du fournisseur d’un système d’IA à haut risque qui a demandé à la Commission une évaluation de la conformité par un tiers. Les coûts liés aux services confiés par la Commission aux organismes notifiés conformément au présent article sont directement payés par le fournisseur à l’organisme notifié.»;

nécessaire de clarifier le rôle du Bureau de l’IA dans le suivi et la supervision de la conformité de ces systèmes d’IA avec le règlement (UE) 2024/1689, tout en excluant les systèmes d’IA liés à des produits couverts par la législation d’harmonisation de l’Union énumérés à l’annexe I dudit règlement.

Si les autorités sectorielles restent responsables de la surveillance des systèmes d’IA liés aux produits couverts par cette législation d’harmonisation de l’Union, l’article 75, paragraphe 1, du règlement (UE) 2024/1689 devrait être modifié afin d’inclure tous les systèmes d’IA fondés sur des modèles d’IA à usage général développés par le même fournisseur dans le champ d’application de la surveillance du Bureau de l’IA.

Exclusion : Des systèmes d’IA mis sur le marché, mis en service ou utilisés par les institutions, organes ou organismes de l’Union, qui sont placés sous le contrôle du Contrôleur européen de la protection des données conformément à l’article 74, paragraphe 9, du règlement (UE) 2024/1689.

Afin d’assurer une surveillance efficace de ces systèmes d’IA conformément aux tâches et responsabilités confiées aux autorités de surveillance du marché en vertu du règlement (UE) 2024/1689, le Bureau de l’IA sera habilité à prendre les mesures et décisions appropriées pour exercer de manière adéquate les pouvoirs qui lui sont conférés par ladite section et par le règlement (UE) 2019/1020 du Parlement européen et du Conseil.

Centralisation des pouvoirs des autorités de surveillance du marché au sein du Bureau de l’IA

Rôle du bureau de l’IA :

Supervision par le bureau de l’IA de l’évaluation des modèles d’IA à usage général et de contrôle de leur conformité.

Le Bureau de l’IA sera habilité à

• contrôler et à surveiller la conformité de tous les systèmes d’IA fondés sur des modèles d’IA à usage général (GPAI), lorsque le modèle et le système sont mis au point par le même fournisseur, ainsi que de tous les systèmes d’IA intégrés dans de très grandes plateformes en ligne ou de très grands moteurs de recherche ou constituant de telles plateformes ou de tels moteurs, même si le fournisseur du système et le fournisseur modèle d’IA à usage général sont différents.
• demander à un accès complet aux jeux de données d’entraînement, de validation et d’essai et, si nécessaire, au code source des systèmes d’IA à haut risque, la supervision des essais en conditions réelles, l’identification et l’évaluation des risques, la gestion des incidents graves, la prise de mesures préventives et correctives tout en assurant la coopération avec les autorités nationales de surveillance du marché, le traitement des systèmes d’IA classés comme n’étant pas à haut risque par le fournisseur, le traitement des plaintes de non-conformité et l’imposition de sanctions.
• réaliser des évaluations de conformité afin de permettre l’accès au marché pour les systèmes d’IA qui font également l’objet d’une évaluation de la conformité par un tiers avant mise sur le marché en vertu du règlement sur l’IA,

L’approche centralisée faciliterait également la création, au sein de la Commission, d’une expertise spécialisée dans les systèmes d’IA et les modèles d’IA à usage général, ce qui permettrait un suivi et un contrôle de l’application plus efficaces du règlement sur l’IA.

L’article 14 du règlement (UE) 2019/1020 devrait s’appliquer mutatis mutandis. En outre, les autorités participant à l’application du règlement (UE) 2024/1689 devraient coopérer activement dans l’exercice de ces pouvoirs, en particulier lorsque des mesures d’exécution doivent être prises sur le territoire d’un État membre.

