Le 21 octobre 2026, les États membres ont validé leur position sur l'omnibus numérique : 96 heures au lieu de 72 pour notifier une violation de données, et seulement si le risque est élevé. Beaucoup de directions ont lu "allègement". Nous y voyons surtout un piège de calendrier.
L'omnibus numérique est le paquet de textes par lequel la Commission européenne veut simplifier le RGPD, la directive ePrivacy et plusieurs obligations de signalement des incidents. Le mandat adopté par le Conseil de l'UE le 21 octobre fait avancer le dossier, mais il ne change rien, à ce jour, aux règles que vous devez appliquer. Dans cet article, nous faisons le point sur ce qui a réellement été décidé, sur ce qui reste en vigueur, puis sur un sujet que le débat européen laisse de côté : les fuites de données provoquées par l'usage de l'IA générative, que la plupart des entreprises ne détectent tout simplement pas.
Omnibus numérique et RGPD : ce que le Conseil a vraiment voté
Le texte adopté est un mandat de négociation. Il fixe la position commune des États membres avant les discussions avec le Parlement européen, qui n'a pas encore arrêté la sienne. Rien ne s'applique tant que le règlement n'est pas adopté par les deux institutions et publié au Journal officiel de l'Union européenne.
Un texte européen passe par trois étapes : la Commission propose, le Parlement et le Conseil fixent chacun leur position, puis les trois institutions négocient un compromis (le "trilogue"). Le vote du 21 octobre ne concerne que la position du Conseil. Le texte final peut encore bouger, dans un sens comme dans l'autre.
Sur le fond, trois points intéressent directement les entreprises. Le Conseil conserve la définition actuelle de la donnée personnelle, que la Commission voulait resserrer, et se contente de clarifier le statut des données pseudonymisées. La base juridique des traitements liés au développement de systèmes d'IA reste l'un des sujets les plus discutés et sera tranchée en trilogue. Enfin, et c'est le point le plus commenté, la notification des violations de données à l'autorité de contrôle serait réservée aux incidents "susceptibles d'engendrer un risque élevé", avec un délai porté à 96 heures.
Aujourd'hui, c'est toujours 72 heures
Soyons précis. L'article 33 du RGPD impose au responsable de traitement de notifier une violation à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Lorsque le risque est élevé, l'article 34 impose en plus d'informer les personnes concernées. Et quel que soit le niveau de risque, l'article 33, paragraphe 5, exige de documenter chaque violation dans un registre interne.
Ces trois obligations restent pleinement applicables. Une procédure interne réécrite dès maintenant sur la base de 96 heures serait tout simplement non conforme. Et même une fois le texte adopté, de nombreuses dispositions de l'omnibus ne s'appliqueront qu'après un délai de transition : prévoir 2027 au plus tôt est une hypothèse raisonnable, pas une certitude.
Un manquement aux obligations des articles 33 et 34 du RGPD relève de l'article 83, paragraphe 4 : jusqu'à 10 millions d'euros d'amende ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Un retard de notification non justifié est en outre un signal négatif pour l'autorité lorsqu'elle examine l'incident lui-même.
Le seuil de "risque élevé" ne supprimera pas le travail d'analyse
C'est là que la plupart des entreprises se trompent sur la portée de la réforme. Relever le seuil de notification ne dispense pas de qualifier l'incident : pour savoir si une violation doit être notifiée, il faut toujours l'avoir détectée, en avoir mesuré l'étendue et en avoir évalué les conséquences. Le registre interne, lui, continuerait de recevoir toutes les violations, y compris celles qu'on ne notifie pas. Le gain réel porte sur le volume de formulaires envoyés à la CNIL, pas sur la charge d'organisation.
L'IA générative, l'angle mort des procédures de violation
Le délai de 72 heures court à partir du moment où le responsable de traitement prend connaissance de la violation. Tout le débat européen porte sur la durée de ce délai. Presque personne ne parle de son point de départ, et c'est pourtant là que se situe le vrai problème pour les entreprises qui utilisent l'IA.
