Vous préférez écouter ? Cliquez sur lecture pour la narration IA

La plupart des modèles d'IA générative apprennent à partir de textes, d'images et de contenus audio collectés sur le web ouvert : blogs, forums, sites d'actualité, profils de réseaux sociaux et registres publics. Une grande partie de ce matériel concerne des personnes réelles et identifiables. Pendant des années, l'hypothèse informelle du secteur était simple : ce qui est accessible publiquement est de bonne guerre.

Les autorités européennes ont désormais expliqué en détail pourquoi cette hypothèse ne tient pas. En juillet 2026, le Comité européen de la protection des données (CEPD) a publié le projet de lignes directrices 03/2026 sur le web scraping dans le contexte de l'IA générative, et la consultation publique se clôt le 30 octobre 2026. Le 8 octobre 2026, l'autorité britannique de protection des données (Information Commissioner's Office, ICO) a publié le rapport de clôture de deux ans de supervision des plus grands développeurs de modèles de fondation. Ensemble, ces textes donnent l'image la plus claire à ce jour de ce à quoi ressemble un « scraping licite » et de ce que les entreprises devront prouver.

Cela dépasse les laboratoires d'IA. Si vous commandez un jeu de données, en achetez un à un courtier, affinez un modèle sur des publications publiques ou construisez un outil de prospection qui collecte des profils, ces règles vous concernent aussi.

30 oct.
Date limite pour commenter le projet de lignes directrices du CEPD
10
Développeurs d'IA ayant modifié leurs pratiques après l'examen de l'ICO
3 %
Amende maximale du règlement sur l'IA pour manquement au résumé des données d'entraînement (ou 15 M€)
0
Modification du Digital Omnibus en vigueur aujourd'hui. Le RGPD s'applique pleinement

Pourquoi le scraping est sous les projecteurs

Trois évolutions se sont succédé en quelques semaines :

Pendant ce temps, les modifications du RGPD proposées par l'UE pour l'IA sont bloquées au Conseil (voir plus bas). Pour l'instant, ce sont les règles existantes qui comptent.

« Public » ne veut pas dire « libre d'utilisation »

Le point de départ du CEPD est net. Le RGPD s'applique au web scraping dès que des données personnelles sont en cause, de l'extraction au nettoyage, à la structuration et au stockage, que ces données identifient une personne directement ou indirectement. Deux autres points méritent d'être retenus :

L'ICO arrive au même résultat par un autre chemin. Selon elle, les déclarations vagues indiquant qu'un modèle a été entraîné sur des « informations accessibles publiquement » sont « peu susceptibles de suffire » au regard de la transparence.

Qui est responsable : le scrapeur, le développeur ou les deux ?

Les chaînes de scraping impliquent souvent plusieurs entreprises, et le CEPD indique que les rôles doivent être appréciés au cas par cas, selon les faits. Ses orientations générales :

L'ICO ajoute que les développeurs doivent veiller à ce que tous les acteurs de leur chaîne de données d'entraînement, y compris les courtiers en données, respectent leurs obligations de transparence.

Intérêt légitime : le test en trois étapes appliqué au scraping

L'ICO considère l'intérêt légitime (art. 6, par. 1, point f, RGPD) comme, de façon réaliste, la seule base juridique pour entraîner une IA générative sur des données personnelles scrapées. Pour le CEPD, c'est la base sur laquelle s'appuient en général les entreprises privées, les autres étant en règle générale moins susceptibles de s'appliquer. Tous deux exigent qu'il se mérite au moyen d'un test en trois étapes documenté.

  1. Un intérêt réel et précis. Il doit être licite, clairement formulé, réel et actuel. L'ICO ajoute que des intérêts larges comme « développer et améliorer nos produits et services », « entraîner nos modèles » ou « bénéficier à l'humanité » ne suffisent probablement pas sans précision ni justification.
  2. Nécessité. Restreindre les critères de collecte plutôt que de « scraper une large part d'internet » peut être déterminant, dit le CEPD, et des données pseudonymisées ou synthétiques peuvent être des alternatives moins intrusives. L'ICO attend des développeurs qu'ils expliquent pourquoi d'autres sources, comme des jeux de données sous licence, ne conviennent pas.
  3. Mise en balance. Le CEPD énumère des risques tels que la perte de contrôle, un « effet dissuasif » sur la liberté d'expression, la désanonymisation de personnes ayant publié anonymement et les deepfakes. Il relève aussi qu'avec la technologie actuelle, les données personnelles « ne peuvent pas être facilement supprimées » d'un modèle entraîné.

Les attentes raisonnables pèsent lourd, et le CEPD les relie étroitement aux signaux envoyés par les sites. Une personne qui publie sur une plateforme ouverte qui autorise le scraping, et le dit, peut raisonnablement s'attendre à ce que des développeurs d'IA collectent ses contenus. Une personne qui publie sur une plateforme qui bloque les scrapeurs par robots.txt et CAPTCHA, et indique ne pas autoriser l'entraînement de l'IA sur les données des utilisateurs, ne le peut pas.

