Comment simplifier les textes européens sans renoncer aux spécificités du modèle européen ? Dans cette tribune, la CEO de RS Strategy et spécialiste des régulations européennes Rayna Stamboliyska détaille les enjeux du Digital Omnibus.

Cet article vous est proposé par une contributrice extérieure. Rayna Stamboliyska est CEO de RS Strategy, cabinet de conseil en cybersécurité et en affaires publiques, et l’autrice de La face cachée d’internet (Larousse, 2017).

---

Le Digital Omnibus cristallise les tensions au cœur du projet numérique européen. Entre l’urgence de la compétitivité face aux géants américains et chinois, et la préservation d’un modèle européen fondé sur la protection des droits fondamentaux, l’Europe doit inventer une troisième voie.

La vraie question n’est pas tant « faut-il simplifier ? » que « comment simplifier sans renoncer à ce qui fait la spécificité et, même, la force du modèle européen ? ». Les prochains mois de débats parlementaires et au Conseil seront déterminants pour l’avenir de la gouvernance numérique européenne.

Le rapport Draghi : un électrochoc pour l’Europe

En septembre 2024, le rapport de Mario Draghi sur la compétitivité européenne a posé un diagnostic sans concession : l’Union européenne fait face à un « défi existentiel » en matière de compétitivité (y compris dans le domaine du numérique) et d’innovation. L’ancien président de la BCE identifie trois déficits critiques : l’innovation inachevée (l’Europe n’arrive pas à transformer ses innovations en succès commerciaux, contrairement aux États-Unis et à la Chine) ; un environnement réglementaire contraignant (le poids administratif freine particulièrement les start-ups européennes dans leur phase de croissance et changement d’échelle) ; et la fragmentation du marché unique (les incohérences entre États membres multiplient les coûts de conformité).

Le rapport Draghi pointe spécifiquement le RGPD comme exemple de cette fragmentation, notant que les coûts de gestion des données sont plus élevés pour les entreprises européennes que pour leurs homologues américaines et que les exigences du RGPD empêchent le développement d’approches innovantes dans, par exemple, le secteur de la santé. Si le diagnostic sur la complexité est partagé, la solution proposée soulève des interrogations fondamentales sur l’équilibre entre la protection des droits et la compétitivité économique.

La Boussole de compétitivité de la Commission : une feuille de route ambitieuse

En réponse au rapport Draghi, la Commission s’est fixé l’objectif de réduire la charge administrative d’au moins 25 % pour toutes les entreprises et d’au moins 35 % pour les PME. Ces pourcentages sont devenus incantatoires, tant leur mention est fréquente, et ce, malgré l’absence d’éléments permettant de comprendre ce que cette réduction de 25 % traduit concrètement.

Cette ambition de compétitivité se traduit par une série de paquets de simplification, nommés « omnibus ». Le Digital Omnibus constitue la quatrième itération, spécifiquement dédiée au numérique.

Un Digital Omnibus pensé pour favoriser l’innovation sur les tâches administratives

Dans la législation européenne, un instrument “omnibus” désigne une initiative législative regroupant plusieurs modifications ou révisions de textes existants dans une seule et même proposition. Son objectif est de simplifier, harmoniser ou adapter le cadre réglementaire. Sur le plan juridique, il n’y a aucune différence de nature entre un règlement omnibus et un règlement de l’UE comme un autre (applicabilité directe, caractère obligatoire, etc.). Sur le plan pratique, un règlement “normal” crée ou refond un cadre donné, alors qu’un règlement “omnibus” est un paquet unique de retouches sur plusieurs textes, visant la simplification ou l’harmonisation plutôt que la création de règles entièrement nouvelles.

Le Digital Omnibus, présenté le 19 novembre 2025, propose des modifications de la législation numérique européenne touchant aux données, à la cybersécurité et à l’intelligence artificielle. L’initiative se compose de deux propositions législatives distinctes visant à modifier en parallèle plusieurs textes européens majeurs.

Objectif affiché : permettre aux entreprises européennes de consacrer moins de temps aux tâches administratives et davantage à l’innovation, tout en maintenant un niveau élevé de protection des citoyens. Parmi les principaux textes concernés, le règlement sur l’intelligence artificielle (AI Act), d’abord, auquel un texte entier est dédié. Ce dernier propose un nouveau mécanisme et de nouvelles dates butoirs pour l’application des obligations relatives aux systèmes d’IA à haut risque, une base légale pour le traitement de quantités limitées de données spécifiques pour des enjeux d’équité, de détection et de correction de biais, ou encore des simplifications étendues pour les PME et entreprises de tailles intermédiaires.