Commission : pouvoir d’autorité de surveillance pour les très grandes plateformes

• lorsqu’un système d’IA peut être considéré comme une très grande plateforme en ligne ou un très grand moteur de recherche en ligne au sens du règlement (UE) 2022/2065, ou lorsqu’il est intégré dans une telle plateforme ou un tel moteur de recherche, la Commission devrait avoir les pouvoirs d’une autorité de surveillance du marché compétente en vertu du règlement (UE) 2024/1689 ;
• Afin de permettre l’accès au marché de l’Union des systèmes d’IA qui sont placés sous la supervision du Bureau de l’IA conformément à l’article 75 du règlement (UE) 2024/1689 et soumis à une évaluation de la conformité par un tiers, la Commission devrait être habilitée à procéder à des évaluations de la conformité de ces systèmes avant leur commercialisation

Evaluation des risques

• Dans le cas des systèmes d’IA intégrés dans une très grande plateforme en ligne ou un très grand moteur de recherche ou pouvant être qualifiés de tels systèmes, le premier point d’entrée pour l’évaluation des systèmes d’IA est l’évaluation des risques, les mesures d’atténuation et les obligations d’audit prescrites par les articles 34, 35 et 37 du règlement (UE) 2022/2065, sans préjudice des pouvoirs du Bureau de l’IA d’enquêter sur les cas de non-respect ex post des règles du présent règlement et de les faire respecter.
• Dans le cadre de l’analyse de cette évaluation des risques, des mesures d’atténuation et des audits, les services de la Commission chargés de l’application du règlement (UE) 2022/2065 peuvent demander l’avis du Bureau de l’IA sur les résultats d’une éventuelle évaluation des risques antérieure ou parallèle effectuée au titre du présent règlement et sur l’applicabilité des interdictions au titre du présent règlement.

.

Coopération entre autorités de surveillance du marché et autorités de protection des droits fondamentaux

L’article 77 et les dispositions connexes du règlement (UE) 2024/1689 constituent un mécanisme de gouvernance important, car ils visent à permettre aux autorités ou organismes chargés de faire appliquer ou de surveiller le droit de l’Union destiné à protéger les droits fondamentaux de remplir leur mandat dans des conditions spécifiques et de favoriser la coopération avec les autorités de surveillance du marché chargées de la surveillance et de l’application dudit règlement.

Il est nécessaire de préciser le champ d’application de cette coopération, ainsi que les autorités ou organismes publics qui en bénéficient.

En vue de renforcer la coopération, il convient de préciser que les demandes d’accès aux informations et à la documentation devraient être adressées à l’autorité de surveillance du marché compétente, qui devrait répondre à ces demandes, et que les autorités ou organismes concernés devraient avoir une obligation mutuelle de coopérer.

Modification de l’article 77

«Pouvoirs des autorités de protection des droits fondamentaux et coopération avec les autorités de surveillance du marché»   (b)          le paragraphe 1 est remplacé par le texte suivant:   «1. Les autorités ou organismes publics nationaux qui surveillent ou contrôlent le respect des obligations découlant du droit de l’Union protégeant les droits fondamentaux, y compris le droit à la non-discrimination, sont habilités à présenter une demande et à accéder à toute information ou documentation créée ou conservée par l’autorité de surveillance du marché concernée en vertu du présent règlement, dans une langue et un format accessibles, lorsque l’accès à ces informations ou à cette documentation est nécessaire à l’accomplissement effectif de leur mandat dans les limites de leurs compétences.»;   (c)          les paragraphes 1 bis et 1 ter suivants sont insérés:   «1 bis. Sous réserve des conditions précisées dans le présent article, l’autorité de surveillance du marché accorde à l’autorité publique ou à l’organisme public concerné visé au paragraphe 1 l’accès à ces informations ou à cette documentation, y compris en demandant ces informations ou cette documentation au fournisseur ou au déployeur, si nécessaire.».   «1 ter. Les autorités de surveillance du marché et les autorités ou organismes publics visés au paragraphe 1 coopèrent étroitement et se prêtent mutuellement l’assistance nécessaire à l’exercice de leurs mandats respectifs, en vue d’assurer une application cohérente du présent règlement et du droit de l’Union en matière de protection des droits fondamentaux et de rationalisation des procédures. Cela inclut, en particulier, l’échange d’informations lorsque cela est nécessaire à la surveillance ou au contrôle de l’application effectifs du présent règlement et des autres actes législatifs respectifs de l’Union.»;

5.9- Modification sur l’entrée en application du RIA

 Modifications à l’entrée en application de certaines dispositions du règlement sur l’IA

