La semaine dernière, j’ai reçu une notification d’une appli que j’utilise à peine me demandant d’accepter ses nouveaux termes concernant « l’entraînement de modèles génératifs ». J’ai cliqué non. Puis j’ai réalisé que je ne savais même plus vraiment ce que ça voulait dire, en pratique, en 2026. Et surtout : ce que ça change concrètement d’appuyer sur ce bouton.
Parce que le RGPD, ce texte qu’on adorait brandir comme le fleuron de la souveraineté numérique européenne, est en train de vivre une drôle de mue. Entre la réforme discutée au niveau du Comité européen de la protection des données et les appels de plus en plus insistants à « assouplir » les règles pour laisser respirer les acteurs de l’IA, on sent bien qu’il se passe quelque chose. Et franchement, c’est le genre de sujet qui mérite qu’on prenne cinq minutes pour comprendre avant d’aller cliquer sur autre chose (une partie sur Alexander Casino, un épisode de série, peu importe).
Le RGPD, huit ans plus tard, ça donne quoi ?
On l’oublie souvent, mais le règlement date de 2018. En huit ans, le paysage numérique a été retourné dans tous les sens : explosion des modèles génératifs, plateformes qui aspirent des données à une échelle qu’on n’imaginait pas, et surtout une prise de conscience mondiale que l’Europe, avec ses règles, s’était clairement placée en pionnière.
Le truc c’est que ce leadership réglementaire a un coût. Ou en tout cas, c’est ce que répètent les industriels et une partie des dirigeants européens depuis des mois. L’argument tient en une phrase : pendant que les États-Unis et la Chine entraînent leurs IA sur des océans de données, nous, on demande le consentement pour chaque clic.
Est-ce vrai ? En partie oui. En partie non aussi.
La tentation du grand détricotage
Ce qui se joue en ce moment à Bruxelles, c’est une forme de compromis. Les discussions autour de la réforme évoquent notamment un allègement pour les petites structures et une clarification sur ce qu’on peut faire avec des données « légitimement collectées » pour entraîner des systèmes d’IA. Sur le papier, ça semble raisonnable.
Sauf que le diable est dans les détails. Parce qu’une fois qu’on ouvre la porte à des exceptions, l’expérience montre qu’elle a tendance à ne jamais se refermer complètement. Perso, je trouve qu’il y a quelque chose d’un peu paradoxal à vouloir assouplir un texte qu’on présentait comme intouchable il y a encore deux ans, sous prétexte qu’on est en retard dans une course dont personne ne connaît vraiment la ligne d’arrivée.
Et ça, ça pose une vraie question politique.
Qui est protégé, au juste, par le RGPD ?
Petite anecdote qui montre à quel point le débat peut devenir vertigineux : une réflexion juridique récente s’est penchée sur la question de savoir si un fœtus était une « personne concernée » au sens du règlement. Oui, on en est là. Ça peut paraître absurde, mais quand on y réfléchit, c’est un peu comme miser sans connaître les règles du jeu : avec les données médicales collectées avant la naissance, les tests génétiques prénataux, les échographies stockées dans le cloud, la question n’est pas si loufoque.
Ça illustre surtout une chose : le texte a été écrit à une époque où on ne se posait pas ce genre de questions. Et il vieillit. Pas mal, mais il vieillit.
Les autorités de protection, elles, ne s’entendent pas toujours
Autre point intéressant qui remonte régulièrement : les autorités nationales de protection des données ne sont pas d’accord entre elles. Ni avec leurs propres tribunaux, d’ailleurs. En Belgique, l’autorité de protection cherche visiblement à contourner une cour qu’elle juge trop sévère à son égard. En clair : le régulateur estime que le juge lui met trop de bâtons dans les roues — un peu comme certains acteurs du secteur des jeux qui, pour contourner les obstacles, misent sur des nouvelles machines à sous en événement privé pour séduire directement les joueurs.
C’est le genre de tensions qui ne se voient jamais depuis l’extérieur, mais qui expliquent pourquoi l’application du RGPD est aussi disparate d’un pays à l’autre. Certaines CNIL sont musclées, d’autres pas. Certaines infligent des sanctions record, d’autres se contentent de rappels à l’ordre polis.
Créer un compte en ligne, ça devrait être simple, non ?
Le Comité européen a publié des lignes directrices sur la création de comptes en ligne. Sujet ultra concret : combien de fois on nous demande une adresse mail, un numéro de téléphone, parfois même une pièce d’identité pour se créer un compte qui, au fond, ne devrait rien exiger de tout ça ?
Ces lignes directrices vont dans le bon sens. Elles rappellent le principe de minimisation : on ne collecte que ce qui est strictement nécessaire. Reste à voir combien de plateformes vont réellement s’y conformer sans qu’on ait besoin de leur taper sur les doigts.
Ce que je retiens perso
L’Europe est à un moment charnière. Soit elle assume son modèle de protection stricte, quitte à ralentir un peu sur l’IA générative, soit elle cède à la pression et se retrouve à courir derrière tout le monde sans plus avoir ni la vitesse ni les principes. Le juste milieu existe sans doute, mais il est étroit.
Ce qui m’agace un peu, c’est cette façon de présenter le débat comme si c’était « vie privée contre innovation ». Comme si on ne pouvait pas avoir les deux. Les entreprises qui respectent vraiment le RGPD ne sont pas moins innovantes que les autres. Elles ont juste dû réfléchir plus tôt à ce qu’elles faisaient avec les données des gens.
Et honnêtement, à choisir entre une IA un peu moins performante et une IA qui sait tout de moi jusqu’au rythme de mes battements de cœur, je sais où je penche.
