Digital Omnibus: vers une « simplification » numérique européenne ?Quels impacts pour les experts-comptables et leurs clients

1. Un nouveau tournant pour la régulation numérique européenne

Avec le paquet dit « Digital Omnibus », la Commission européenne ouvre un nouveau chantier : simplifier et assouplir une partie du cadre numérique européen, en particulier le RGPD, l’AI Act et les règles ePrivacy (cookies, traceurs, communications électroniques).

L’objectif affiché est double : réduire les charges administratives, surtout pour les PME, et renforcer la compétitivité des entreprises européennes dans la course mondiale à l’intelligence artificielle. En toile de fond, il s’agit aussi de permettre aux acteurs européens de l’IA générative de rattraper une partie de leur retard face aux États-Unis et à la Chine.

Mais ce projet suscite déjà un débat intense : jusqu’où peut-on « simplifier » sans fragiliser la protection des données personnelles, présentée depuis 2018 comme un marqueur fort du modèle européen (RGPD) ?

2. Ce que le Digital Omnibus met sur la table

Pour en mesurer la portée, il est utile d’examiner les principaux axes de réforme envisagés.

2.1. RGPD : un cadre assoupli pour l’IA et les données

D’après les documents de travail et les analyses publiées, le Digital Omnibus propose notamment :

Lorsque l’on analyse le volet « données », quatre mouvements principaux se dessinent :

Extension de l’« intérêt légitime » comme base juridique

L’entraînement, les tests et l’usage de systèmes d’IA pourraient être explicitement reconnus comme relevant de l’intérêt légitime du responsable de traitement. L’idée est de permettre, dans certains cas, l’utilisation de données personnelles sans consentement préalable, pour autant que les autres exigences du RGPD soient respectées (information, droits des personnes, analyse de mise en balance, etc.).

Utilisation encadrée de données sensibles pour détecter les biais

Le texte envisagerait de permettre, sous conditions, l’utilisation de données relevant de catégories particulières (santé, origine ethnique, opinions, etc.) pour tester et corriger les biais des systèmes d’IA, en cohérence avec l’AI Act.

Redéfinition partielle des données pseudonymisées

Certaines données pseudonymisées pourraient, dans des circonstances précises, être considérées comme « non personnelles », ce qui les ferait sortir du champ d’application du RGPD. Les ONG de défense des droits numériques y voient un risque d’affaiblissement substantiel des garanties.

Point d’entrée unique pour certains signalements

Le paquet prévoit aussi la création d’un point de contact unique pour plusieurs obligations de déclaration (cybersécurité, incidents, etc.), afin de réduire la fragmentation actuelle.

Pour mémoire, le RGPD reste, en l’état, le cadre de base (Règlement (UE) 2016/679) ; le Digital Omnibus ne fait pour l’instant l’objet que de propositions.

2.2. AI Act : un calendrier assoupli pour les systèmes « à haut risque »

L’AI Act, entré en vigueur en 2024 (Règlement (UE) 2024/1689), instaure une approche graduée des risques et impose des obligations renforcées pour les systèmes « à haut risque » (biométrie, infrastructures critiques, justice, emploi…).

Le Digital Omnibus prévoit notamment :

• Un report d’environ 16 mois de l’entrée en vigueur de certaines obligations lourdes (traçabilité, robustesse, gestion des données, registre européen des systèmes à haut risque).
• Une simplification pour certains systèmes à portée limitée, essentiellement procéduraux ou administratifs, qui pourraient être dispensés d’enregistrement dans la base de données européenne.

L’argument avancé est celui du temps nécessaire pour adapter les systèmes, en particulier dans les PME, et pour stabiliser les normes techniques.

2.3. ePrivacy et cookies : réduire la « fatigue du consentement »

Sur le terrain plus visible des cookies et traceurs, le paquet Digital Omnibus s’inscrit dans le prolongement de la directive ePrivacy (2002/58/CE) et des projets de réforme en cours.

Les principales orientations annoncées sont les suivantes :

• Moins de bannières, plus de paramétrage centralisé : l’utilisateur pourrait enregistrer ses préférences (acceptation/refus des cookies) une fois pour toutes, par exemple dans son navigateur, celles-ci étant ensuite appliquées automatiquement par les sites.
• Un délai de validité minimal des choix (par ex. six mois), pour éviter la ré-apparition systématique des bandeaux.
• Une liste blanche de « finalités inoffensives » (mesure d’audience simple, sécurité, etc.) qui pourraient être dispensées de consentement préalable, sous conditions.

Pour les sites de cabinets, plateformes clients et outils de reporting, cela modifiera concrètement la manière de gérer les bannières, mais pas nécessairement le devoir de transparence.

2.4. Données et portefeuille numérique des entreprises

Enfin, le Digital Omnibus s’inscrit dans une stratégie européenne des données plus large : faciliter l’accès à des données de qualité pour l’IA, tout en harmonisant les règles de partage et en renforçant la maîtrise européenne des flux de données.

Deux volets retiennent particulièrement l’attention des entreprises :

• Une stratégie pour « l’union des données », afin de réduire les obstacles administratifs au partage des données, notamment à des fins d’innovation.
• Un portefeuille numérique d’entreprise : une identité numérique européenne pour les sociétés, inspirée de l’eID pour les citoyens, permettant de signer, horodater et échanger des documents de manière sécurisée avec les administrations et d’autres entreprises dans toute l’UE.