• En ce qui concerne les obligations relatives aux systèmes d’IA à haut risque énoncées au chapitre III, un mécanisme est introduit en vue de lier l’entrée en application à la disponibilité de mesures à l’appui du respect des règles relatives aux systèmes d’IA à haut risque du règlement sur l’IA, telles que des normes harmonisées, des spécifications communes et des lignes directrices de la Commission. Cette disponibilité sera confirmée par la Commission par voie de décision, à la suite de laquelle les règles applicables aux systèmes d’IA à haut risque commenceront à s’appliquer après une période de transition appropriée. Toutefois, cette flexibilité ne devrait s’appliquer que pendant une période limitée, et une date précise à laquelle les règles s’appliquent en tout état de cause devrait être fixée. En outre, il convient de faire la distinction entre les deux types de systèmes d’IA qui sont classés comme étant à haut risque et de prévoir une période de transition plus longue pour les systèmes d’IA classés

comme étant à haut risque conformément à l’article 6, paragraphe 1, et à l’annexe I du règlement sur l’IA.

Date d’entrée en vigueur générale : 2 aout 2026 et période transitoire

Les modifications nécessaires pour intégrer les exigences relatives aux systèmes d’IA à haut risque dans la législation sectorielle énumérées à l’annexe I, section B, s’appliquent au moment de l’entrée en vigueur du règlement omnibus numérique.

Afin de laisser suffisamment de temps aux fournisseurs de systèmes d’IA générative soumis aux obligations de marquage énoncées à l’article 50, paragraphe 2, du règlement (UE) 2024/1689 pour adapter leurs pratiques dans un délai raisonnable sans perturber le marché, il convient d’introduire une période transitoire de six mois pour les fournisseurs qui ont déjà mis leurs systèmes sur le marché avant le 2 août 2026.

Afin de laisser suffisamment de temps aux fournisseurs de systèmes d’IA à haut risque et de clarifier les règles applicables aux systèmes d’IA déjà mis sur le marché ou mis en service avant l’entrée en application des dispositions pertinentes du règlement (UE) 2024/1689, il convient de préciser l’application d’un délai de grâce prévu à l’article 111, paragraphe 2, dudit règlement.

Aux fins de l’article 111, paragraphe 2, le délai de grâce devrait s’appliquer à un type et à un modèle de systèmes d’IA déjà mis sur le marché. Cela signifie que, si au moins une unité individuelle du système d’IA à haut risque a été légalement mise sur le marché ou mise en service avant la date spécifiée à l’article 111, paragraphe 2, les autres unités individuelles du même type et modèle de système d’IA à haut risque sont soumises au délai de grâce prévu à l’article 111, paragraphe 2, et peuvent donc continuer à être mises sur le marché, mises à disposition ou mises en service sur le marché de l’Union sans obligations ni exigences supplémentaires ni nécessité d’une certification supplémentaire, tant que la conception de ce système d’IA à haut risque reste inchangée. Aux fins de l’application du délai de grâce prévu à l’article 111, paragraphe 2, le facteur déterminant est la date à laquelle la première unité de ce type et modèle de système d’IA à haut risque a été mise sur le marché ou mise en service pour la première fois sur le marché de l’Union. Toute modification importante de la conception de ce système d’IA après la date spécifiée à l’article 111, paragraphe 2, devrait entraîner l’obligation pour le fournisseur de se conformer pleinement à toutes les dispositions pertinentes du présent règlement applicables aux systèmes d’IA à haut risque, y compris les exigences en matière d’évaluation de la conformité.

Date générale d’application est le 2 août 2026.

L’article 113 du règlement (UE) 2024/1689 fixe les dates d’entrée en vigueur et d’application dudit règlement, en précisant notamment que la date générale d’application est le 2 août 2026.

Période transitoire pour obligations relatives aux systèmes d’IA à haut risque (chapitre III) : 2027-2028

En ce qui concerne les obligations relatives aux systèmes d’IA à haut risque énoncées au chapitre III, sections 1, 2 et 3, du règlement (UE) 2024/1689, les retards dans la disponibilité des normes, des spécifications communes et des orientations de substitution, ainsi que dans la mise en place des autorités nationales compétentes, entraînent des difficultés qui compromettent l’entrée en application effective de ces obligations et risquent d’augmenter considérablement les coûts de mise en œuvre d’une manière qui ne justifie pas le maintien de leur date d’application initiale, à savoir le 2 août 2026.

