En 2026, de plus en plus d’entreprises déploient des outils d’IA générative pour automatiser des tâches, analyser des données ou développer de nouveaux services. Résultat : des volumes importants de données, souvent personnelles, sont réutilisés pour entraîner des modèles, parfois sans cadrage RGPD suffisant, avec à la clé des risques de non-conformité et de contrôle CNIL.
Le 7 juillet 2026, le Comité européen de la protection des données (CEPD) a adopté deux nouvelles lignes directrices qui visent directement ces usages : l’une sur l’anonymisation des données, l’autre sur le web scraping de données personnelles dans un contexte d’IA générative. Leur message est clair : l’essor de l’IA ne change rien aux exigences du RGPD, mais précise la manière dont elles s’appliquent aux projets d’IA.
Pourquoi le CEPD publie-t-il ces lignes directrices sur l’IA générative ?
Le développement rapide de l’IA générative soulève des questions juridiques concrètes pour les entreprises. Les modèles sont souvent entraînés à partir de volumes très importants de données, dont certaines peuvent contenir des données à caractère personnel. À partir de quel moment une donnée est-elle réellement anonyme ? Peut-on entraîner une IA à partir d’informations accessibles sur Internet ? Quelles précautions faut-il documenter ?
Avec ces lignes directrices, le CEPD ne crée pas de nouvelles obligations : il précise la manière dont les principes existants du RGPD s’appliquent à l’IA générative, dans un environnement désormais marqué par l’entrée en application progressive de l’AI Act, qui renforce les exigences de gouvernance de l’IA pour les entreprises concernées.
Anonymisation et IA générative : supprimer les données identifiantes ne suffit plus
L’un des principaux apports de ces lignes directrices concerne la notion de donnée anonyme. Dans de nombreuses organisations, l’anonymisation est encore assimilée à la suppression du nom, du prénom ou de l’adresse électronique. Cette approche est pourtant souvent insuffisante.
Le CEPD rappelle qu’une donnée n’est véritablement anonymisée que lorsqu’elle ne permet plus d’identifier une personne physique, directement ou indirectement, en tenant compte des moyens raisonnablement susceptibles d’être utilisés pour la réidentifier. Une donnée peut sembler anonyme à première vue tout en permettant, une fois croisée avec d’autres informations, de retrouver l’identité d’une personne.
Les 3 critères du CEPD pour évaluer l’anonymisation
- Individualisation : est-il possible d’isoler une personne au sein du jeu de données ?
- Corrélation : peut-on relier plusieurs informations entre elles pour identifier une personne ?
- Inférence : peut-on déduire des informations sur une personne à partir des données ?
Si l’un de ces critères n’est pas satisfait, une analyse complémentaire reste nécessaire. Le CEPD distingue une approche « contextuelle », qui tient compte des capacités réelles des acteurs susceptibles d’accéder aux données, et une approche « simplifiée », plus prudente, qui offre davantage de sécurité juridique.
Ce que cela change concrètement pour les entreprises
Ces recommandations ne concernent pas uniquement les éditeurs de solutions d’IA. Une entreprise qui réutilise les données de ses clients pour améliorer un assistant conversationnel interne, développer un outil d’analyse prédictive ou partager des données avec un prestataire est directement concernée. Documenter les méthodes d’anonymisation et intégrer ces vérifications dans une démarche de Privacy by Design et dans le registre des traitements RGPD constitue le socle minimum attendu.
Web scraping et IA générative : les données publiques ne sont pas des données libres
Le second texte porte sur le web scraping, largement utilisé pour entraîner des modèles d’IA générative. Le CEPD est clair : qu’une information soit accessible en ligne ne signifie pas qu’elle puisse être librement collectée et exploitée. Dès lors que le scraping implique des données à caractère personnel, le RGPD s’applique pleinement : collecte, stockage, organisation et extraction sont autant d’opérations de traitement soumises à la réglementation.
Quelle base légale pour le web scraping en IA générative ?
L’intérêt légitime peut être retenu dans certaines situations, notamment pour entraîner un modèle d’IA, mais il nécessite une véritable mise en balance entre les intérêts de l’entreprise et les droits des personnes concernées. Cette analyse doit être documentée et disponible en cas de contrôle CNIL.
