IA générative : le CEPD encadre le web scraping et redéfinit l'anonymisation

Le 7 juillet 2026, le Comité européen de la protection des données (CEPD) a adopté deux textes qui concernent directement les entreprises qui entraînent ou utilisent des modèles d'IA générative : des lignes directrices sur le moissonnage de données (web scraping) et un nouveau cadre pour qualifier des données d'anonymes. Un troisième texte, sur la blockchain, a été finalisé après consultation publique. Ensemble, ils resserrent les marges de manœuvre de tous ceux qui collectent des données sur le web ou anonymisent leurs bases pour faire de l'IA.

Ce qui s'est passé

Le CEPD a publié trois textes le même jour. Le premier clarifie la notion de données anonymes, en tenant compte de l'arrêt de la Cour de justice de l'Union européenne dans l'affaire C-413/23 P (CEPD/CRU, 4 septembre 2025). Il propose un test en trois critères — absence d'individualisation, absence de corrélation, absence d'inférence — et deux méthodes d'application, l'une contextuelle (qui tient compte des capacités réelles de chaque destinataire des données), l'autre simplifiée et plus prudente par défaut.

Le deuxième texte s'attaque directement au moissonnage de données dans le contexte de l'IA générative : base légale mobilisable, conditions de traitement de données sensibles, principes de minimisation et de limitation des finalités. Le troisième finalise, après consultation publique, les lignes directrices sur le traitement de données personnelles via des technologies blockchain.

Les deux premiers textes restent, eux, soumis à consultation publique jusqu'au 30 octobre 2026 : leur rédaction actuelle n'est donc pas figée.

Pourquoi c'est important

Pour les entreprises qui s'appuient sur des jeux de données scrapés ou anonymisés — cas de figure devenu courant avec la généralisation de l'IA générative — ces textes viennent combler un vide méthodologique. Le sujet de l'anonymisation des données au sens du RGPD a longtemps souffert d'un flou pratique : à partir de quand des données cessent-elles réellement d'être personnelles ? Le nouveau test en trois critères donne enfin une grille opérationnelle, à distinguer de la pseudonymisation, qui reste un traitement de données personnelles à part entière.

Sur le moissonnage, le CEPD s'appuie sur son avis relatif aux modèles d'IA pour préciser l'usage de l'intérêt légitime comme base légale (article 6 du RGPD) dans ce contexte spécifique. Il rappelle aussi que le traitement de catégories particulières de données reste en principe interdit, sauf exception dûment justifiée — un point sensible quand on collecte des données à grande échelle sur le web, où opinions, données de santé ou orientation sexuelle peuvent apparaître de façon incidente. Cette clarification s'inscrit dans une réflexion plus large sur la conformité des projets d'IA générative en entreprise, un sujet que Leto a déjà documenté à travers une méthode de déploiement conforme au RGPD et à l'AI Act.

Ce que ça change pour les organisations

Concrètement, trois chantiers pour les DPO et RSSI concernés par l'IA générative :

D'abord, réévaluer les analyses d'impact et les registres de traitement dès lors qu'un jeu de données est présenté comme « anonymisé » : le test en trois critères du CEPD peut invalider des qualifications trop rapides, notamment lorsque les données ont été anonymisées « à la légère » pour éviter les obligations du RGPD.

Ensuite, pour toute activité de moissonnage — interne ou via un prestataire ou un fournisseur de modèle d'IA — documenter précisément la base légale retenue, la fiabilité des sources extraites et les mesures de minimisation mises en œuvre. Le CEPD recommande explicitement de n'extraire que depuis des sources fiables, d'horodater et de valider les données avant tout usage en entraînement.

Enfin, ne pas attendre la version définitive des textes pour agir : la consultation publique court jusqu'au 30 octobre 2026, mais les principes posés (finalité, minimisation, interdiction de principe des données sensibles) sont déjà des obligations RGPD existantes, indépendamment de leur reformulation par le CEPD.

Ce que Leto pense de cette décision

Ces lignes directrices ont le mérite de mettre des mots précis sur des pratiques que beaucoup d'organisations menaient déjà, souvent sans cadre clair. Mais la prudence reste de mise : l'intérêt légitime pour le moissonnage massif de données publiques demeure un terrain juridique fragile, et le test d'anonymisation en trois critères, s'il est bienvenu, laisse encore une marge d'appréciation importante selon l'approche retenue (contextuelle ou simplifiée). Pour les entreprises qui utilisent des outils d'IA générative entraînés par des tiers, la vraie question à se poser dès maintenant n'est pas seulement « mes propres pratiques de scraping sont-elles conformes ? », mais aussi « puis-je documenter la provenance et la licéité des données d'entraînement de mes fournisseurs ? ». C'est précisément là que se jouera la conformité réelle des mois à venir, bien avant la clôture de la consultation en octobre.

Sources : CNIL — Le CEPD met en lumière l'anonymisation et le moissonnage pour l'IA générative, EDPB — communiqué officiel.