Le projet montre aussi où passe la ligne. Une organisation qui collecte des enregistrements vocaux publics pour vendre un outil de génération de voix, sans garde-fous contre les réutilisations malveillantes, « ne peut pas s'appuyer » sur l'intérêt légitime. Un modèle de texte entraîné uniquement sur des contenus librement accessibles que les personnes ont manifestement rendus publics, en respectant les réserves de droits d'auteur, avec des garde-fous contre la mémorisation, des demandes d'exercice des droits faciles et une liste publique des sources, peut en général passer le test.

Transparence quand on ne peut pas informer tout le monde

L'article 14 du RGPD impose d'informer les personnes dont les données ont été obtenues indirectement. Quand on a scrapé des données sur des millions de personnes, les notifications individuelles sont souvent impossibles. L'article 14, paragraphe 5, point b, prévoit une exception en cas d'impossibilité ou d'effort disproportionné, mais le CEPD dit qu'elle « ne devrait pas être invoquée de manière routinière », et l'ICO met en garde contre un usage en « exemption générale ».

Si vous invoquez l'exception, le CEPD indique que vous devez au moins rendre l'information publique, par exemple dans un avis dédié sur votre site. Elle doit couvrir les catégories de données, les finalités et la base juridique, les droits des personnes et une indication précise des sources, y compris les caractéristiques du robot d'indexation. À titre de bonne pratique, listez les domaines et URL scrapés, dans un format consultable, avec la période de collecte.

L'échelle compte. Le CEPD oppose le scraping de 20 ans de messages de forum sans identifiants directs, où une information individuelle serait disproportionnée, à l'affinage d'un modèle sur les messages d'un groupe fermé de 5 000 personnes identifiables. Dans le second cas, chaque personne devrait être informée individuellement.

Cela rejoint le règlement sur l'IA. Le modèle de la Commission demande aux fournisseurs de modèles d'IA à usage général de nommer leurs robots, d'indiquer la période de collecte et de lister les 10 % de domaines scrapés les plus importants (pour les PME, les 5 % ou 1 000 domaines, le plus faible des deux). Un bon inventaire des sources peut servir les deux textes.

🧭
Outil GDPRGard
Vous ne savez pas quelles obligations RGPD s'appliquent à votre collecte de données ?

Répondez à quelques questions dans notre arbre de décision RGPD pour voir quelles obligations s'appliquent à un usage précis de données personnelles ou d'IA.

Ouvrir l'arbre de décision →

Minimisation et exactitude : décidez avant de crawler

La minimisation des données n'interdit pas d'entraîner sur de gros volumes, souligne le CEPD. Elle interdit de collecter des données personnelles dont vous n'avez pas besoin, et cette appréciation doit avoir lieu avant le début du scraping :

Sur l'exactitude, le CEPD recommande des sources fiables comme les registres officiels, l'horodatage de ce que vous collectez et le contrôle d'échantillons avant l'entraînement.

Données sensibles : la voie « moteur de recherche » et ses limites

Les catégories particulières de données, comme la santé, les opinions politiques ou l'orientation sexuelle, exigent une base juridique au titre de l'article 6 et une exception au titre de l'article 9, paragraphe 2. Le scraping en capte presque inévitablement.

Le projet du CEPD propose une voie étroite pour les données collectées de manière accessoire et résiduelle, malgré les efforts pour l'éviter. Il s'appuie sur l'arrêt de la Cour de justice GC et autres (C-136/17, 24 septembre 2019), selon lequel les exploitants de moteurs de recherche sont tenus par les règles sur les données sensibles « dans le cadre de leurs responsabilités, de leurs compétences et de leurs possibilités ». Le CEPD estime que ce raisonnement peut s'appliquer au scraping pour l'IA si vous pouvez démontrer que :

Ces mesures sont exigeantes : filtres et exclusions de sites avant la collecte, suppression dès que des données sensibles sont identifiées (y compris sur demande plausible), tests d'extraction et filtres de sortie pendant le développement, et surveillance continue des sorties après le lancement. Le Comité est clair : il ne s'agit pas d'une exemption générale de l'article 9.

L'ICO est plus sceptique. Elle estime que l'exception des données « manifestement rendues publiques » ne couvre probablement pas les données sensibles collectées par scraping, car les développeurs ne peuvent pas vérifier que la personne entendait les rendre publiques, et que la condition de la recherche scientifique ne couvre probablement pas tout le développement de modèles. L'ICO reconnaît ouvertement que cela « limite la capacité des développeurs à entraîner licitement leurs modèles avec des catégories particulières de données » et en discute avec le gouvernement britannique.