Le Digital Omnibus propose ensuite de modifier, entre autres, le RGPD (notamment en implémentant une définition opérationnelle des données à caractère personnel et non personnel, et en incluant la création et l’amélioration de systèmes d’IA dans les traitements de données sur la base de l’intérêt légitime) , la directive ePrivacy, le règlement sur la gouvernance des données DGA, le Data Act, la directive NIS2, la directive REC, le règlement sur la résilience opérationnelle du secteur financier (DORA) et le règlement eIDAS2 sur l’identité numérique. Sur les textes relatifs à la cybersécurité (NIS2, DORA, eIDAS2, REC) et le RGPD, l’Omnibus prévoit notamment la création d’un « point d’entrée unique » développé et maintenu par l’ENISA pour permettre aux entités de notifier les incidents de cybersécurité en une seule fois.

Enjeux de méthode et de légitimité de l’approche omnibus

Le processus a été critiqué – et continue de l’être – pour son absence d’évaluation d’impact et de collecte de preuves, abandonnant les principes de standards minimaux pour l’élaboration de la législation européenne. De plus, l’amplitude des propositions de « simplification » amenées par le Digital Omnibus manque de soutien politique préalable, les deux autres co-législateurs – le Conseil de l’UE et le Parlement européen – ayant déjà exprimé des réserves sérieuses.

Côté Conseil, les États membres ont explicitement demandé de ne pas rouvrir le RGPD. Dans leurs retours, les limites de l’exercice que l’instrument omnibus devrait porter sont explicites ; aucune de ces limites n’est respectée dans la proposition Digital Omnibus que la Commission a publiée. Pire encore, la position du Conseil contenait des recommandations à la fois adaptées à l’instrument omnibus et directement utiles aux organisations concernées : des modifications techniques, des compléments et des lignes directrices, ainsi que des recommandations d’outils pour faciliter la mise en œuvre ; aucune de ces recommandations n’a été incluse dans la proposition de la Commission.

De leur côté, les groupes S&D, Renew et Verts/ALE du Parlement européen ont appelé la Commission à mettre fin à ces modifications majeures. De leur côté, les groupes PPE et ECR se sont déjà exprimés en faveur. On s’attend donc à une fracture inédite majeure qui s’installe : la division du Parlement en deux grandes “familles”, à savoir la droite traditionnelle et les extrêmes droites d’un côté, et le centre, les socialistes et les écolos de l’autre. Cette fracture est déjà apparue lors du vote de l’Omnibus I sur l’environnement le 13 novembre dernier. Que le PPE soit soutenu par les groupes parlementaires d’extrême droite (ECR et Patriots for Europe) est une première ; si vous avez entendu parler du “cordon sanitaire” pulvérisé, c’est à cette alliance qu’il s’applique. L’anticipation (anxieuse) de beaucoup est que le Digital Omnibus soit soutenu par la même alliance, ce qui cimenterait une division profonde et lourde de conséquences.

Pour ne rien arranger à l’affaire, l’absence d’étude d’impact interroge. En effet, un règlement omnibus est soumis au même régime d’étude d’impact qu’un règlement “classique”. Ce n’est pas le fait qu’il s’agisse d’un “omnibus” qui compte, mais l’ampleur et la nature des effets attendus. De par la nature de l’instrument omnibus, l’étude d’impact est en général attendue politiquement (montrer les allègements de charges, les effets pour les entreprises, etc.) et peut être ciblée sur certains aspects (par exemple, la réduction des coûts de conformité) plutôt que de refaire de zéro l’analyse de toutes les politiques déjà existantes. Vu les tensions et oppositions fortes des deux autres co-législateurs, on aurait pu s’attendre à lire l’analyse d’impact détaillée et circonstanciée du Digital Omnibus par la Commission. Il n’en est rien : il n’y en a aucune ; la Commission insiste sur le fait que les modifications apportées ne justifient pas l’effort. Ce qui interroge sur la compréhension de la véritable portée de ces modifications.

Divergence sur le diagnostic, comme sur les solutions

Le débat autour du Digital Omnibus se structure autour de diverses questions empiriques et normatives.

Sur la charge administrative réelle, la Commission évoque des « coûts de conformité » sans quantification détaillée par type et taille d’entreprise ni par secteur d’activité. Les données disponibles restent parcellaires : certaines études sectorielles suggèrent des coûts disproportionnés pour les PME, mais les méthodologies varient considérablement. La question reste ouverte : quels coûts proviennent de la législation elle-même versus de son application fragmentée par les États membres ?