Les obligations en matière de règles applicables aux systèmes d’IA à haut risque devraient s’appliquer

• après six mois en ce qui concerne les systèmes d’IA classés comme étant à haut risque en vertu de l’article 6, paragraphe 2, et de l’annexe III,
  • après 12 mois en ce qui concerne les systèmes d’IA classés comme étant à haut risque en vertu de l’article 6, paragraphe 1, et de l’annexe I du règlement (UE) 2024/1689.

Toutefois, cette flexibilité ne devrait être prolongée que

• jusqu’au 2 décembre 2027 en ce qui concerne les systèmes d’IA classés comme étant à haut risque en vertu de l’article 6, paragraphe 2, et de l’annexe III,
  •  jusqu’au 2 août 2028 en ce qui concerne les systèmes d’IA classés comme étant à haut risque en vertu de l’article 6, paragraphe 1, et de l’annexe I dudit règlement, date à laquelle ces règles devraient en tout état de cause être pleinement d’application.

Cohérence de différenciation de régime

La distinction entre l’entrée en application des règles en ce qui concerne les systèmes d’IA classés comme étant à haut risque en vertu de l’article 6, paragraphe 2, et de l’annexe III, de l’article 6, paragraphe 1, et de l’annexe I dudit règlement est cohérente avec la différence entre les dates d’application initiales prévues dans le règlement (UE) 2024/1689 et vise à prévoir le temps nécessaire à l’adaptation et à la mise en œuvre des obligations correspondantes.

l’article 113 est modifié comme suit: au troisième alinéa, le point d) suivant est ajouté: «d) le chapitre III, sections 1, 2 et 3, s’applique après l’adoption d’une décision de la Commission confirmant que des mesures adéquates à l’appui du respect du chapitre III sont disponibles, à partir des dates suivantes:  6 mois après l’adoption de ladite décision en ce qui concerne les systèmes d’IA classés comme étant à haut risque en vertu de l’article 6, paragraphe 2, et de l’annexe III, et 12 mois après l’adoption de ladite décision en ce qui concerne les systèmes d’IA classés à haut risque en vertu de l’article 6, paragraphe 1, et de l’annexe I.   En l’absence d’adoption de la décision au sens du premier alinéa, ou lorsque les dates ci-après sont antérieures à celles qui suivent l’adoption de cette décision, le chapitre III, sections 1, 2 et 3, s’applique:  le 2 décembre 2027 en ce qui concerne les systèmes d’IA classés comme étant à haut risque en vertu de l’article 6, paragraphe 2, et de l’annexe III, et le 2 août 2028 en ce qui concerne les systèmes d’IA classés à haut risque en vertu de l’article 6, paragraphe 1, et de l’annexe I.»;   (b)          au troisième alinéa, le point e) suivant est ajouté: «e). Les articles 102 à 110 sont applicables à partir du [date d’entrée en application du présent règlement].»;

A suivre …………

Article à venir les autres mesures de la proposition du Règlement du Parlement européen et du Conseil, modifiant les règlements (UE) 2024/1689 et (UE) 2018/1139 en ce qui concerne la simplification de la mise en œuvre des règles harmonisées concernant l’intelligence artificielle (train de mesures omnibus numérique sur l’IA)

Biotechnologies & DM-DMDIV : Nouvelles mesures pour la santé de l’UE

Proposition de Règlement sur les biotechnologies et révision des règlements sur les DM-DMDIV

Eléonore Scaramozzino, Avocate, Constellation Avocats

Le 16 décembre 2025, La Commission européenne a présenté un paquet de mesures pour favoriser l’Innovation en Santé et améliorer la compétitivité dans le secteur de la Santé visant à simplifier la réglementation dans le domaine des biotechnologies, des dispositions médicaux (DM) et dispositifs médicaux in vivo (DMDIV)

La Commission européenne a proposé un ensemble de mesures comprenant : un règlement sur les biotechnologies, une révision du règlement sur les dispositifs médicaux, et un plan pour les maladies cardiovasculaires (prévention-détection-traitement).