Le modèle peut lui aussi contenir des données personnelles

Les risques du scraping ne s'arrêtent pas à la fin de l'entraînement. L'ICO rappelle que les modèles peuvent contenir des données personnelles parce que les données d'entraînement peuvent en être extraites, une vue compatible avec l'avis 28/2024 du CEPD. Elle avertit que les données d'entraînement issues du web peuvent inclure des signatures d'e-mail, des clés d'API et des mots de passe, et attend des développeurs qu'ils testent les modèles pour la « singularisation » et la « possibilité de recoupement ». Elle met aussi en avant une bonne pratique sur les droits : Apple, par exemple, permet à quiconque de signaler des pages web à ne pas utiliser pour l'entraînement et explique aux propriétaires de sites comment bloquer son robot pour l'entraînement tout en autorisant l'indexation par les moteurs de recherche.

Où le droit pourrait aller

Le Digital Omnibus de la Commission, présenté en novembre 2025, propose des modifications du RGPD pertinentes pour l'entraînement de l'IA. Selon un texte de compromis du Conseil du 3 septembre 2026 (document 12535/26), divulgué et rapporté par GDPR Local et l'organisation de défense de la vie privée noyb, un considérant indiquerait que le traitement de données personnelles pour développer et déployer l'IA « peut être considéré » comme relevant d'un intérêt légitime, sauf si les droits de la personne prévalent. Un autre considérant autoriserait, dans des circonstances limitées, les données sensibles qui se retrouvent « de manière accessoire et résiduelle » dans les jeux d'entraînement. noyb s'oppose fermement à la proposition, et son président, Max Schrems, l'a qualifiée d'« expropriation numérique des Européens ». Nous détaillons le texte du Conseil dans notre article sur le Digital Omnibus et l'intérêt légitime pour l'IA.

Le dossier est loin d'être réglé. Les ambassadeurs de l'UE ne sont pas parvenus à s'accorder sur une position de négociation du Conseil le 7 octobre 2026, principalement à cause des secrets d'affaires dans le volet Data Act du paquet. Selon MLex, le point a ensuite été retiré de l'ordre du jour de leur réunion du 11 octobre, sans nouvelle date. Le Parlement européen avait déposé quelque 1 840 amendements en août. Au 12 octobre 2026, rien de tout cela n'est du droit, et le RGPD s'applique pleinement.

Au-delà de l'UE : le Japon et le Brésil

Japon. Le Japon a modifié sa loi sur la protection des données personnelles (APPI) pour autoriser, sans consentement, l'utilisation de données, y compris de données sensibles accessibles au public, à des fins statistiques, ce qui peut couvrir le développement d'IA organisé comme une production de statistiques. Un document de travail du secrétariat du régulateur, publié le 1er octobre 2026, suggère que les entreprises qui s'appuient sur cette voie publient les informations requises sur une seule page web lisible par les robots. Il s'agit d'un projet, pas de règles définitives.

Brésil. La LGPD (loi 13.709/2018) range l'intérêt légitime parmi ses bases juridiques, mais pas dans la liste de l'article 11 pour les données sensibles. Lors d'une intervention à la FGV Direito Rio le 29 avril 2026, Iagê Miola, membre du conseil de l'ANPD, a déclaré que l'autorité n'a pas encore de position définitive sur l'intérêt légitime pour l'entraînement de l'IA. Selon lui, les contributeurs à la consultation ne l'ont pas jugé invalide, les avis sur le scraping étaient partagés, et l'absence de base d'intérêt légitime pour les données sensibles était la principale préoccupation. S'il est utilisé, il exigerait des mises en balance solides et une transparence réelle. Les entreprises brésiliennes qui proposent des biens ou des services à des personnes dans l'UE relèvent déjà du RGPD par son article 3, paragraphe 2 ; les orientations du CEPD s'appliquent donc directement à elles.

Pour les entreprises mondiales, le « scraping licite » signifiera des choses différentes selon les marchés. Viser la norme la plus stricte, celle de l'UE et du Royaume-Uni, est le choix par défaut le plus sûr.

Liste de contrôle pratique pour les entreprises qui scrapent ou achètent des données scrapées

Conclusion

Le message de Bruxelles et de Londres est cohérent : le web ouvert n'est pas une zone de non-droit, mais il n'est pas non plus interdit. Scraper des données personnelles pour entraîner l'IA peut être licite lorsque c'est ciblé, minimisé, transparent et appuyé par des garanties dont vous pouvez démontrer l'efficacité. Les entreprises en difficulté seront celles qui ne peuvent pas dire d'où viennent leurs données, pourquoi elles en avaient besoin ni ce qu'elles ont fait pour protéger les personnes concernées. Les lignes directrices du CEPD ne sont encore qu'un projet et le Digital Omnibus peut encore déplacer le débat, mais cartographier les sources, filtrer les données, publier des notices et tester les modèles sera payant quelle que soit la version des règles.

Réservez une consultation gratuite avec GDPRGard → et nous vous aiderons à vérifier vos sources de données et vos notices d'entraînement.

Sources

Partager cet article

À lire également :

⚠️ Cet article est fourni à titre purement informatif et ne constitue pas un conseil juridique. Pour les situations de conformité complexes, consultez un professionnel qualifié de la protection des données. Les exigences du RGPD et du règlement européen sur l'IA font l'objet de lignes directrices réglementaires en constante évolution — vérifiez vos obligations actuelles auprès de votre conseiller juridique.