Sur l’accès aux données pour l’IA, l’argument selon lequel l’Europe « manquerait la révolution de l’IA » est avancé notamment dans le rapport Draghi, qui pointe un retard en matière d’adoption et de développement. Cependant, plusieurs facteurs sont en jeu : volume de données disponibles, qualité des données, infrastructures de calcul, compétences, investissements. Isoler la législation sur les données comme facteur limitant principal ou, encore, ajourner l’application des restrictions sur les modèles IA à hauts risques pour les droits fondamentaux est ainsi une réponse assez curieusement inadaptée à ces défis.

Sur la question de la réglementation comme avantage ou handicap pour l’innovation, deux lectures s’affrontent en particulier sur les effets du RGPD : celle qui le qualifie d’obstacle, et celle qui y voit un catalyseur. Les données empiriques sur l’impact net du RGPD sur l’innovation européenne restent contestées, avec des études montrant des résultats contradictoires selon les secteurs et méthodologies. Plus largement, le distinguo entre exigences et mise en œuvre entre ce que demande le « niveau UE » et ce que fait le « niveau national » est rarement exploré ; comme mentionné dans cet article de Bruegel, au niveau de l’UE, il existe des préoccupations concernant une sous-application – et non une sur-application – des règles au niveau national.

En définitive, la question est moins de savoir si ces facteurs jouent un rôle que de déterminer leur poids relatif par rapport aux enjeux réglementaires. Le réglementaire arrive en 4e position des obstacles perçus à l’innovation, d’après la Banque européenne d’investissement, devancé par le manque de personnel qualifié disponible, les coûts énergétiques et l’incertitude. Ainsi, un relatif consensus existe sur d’autres facteurs critiques : fragmentation persistante du marché unique (au niveau de l’application), accès au capital-risque, pénurie de compétences adaptées, différences dans l’écosystème entrepreneurial.

Le processus législatif à venir

Les propositions suivront la procédure législative ordinaire sur une période extrêmement réduite (6 mois, voire moins si la Règle 170 de procédure d’urgence est invoquée par le Parlement européen), avec des amendements substantiels probables avant l’adoption de tout texte final.

Par ailleurs, le Digital Omnibus n’est qu’une première étape. La Commission lance parallèlement un « test de résistance » du cadre réglementaire numérique, le Digital Fitness Check, pour identifier d’autres domaines de simplification, avec une consultation ouverte jusqu’au 11 mars 2026.

La confiance comme infrastructure économique

Les modifications proposées soulèvent une question fondamentale : la confiance des citoyens (qui sont également consommateurs) dans l’utilisation de leurs données et dans le bon fonctionnement des outils numériques du quotidien constitue-t-elle un actif ou une contrainte pour les entreprises européennes ?

Les enquêtes Eurobaromètre montrent systématiquement que les citoyens européens valorisent fortement la protection de leurs données et se disent plus enclins à utiliser des services qui la garantissent. Cette confiance, construite notamment autour du RGPD, représente potentiellement un avantage distinctif face à des modèles où les utilisateurs se méfient structurellement des acteurs économiques.

Les entreprises européennes qui ont investi dans la conformité sérieuse, notamment au RGPD, ont développé une relation de confiance avec leurs clients. Un affaiblissement perçu du cadre de protection pourrait éroder cet actif, sans pour autant créer un avantage face aux acteurs extra-européens qui continueraient à bénéficier du même accès au marché européen. La vraie compétitivité pourrait résider dans la capacité à innover avec des standards élevés de protection, plutôt que malgré eux.

Concrètement, pour les entreprises établies ayant investi dans la conformité, le digital omnibus crée un risque de voir leur investissement dans la confiance dévalué si les standards s’affaiblissent, sans avantage compétitif différenciant face aux nouveaux entrants. Pour les PME et start-ups européennes, il existe un besoin de clarification et d’harmonisation réelles plutôt que de déréglementation. Ces dernières ont l’opportunité de se différencier par des pratiques respectueuses comme argument commercial.

Les régulateurs, eux, doivent faire face au défi de maintenir la crédibilité de l’application des règles tout en facilitant l’interprétation, avec un besoin de coordination accrue entre autorités nationales pour éviter la re-fragmentation.

Enfin, les attentes des citoyens et consommateurs en matière de protection ne disparaissent pas avec la simplification réglementaire. Leur méfiance risque de s’accroître si le cadre est perçu comme affaibli, ce qui pourrait avoir un impact sur l’adoption de nouveaux services numériques.