Moissonnage du web et anonymisation : ce que préparent les autorités européennes pour l'IA générative

Deux questions reviennent dans presque tous les projets d'IA qui touchent à des données : peut-on aspirer des contenus publics du web pour entraîner ou alimenter un modèle, et à partir de quand un jeu de données est-il vraiment anonyme ? Le Comité européen de la protection des données (CEPD), qui réunit la CNIL et ses homologues, a adopté le 7 juillet 2026 deux projets de lignes directrices sur ces sujets. La CNIL en a publié une présentation le 9 juillet, en précisant qu'il s'agit d'une traduction automatique du communiqué européen.

Moissonnage : le RGPD s'applique dès la collecte

Le moissonnage (« web scraping ») est l'extraction automatisée de données à grande échelle, souvent à l'insu des personnes concernées. Le projet rappelle que le RGPD s'applique dès que l'opération porte sur des données personnelles : collecte, stockage, organisation, extraction.

Les points mis en avant :

• Finalité et transparence : elles demandent une attention particulière. L'information individuelle des personnes peut ne pas être exigée si elle est impossible ou réclame des efforts disproportionnés.
• Exactitude : ne collecter que sur des sources fiables, horodater les données, les valider avant l'entraînement.
• Minimisation : le texte donne des conseils sur les mesures à mettre en place.
• Intérêt légitime : le projet précise, exemples à l'appui, comment cette base juridique peut servir à l'entraînement par moissonnage, dans le prolongement de l'avis 28/2024 du CEPD sur les modèles d'IA.
• Données sensibles (santé, opinions, orientation sexuelle, entre autres) : leur traitement reste interdit par principe. Il faut une base juridique et une exception prévue par l'article 9 du RGPD. Pour une collecte accessoire ou résiduelle, le CEPD suggère de s'appuyer sur une jurisprudence de la Cour de justice (affaire C-136/17), à condition de prendre des mesures techniques et organisationnelles adaptées. Il n'existe aucune exemption générale.

Anonymisation : un test en trois critères

Le second projet tient compte d'un arrêt de la Cour de justice du 4 septembre 2025 (C-413/23 P). Il retient qu'une même donnée peut être anonyme pour une organisation et ne pas l'être pour une autre, selon les moyens dont chacune dispose raisonnablement pour identifier une personne.

Deux méthodes d'évaluation sont proposées. L'approche contextuelle tient compte des capacités réelles de chaque acteur. L'approche simplifiée les ignore : elle est plus exigeante que le droit ne le demande, mais plus simple à appliquer.

Le test repose sur trois critères : pas d'individualisation des enregistrements, pas de corrélation possible, pas d'inférence. Si les trois sont remplis, les données peuvent être considérées comme anonymes. Si l'un fait défaut, il faut pousser l'analyse.

Les limites

Ce sont des projets, soumis à consultation publique jusqu'au 30 octobre 2026 : le texte final peut différer. Les documents complets ne sont disponibles qu'en anglais, et la page de la CNIL n'en donne qu'un résumé. Elle ne dit pas quand les versions définitives seront adoptées. Enfin, ces textes ne traitent que de la protection des données : le droit d'auteur et les conditions d'utilisation des sites moissonnés relèvent d'autres règles.

Notre lecture

Peu de PME françaises entraînent un modèle de fondation. Beaucoup, en revanche, aspirent des annuaires, des avis clients ou des profils professionnels pour alimenter un outil de prospection ou un assistant interne. Le raisonnement du CEPD s'y transpose sans peine :

1. Écrire la finalité de la collecte avant de la lancer, et s'y tenir.
2. Lister les sources et écarter celles dont la fiabilité est douteuse.
3. Filtrer les données sensibles et documenter la méthode.
4. Ne pas qualifier un jeu de données d'anonyme sans avoir passé les trois critères. Supprimer les noms ne suffit pas.
5. Interroger les prestataires qui vendent des bases « issues du web » sur ces mêmes points.

Les versions finales sont à surveiller : la CNIL siège au CEPD et ses lignes directrices expriment la lecture commune des autorités européennes.