Bruxelles calme le jeu sur sa réglementation du numérique / Un « Digital Omnibus » multi-sujets

L’agenda européen de la semaine aura décidément été placé sous le signe du numérique. Après le Sommet sur la souveraineté à Berlin mardi, la Commission européenne a présenté mercredi, comme promis, son "Digital Omnibus", un ensemble de mesures visant à simplifier les règles qui s’appliquent à l’intelligence artificielle (IA), la cybersécurité et la donnée.

La promesse : éviter 5 milliards de coûts administratifs aux entreprises à l’horizon 2029. "Nous avons tous les ingrédients dans l’UE pour réussir. Nous avons des talents, des infrastructures, un grand marché unique intérieur. Mais nos entreprises, en particulier nos start-ups et nos petites entreprises, sont souvent freinées par des couches de règles rigides", a expliqué Henna Virkkunen, vice-présidente exécutive chargée de la souveraineté technologique, de la sécurité et de la démocratie, à l’occasion de l’annonce.

Dans le détail, ce paquet comprend plusieurs tiroirs. Il y a celui concernant l’AI Act, tout d’abord, dont l'entrée en vigueur (août 2024, mais de manière progressive) vient tout juste de souffler sa première bougie. Ce texte classifie, pour mémoire, les systèmes d’IA selon leurs niveaux de risques. Bruxelles propose, de son côté, de réviser le calendrier d’application de ceux considérés à "haut risque" à la disponibilité d’outils de soutien et des normes correspondantes. Cela reporterait leur application à un maximum de 16 mois.

Ensuite, la Commission souhaiterait étendre certaines simplifications accordées aux PME, notamment relatives à des exigences simplifiées sur le plan de la documentation technique de l’AI Act, qui permettraient d’économiser au moins 225 millions d’euros par an, selon ses calculs. La fragmentation de la gouvernance européenne de l’IA devrait aussi être réduite, au travers d’un renforcement des pouvoirs du Bureau de l’IA.

Guichet unique

En matière de cybersécurité, le "Digital Omnibus" introduit aussi un point d’entrée unique, où les entreprises pourront remplir toutes leurs obligations de déclarations d’incidents. "À l’heure actuelle, les entreprises doivent signaler les incidents de cybersécurité en vertu de plusieurs lois, notamment la directive SRI 2, le règlement général sur la protection des données (RGPD) et la législation sur la résilience opérationnelle numérique (DORA)", explique la Commission.

Concernant le RGPD, Bruxelles propose que certaines modifications du règlement général sur la protection des données ciblées soient réalisées afin d’harmoniser, clarifier ou simplifier certaines règles, "tout en conservant intact le cœur du RGPD", promet Bruxelles, qui ne donne toutefois pas de plus amples détails.

Afin d’améliorer l’accès aux données – "moteur clé de l’innovation", indique la Commission -, certaines règles relatives au sujet devraient aussi être simplifiées. Par exemple, des exemptions devraient être accordées sur le Data Act (entré en vigueur en janvier 2024) aux PME, notamment concernant leur basculement vers le cloud. La Commission propose également d’ouvrir l’accès à certaines données pour les entreprises de l’IA et d’offrir de nouvelles orientations sur le respect du Data Act au moyen de clauses contractuelles types, à la fois pour l’accès aux données et leur utilisation, ainsi que pour les contrats de cloud.

Ces propositions de la Commission devront désormais être soumises au Parlement européen et au Conseil pour adoption. Ce paquet numérique marque la septième proposition "Omnibus" de Bruxelles.