Les recommandations pratiques du CEPD
- Privilégier des sources fiables et vérifiées
- Conserver la date de collecte des données
- Vérifier la qualité des données avant leur utilisation
- Limiter la collecte au strict nécessaire (minimisation)
Exemple concret : une entreprise qui souhaite entraîner un chatbot interne à partir de contenus récupérés sur Internet devra, avant même le lancement du projet, s’assurer de la pertinence et de la conformité des données collectées, documenter ses choix et justifier sa base juridique. Cette démarche s’inscrit pleinement dans les exigences de l’AI Act, qui impose de maîtriser ses données d’entraînement et, pour les systèmes à haut risque, de réaliser une analyse d’impact relative à la protection des données (AIPD) avant tout déploiement.
Cas particulier : les données sensibles
Le CEPD rappelle qu’il n’existe aucune exemption générale pour les données sensibles (santé, opinions politiques, origine ethnique). Si un processus de scraping en collecte, même accessoirement, une base juridique spécifique et des mesures techniques adaptées sont impératives. Chaque situation doit être appréciée individuellement.
Comment se préparer avant le 30 octobre 2026 ?
Ces lignes directrices ne réinventent pas le RGPD : elles rappellent, avec méthode et exemples concrets, que les règles existantes s’appliquent pleinement aux projets d’IA, y compris lorsque les données semblent anodines ou publiques. Pour les entreprises, la consultation publique ouverte jusqu’au 30 octobre 2026 est le bon moment pour engager une revue de leurs pratiques :
- Auditer les méthodes d’anonymisation utilisées sur les projets d’IA en cours
- Vérifier les bases juridiques mobilisées pour le web scraping
- Renforcer la gouvernance des données d’entraînement
- Mettre à jour le registre des traitements et les analyses d’impact (AIPD)
Les organisations qui n’auront pas amorcé cette réflexion s’exposeront à des difficultés croissantes, à mesure que les contrôles de la CNIL en matière d’IA et de données personnelles se multiplient.
Le rôle du DPO dans la conformité des projets d’IA générative
Ces lignes directrices replacent le DPO, interne ou externalisé, au centre des projets d’IA générative. Historiquement cantonné à un rôle de conseil et de contrôle a posteriori, il est de plus en plus sollicité en amont, dès la phase de cadrage d’un projet d’IA, pour éviter que des choix techniques structurants ne soient figés avant toute analyse de conformité.
Un rôle qui se déplace vers l’amont des projets
Sur l’anonymisation, le DPO est le mieux placé pour arbitrer entre l’approche « contextuelle » et l’approche « simplifiée » proposées par le CEPD, en fonction du niveau de risque du projet et des acteurs susceptibles d’accéder aux données. Cet arbitrage suppose de dialoguer étroitement avec les équipes techniques : data scientists, développeurs, prestataires IA. Le DPO n’est ici ni un simple juriste ni un technicien, mais l’interface qui traduit les critères juridiques (individualisation, corrélation, inférence) en exigences concrètes pour les équipes projet.
Sur le web scraping, son rôle consiste à sécuriser en amont la base légale retenue, le plus souvent l’intérêt légitime, en formalisant la mise en balance entre l’intérêt de l’entreprise et les droits des personnes concernées. Cette analyse documentée devient une pièce centrale du dossier de conformité, à produire en cas de contrôle de la CNIL.
Un rôle de pilotage documentaire et de preuve
Le CEPD insiste sur la traçabilité : date de collecte, méthode d’anonymisation retenue, critères vérifiés, sources utilisées. Le DPO est traditionnellement le garant du registre des traitements, mais l’IA générative l’amène à tenir une documentation plus fine encore : versions successives d’un modèle, jeux de données d’entraînement, mises à jour liées à un ré-entraînement. Cette documentation est ce qui permet de démontrer la conformité a posteriori, la logique du RGPD reposant sur l’accountability plutôt que sur une autorisation préalable.
Pour les systèmes d’IA à haut risque au sens de l’AI Act, le DPO est également amené à coordonner ou à contribuer à l’analyse d’impact relative à la protection des données (AIPD), en lien avec les exigences de gouvernance des données imposées par ce règlement. Les deux textes se recoupent de plus en plus sur le terrain, ce qui pousse le DPO à sortir d’une lecture purement RGPD pour intégrer une vision plus large de la conformité IA.
Les lignes directrices du CEPD sur l’anonymisation et le web scraping ne réinventent pas le RGPD, mais elles structurent la manière dont les autorités, dont la CNIL, apprécieront la conformité des projets d’IA générative à partir de 2026. Les organisations qui n’auront pas anticipé ces évolutions s’exposeront à des difficultés croissantes : remise en cause de modèles d’IA déjà déployés, mise en conformité en urgence, risques réputationnels.
SOURCES :
