Le 30 octobre 2026, à l’issue d’une large consultation publique européenne, le Comité européen de la protection des données (CEPD) et la CNIL ont adopté leurs lignes directrices conjointes définitives encadrant la collecte automatisée de données en ligne (web scraping) pour l’entraînement des modèles d’intelligence artificielle.
Cette doctrine commune met fin au vide juridique entourant l’aspiration massive des contenus web et fixe des obligations strictes pour les fournisseurs de modèles d’IA opérant au sein de l’Union européenne.
Les données accessibles publiquement ne sont pas libres d’exploitation
Les autorités européennes réaffirment un principe fondamental du RGPD : la simple mise en ligne d’une information ne vaut en aucun cas renonciation au droit à la protection des données personnelles.
- Intérêt légitime conditionné : L’invocation de l’intérêt légitime (art. 6-1-f du RGPD) pour justifier l’entraînement d’un modèle d’IA impose une mise en balance rigoureuse avec les droits des personnes concernées et des mesures de protection renforcées dès la conception (privacy by design).
- Respect absolu des balises d’opposition (opt-out) : Tout éditeur de site internet ou créateur de contenu a le droit de refuser le moissonnage de ses données. Les développeurs d’IA doivent obligatoirement respecter les normes techniques d’opposition (fichiers
robots.txt, métadonnées TDM de la directive droit d’auteur, et protocoles d’opt-out émergents). Ignorer ces signaux constitue une violation directe du RGPD. - Filtrage préalable des données sensibles : Les développeurs ont l’obligation d’appliquer des filtres de nettoyage stricts avant l’ingestion des jeux de données, afin d’éliminer les données de santé, orientations politiques, données biométriques et données relatives aux mineurs.
- Traçabilité intégrale des corpus d’entraînement : Les créateurs de modèles doivent documenter de manière vérifiable la provenance de chaque jeu de données collecté, en conformité avec les exigences de transparence de l’AI Act européen.
Conséquences pratiques pour les développeurs et entreprises
Pour les entreprises technologiques et les équipes R&D développant ou déployant des solutions d’IA en France et en Europe :
- Audit des sources de données : Réaliser un inventaire exhaustif des datasets utilisés pour le pré-entraînement et le fine-tuning, en vérifiant la licéité de chaque méthode de collecte.
- Mécanismes d’effacement post-entraînement : Mettre en place des processus techniques permettant de satisfaire aux demandes d’exercice du droit à l’effacement (droit à l’oubli) sur les sorties générées par les modèles.
- Risques de sanctions : Les régulateurs européens rappellent que la collecte illicite expose les contrevenants à des sanctions administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel.