Anonymisation, scraping pour l'IA générative, blockchain : le CEPD pose trois nouveaux repères RGPD

Le 7 juillet 2026, le Comité européen de la protection des données (CEPD) a adopté deux projets de lignes directrices — l'un sur l'anonymisation, l'autre sur le moissonnage de données (web scraping) pour l'IA générative — et finalisé ses lignes directrices sur la blockchain après consultation publique. Trois textes qui touchent directement les praticiens RGPD confrontés à l'essor de l'IA générative et aux technologies distribuées.

Ce qui s'est passé

Le CEPD publie un triptyque de textes qui clarifient des zones grises de longue date. Sur l'anonymisation, le comité actualise sa doctrine en tenant compte de l'arrêt de la Cour de justice de l'Union européenne dans l'affaire C-413/23 P, CEPD/CRU, du 4 septembre 2025. Il propose un cadre à trois critères — absence d'individualisation, absence de corrélation, absence d'inférence — pour déterminer si des données peuvent être qualifiées d'anonymes, avec deux approches possibles selon le contexte : une approche « contextuelle », plus fidèle à la norme juridique, et une approche « simplifiée », plus praticable mais potentiellement plus prudente.

Sur le moissonnage pour l'IA générative, les lignes directrices précisent les bases légales mobilisables, les conditions de traitement des catégories particulières de données (article 9 du RGPD) et les modalités d'application des principes de minimisation, de limitation des finalités et de transparence à des pratiques de collecte massive et souvent automatisée.

Sur la blockchain, le CEPD finalise — après une consultation publique dont il publie le rapport de synthèse — sa doctrine sur la conformité RGPD des différentes architectures de chaînes de blocs.

Les deux premiers textes restent soumis à consultation publique jusqu'au 30 octobre 2026 ; les lignes directrices blockchain, elles, sont désormais définitives.

Pourquoi c'est important

L'anonymisation conditionne l'application même du RGPD : une donnée réellement anonyme échappe au règlement. Le sujet est loin d'être théorique pour les organisations qui pratiquent l'anonymisation de données pour réutiliser des jeux de données, entraîner des modèles ou publier des statistiques. La distinction avec la pseudonymisation — qui reste, elle, un traitement de données personnelles — continue de générer des erreurs d'appréciation coûteuses, notamment depuis que la CJUE a resserré les critères d'appréciation du risque de réidentification.

Le volet moissonnage arrive à un moment charnière : la plupart des grands modèles de langage se sont construits sur des corpus collectés par scraping, une pratique que le RGPD n'interdit pas mais encadre strictement dès lors qu'elle porte sur des données à caractère personnel. Le CEPD confirme que l'intérêt légitime reste mobilisable pour l'entraînement de modèles d'IA, mais uniquement sous réserve d'une analyse de mise en balance documentée — un point que les éditeurs de solutions IA et leurs clients entreprises ne peuvent plus ignorer, alors que l'AI Act monte en puissance dans le quotidien des DPO.

Ce que ça change pour les organisations

Pour les responsables de traitement qui anonymisent des données avant réutilisation ou partage, il devient nécessaire de documenter formellement le test en trois critères du CEPD plutôt que de se contenter d'une suppression superficielle d'identifiants directs. Une anonymisation mal caractérisée expose à un traitement de données personnelles non déclaré — avec les conséquences classiques en matière de base légale et d'information des personnes.

Pour les organisations qui développent ou déploient des systèmes d'IA générative, y compris via des prestataires, les lignes directrices sur le moissonnage donnent une grille de lecture concrète pour auditer leurs fournisseurs : quelle base légale invoquée pour la collecte des données d'entraînement, quelles garanties sur les catégories particulières de données, quelles mesures de minimisation et de vérification de la fiabilité des sources. Ce travail rejoint la méthode de déploiement conforme de l'IA générative en entreprise que Leto a déjà détaillée.

Pour les acteurs de la blockchain, la doctrine désormais stabilisée du CEPD offre enfin un référentiel opposable pour arbitrer entre architectures publiques et privées, gestion des clés et droit à l'effacement — un sujet où l'absence de position claire freinait jusqu'ici de nombreux projets.

Les organisations concernées ont jusqu'au 30 octobre 2026 pour faire valoir leurs observations sur les deux premiers textes, une fenêtre à ne pas laisser passer si des cas d'usage spécifiques (recherche, secteur de la santé, entraînement de modèles verticaux) ne sont pas correctement couverts par les exemples fournis.

Ce que Leto pense de cette décision

Ces trois textes comblent un vide doctrinal que les praticiens réclamaient depuis l'explosion de l'IA générative. Mais leur portée reste conditionnée à la consultation publique en cours : les organisations qui bâtissent aujourd'hui leur gouvernance IA sur ces projets de lignes directrices doivent garder à l'esprit qu'ils peuvent encore évoluer d'ici la version finale. Le vrai signal à retenir est ailleurs : le CEPD confirme que le RGPD s'applique pleinement au cycle de vie de l'IA générative, de la collecte des données d'entraînement jusqu'à leur éventuelle anonymisation en aval. Les organisations qui attendaient une clarification pour arbitrer entre construction interne et achat de solutions IA n'ont plus d'excuse pour repousser cet audit.

Sources : CNIL, Communiqué du CEPD (EDPB)