La proposition de Règlement Européen sur les Biotechnologies : Impact sur la Santé

Le projet de règlement sur les biotechnologies a pour objectif de développer une industrie des biotechnologies de la santé de premier plan au niveau mondial.

 Cette proposition vise à soutenir l’innovation notamment en :

• identifiant de nouveaux moyens de financement et d’investissement pour les entreprises de biotechnologies dans le cadre d’un nouveau projet pilote de deux ans sur les investissements dans les biotechnologies de la santé en coopération avec la Banque Européenne d’Investissement (BEI).
  • encouragent les entreprises à mener des activités de recherche et de production sur le territoire européen,
  •  accélérant l’octroi d’un pays à l’autre d’autorisations pour les essais cliniques déployés dans plusieurs états membres
  • activant le développement de nouvelles thérapies de pointe utilisant l’IA, en facilitant le partage des données et en utilisant les bacs à sable réglementaires pour tester des solutions innovantes ;
  • simplifiant la réglementation et les procédures pour réduire les délais de mise sur le marché des biotechnologies :

Plan de Santé Cardiovasculaire de l’UE : Objectifs et Mesures Clés

Les maladies cardiovasculaires sont la principale cause de décès prématurés dans l’UE et peuvent être évitées. Il n’existe à ce jour aucune approche harmonisée au sein de l’UE concernant les maladies cardiovasculaires et les maladies apparentées telles que le diabète.

Le plan pour un cœur en bonne santé :

• constitue la toute première approche globale à l’échelle de l’UE visant à relever cet immense défi de santé publique ;
•  présente des mesures ciblées visant à améliorer la prévention, la détection et le traitement des maladies cardiovasculaires ;
• a pour objectif d’améliorer la santé cardiaque des Européens grâce à des outils de prédiction des maladies et des thérapies personnalisés, et en s’attaquant aux facteurs de risque tels que le tabac, les mauvaises habitudes alimentaires et l’alcool ;
•  vise à combler les lacunes en matière de recherche et à renforcer les systèmes de santé en intégrant les données, les solutions numériques et l’intelligence artificielle.

En outre, la collecte de données à l’échelle de l’UE – facilitée par l’Espace européen des données de santé – permettra de fournir des informations actualisées, comparables et pour élaborer des politiques et des actions efficaces. Elles contribueront à orienter les investissements et à renforcer les entreprises et les industries basées dans l’UE, notamment dans les secteurs pharmaceutique et de la santé.

La Commission aidera par exemple les États membres à élaborer des plans nationaux pour la santé cardiovasculaire, à établir des tableaux de bord pour suivre de près les inégalités en matière de santé et à lancer un incubateur pour accélérer l’utilisation de l’IA. Des fonds européens seront également mis à disposition pour appuyer les actions prévues dans ce plan.

Le  plan  « Cœurs  en  sécurité »  vise  à  réduire  de  25  %  les  décès  prématurés  dus  aux  maladies  cardiovasculaires  d’ici  2035.

Les  mesures  prévues  dans  le  plan  pour  atteindre  cet  objectif  comprennent notamment un  protocole  de  l’UE  relatif  aux  bilans  de  santé  pour  les  maladies  cardiovasculaires,  recommandant  aux  États  membres  de mettre  en  œuvre  et  de  lancer  une  approche  commune  en  matière  de  bilans  de  santé  nationaux.

Révision des Règlements sur les Dispositifs Médicaux : Simplification et Innovation

L’UE est un acteur mondial de premier plan en matière de dispositifs médicaux. Le secteur emploie près d’un million de personnes, principalement dans des petites et moyennes entreprises, et le marché de l’UE représente environ 170 milliards d’euros. Toutefois, les règles actuelles de l’UE engendrent notamment des coûts inutiles et des goulets d’étranglement.

Les propositions visent à simplifier la réglementation, numériser les procédures et mettrent en place un cadre cohérent afin que les entreprises puissent répondre à l’évolution des conditions du marché et des besoins des patients.