Pour les experts-comptables, ce portefeuille pourrait, à terme, transformer les circuits de validation, d’authentification et d’archivage.

3. Une réforme déjà contestée : innovation vs droits fondamentaux

La Commission insiste sur la nécessité de « simplifier » et de « réduire les charges » pour un tissu économique soumis à une multiplication de règlements horizontaux (RGPD, AI Act, DSA, DMA, NIS2, Data Act…).

Mais les réactions sont loin d’être unanimes :

• Les grandes plateformes et une partie de l’industrie tech soutiennent largement le projet, y voyant un moyen de rendre l’UE plus « pro-innovation » et plus compétitive à l’échelle mondiale.
• Plusieurs ONG (noyb, EDRi, ICCL…) dénoncent au contraire « la plus grande restriction des droits numériques de l’histoire de l’UE » si les propositions étaient adoptées sans garde-fous supplémentaires. Elles craignent un recul des standards de protection, en particulier sur le consentement et l’usage des données sensibles.
• Au Parlement européen, certains groupes politiques ont déjà annoncé qu’ils s’opposeraient à un affaiblissement trop marqué du RGPD, au nom de la cohérence du modèle européen.

À ce stade, il s’agit encore de propositions de la Commission, qui devront être négociées et modifiées par le Parlement et les États membres.

4. Exemple concret : un cabinet et sa plateforme d’IA comptable

Pour illustrer les enjeux, prenons le cas d’un cabinet d’expertise-comptable qui développe une plateforme interne d’IA pour :

• classer automatiquement les factures,
• suggérer des imputations comptables,
• produire des analyses sectorielles à partir de données clients pseudonymisées.

Aujourd’hui, le cabinet doit, sous le RGPD :

• identifier une base juridique (souvent l’exécution du contrat ou l’intérêt légitime, avec analyse de mise en balance),
• informer les clients et leurs représentants,
• limiter l’usage des données à des finalités déterminées,
• documenter une analyse d’impact (DPIA) si les risques sont élevés.

Avec le Digital Omnibus, plusieurs évolutions pourraient intervenir :

• L’entraînement et l’usage de l’IA pourraient être reconnus de manière plus large comme relevant de l’intérêt légitime, à condition d’encadrer les risques.
• Les données pseudonymisées utilisées pour entraîner certains modèles pourraient, sous conditions, sortir partiellement du champ du RGPD, ce qui réduirait certaines obligations – mais renforcerait la nécessité, pour le cabinet, de prouver la robustesse de sa pseudonymisation.
• L’articulation entre DPIA (RGPD) et analyse d’impact « droits fondamentaux » (AI Act) deviendrait un point technique clé : le risque de double travail ou, au contraire, de « trou dans la raquette » est réel si les textes ne sont pas parfaitement alignés.

En clair : la promesse d’allégement existe, mais la responsabilité de gouvernance des données et des modèles reste, elle, bien présente.

5. Tableau de synthèse : ce qui change, ce qui reste à surveiller

​

6. Recommandations pour les experts-comptables et conseillers fiscaux

Pour accompagner utilement leurs clients dans cette phase de transition, plusieurs axes de travail peuvent être dégagés.

Lorsqu’ils mettent en place une stratégie d’accompagnement, les professionnels peuvent structurer leurs actions autour des lignes suivantes :

1. Instaurer une veille structurée sur le Digital Omnibus
   Suivre l’avancement des discussions au Parlement européen et au Conseil (amendements, compromis, calendrier), en particulier sur les points relatifs à l’intérêt légitime, aux données sensibles et aux systèmes à haut risque.
2. Cartographier les traitements de données et les usages d’IA chez les clients
   Identifier les processus où des données personnelles (ou pseudonymisées) sont utilisées pour entraîner ou exploiter des modèles d’IA (scoring de clients, automatisation de la comptabilité, outils RH…). Cela permettra d’anticiper les adaptations nécessaires.
3. Revoir les bases juridiques et la documentation
   Préparer, le cas échéant, une transition vers un usage mieux encadré de l’intérêt légitime, en renforçant les analyses de mise en balance et en actualisant les politiques de confidentialité, les registres RGPD et les DPIA.
4. Anticiper l’articulation RGPD / AI Act
   Harmoniser les démarches d’analyse d’impact (protection des données d’un côté, droits fondamentaux de l’autre) pour éviter les doublons et les zones grises. Pour les grands groupes, cela passe souvent par une gouvernance conjointe DPO / risk management / IT.
5. Adapter les sites web et portails clients aux futures règles ePrivacy
   Même si le détail technique doit encore être précisé, il est utile d’inventorier les cookies et traceurs utilisés, d’identifier ceux qui relèveraient de « finalités inoffensives » et de préparer une architecture compatible avec des préférences centralisées.
6. Positionner la profession comme interlocuteur de confiance
   Enfin, il est important de rappeler aux entreprises que « simplification » ne signifie pas « plus de règles ». Les experts-comptables ont un rôle clé à jouer pour transformer ce nouveau cadre en démarches de conformité raisonnables, maîtrisées et documentées.

En résumé, le Digital Omnibus ne supprime pas la régulation numérique européenne ; il tente de la réaménager pour laisser davantage de place à l’innovation, en particulier en matière d’IA. Reste à savoir si, au terme du processus législatif, l’équilibre entre compétitivité et droits fondamentaux sera effectivement préservé.

D’ici là, la profession a tout intérêt à se préparer, plutôt qu’à subir ces ajustements une fois qu’ils seront définitivement adoptés.