L'excuse « c'était public » n'existe plus : le RGPD couvre désormais formellement les données d'entraînement de l'IA

Pendant des années, l'industrie de l'IA a fonctionné sur une hypothèse commode : si une donnée se trouve sur le web ouvert, elle peut librement être collectée et intégrée à un jeu d'entraînement. Pas besoin de consentement, pas besoin de notification — c'est « accessible au public », donc c'est acceptable.

Le 8 juillet 2026, le Comité européen de la protection des données (CEPD) a définitivement refermé cette faille. Aux côtés de nouvelles lignes directrices sur l'anonymisation et la blockchain, il a adopté ses Lignes directrices sur le web scraping dans le contexte de l'IA générative — et le message est sans ambiguïté : le RGPD s'est toujours appliqué aux données personnelles collectées par scraping et utilisées pour l'entraînement de l'IA, et les régulateurs précisent désormais exactement ce qu'exige la conformité.

Ce qui a vraiment changé

Les lignes directrices sont en consultation publique jusqu'au 30 octobre 2026, mais l'orientation est déjà claire, et les autorités de protection des données de l'UE devraient s'appuyer dessus pour sanctionner. Trois exigences se distinguent.

L'intérêt légitime ne peut plus être présumé — il doit être évalué à chaque fois. Les développeurs ne peuvent plus traiter « la donnée était publique » comme une base légale à elle seule. Chaque opération de scraping nécessite une véritable évaluation de l'intérêt légitime, au cas par cas, mettant en balance l'intérêt du développeur pour la donnée et les droits et attentes raisonnables des personnes qu'elle concerne.

La minimisation des données doit intervenir avant le scraping, pas après. Filtrer les données superflues ou excessives une fois qu'elles ont déjà été aspirées dans un jeu d'entraînement ne suffit pas. Les lignes directrices attendent que la minimisation soit intégrée dans le processus de collecte lui-même — ne scraper que des sources fiables et identifiables, horodater ce qui est collecté, et exclure d'emblée les données de catégories particulières (santé, opinions politiques, orientation sexuelle et données similaires) plutôt que de les retirer après coup.

Les jeux de données anciens n'échappent pas aux règles. C'est le détail qui surprend le plus. Les entreprises ne peuvent pas invoquer des données collectées il y a des années en arguant que les règles n'existaient pas encore. Le test de mise en balance doit refléter les circonstances au moment de la collecte — ce qui signifie que les développeurs sans documentation solide sur la façon et les raisons pour lesquelles ils ont réuni d'anciens jeux de données se retrouvent aujourd'hui avec une lacune de conformité qu'ils ne peuvent pas combler facilement a posteriori.

Le piège de l'anonymisation

Certains développeurs ont fait valoir qu'une fois les données personnelles intégrées dans un modèle entraîné, elles deviennent effectivement anonymes et que le RGPD ne s'applique plus. Les lignes directrices complémentaires du CEPD sur l'anonymisation referment aussi cette porte, en posant un test strict en trois volets : une donnée n'est considérée comme anonyme que si aucun individu ne peut être isolé, si aucune donnée ne peut être reliée à d'autres informations le concernant, et si aucun individu ne peut être identifié par inférence.

C'est une barre haute — sans doute trop haute au regard du fonctionnement réel des grands modèles de langage. Les chercheurs ont montré à plusieurs reprises que les modèles peuvent « régurgiter » des extraits littéraux de leurs données d'entraînement, y compris des informations personnelles, avec le bon type d'incitation. Les comptes rendus sur ces lignes directrices ont été sans détour quant à la conséquence : peu de systèmes d'IA, voire aucun, peuvent aujourd'hui satisfaire cette norme d'anonymisation. En pratique, cela signifie qu'une grande partie des données présentes dans les grands modèles actuels compte encore probablement comme des données personnelles au sens du RGPD — avec toutes les obligations que cela implique.

Qui est concerné

Toute personne qui construit ou affine des modèles à partir de données web publiques. Cela inclut les plus grands laboratoires — OpenAI, Meta et Google sont explicitement cités dans les comptes rendus sur ces lignes directrices —, mais les obligations ne diminuent pas pour les acteurs plus modestes. Une startup qui affine un modèle open source à partir de messages de forums collectés par scraping, ou une équipe de recherche qui construit un modèle plus restreint et spécialisé, fait face aux mêmes exigences d'intérêt légitime, de minimisation et de documentation qu'un laboratoire de pointe. Si quelque chose distingue les petites organisations, c'est plutôt qu'elles sont davantage exposées, car elles disposent généralement de moins de ressources pour mettre en place les processus de documentation et d'analyse d'impact que les régulateurs attendront de voir.

Pourquoi cela compte même si vous n'entraînez pas de modèles

La plupart des PME ne construisent pas de modèles de fondation — mais beaucoup les affinent, déploient des outils d'IA tiers, ou intègrent des fonctions IA de fournisseurs dans leurs propres produits. Cela ne vous met pas hors de portée. Si le modèle d'un fournisseur a été entraîné sur des données collectées de manière irrégulière, le risque de conformité ne reste pas confiné au fournisseur. On attend de plus en plus des entreprises qui déploient des outils d'IA qu'elles mènent une diligence raisonnable de base sur la façon dont ces outils ont été construits — quelles données les ont entraînés, s'il existe une base légale documentée, et si le fournisseur peut répondre à des questions simples sur la provenance des données.

C'est une question très différente de « est-ce que cet outil d'IA fonctionne bien », et elle mérite d'être posée avant de signer un contrat, pas après qu'un régulateur la pose à votre place.

Ce qu'il faut faire concrètement maintenant

Trois choses à faire dès maintenant, que vous entraîniez des modèles ou que vous achetiez des outils qui l'ont été :

1. Demandez directement aux fournisseurs d'IA quelle base légale a été utilisée pour leurs données d'entraînement, et s'ils peuvent la documenter.
2. Méfiez-vous des affirmations selon lesquelles les données d'entraînement seraient « anonymisées » — la barre fixée par le CEPD est haute, et une assurance vague ne remplace pas une vraie réponse.
3. Ne considérez pas « entraîné avant l'existence des lignes directrices » comme une défense, car les régulateurs ne le feront pas non plus.

Le règlement IA attire davantage l'attention parce qu'il est nouveau. Mais le RGPD était déjà pleinement en vigueur, et le CEPD vient de confirmer, en détail, qu'il a toujours couvert la manière dont l'IA est construite — pas seulement la manière dont elle est utilisée.

C'est aussi pour cette raison que GDPRGard a conçu GDPRChat de cette façon : entraîné sur le contenu de votre propre entreprise — vos FAQ, politiques et informations produit — plutôt que sur des données tierces collectées par scraping et d'origine incertaine. Si vous choisissez un outil d'IA pour votre entreprise, « d'où viennent les données d'entraînement, et pouvez-vous le prouver ? » est désormais une question légitime à poser à n'importe quel fournisseur.

Réservez une consultation gratuite avec GDPRGard →

Sources

• Tech Times — Le RGPD s'applique aux données d'entraînement de l'IA : l'UE met fin au pass gratuit du web scraping pour tous les laboratoires
• CEPD — Le CEPD éclaire l'anonymisation et le web scraping pour l'IA générative

À lire également :

• Oubliez le règlement IA — le RGPD sanctionne déjà les entreprises pour leurs erreurs liées à l'IA
• Le règlement IA s'applique aux systèmes à haut risque — vous avez maintenant deux régulateurs
• L'IA est le plus grand risque RGPD de 2026