• Afin d’accélérer l’accès aux dispositifs médicaux et d’éviter les ruptures d’approvisionnement, des délais seront fixés sous lesquels les évaluations de la conformité devront être menées à bien.
• L’Agence européenne des médicaments (EMA) devrait jouer un rôle plus important, renforçant ainsi la coordination à l’échelle de l’UE. L’EMA assurera aussi le suivi des pénuries de dispositifs médicaux, et une liste de dispositifs critiques sera établie.

Dans  le  cadre  de  la  réforme,  la  Commission  a  lancé  une  série  de  mesures  à  effet  immédiat  visant  à  améliorer  la  prévisibilité  et  l’efficacité  du  processus  de  certification  des  dispositifs  médicaux.

 Elle  propose  de :

• Fixer  des  délais  maximaux  pour  la  réalisation  des  activités  d’évaluation  de  la  conformité  afin  d’optimiser  le  processus  pour  les  organismes  notifiés  et  d’assurer  un  approvisionnement  sûr  et  continu  en  dispositifs  médicaux.
• Soutenir  les  technologies  médicales  de  pointe ,  leur  certification  rapide  et  leur  disponibilité.
• Réduire  les  contraintes  réglementaires  inutiles  pour  les  dispositifs  basés  sur  des  technologies  éprouvées,  bien  comprises  et  établies.

DM avec IA : La proposition veillera à ce que les dispositifs médicaux intégrant des systèmes d’IA fassent l’objet de règles uniformes et cohérentes, afin d’éliminer les doublons et les chevauchements inutiles

Transparence avec EUDAMED : première  base  de  données  exhaustive  de  l’UE  pour  les  dispositifs  médicaux,  permettant une  traçabilité  claire  dans  toute  l’UE  et  favorisant  une  détection  et  une  réponse  plus  rapides  aux  problèmes  de  sécurité  pour  tous  les  dispositifs  médicaux.

Les principales actions de la réforme incluent :

• Réduction de la charge administrative et meilleure coordination entre les acteurs réglementaires grâce à des obligations de reporting plus efficaces, des règles plus simples et des procédures plus rationalisées pour tous les acteurs clés, y compris pour les petites et moyennes entreprises.
• Des exigences plus proportionnées et ciblées en rendant les procédures d’évaluation de la conformité plus prévisibles, ciblées et équilibrées, en particulier pour les dispositifs à faible et moyen risque et ceux destinés à de petites populations de patients, comme les enfants et les patients atteints de maladies rares.
• Un soutien à l’innovation et au développement de technologies innovantes, avec un accompagnement ciblé tel que des conseils d’experts précoces et des bacs à sable réglementaires.
• Renforcer la certitude juridique, la prévisibilité et l’efficacité en termes de coûts de la certification en introduisant des définitions plus claires, en rendant les règles de classification plus proportionnées et en facilitant l’utilisation de preuves réelles.
• Augmentation de la numérisation en élargissant la possibilité de fournir des instructions électroniques à utiliser, permettant l’étiquetage numérique des informations ainsi que la numérisation des outils et procédures d’évaluation de la conformité.
• Une meilleure coordination au niveau européen grâce à une supervision plus coordonnée et simplifiée des organismes notifiés, ainsi qu’à la fourniture d’un soutien scientifique, technique, réglementaire et administratif au niveau européen grâce à une implication renforcée de panels d’experts et de l’Agence européenne des médicaments (EMA).
• Renforcer la coopération internationale en donnant à la Commission le pouvoir de déterminer la participation de l’UE à la coopération internationale de haut niveau et aux mécanismes de partage d’informations avec des partenaires fiables, et en renforçant l’adoption des directives internationales.

Next step

Les propositions législatives relatives au règlement sur les biotechnologies et à la simplification du règlement sur les dispositifs médicaux et du règlement sur les dispositifs médicaux de diagnostic in vitro vont être soumises au Parlement européen et au Conseil pour adoption.

Data Act et Loi SREN : Les Nouvelles Règles Cloud 2025

DATA ACT : DECRYPTAGE DU REGLEMENT SUR LES DONNEES : COMPLIANCE DES CONTRATS DE SERVICES DE TRAITEMENT DE DONNEES (Episode-6) – E-SCARAMOZZINO legal