Prenons le cas d'une assistante RH qui, pour gagner une heure, colle dans un chatbot grand public gratuit le tableau des rémunérations de son service afin d'en tirer une synthèse. Les données sont transmises à un éditeur avec lequel l'entreprise n'a signé aucun contrat de sous-traitance. L'article 4, point 12, du RGPD définit la violation de données comme une violation de la sécurité entraînant notamment "la divulgation non autorisée" de données personnelles. Selon les conditions d'utilisation de l'outil et la nature des données, ce copier-coller peut relever de cette définition et doit, au minimum, être analysé et consigné dans le registre.
Sauf que personne ne le saura. L'assistante ne pense pas avoir commis d'incident, son manager n'en est pas informé et le DPO l'apprendra peut-être six mois plus tard, au détour d'un audit. Les procédures de gestion des violations ont été conçues pour des événements visibles : un rançongiciel, un ordinateur volé, un courriel envoyé au mauvais destinataire. Une fuite par l'IA ne déclenche aucune alerte.
Le phénomène n'a rien de théorique. Dans son flash d'ingérence économique n° 117 de décembre 2025, la DGSI rapporte le cas de salariés d'une multinationale stratégique ayant utilisé, sans autorisation, un outil d'IA générative grand public développé par une société étrangère pour traduire des documents confidentiels. Nous avons détaillé les ressorts de ces usages non encadrés dans notre article sur l'IA fantôme en entreprise.
Passer de 72 à 96 heures ne sert à rien si l'incident n'est jamais détecté. Le délai qui compte vraiment, c'est celui qui sépare la fuite du moment où quelqu'un s'en rend compte.
Que faire d'ici l'adoption définitive du texte ?
Notre conseil est simple : ne touchez pas à vos délais, mais profitez du débat pour combler l'angle mort. Concrètement, voici ce que nous recommandons aux DPO, DAF et DRH qui pilotent le sujet.
- Maintenir la procédure interne sur la base de 72 heures, et noter dans votre veille réglementaire que la règle pourra évoluer après adoption de l'omnibus.
- Ajouter à la procédure un scénario "données saisies dans un outil d'IA non autorisé", avec les questions à se poser : quelles données, quel outil, quelles conditions d'utilisation, quelle possibilité de suppression.
- Créer un canal de signalement simple, sans sanction pour la personne qui déclare spontanément son erreur. Un collaborateur qui craint d'être sanctionné ne signalera rien, et le délai de 72 heures ne commencera jamais à courir pour vous.
- Vérifier les contrats de vos fournisseurs d'IA : l'article 33, paragraphe 2, oblige le sous-traitant à vous prévenir dans les meilleurs délais, et l'article 28 impose qu'il vous aide à respecter vos obligations de notification.
Sur ce dernier point, la question du contrat de sous-traitance avec les éditeurs d'IA générative mérite un examen à part entière. Nous l'avons abordée en détail dans notre analyse sur le DPA de ChatGPT et le rôle du DPO.
Un dernier point, souvent négligé : une fuite que l'on n'a pas pu empêcher se gère beaucoup mieux quand les collaborateurs disposent d'un outil autorisé et encadré. L'interdiction seule déplace les usages vers les outils personnels, où ils deviennent invisibles.
La question à poser à votre DPO cette semaine
Si une collaboratrice collait demain un fichier de paie dans un chatbot gratuit, qui le saurait, et en combien de temps ? Si la réponse honnête est "personne" ou "peut-être jamais", le passage de 72 à 96 heures n'a aucune importance pour votre entreprise : c'est la détection qu'il faut traiter en priorité. C'est pour cela que nous avons conçu Enclosy : le service est édité par une entreprise française et les conversations sont traitées en France, sans passer par un prestataire américain, et un DPA conforme à l'article 28 du RGPD est fourni dès l'inscription.